使用 Get-WinEvent 检索用户名

问题描述

我正在尝试从事件查看器日志数据中检索用户名列表。我看到的唯一可用的选择器是 UserID。我想将其转换为我在 General > User 下看到的内容，而不是 SID。我是 PowerShell 初学者，所以我提前道歉。

这是我现在使用的脚本。效果很好，但我想在列中添加一个用户名。

#Server list
$VDI = Get-Content "C:\Scripts\IM\AvayaList.csv"
 
#Query remote machines
Invoke-Command $VDI {
 
    $Filter = @{
           Logname = 'Citrix-VDA-CQI/Admin'
           Level = 1,2,3
           StartTime = [datetime]::Today.AddDays(-1)
    }
    Get-WinEvent -FilterHashtable $Filter
 
} | Select-Object MachineName,TimeCreated,Level,ID,Message | Out-GridView -Title "Results"

我在另一篇文章中看到了这个，但我很难将我所拥有的与我发现的结合起来。

  Get-WinEvent -MaxEvents 1000 | foreach {
    $sid = $_.userid;
    if($sid -eq $null) { return; }
    $objSID = New-Object System.Security.Principal.SecurityIdentifier($sid);
    $objUser = $objSID.Translate([System.Security.Principal.NTAccount]);
    Write-Host $objUser.Value;
}

我使用的是 PowerShell v5.1.14393.3866

谢谢！

解决方法

您可以编写一个小辅助函数来解析 SID。此外，就像您为过滤器哈希表使用变量一样，您可以使用变量来存储所需的属性，以使代码更易于阅读。

Function Resolve-SID ($sid)
{
    if($sid)
    {
        $objSID = New-Object System.Security.Principal.SecurityIdentifier($sid)
        $objSID.Translate([System.Security.Principal.NTAccount]).value
    }
    else
    {
        'N/A'
    }
}

$selectprops = "MachineName","TimeCreated","Level","ID","Message",@{n="User";e={Resolve-SID $_.UserID}}

#Server list
$VDI = Get-Content "C:\Scripts\IM\AvayaList.csv"

#Query remote machines
Invoke-Command $VDI {

    $Filter = @{
           Logname = 'Citrix-VDA-CQI/Admin'
           Level = 1,2,3
           StartTime = [datetime]::Today.AddDays(-1)
    }
    Get-WinEvent -FilterHashtable $Filter

} | Select-Object $selectprops | Out-GridView -Title "Results"

powershell powershell powershell-5.0