[Hetman]

v.arnautov,
528 или 4624 — Успешный вход в систему

[v.arnautov]

Hetman,
мне это известно, 4634 выход из системы. Если искать по этим кодам, то выдает все УЗ которые выполняли вход и выход, а меня интересует как можно отсортировать этот список для одной УЗ

[Vadikan]

v.arnautov, скриптом PowerShell, например. Переношу в скрипты.

[v.arnautov]

Vadikan, с помощью какого скрипта? объясните подробнее, пожалуйста.

[Iska]

Vadikan, с помощью какого скрипта? объясните подробнее, пожалуйста. »

Который Вы напишете. Например (корректность приведённых выше ID событий не проверял; текст Message соответствует Windows Server 2008 R2, для Вашей Windows 7 — проверяйте сами):

Код:

Get-EventLog `
    -ComputerName ServerName `
    -LogName Security `
    -InstanceID 528, 4624 `
    -Message "*Account Name:*ВасяПупкин*Account Domain:*MyDomain*" | Format-List -Property TimeGenerated

[Iska]

InstanceId это не EventId: »

Взял Ваш скрипт.

Скрытый текст

Код:

   Index Time          EntryType   Source                 InstanceID Message                                                    
   ----- ----          ---------   ------                 ---------- -------                                                    
...09852 мар 24 15:01  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....                  
...05672 мар 24 14:59  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....                  
...05671 мар 24 14:59  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....                  
...05638 мар 24 14:59  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....                  
...05637 мар 24 14:59  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....                  
...05073 мар 24 14:57  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....                  
...03490 мар 24 14:44  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....                  
...03046 мар 24 14:31  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....                  
...99157 мар 24 14:15  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....                  
...99154 мар 24 14:15  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....                  
...99144 мар 24 14:15  SuccessA... Microsoft-Windows...         4624 An account was successfully logged on....

[Foreigner]

Iska, Sorry, перепутал с Index

[Kazun]

Код:

Get-WinEvent -FilterHashtable @{LogName="Security";ID=4624} -MaxEvents 10

InstanceId(приходится 4 возможных значения на одно событие):

$instanceIDs = ($eventID), ($eventID -bor 0x40000000L), ($eventID -bor 0x80000000L), ($eventID -bor 0xc0000000L)


Gets only events with the specified instance IDs.

Про данное свойство, читаем в справке - http://msdn.microsoft.com/en-us/libr...nstanceid.aspx

Two event log entries from the same source can have matching EventID values, but have different InstanceId values due to differences in the top two bits of the resource identifier.

В структуре EVENTLOGRECORD определенно только EventID - http://msdn.microsoft.com/en-us/libr...(v=vs.85).aspx

Код:

PS > (get-eventlog -log 'system' -newest 200).Where{$_.instanceid -ne $_.eventid} |ft eventid,instanc
eid -a

EventID InstanceId
------- ----------
   7045 1073748869
   4230 2147487878
  24579 1073831939
  24577 1073831937
  24576 1073831936
   6013 2147489661
   6013 2147489661
   4230 2147487878
   6013 2147489661
   6013 2147489661
   6013 2147489661
   6013 2147489661
   6013 2147489661
   6013 2147489661

7026 3221232498

[Foreigner]

Kazun, А как лучше найти события нужного пользователя? UserId остается пустым. Если не парсить message:

Код:

Get-WinEvent -FilterHashtable @{ LogName="Security"; ID=4624 } -MaxEvents 1000 |
where { $_.message -match "$($env:username)" }