| 本地组 | 4732 加入、4733 移除 |
|---|---|
| 全局组 | 4728 加入、4729 移除 |
| 关注 | Administrators/Domain Admins 级别改动 |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4728,4729,4732,4733} -MaxEvents 30 | Select-Object TimeCreated, Id, @{n='Group';e={$_.Properties[2].Value}}, @{n='Member';e={$_.Properties[0].Value}}, @{n='By';e={$_.Properties[4].Value}} | Format-Table -AutoSize把“管理员组变更”做成日常告警：变更要有工单对得上。