Есть ли способ программным образом собрать список пользователей, которые вошли на сервер Windows (особенно 2008 R2) в течение последних 30 дней или между двумя датами? Есть 2 сервера активных каталогов, и все пользователи являются членами одного домена.
Моя конечная цель - автоматически получить список уникальных пользователей для каждого из наших серверов по причинам SPLA.
Это выполняется вручную, а не через программу, но вы можете создать фильтр в средстве просмотра событий, который будет отображать только ваши события входа в систему. Щелкните правой кнопкой мыши Custom Views папку и выберите Create Custom View вариант. К сожалению, для этого фильтра вам придется редактировать XML. Вот как будет выглядеть XML для фильтра:
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">
*[System[(EventID=4624)]]
and
*[EventData[Data[@Name='LogonType'] and (Data='2' or Data='10' or Data='11')]]
</Select>
<Suppress Path="Security">
*[EventData[Data[@Name='TargetDomainName'] and (Data = 'Window Manager')]]
</Suppress>
</Query>
</QueryList>
Вы можете изменить это, чтобы включить тип входа 7 (разблокировка заблокированного сеанса). Более подробную информацию о кодах типов входа можно найти здесь:
http://www.windowsecurity.com/articles-tutorials/misc_network_security/Logon-Types.html
Обратите внимание, что это НЕ фильтрует по диапазону дат: только логины. Но как только вы сузите эту часть, легко просмотреть диапазон дат в средстве просмотра событий вручную.
К сожалению, этот фильтр у меня не работал, когда я использовал опцию «Подключиться к другому компьютеру», даже с выключенным брандмауэром.
Это не простой способ. Первое, что приходит на ум - просмотр журналов безопасности. Вы ищете событие с идентификатором 4624. Обратите внимание на тип входа в систему (2,10,11, если вы собираетесь подсчитывать интерактивные входы в систему).
В зависимости от того, насколько быстро создаются записи журнала безопасности и насколько велик ваш журнал, журнал может быть перезаписан до 30-дневного цикла.
Лучше использовать сценарий входа в систему, который ведет счет в центральном месте.