EventLog in Powershell anzeigen und filtern

Question

Wie kann ich den Windows EventLog in Powershell anzeigen und alle Einträge mit "Konto wurde erfolgreich angemeldet" filtern? Ich habe diesen Befehl probiert

Get-WinEvent -LogName "Security" -FilterXPath "Message='*Konto wurde erfolgreich angemeldet*'"

aber bekomme den Fehler

Get-WinEvent : Es wurden keine Ereignisse gefunden, die den angegebenen Auswahlkriterien entsprechen.
In Zeile:1 Zeichen:1
+ Get-WinEvent -LogName "Security" -FilterXPath "Message='*Konto wurde erf ...
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ObjectNotFound: (:) [Get-WinEvent], Exception
    + FullyQualifiedErrorId : NoMatchingEventsFound,Microsoft.PowerShell.Commands.GetWinEventCommand

Answer 1

Du kannst im Log des User Profile Service nachsehen.

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-User Profile Service/Operational'; ID=67} | Select-Object TimeCreated, Message

Comments

Da steht aber nicht welcher Benutzer das war.

---

Dann kannst du ein Format-List am Ende machen.

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-User Profile Service/Operational'; ID=67} | Select-Object TimeCreated, Message | Format-List -Property TimeCreated, Message

---

Kann ich den benutzernamen da noch irgendwie rausschneiden?

---

Bestimmt aber stell dazu bitte eine neue Frage.

---

Alles klar, danke!

Answer 2

Du kannst die Nachrichten mit dem Cmdlet Get-WinEvent abrufen und mit dem Cmdlet Where-Object kannst du die Rückgabe eines Cmdlet filtern.

Get-WinEvent -LogName "Security" | Where-Object {$_.Message -like "*Konto wurde erfolgreich angemeldet*"}

Comments

Man sieht aber nicht welcher Benutzer das war.