如何制作自动用户帐户报告

本操作方法将帮助您创建有关域中已创建用户帐户的自动报告，并使用 PowerShell 将其发送到电子邮件。 此外，我们还将将此审核方法与 Netwrix Auditor 中的相同操作进行比较。
让我们开始吧。

测试一个简单的过滤器

首先，我们需要简单了解它的工作原理，基本上我们需要过滤安全日志，以便找到具有相关 ID 的日志：在我们的例子中，它将是 4720，因此我们在 PowerShell 中运行命令：
Get-WinEvent -FilterHashtable @{LogName=”Security”;ID=4720}

指定信息

正如您所看到的，我们收到一条消息，告知已创建一个帐户，但我们不知道哪个帐户以及谁创建了该帐户。让我们指定此信息。
我们需要对日志进行过滤，所以我们需要选择需要的属性。让我们使用以下 PowerShell 命令来完成此操作：
Get-WinEvent -FilterHashtable @{LogName=”Security”;ID=4720} |选择 TimeCreated,@{n=”帐户创建者”;e={([xml]$_.ToXml()).Event.EventData.Data | ？ {$_.Name -eq“SubjectUserName”} |%{$_.'#text'}}},@{n=”用户帐户”;e={([xml]$_.ToXml()).Event .EventData.Data | ？ {$_.Name -eq“SamAccountName”}| %{$_.'#text'}}}

添加“发送到电子邮件”选项

让我们在报告中获取所需的信息并将其发送到电子邮件。为此，我们需要使用此脚本。

测试脚本

使用 .ps1 扩展名保存此脚本并将文件拖到 PowerShell 控制台进行测试。之后，您的邮箱中将会收到一条消息。 （如果脚本不起作用，您可能需要先运行此命令：Set-ExecutionPolicy Unrestricted，然后输入 Y）。

检查发件人信息

伟大的！你收到消息了！但要注意发件人，它应该是一个非常受限制的帐户，因为它的密码在脚本中没有加密。

任务计划程序中的触发器设置

现在我们需要在每次创建帐户后触发此脚本，任务计划程序将帮助我们完成此任务。打开任务计划程序，创建新计划，为其命名并转到触发器选项卡。让我们使用以下选项创建一个触发器：
A。在事件上开始任务
b.日志 - 安全
C。来源 - 空白
d.事件ID - 4720

任务计划程序中的操作设置

转到“操作”选项卡。让我们使用以下参数创建一个操作：
A。操作 - 启动程序
b.程序脚本：PowerShell
C。添加参数（可选）：-File“脚本的文件路径”

最后一步

创建一个测试 AD 帐户并查看脚本的执行情况。

完毕！现在，当您的域中创建用户时，您将在几秒钟内收到有关该情况的报告。

正如您所看到的，这对于 Active Directory 审核来说并不是一个简单且灵活的解决方案。现在让我们将其与 Netwrix Auditor 中的相同操作进行比较。

用于 Active Directory 安装的 Netwrix Auditor

在此下载免费试用版。 请遵循这些安装说明。

用于 Active Directory 配置的 Netwrix Auditor

运行 Netwrix Auditor，单击“Active Directory”图块。

点击“下一步”。

输入您要审核的域名。指定具有域管理员权限的帐户进行数据收集。

检查 SQL Server 设置，如果一切正确 - 单击“下一步”，否则转到“设置”>“报告”并在那里设置 SQL Server。

启用状态及时报告并单击“下一步”。

启用轻量级代理并单击“下一步”。

选择 Active Directory 作为审核系统，然后单击“下一步”。

添加将接收 Netwrix Auditor 报告的电子邮件地址。

根据您的需求配置实时警报。

点击“完成”。

数据收集启动

运行 Netwrix Auditor，展开“托管对象”> 单击您的域名 > 单击“运行”按钮。

新用户帐户报告

运行 Netwrix Auditor > 托管对象 > Your.domain.name > Active Directory > 报告 > AD 更改跟踪 > 用户帐户 > “新用户帐户”报告。

指定报告的期间，然后单击“查看报告”按钮

您可以订阅每天通过电子邮件接收此报告。

因此，我们使用 Netwrix Auditor for Active Directory 解决方案执行与上面 PowerShell 脚本中完全相同的操作。正如您所看到的，它使用起来更简单、信息更丰富且方便。另外，它还有许多其他非常有用的报告和实时警报。