Аудит Active Directory средствами Powershell с оповещением об изменениях. Часть 1

Очень Классно!
И интересно!
завтра будет день для фантазий и воплощения!

Я хотел бы посоветовать использовать строки с одинарными кавычками ('string') вместо двойных, особенно для таких строк как пароли. Причина — строки в двойных кавычках («string») «расширяются» Powershell: если в строке есть символ $ (а в пароле этот символ — обычное явление), то powershell будет интерпретировать дальнейшие цифро-буквенные символы как название переменной, и подставит ее значение (а если такой переменной нет, то подставит пустую строку).

Вообще, в Powershell всегда используйте одинарные кавычки, кроме случаев когда вы действительно хотите «расширить» строку. Это сэкономит время на чтении вашего скрипта: нет необходимости внимательно вчитываться в каждую констнантную строку чтобы понять возможно ли там расширение.

Пример:

$a= 5
$ab= 10

Write-Host '$a$ab'
Write-Host "$a$ab"
Write-Host "$a$abc"

Вывод на консоль:

$a$ab // no string expansion, taken literally
510 // both expressions expanded to existing variables
5    // second one expanded to $null 

Я не совсем понял, зачем держать пароль в открытом виде, если вы его все равно потом конвертируете в защищенную строку? Я в таких случаях заранее сохраняю защищенный пароль в текстовый файл (который потом еще и шифрую, что бы не утащили) и использую его когда надо. Вот здесь описано как это сделать.

Кстати, относительно недавно я писал статейку практически с таким же методом отслеживания создания новых учеток пользователей (вместе Get-WinEvent я юзал Get-EventLog). У меня вся информация уходила в текстовый файл, который я периодически просматривал. С почтой, конечно, по красивее.

Set-ExecutionPolicy Unrestricted

Nooooo! Whyyyyyy? (падая на колени и потрясая кулаками в сторону небес)
Использование политики Unrestricted есть бутылочное горлышко в безопасности, я запрещаю это всем и вся. Куда лучше на корпоративном УЦ выдать ключ и сертификат для подписи скриптов, и свои скрипты этим хозяйством подписывать.
А по теме — можно гонять подписки в eventvwr.msc на своей машине: это кошерно, православно и можно пользоваться в Рамадан:

в общем у меня только приходит письмо

«Добавлен новый компьютер в домен „

и дальше пусто =(
что Я делаю не так =(
p.s пока я в PS чайник =)

Спасибо за критику. Принял к сведению.
Вообще статью написал давно, не прошла модерацию, вчера вспомнил, перепостил.
Честно говоря поленился дописывать…
По факту сейчас у мменя отрабатывает следующим образом скрипт (немного добавлен функционал):
1. Отправка инфорацмии на почту
2. Отправка информации о критчных событиях в Jabber-сервис (для тех у кого в сети поднят XMPP-сервис) — дает оперативность получения информации.
3. Пишет в текстовый файл инормацию. В частности сделан скрипт который отслеживает критически важные папки общего пользования, и пишет логи о доступе пользователей к файлам, а так же об удалении файлов.

Если интересно могу выложить код…
Вообще в павершеле я новичек… поэтому на многие камни придется понаступать не раз:) Интересно было замечание по поводу ковычек и про скрытие пароля.
Вообще скрипт позиционирует себя как «скопировал-вставил и все работает» :)

По поводу сборки логов со всех контроллеров… возможно, но кидать целый лог со всех контроллеров на один сервер затратнее, чем кидать с каждого контроллера уже отформатированные данные.
А для сбора логов существуют другие продукты, о них раскажу позже… как раз недавно развернул…

Спасибо, интересная идея — запишу себе в фичи мониторинга, который хочу на шарпе написать :)

а в оффлайн режиме покопаться в событиях можно с помощью LogParser, у него есть соответсвующий тип источника

PS D:\PowerShell> D:\PowerShell\ADD_pc_to_AD-2.ps1
Get-WinEvent: Could not retrieve information about the Security log. Error: Attempted to perform an unauthorized operation…
At D:\PowerShell\ADD_pc_to_AD-2.ps1:13 char:19
+ $Body=Get-WinEvent <<<< -FilterHashtable @{LogName=”Security”;ID=4743} | Select TimeCreated,@{n=”Оператор”;e={([xml]$_.ToXml()).Event.EventData.Data |? {$_.Name -eq “Subject
UserName”} |%{$_.’#text’}}},@{n=”Имя компьютера”;e={([xml]$_.ToXml()).Event.EventData.Data |? {$_.Name -eq “SamAccountName”}| %{$_.’#text’}}} | select-object -first 1
+ CategoryInfo: NotSpecified: (:) [Get-WinEvent], Exception
+ FullyQualifiedErrorId: LogInfoUnavailable,Microsoft.PowerShell.Commands.GetWinEventCommand

Get-WinEvent: There is not an event log on the localhost computer that matches «Security».
At D:\PowerShell\ADD_pc_to_AD-2.ps1:13 char:19
+ $Body=Get-WinEvent <<<< -FilterHashtable @{LogName=”Security”;ID=4743} | Select TimeCreated,@{n=”Оператор”;e={([xml]$_.ToXml()).Event.EventData.Data |? {$_.Name -eq “Subject
UserName”} |%{$_.’#text’}}},@{n=”Имя компьютера”;e={([xml]$_.ToXml()).Event.EventData.Data |? {$_.Name -eq “SamAccountName”}| %{$_.’#text’}}} | select-object -first 1
+ CategoryInfo: ObjectNotFound: (Security:String) [Get-WinEvent], Exception
+ FullyQualifiedErrorId: NoMatchingLogsFound,Microsoft.PowerShell.Commands.GetWinEventCommand

Get-WinEvent: The parameter is incorrect
At D:\PowerShell\ADD_pc_to_AD-2.ps1:13 char:19
+ $Body=Get-WinEvent <<<< -FilterHashtable @{LogName=”Security”;ID=4743} | Select TimeCreated,@{n=”Оператор”;e={([xml]$_.ToXml()).Event.EventData.Data |? {$_.Name -eq “Subject
UserName”} |%{$_.’#text’}}},@{n=”Имя компьютера”;e={([xml]$_.ToXml()).Event.EventData.Data |? {$_.Name -eq “SamAccountName”}| %{$_.’#text’}}} | select-object -first 1
+ CategoryInfo: NotSpecified: (:) [Get-WinEvent], EventLogException
+ FullyQualifiedErrorId: System.Diagnostics.Eventing.Reader.EventLogException,Microsoft.PowerShell.Commands.GetWinEventCommand

ЧЯДНТ?

Attempted to perform an unauthorized operation на мой взгляд намекает на проблему с правами.
There is not an event log on the localhost computer that matches «Security» намекает, что лога Security нет на машине

Как-то очень мудрено Вы вытаскиваете информацию из события. В объекте события есть свойство Properties которое является массивом, содержащим все ключевые сведения события.
Чтобы не было в e-mail сообщении строк вида @{TimeCreated=08/23/2012 14:19:00; Оператор=Admin; Имя компьютера=333222111$} необходимо в тексте сообщения указывать не объект, а перечислять отдельно его свойства, либо попробовать использовать ft или fl через конвеер.