2012 R2

Ageron · Отправлено: **18:57, 27-04-2020** | #2

пффф, старая тема.. здесь

bigsmog88 · Отправлено: **09:48, 28-04-2020** | #3

Цитата Ageron:

пффф, старая тема..

Я видел, пытался применить указанные там скрипты. Но при запуске именно с брокера, скрипт не выдает никакой инфы, хотя в журнале безопасности есть события аудита за каждым пользователем. С данным скриптом надо его запускать на каждом терминальном сервере, а потом объединять в единый файл. Я не отказываюсь от того решения, но прошу помочь адаптировать когда терминальных серверов много.

bigsmog88 · Отправлено: **10:30, 28-04-2020** | #4

да и на win srv 2012r2 EN эти скрипты вообще ничего не выдают, просто тишина.

Ageron · Отправлено: **19:53, 28-04-2020** | #5

Цитата bigsmog88:

да и на win srv 2012r2 EN эти скрипты вообще ничего не выдают, просто тишина. »

в журнале есть события, которые этот скрипт вытягивает?
смотрели?

bigsmog88 · Отправлено: **15:43, 30-04-2020** | #6

разобрался почему тишина при запуске скрипта. Скрипт привязывается к интерфейсу, если на английской винде интерфейс выбран русский, то скрипт не отрабатывает.

но все равно это не то что мне надо, я написал такой скрипт

Get-WinEvent -logname "Microsoft-Windows-TerminalServices-SessionBroker/Operational" | ? {($.Id -eq "800" -OR $.Id -eq "801" )} | % {

New-Object psobject -Property @{

User = ([regex]"([^\s]+)\.").match($_.Message).Value -replace ".$"

TimeCreated = $_.TimeCreated
}
} | Sort-Object TimeCreated

данным скриптом я беру инфу с Брокера. Но на брокере нет событий о завершении сессии =(( получается надо еще и с терминалок опять же логи отдельно собирать?