Powershell - 谁更改了 Active Directory 中的用户密码

是否要了解如何使用 Powershell 筛选 Windows 事件日志，以查找谁更改了域上用户的密码？在本教程中，我们将向您展示如何查找谁更改了Active Directory上帐户的密码。

• Windows 2012 R2
• Windows 2016
• Windows 2019
• 视窗 2022
• Windows 10
• 视窗 11

设备列表

在这里，您可以找到用于创建本教程的设备列表。

设备列表

此链接还将显示用于创建本教程的软件列表。

教程 Powershell - 谁更改了 Active Directory 中的用户密码

在域控制器上，启动提升的 Powershell 命令行。

列出与更改用户密码相关的事件。

Copy to Clipboard

下面是命令输出。

Copy to Clipboard

显示与更改用户密码相关的事件内容。

Copy to Clipboard

下面是命令输出。

Copy to Clipboard

Message              : An attempt was made to reset an account's password.

Subject:
                        Security ID:            S-1-5-21-4215187987-3124207031-433979976-500
                        Account Name:           Administrator
                        Account Domain:         TECH
                        Logon ID:               0x17A3FB

Target Account:
                        Security ID:            S-1-5-21-4215187987-3124207031-433979976-1108
                        Account Name:           yamcha
                        Account Domain:         TECH
Id                   : 4724
Version              : 0
Qualifiers           :
Level                : 0
Task                 : 13824
Opcode               : 0
Keywords             : -9214364837600034816
RecordId             : 194374
ProviderName         : Microsoft-Windows-Security-Auditing
ProviderId           : 54849625-5478-4994-a5ba-3e3b0328c30d
LogName              : Security
ProcessId            : 832
ThreadId             : 3356
MachineName          : TECH-DC01.TECH.LOCAL
UserId               :
TimeCreated          : 8/11/2022 2:34:57 AM
ActivityId           :
RelatedActivityId    :
ContainerLog         : Security
MatchedQueryIds      : {}
Bookmark             : System.Diagnostics.Eventing.Reader.EventBookmark
LevelDisplayName     : Information
OpcodeDisplayName    : Info
TaskDisplayName      : User Account Management
KeywordsDisplayNames : {Audit Success}
Properties           : {System.Diagnostics.Eventing.Reader.EventProperty, System.Diagnostics.Eventing.Reader.EventProperty, System.Diagnostics.Eventing.Reader.EventProperty, System.Diagnostics.Eventing.Reader.EventProperty...}

仅显示事件消息的内容。

Copy to Clipboard

下面是命令输出。

Copy to Clipboard

查找最近 30 天内谁更改了用户的密码。

Copy to Clipboard

搜索与特定时间间隔内用户密码更改相关的事件。

Copy to Clipboard

列出与特定用户帐户的密码更改相关的事件。

Copy to Clipboard

在我们的示例中，我们根据事件消息内容进行筛选。

此 Powershell 脚本筛选谁更改了用户密码。

Copy to Clipboard

下面是命令输出。

Copy to Clipboard

当用户更改自己的密码时，正确的事件 ID 是 4723。

祝贺！您可以使用Powershell找到谁在Active Directory中更改了用户密码。

Powershell - 谁更改了 Active Directory 中的用户密码