查询指定时间内审核失败的事件日志，必须要加namespace，否则无返回

$s = get-date "3/30/2016 13:54:03"$e = get-date "3/30/2016 13:55:03"$stime = [System.Management.ManagementDateTimeConverter]::ToDmtfDateTime($s)$etime = [System.Management.ManagementDateTimeConverter]::ToDmtfDateTime($e)Get-CimInstance Win32_NTLogEvent -namespace "root\cimv2" -filter "logfile='security' and type='审核失败' and TimeGenerated>='$stime' and TimeGenerated<='$etime'"

 

如果使用gwmi，时间格式还需要再次转换，无法直接使用。

Get-CimInstance需要PS3.0的支持。