用戶組更改事件

Question

有什麼方法可以知道用戶組成員列表何時更改？我試着使用WMI查詢，如：

SELECT * 
FROM __InstanceModificationEvent WITHIN 5 
WHERE TargetInstance ISA 'Win32_Group' 

但它不工作（該事件永遠不會觸發）。也許有一個Win32事件在用戶組成員更改時被解僱？

更新1

__InstanceOperationEvent也不起作用。當組策略應用並且用戶從本地機器上的用戶組添加/刪除以顯示此更改時，我需要獲取該事件。

Answer 1

看來哪個__InstanceModificationEvent事件不是在這個類中觸發的，但是您可以使用這些其他事件。

爲了檢測變化使用__InstanceOperationEvent事件，

Select * From __InstanceOperationEvent Within 1 Where TargetInstance ISA 'Win32_Group' 

爲了檢測一組的創建使用__InstanceCreationEvent事件，

Select * From __InstanceCreationEvent Within 1 Where TargetInstance ISA 'Win32_Group' 

爲了檢測一組缺失使用__InstanceDeletionEvent事件

Select * From __InstanceDeletionEvent Within 1 Where TargetInstance ISA 'Win32_Group' 

Answer 2

嘗試這個：

SELECT * FROM __InstanceOperationEvent WITHIN 1 WHERE TargetInstance ISA 'Win32_Group';