Как выделить определенные значения по дате?

Question

[20ivs]

Всех приветствую!
Есть некий скрипт, который из журналов сервера собирает определенные события.

$servername = "111.domain.com"
$username = "DOMAIN\user"
 
[xml]$equery = @"
<QueryList>
    <Query Id="0" Path="Microsoft-Windows-TerminalServices-Gateway/Operational">
    <Select Path="Microsoft-Windows-TerminalServices-Gateway/Operational">*[System[(EventID=303)]] and *[UserData[EventInfo[(Username='$username')]]]</Select>
    </Query>
</QueryList>
"@
Get-WinEvent -ComputerName $servername -FilterXML $equery |
   Select-Object TimeCreated, @{Name="SessionDuration";Expression={$_.Properties[6].Value}},
                              @{Name="User";Expression={$_.Properties[0].Value}},
                              @{Name="Source Network Address";Expression={$_.Properties[1].Value}},
                              @{Name="Resource";Expression={$_.Properties[3].Value}},MachineName | Out-GridView

Вопрос знатокам PowerShell - как отсортировать вывод по дате и сложить значения SessionDuration для выбранной даты?

Comments

[Andrew AT]

О! Почти такой же скрипт делал - продолжительность подключения пользователя к шлюзу RD.
А вы что, хотите просто сложить SessionDuration ? Там же на 1 соединение до 4-5 сессий может быть. При чем сессии накладываются друг на друга. Т.е. одна еще не закончилась по 303 событию, а начинается другая...

[20ivs]

Andrew AT, по моим наблюдениям сумма по 303 событию вполне соответствует действительности. и 4-5 сессий на одно соединения не вижу. кроме того, важен сам факт отключения, что, собственно, и передает нам событие 303. есть некоторое кол-во переподключений со значением 1-7 сек., которые можно было бы и не суммировать.
если вы решили данную задачу, то может поделитесь способом хотя бы в общих чертах?

[Andrew AT]

20ivs, странно... точно помню в доке сообщалось, что каждое соединение использует как минимум 2 сессии: на прием и передачу. Плюс, если все удачно, то поднимает еще по одной сессии в каждом направлении. И может, кроме HTTP еще и 1 сессию UDP поднять. Ссылка осталась на работе, так что пока подтвердить не могу...

Так если у вас по одной сессии - зачем вам мой способ ?! У меня-то сразу были видны накладывающиеся диапазоны сессий на 1 пользователя после выгрузки и сортировки в .csv

Способ простой - выборка по юзеру + сортировка по TimeStart = TimeCreated - SessionDuration, потом только окончания диапазонов проверяются на попадание в предыдущий диапазон и либо откидывается, либо суммируется.

Как-то так. Удачи!

[20ivs]

Andrew AT, ясно. в нашем случае только HTTP. в любом случае спасибо и успехов!

Answer 1

[MaxKozlov]

1. ... | Sort-Object -Property TimeCreated
2.

$date = [datetime]'2020-04-13';

... |
   Where-Object { $_.TimeCreated.Date -eq $date } |
   Measure-Object -Sum -Property SessionDuration

Ну и дальше по вкусу

Comments

[20ivs]

Браво, маэстро! Спасибо!