powershell - 使用管道过滤后显示最后一个事件

Question

我正在尝试获取最后一个事件(在消息字段中具有某个事件 ID 和某个单词)。我使用的代码:

Get-WinEvent @{logname = 'security';id=4663} | ? {$_.Message -like "*WriteData (or AddFile)*"}

我的问题是它找到了多个事件，我只想获得最新的。
我知道我可以使用 -MaxEvents 1 (按日期排序后)但我需要将它放在管道之后(因为我想要 Message 过滤后的最新事件)。

知道我该怎么做吗？

提前致谢。

Answer 1

发现答案很简单 Select-Object .

我首先强制它按时间排序 Sort-Object TimeCreated -Descending然后通过管道将其发送到 Select-Object -First 1 .

整个事情看起来像这样:
Get-WinEvent @{logname = 'security';id=4663} | ? {$_.Message -like "*WriteData (or AddFile)*"} | Sort-Object TimeCreated -Descending | Select-Object -First 1