找出谁通过 Powershell 对文件进行了最后一次更改？

【问题标题】：Find out WHO made the last change to files by Powershell?找出谁通过 Powershell 对文件进行了最后一次更改？
【发布时间】：2015-04-07 13:13:39
【问题描述】：

我有一个共享的网络位置供所有用户保存文件。所有用户都可以完全访问此位置。

是否可以通过 Powershell 或任何其他方式找出谁对文件或文件夹进行了最后一次更改？

从 Powershell 获取所有这些日期和所有者信息没有问题，但似乎无法找出谁进行了最后的更改。

有什么想法吗？

【问题讨论】：

【解决方案1】：

对 NTFS 上的文件持有的唯一用户是所有者。没有关于谁最后修改文件的记录。

但是 Windows 可以审计文件系统操作。

请参阅http://support.microsoft.com/en-us/kb/310399（标题中显示为 Windows XP，但适用于更高版本）。这需要应用于托管文件系统的系统。

【讨论】：

这个审计功能会给系统带来额外的负担吗？消耗大量系统资源？
@RootLoop 显然有一些开销，但如果您不包括只读操作（即仅审核创建/修改/删除），那么它应该很小。但真正看到开销的唯一方法是尝试一下。如果服务器尚未超载，我希望不会有问题。还要记住，将系统事件日志的大小增加到足以容纳足够的历史记录。