c# – 如何监控Active Directory用户登录/注销？

我正在用C#编写一个简单的桌面应用程序,只要有人登录或注销Active Directory,它就会在文本框中显示一行文本.在 Windows Server 2008和Windows Server 2003下,它注定要和AD一样在同一台机器上运行.到目前为止,对于S2008来说,只要有事件(EventCode = 4624或EventCode =),我就设法由ManagementEventWatcher触发. 4634)被触发.

这是我目前使用的WMI查询：

SELECT * FROM __InstanceCreationEvent WITHIN 1 WHERE TargetInstance isa "Win32_NTLogEvent" AND (TargetInstance.EventCode = '4624' OR TargetInstance.EventCode = '4634')

然后我正在解析eventArgs.Properties [“TargetInstance”].Properties [“Message”]寻找客户端的用户和IP地址.

奇怪的是,即使用户注销,我仍然只能使用EventCode 4624获得一个事件.4634事件发生了什么？我如何获得注销？

(我也在寻找SU上的解决方案：How to get event info in application launched by Task Scheduler?)