Как отформатировать XPath для задания по расписанию на событие?

Question

Я написал скрипт, который хочу запускать каждый раз, когда пользователю предоставляются права администратора домена.Я не могу вызвать это через средство просмотра событий, так как наш контроллер домена работает на Server Core, а опция «Присоединить задачу к этому событию» недоступна, когда вы подключаетесь к средству просмотра событий удаленно.Пытаясь использовать SCHTASKS, я ввожу следующее:

SCHTASKS /Create /TN "Event Monitor" /TR $command /SC ONEVENT /RL Highest /RU $cred.Username /RP $password /EC ScriptEvents /MO *[System/EventID=4728]

Я получаю ошибку The specified channel could not be found.Я не могу понять, что мне нужно ввести, чтобы XPath правильно запускался.Может ли кто-нибудь помочь?Вот содержание мероприятия:

 <System>
  <Provider Name="Microsoft-Windows-Security-Auditing" Guid="{54849625-54784994-a5ba-3e3b0328c30d}" /> 
  <EventID>4728</EventID> 
  <Version>0</Version> 
  <Level>0</Level> 
  <Task>13826</Task> 
  <Opcode>0</Opcode> 
  <Keywords>0x8020000000000000</Keywords> 
  <TimeCreated SystemTime="2019-05-24T12:11:54.847043800Z" /> 
  <EventRecordID>1050228</EventRecordID> 
  <Correlation /> 
  <Execution ProcessID="552" ThreadID="1580" /> 
  <Channel>Security</Channel>

Answer 1

Для тех, кто смотрит в будущее, проблема заключалась как в форматировании ключа / MO, так и в ключе / EC. Вот как я это решил:

SCHTASKS /Create /TN "Event Monitor" /TR $command /SC ONEVENT /RL Highest /RU $cred.Username /RP $password /EC Security /MO "*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and EventID=4728]]"