Function Get-ADEvent {
  [CmdletBinding()]

  Param(
    # массив с идентификаторами для проверки событий
    [array]$EventID = @(4732),
    # поиск логов от указанной даты
    [datetime]$BeginTime,
    # тип события, которые мы ищем Удача/Провал
    [ValidateSet("Success","Failure")]
    [array]$EventType,
    # IP/DNS имя удаленного компьютера
    [string]$ComputerName
  )

  Process {

    # составляем массив для поиска
    $log_table = @{
      LogName='Security';
      ProviderName='Microsoft-Windows-Security-Auditing';
      ID=$EventID;
    }
    # ниже проверяем какие параметры переданы пользователем
    # и добавляем их в массив

    # пользователь указал дату
    if ($BeginTime){
        $log_table += @{StartTime=$BeginTime}
    }
    # пользователю нужен только успех/провал
    if ($EventType -eq 'Success'){
        $log_table += @{Keywords=9007199254740992}
    }
    elseif ($EventType -eq 'Failure') {
        $log_table += @{Keywords=4503599627370496}
    }

    $parameters = @{
        FilterHashtable=$log_table
    }
    # если пользователь указал удаленный компьютер
    if ($ComputerName){
        $parameters += @{ComputerName=$ComputerName}
    }
    # передаем все параметры в команду
    $events = Get-WinEvent @parameters

    # массив, который вернем пользователю
    # со всеми событиями
    $formatted_events = @()

    foreach ($event in $events){
      # проверяем каждое событие
      # и устанавливаем для него свое описание
      Switch ($event.ID) {
        4732 {
          $Description = "Добавлен новый пользователь"
          Break
        }
        Default {
          # если его идентификатор не найден
          $Description = $event.Message
          Break
        }
      }
      # определяем тип события
      if ($event.KeywordsDisplayNames -like '*Success*'){$type = 'Успех'}
      else {$type = 'Провал'}

    # преобразовываем сид в буквенное обозначение
   function Sid-Convert {

    [CmdletBinding()]
    param (
        [string]$eventsid
    )

    $sid = $eventsid;
    $objSID = New-Object -TypeName System.Security.Principal.SecurityIdentifier -ArgumentList $sid;
    $sidname = $objSID.Translate([System.Security.Principal.NTAccount]).Value;
    Write-Output $sidname

}

    # создаем массив текущего события
    # и добавляем его к остальным найденным
      $formatted_events += [PSCustomObject]@{
        "Дата создания"    = (Get-Date $event.TimeCreated -Format "dd-MM-yyyy HH:mm");
        "ID"               = $event.ID;
        "Описание"         = $Description;
        "Тип"              = $type;
        "Цель (имя)"       = Sid-Convert -eventsid $event.Properties[1].Value;
        "Кем (имя)"        = Sid-Convert -eventsid $event.Properties[4].Value;
        "Кем (компьютер)"  = Sid-Convert -eventsid $event.Properties[5].Value;
        "Цель (SID)"       = $event.Properties[2].Value;
        "Кем (SID)"        = $event.Properties[3].Value;
        }
      }
    # возвращаем составленный массив пользователю
    return $formatted_events | ft
  }
}