c# - PowerShellでWindows API AuditEnumerateCategories関数を使用するには?

Question

PowerShell を使用して、現在の高度なセキュリティ監査ポリシーを取得したいと考えています。を使用できますauditpol.exeが、その出力は OS 言語ごとに異なるため、解析が困難です。

設定は、のREG_NONE 値に格納されますHKEY_Local_Machine\Security\Policy\PolAdtEv。その非公式の構造テーブルを使用して、値を解析しようとすることができました。ただし、私が好むアプローチは、.NET の Windows API 関数を使用することAuditQuerySystemPolicyですadvapi32.dll。

この記事の大きな助けを借りて、次のように PowerShell で Type を作成しました。

$MemberDefinition = @'
[DllImport("advapi32.dll", SetLastError = true)]
    public static extern bool AuditEnumerateCategories(
        out IntPtr ppAuditCategoriesArray, 
        out uint pCountReturned);

[DllImport("advapi32.dll", SetLastError = true)]
    public static extern bool AuditLookupCategoryName(
        ref Guid pAuditCategoryGuid, 
        out StringBuilder ppszCategoryName);

[DllImport("advapi32.dll", SetLastError = true)]
    private static extern bool AuditEnumerateSubCategories(
        ref Guid pAuditCategoryGuid, 
        bool bRetrieveAllSubCategories, 
        out IntPtr ppAuditSubCategoriesArray, 
        out uint pCountReturned);

[DllImport("advapi32.dll", SetLastError = true)]
    public static extern bool AuditLookupSubCategoryName(
        ref Guid pAuditSubCategoryGuid, 
        out StringBuilder ppszSubCategoryName);

[DllImport("advapi32.dll")]
    public static extern void AuditFree(
        IntPtr buffer);

[DllImport("advapi32.dll", SetLastError = true)]
    public static extern bool AuditQuerySystemPolicy(
        Guid pSubCategoryGuids, 
        uint PolicyCount, 
        out IntPtr ppAuditPolicy);
'@

$Advapi32 = Add-Type -MemberDefinition $MemberDefinition -Name 'Advapi32' -Namespace 'Win32' -UsingNamespace System.Text -PassThru

タイプは正常に作成されましたが、すべての監査カテゴリの GUID を取得する最初のステップで失敗しました。さまざまなタイプの問題があります。私は例えば

$guid = [Guid].MakeByRefType()
$count = [IntPtr]::Zero
[Win32.Advapi32]::AuditEnumerateCategories([ref]$guid, [ref]$count)
# Exception calling "AuditEnumerateCategories" with 2 Arguments: "The value "System.Guid&" of the type "System.RuntimeType" cannot be coverted to "System.IntPtr".

AuditEnumerateCategoriesまた、定義出力を からIntPtrに変更しようとしましたGuid。の出力ppAuditCategoriesArrayは

GUID 構造体へのポインターの配列と構造体自体の両方を含む単一のバッファーへのポインター。

残念ながら、PowerShell でそれを処理する方法がわかりません。