如何在PowerShell中获取凭据修改日期及Outlook相关凭据记录的修改时间

通用方法：获取任意凭据的修改日期 #

PowerShell没有原生cmdlet直接返回凭据的修改日期，但可以通过读取注册表获取——用户级凭据会存储在以下两个注册表路径中：

• HKCU:\Software\Microsoft\Credentials
• HKCU:\Software\Microsoft\Protected Storage System Provider

每个凭据对应唯一子项，子项的LastWriteTime属性就是该凭据的最后修改日期。要定位目标凭据，需匹配凭据的目标名称（即凭据管理器中显示的"Internet或网络地址"），步骤如下：

1. 遍历上述两个注册表路径的子项，读取子项的Target值（存储目标名称）
2. 匹配到目标凭据后，读取子项的LastWriteTime

以下是示例脚本，用于获取指定目标名称的凭据修改日期：

function Get-CredentialLastModified {
    param(
        [Parameter(Mandatory=$true)]
        [string]$TargetName
    )

    # 凭据存储的注册表路径
    $regPaths = @(
        "HKCU:\Software\Microsoft\Credentials",
        "HKCU:\Software\Microsoft\Protected Storage System Provider"
    )

    foreach ($path in $regPaths) {
        if (-not (Test-Path $path)) { continue }
        
        Get-ChildItem -Path $path | ForEach-Object {
            $regItem = $_
            $target = (Get-ItemProperty -Path $regItem.PSPath -Name Target -ErrorAction SilentlyContinue).Target
            
            if ($target -eq $TargetName) {
                [PSCustomObject]@{
                    TargetName = $TargetName
                    LastModified = $regItem.LastWriteTime
                    RegistryPath = $regItem.PSPath
                }
                return
            }
        }
    }
}

# 使用示例：替换为你的凭据目标名称
Get-CredentialLastModified -TargetName "MicrosoftOffice16_Data:SSPI:user@domain.com"

针对Outlook特定凭据的获取 #

对于你提到的MicrosoftOffice16_Data:SSPI:user@domain.com条目，直接调用上述脚本并传入该完整目标名称即可。如果需要批量获取所有Outlook相关的SSPI凭据，可修改脚本中的匹配逻辑为通配符匹配：

if ($target -like "MicrosoftOffice16_Data:SSPI:*") {
    [PSCustomObject]@{
        TargetName = $target
        LastModified = $regItem.LastWriteTime
        RegistryPath = $regItem.PSPath
    }
}

注意事项 #

• 部分凭据的Target值可能加密存储，此时需调用CryptUnprotectData API解密后匹配
• 脚本需要当前用户的注册表访问权限（默认已具备）

内容的提问来源于stack exchange，提问作者takeshisan