イベントID 4634（アカウントがログオフした）と 4647 の違い

イベントID 4634 は、ログオンセッションが終了し、もう存在しないことを示します。公式資料では、4647 は「特定のアカウントがログオフの操作を始めた」ときに出るのに対し、4634 は「セッションが終了した」ことを示す点が違いだとされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4634 を絞り込みます。

4634 と 4647 の違い

• 4647：ユーザーが標準的な方法でログオフの操作を始めたときに出る。対話型（種類2）やリモートデスクトップ（種類10）のログオンでよく見られる。
• 4634：セッションが終了して、存在しなくなったときに出る。
• 対話型・リモートデスクトップのログオフでは、通常、両方が出る。

調査での使い方

• 4624（ログオン成功）と、同じ Logon ID で 4634 を対応づけると、そのセッションの開始から終了までの時間が分かる。
• 4634 が出ずに残っているセッションがあるときは、サインインしたままの端末がないか確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4634,4647; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4624ログオンセッションが作られた記録。「ログオンの種類」で、どの方法でサインインしたかが分かる。
• 4625アカウントのログオンに失敗した記録。失敗の理由は「状態」「サブ状態」のコードで分かる。

出典・参考

• 4634(S) An account was logged off（Microsoft Learn）
• 4647(S) User initiated logoff（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について