イベントID 4662（オブジェクトに対して操作が実行された）の見方

イベントID 4662 は、Active Directory のオブジェクトに対して操作が行われるたびに記録されます。記録されるのは、オブジェクトに適切な SACL が設定され、行われた操作がその SACL に合う場合だけです。操作が失敗した場合は失敗イベントが記録されます。実行された操作の種類ごとに、1件ずつ記録されます。

どこで確認するか

ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4662 を絞り込みます。必要なサーバーの役割は Active Directory ドメインコントローラーです。サブカテゴリは「ディレクトリサービスアクセスの監査」（Audit Directory Service Access）です。

見る項目

Subject の Account Name：操作を要求したアカウント（実行者）
Object の Object Type：アクセスされたオブジェクトの種類（クラス）。container・user・group・domainDNS・groupPolicyContainer など
Object の Object Name：アクセスされたオブジェクトの識別名
Operation の Accesses・Access Mask：使われたアクセスの種類。Write Property（0x20）、Control Access（0x100）、DELETE（0x10000）、WRITE_DAC（0x40000）、WRITE_OWNER（0x80000）など
Operation の Properties：操作の対象になった Active Directory のクラスやプロパティセットの GUID（スキーマの schemaIDGUID を検索して名前に直す）

公式資料が挙げる監視の考え方

特定のクラスへの操作を見たい場合は、Object Type が特定のクラス名のものを監視する（例：domainDNS クラスへの操作すべて）。
特定のオブジェクトを見たい場合は、Object Name で監視する（例：AdminSDHolder オブジェクト）。
Write Property・Control Access・DELETE・WRITE_DAC・WRITE_OWNER は、特に重要なアクセスの種類として挙げられている。
失敗した操作の記録も重要。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4662; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

4662 が出ません。なぜですか？

対象のオブジェクトに SACL が設定されていて、行われた操作がその SACL に合う場合だけ記録されます。サブカテゴリ「ディレクトリサービスアクセスの監査」と、オブジェクトの SACL の両方を確認します。

Properties の GUID は、どうやって名前に直しますか？

公式資料では、LDP.exe で、スキーマ（CN=Schema,CN=Configuration,…）を、schemaIDGUID の条件で検索する方法が示されています。検索する前に、GUID の最初の3つの区切りを、バイトの並びを逆にして直す必要があります。プロパティセットの場合は、Microsoft の別の資料で、名前と Rights-GUID を確認できます。

属性の変更前後の値を知りたいのですが。

4662 には変更前後の値は含まれません。値の変更は 5136 で確認します。

出典・参考

社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。

確認日: 2026-10-30　掲載内容について