イベントID 4672（特別な特権が新しいログオンに割り当てられた）とは

イベントID 4672 は、新しいログオンに、一定の重要な特権が割り当てられたときに記録されます。管理者アカウントがサインインすると4624の直後に出るのが普通で、それ自体は異常ではありません。管理者でないアカウントに出ていたら確認します。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4672 を絞り込みます。

見る項目

• Subject の Account Name：特権が割り当てられたアカウント
• Privileges：割り当てられた特権の一覧

調べ方

• 同じ時刻の 4624 で、接続元と種類を見る。
• 管理者グループに入っていないはずのアカウントで出ている場合は、権限が付いた経緯を確認する。
• 4720（アカウント作成）や、グループ追加の記録と組み合わせて、権限の変更履歴をたどる。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4672; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4624ログオンセッションが作られた記録。「ログオンの種類」で、どの方法でサインインしたかが分かる。
• 4720新しいユーザーアカウントが作られるたびに記録される。作成者と作成されたアカウントを確認する。

出典・参考

• 4672(S) Special privileges assigned to new logon（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について