イベントID 4720（ユーザーアカウントが作成された）の見方

イベントID 4720 は、新しいユーザーオブジェクトが作成されるたびに記録されます。ドメインコントローラー、メンバーサーバー、ワークステーションで生成されます。覚えのないアカウントが作られていないかを調べるときに使います。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4720 を絞り込みます。ドメインのアカウントはドメインコントローラー、ローカルアカウントは、そのPCに記録されます。

見る項目

• Subject の Account Name：アカウントを作った人（実行者）
• New Account の Account Name：作成されたアカウント
• Attributes：作成時に設定された属性

確認の流れ

1. 作成者が、本来アカウントを作る権限のある管理者か確認する。
2. 作成されたアカウントが、申請や入社手続きと対応しているか確認する。
3. 対応がない場合は、アカウントを無効化してよいか判断し、4672（特権の割り当て）も合わせて見る。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4720; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4672管理者相当の権限を持つアカウントがサインインしたときに記録される。通常の管理作業でも出る。
• 1102セキュリティの監査ログが消去されたことを示す記録。誰が消したかを必ず確認する。

出典・参考

• 4720(S) A user account was created（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について