イベントID 4723（パスワードの変更が試行された）の見方

イベントID 4723 は、ユーザーが自分のパスワードを変更しようとするたびに記録されます。ドメインコントローラー、メンバーサーバー、ワークステーションで記録されます。公式資料では、ドメインアカウントでは新しいパスワードがパスワードポリシーを満たさないとき、ローカルアカウントではポリシーを満たさないか、旧パスワードが間違っているときに、失敗のイベントが出るとされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4723 を絞り込みます。

見る項目

• Subject：操作した人
• Target Account：パスワードを変更しようとしたアカウント
• 成功か失敗か（監査の成功／失敗）

関連するイベント

• 旧パスワードが間違っていたドメインアカウントの場合、ドメインコントローラーに 4771（Kerberos 事前認証の失敗）または 4776 が記録される。
• 他のアカウントのパスワードを管理者がリセットした場合は 4724 になる。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4723; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4724他のアカウントのパスワードを、別のアカウントがリセットしようとしたときの記録。管理者の操作の確認に使う。
• 4771KDCがTGTを発行できなかったときの記録。パスワード誤り・期限切れ・証明書の問題などが原因。
• 4776ドメインコントローラーがNTLM認証の資格情報を検証した記録。エラーコードが 0x0 以外なら失敗。

出典・参考

• 4723(S, F) An attempt was made to change an account's password（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について