イベントID 4724（パスワードのリセットが試行された）の見方
イベントID 4724 は、あるアカウントが、別のアカウントのパスワードをリセットしようとするたびに記録されます。ドメインのアカウントで、新しいパスワードがポリシーを満たさないときは失敗のイベントが出ます。公式資料では、パスワードのリセット中にアクセスが拒否された場合は、失敗イベントが記録されないとされています。コンピューターアカウントのリセットでも記録されます。
どこで確認するか
イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4724 を絞り込みます。
見る項目
- Subject の Account Name：操作を行ったアカウント（実行者）
- 発生時刻：作業の予定や申請と合っているか
確認の流れ
- リセットした人が、本来その権限のある管理者・ヘルプデスクか確認する。
- 対象のアカウントが、問い合わせや申請と対応しているか確認する。
- 心当たりがない場合は、直前のサインイン（4624）と特権の割り当て（4672）を調べる。
PowerShell で絞り込む
直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4724; StartTime = (Get-Date).AddDays(-1) } |
Select-Object TimeCreated, Id, Messageセキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。
よくある質問
4723 との違いは？
4723 は本人が自分のパスワードを変更しようとしたとき、4724 は他のアカウントのパスワードをリセットしようとしたときです。
あわせて読みたい
- 4723ユーザー本人がパスワードを変更しようとするたびに記録される。失敗の理由はポリシーへの不適合や旧パスワードの誤り。
- 4672管理者相当の権限を持つアカウントがサインインしたときに記録される。通常の管理作業でも出る。
- 4767ロックされたユーザーアカウントが解除されるたびに記録される。ロックアウト（4740）とセットで見る。
出典・参考
- 4724(S, F) An attempt was made to reset an account's password（Microsoft Learn）
- Get-WinEvent（Microsoft Learn）
社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。
確認日: 2026-10-28 掲載内容について