イベントID 4725（ユーザーアカウントが無効化された）の見方

イベントID 4725 は、ユーザーまたはコンピューターのオブジェクトが無効にされるたびに記録されます。ユーザーアカウントの場合は、ドメインコントローラー、メンバーサーバー、ワークステーションで記録され、コンピューターアカウントの場合は、ドメインコントローラーだけで記録されます。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4725 を絞り込みます。ドメインのアカウントはドメインコントローラー、ローカルアカウントは、そのPCに記録されます。

見る項目

• Subject の Account Name：無効にした人（実行者）
• Target Account の Account Name：無効にされたアカウント

使い方

• 退職・異動の対応の確認：対象者のアカウントが、手順どおりの日に無効になっているかを確認する。
• 心当たりのない無効化：実行者が、本来その権限のある管理者か確認する。
• 削除の記録（4726）と合わせて、アカウントの終了の流れをたどる。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4725; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4726ユーザーオブジェクトが削除されるたびに記録される。誰が削除したかを確認する。
• 4720新しいユーザーアカウントが作られるたびに記録される。作成者と作成されたアカウントを確認する。

出典・参考

• 4725(S) A user account was disabled（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について