イベントID 4726（ユーザーアカウントが削除された）の見方

イベントID 4726 は、ユーザーオブジェクトが削除されるたびに記録されます。ドメインコントローラー、メンバーサーバー、ワークステーションで記録されます。アカウントの削除は、元に戻すのが難しい操作のため、実行者と対象を確認します。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4726 を絞り込みます。ドメインのアカウントはドメインコントローラー、ローカルアカウントは、そのPCに記録されます。

見る項目

• Subject の Account Name：削除した人（実行者）
• Target Account の Account Name：削除されたアカウント

確認の流れ

1. 削除の申請や、退職者対応の手順と、日付・対象が合っているか確認する。
2. 心当たりがない場合は、実行者のアカウントの直前のサインイン（4624）と、特権の割り当て（4672）を確認する。
3. 誤って削除した場合の復旧の可否は、環境によって違う。削除前に、無効化（4725）で一定期間置く運用を検討する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4726; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4725ユーザーまたはコンピューターのオブジェクトが無効になるたびに記録される。退職者対応の確認にも使える。
• 4720新しいユーザーアカウントが作られるたびに記録される。作成者と作成されたアカウントを確認する。
• 1102セキュリティの監査ログが消去されたことを示す記録。誰が消したかを必ず確認する。

出典・参考

• 4726(S) A user account was deleted（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について