イベントID 4732（ローカルグループにメンバーが追加された）の見方

イベントID 4732 は、セキュリティが有効なローカルグループに、新しいメンバーが追加されるたびに記録されます。ドメインコントローラー、メンバーサーバー、ワークステーションで記録され、追加されたメンバー1人ごとに、別のイベントが出ます。公式資料では、4732 の前に、変更内容のない 4735（グループの変更）が出るのが普通とされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4732 を絞り込みます。

見る項目

• Member の Account Name / Security ID：追加されたメンバー
• Group の Group Name：追加先のグループ（例：Administrators）
• Subject：追加した人

確認の流れ

1. 追加先が Administrators などの強い権限のグループなら、特に注意して見る。
2. 追加した人と、追加されたアカウントが、申請・手順と合っているか確認する。
3. 同じ時刻の 4735（グループの変更）、4672（特権の割り当て）も合わせて見る。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4732; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4733セキュリティが有効なローカルグループからメンバーが外されるたびに記録される。権限の剥奪の確認に使う。
• 4735セキュリティが有効なローカルグループが変更されるたびに記録される。一部の変更では記録されない点に注意。
• 4672管理者相当の権限を持つアカウントがサインインしたときに記録される。通常の管理作業でも出る。

出典・参考

• 4732(S) A member was added to a security-enabled local group（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について