イベントID 4733（ローカルグループからメンバーが削除された）の見方

イベントID 4733 は、セキュリティが有効なローカルグループから、メンバーが削除されるたびに記録されます。ドメインコントローラー、メンバーサーバー、ワークステーションで記録され、削除されたメンバー1人ごとに、別のイベントが出ます。公式資料では、4733 の前に、変更内容のない 4735 が出るのが普通とされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4733 を絞り込みます。

見る項目

• Member：削除されたメンバー
• Group：削除元のグループ
• Subject：削除した人

使い方

• 退職・異動の権限整理の確認：管理者グループから、対象者が手順どおり外されているか見る。
• 心当たりのない削除：実行者が本来その権限のある人か確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4733; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4732セキュリティが有効なローカルグループにメンバーが追加されるたびに記録される。Administrators への追加は要確認。
• 4735セキュリティが有効なローカルグループが変更されるたびに記録される。一部の変更では記録されない点に注意。
• 4725ユーザーまたはコンピューターのオブジェクトが無効になるたびに記録される。退職者対応の確認にも使える。

出典・参考

• 4733(S) A member was removed from a security-enabled local group（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について