イベントID 4735（ローカルグループが変更された）とは

イベントID 4735 は、セキュリティが有効なローカルグループが変更されるたびに記録されます。ドメインコントローラー、メンバーサーバー、ワークステーションで記録されます。公式資料では、Active Directory ユーザーとコンピューターの「管理者」タブでの変更など、一部の変更では4735が出ないとされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4735 を絞り込みます。

見る項目

• Group：変更されたグループ
• Subject：変更した人
• Changed Attributes：変更された属性

注意

• メンバーの追加・削除そのものは、4732（追加）と 4733（削除）に記録される。
• グループの名前（SAM アカウント名）を変えると、4781（アカウント名の変更）も記録される。
• 4735 だけでは、何が変わったか分からないことがある。前後のイベントと合わせて読む。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4735; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4732セキュリティが有効なローカルグループにメンバーが追加されるたびに記録される。Administrators への追加は要確認。
• 4733セキュリティが有効なローカルグループからメンバーが外されるたびに記録される。権限の剥奪の確認に使う。

出典・参考

• 4735(S) A security-enabled local group was changed（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について