イベントID 4738（ユーザーアカウントが変更された）の見方

イベントID 4738 は、ユーザーオブジェクトが変更されるたびに記録されます。ドメインコントローラー、メンバーサーバー、ワークステーションで記録され、変更ごとに別のイベントが出ます。公式資料では、変更された属性がイベントに載らない種類のもの（たとえば、アクセス制御リストの変更）のとき、Changed Attributes がすべて - になることがあり、その場合は何が変わったか分からないとされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4738 を絞り込みます。

見る項目

• Subject：変更した人
• Target Account：変更されたアカウント
• Changed Attributes：変更された属性（- は変更なし、または記録されない変更）

読み方

• 変更の実行者と、対象のアカウントを確認し、申請や作業の記録と合わせる。
• Changed Attributes が全部 - のときは、このイベントだけでは内容が分からない。前後のイベントを合わせて確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4738; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4723ユーザー本人がパスワードを変更しようとするたびに記録される。失敗の理由はポリシーへの不適合や旧パスワードの誤り。
• 4724他のアカウントのパスワードを、別のアカウントがリセットしようとしたときの記録。管理者の操作の確認に使う。
• 4720新しいユーザーアカウントが作られるたびに記録される。作成者と作成されたアカウントを確認する。

出典・参考

• 4738(S) A user account was changed（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について