イベントID 4739（ドメインポリシーが変更された）の見方
イベントID 4739 は、ローカルコンピューターのセキュリティポリシーに、次のような変更があったときに記録されます。アカウントロックアウトのポリシーの設定の変更、パスワードポリシーの設定の変更、「ネットワーク セキュリティ: ログオン時間が過ぎたらユーザーを強制的にログオフさせる」ポリシーの変更、ドメインの機能レベルの変更などです（公式資料の記載）。
どこで確認するか
イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4739 を絞り込みます。
見る項目
- Subject の Account Name：操作を行ったアカウント（実行者）
- 発生時刻：作業の予定や申請と合っているか
確認の流れ
- 変更の内容（変更された項目と、新しい値）を確認する。
- 変更した人と時刻が、作業の予定と合っているか確認する。
- ロックアウトのしきい値が緩くなっているなど、セキュリティが弱くなる変更がないか確認する。
PowerShell で絞り込む
直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4739; StartTime = (Get-Date).AddDays(-1) } |
Select-Object TimeCreated, Id, Messageセキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。
よくある質問
グループポリシーの変更とは別のものですか？
このイベントは、ローカルのセキュリティポリシーやドメインのポリシーの変更の記録です。グループポリシー全般の変更の確認方法は、別の記録を使います。
あわせて読みたい
- 4719コンピューターの監査ポリシーが変わったときの記録。常に記録される。ログを残さない設定への変更に注意。
- 4740ユーザーアカウントがロックされた記録。「呼び出し元コンピューター名」でロックの原因元を探す。
出典・参考
社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。
確認日: 2026-10-28 掲載内容について