イベントID 4741（コンピューターアカウントが作成された）の見方

イベントID 4741 は、コンピューターのオブジェクトが新しく作成されるたびに記録されます。公式資料では、このイベントはドメインコントローラーでのみ生成されるとされています。

どこで確認するか

ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4741 を絞り込みます。必要なサーバーの役割は Active Directory ドメインコントローラーです。サブカテゴリは「コンピューターアカウント管理の監査」（Audit Computer Account Management）です。

見る項目

Subject の Security ID・Account Name・Account Domain：コンピューターオブジェクトの作成を要求したアカウント
Subject の Logon ID：16進数の値。4624 など、同じ Logon ID を持つ近い時刻のイベントとの突き合わせに使える
New Computer Account の Security ID・Account Name：作成されたコンピューターアカウントのSIDと名前（例：WIN81$）
Attributes の SAM Account Name：作成されたオブジェクトの sAMAccountName の値
Primary Group ID：公式資料では、サーバー・ワークステーション（ドメインコンピューター）は 515、ドメインコントローラーは 516、読み取り専用ドメインコントローラー（RODC）は 521
Old UAC Value・New UAC Value：userAccountControl の変更前後の値
DNS Host Name・Service Principal Names：作成されたオブジェクトのDNSホスト名とSPN

公式資料が挙げる監視の考え方

コンピューターアカウントの作成を監視する方針がある場合は、このイベントを監視する。
SAM Account Name が空または - の場合は、異常の可能性がある（公式資料）。
Primary Group ID が 515 以外の場合、516 または 521 なら新しいドメインコントローラー／RODC なので監視する。それ以外の値は通常ではないので監視する。
Old UAC Value が 0x0 以外、SID History が - 以外、Account Expires が <never> 以外などの場合は、異常の可能性がある（公式資料）。
Password Last Set が <never> の場合は、手動で作成されたコンピューターアカウントの可能性がある（公式資料）。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4741; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

クライアントPCで4741は見られますか？

公式資料では、このイベントはドメインコントローラーでのみ生成されるとされています。クライアントPCのセキュリティログには記録されません。

ユーザーの作成は何で記録されますか？

ユーザーアカウントの作成は 4720 です。

出典・参考

社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。

確認日: 2026-11-02　掲載内容について

イベントID 4741（コンピューター アカウントが作成された）の見方