イベントID 4742（コンピューター アカウントが変更された）の見方

イベントID 4742 は、コンピューターのオブジェクトが変更されるたびに記録されます。公式資料では、このイベントはドメインコントローラーでのみ生成され、変更ごとに別のイベントが生成されるとされています。

どこで確認するか

ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4742 を絞り込みます。必要なサーバーの役割は Active Directory ドメインコントローラーです。サブカテゴリは「コンピューター アカウント管理の監査」（Audit Computer Account Management）です。

見る項目

• Subject の Security ID・Account Name・Account Domain：コンピューターオブジェクトの変更を要求したアカウント
• Computer Account That Was Changed の Security ID・Account Name：変更されたコンピューターアカウント（例：WIN81$）
• Changed Attributes：変更された属性。変更されていない属性は - と表示される
• Old UAC Value・New UAC Value・User Account Control：userAccountControl の変更前後の値と、変更されたフラグ

公式資料に書かれている注意点

• コンピューターを参加させた後に再起動すると、Subject と変更されたアカウントの Security ID が同じ値になることがある。
• Changed Attributes がすべて - のイベントが出ることがある。これは、イベントに載らない属性が変更された場合などで、何が変更されたかは判断できない。DACL（随意アクセス制御リスト）が変更された場合も、すべて - になる。
• Active Directory ユーザーとコンピューターの「管理者」タブでの変更など、4742 が生成されない変更もある。
• コンピューターアカウントにユーザー向けの設定（例：userAccountControl の SMARTCARD_REQUIRED）を手動で変えると、アカウントの種類が NORMAL_USER_ACCOUNT になり、4742 ではなく 4738（ユーザー アカウントが変更された）が記録される。コンピューターオブジェクトにユーザー向けの設定を手動で変えることは避けるよう、公式資料は強く勧めている。

公式資料が挙げる監視の考え方

• "Trusted For Delegation"・"Trusted To Authenticate For Delegation" の有効／無効の変更は、承認された操作か、誤りか、悪意のある操作かを確かめるために監視することが勧められている。
• "Server Trust Account" はドメインコントローラーのみ有効であるべきで、ドメインコントローラーで無効になっていないかも監視する。
• Primary Group ID が 515・516・521 以外、SID History が - 以外の場合も監視する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4742; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4741ドメインにコンピューターのオブジェクトが新しく作られるたびに、ドメインコントローラーに記録される。
• 4738ユーザーオブジェクトが変更されるたびに記録される。変更内容が空（-）でも出ることがある。
• 4720新しいユーザーアカウントが作られるたびに記録される。作成者と作成されたアカウントを確認する。

出典・参考

• 4742(S) A computer account was changed（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-11-02　掲載内容について