イベントID 4767（ユーザーアカウントのロックが解除された）の見方

イベントID 4767 は、ユーザーアカウントのロックが解除されるたびに記録されます。ドメインコントローラー、メンバーサーバー、ワークステーションで記録されます。ロックアウトの記録である 4740 と、同じアカウントで時刻を並べて見ると、ロックから解除までの流れが分かります。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4767 を絞り込みます。

見る項目

• Subject の Account Name：操作を行ったアカウント（実行者）
• 発生時刻：作業の予定や申請と合っているか

使い方

• ロックの頻度を知る：同じアカウントで 4740 と 4767 が繰り返されるなら、古い資格情報を使う端末・アプリがないか探す。
• 解除した人の確認：ヘルプデスクの対応記録と、解除した人・時刻が合っているか見る。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4767; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4740ユーザーアカウントがロックされた記録。「呼び出し元コンピューター名」でロックの原因元を探す。
• 4625アカウントのログオンに失敗した記録。失敗の理由は「状態」「サブ状態」のコードで分かる。
• 4724他のアカウントのパスワードを、別のアカウントがリセットしようとしたときの記録。管理者の操作の確認に使う。

出典・参考

• 4767(S) A user account was unlocked（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について