イベントID 4768（Kerberos認証チケット TGT が要求された）の見方

イベントID 4768 は、キー配布センター（KDC）がKerberosのチケット許可チケット（TGT）を発行するたびに記録されます。ドメインコントローラーだけで記録されます。TGTの発行に失敗したときは、Result Code が 0x0 以外の失敗イベントとして出ます。

どこで確認するか

ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4768 を絞り込みます。

公式資料によると、Result Code が 0x10 と 0x18 のときは、4768 は出ない。代わりに 4771（Kerberos 事前認証の失敗） が記録される。
ユーザーのサインインが失敗する原因を調べるときは、4768 と 4771 を合わせて見る。

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4768; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

4768 と 4769 の違いは？

4768 はTGT（最初のチケット）の要求、4769 はサービスチケット（TGS）の要求です。

社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。