イベントID 4770（Kerberosサービスチケットが更新された）の見方
イベントID 4770 は、Kerberosのサービスチケット（TGS）が更新されるたびに記録されます。ドメインコントローラーだけで記録されます。公式資料では、このイベントは通常、情報の記録が目的とされています。
どこで確認するか
ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4770 を絞り込みます。必要なサーバーの役割は Active Directory ドメインコントローラーです。サブカテゴリは「Kerberos サービス チケット操作の監査」（Audit Kerberos Service Ticket Operations）です。
見る項目
- Account Information の Account Name：チケットの更新を要求したアカウントのUPN。コンピューターアカウントは末尾が $（例：WIN81$@CONTOSO.LOCAL）。空の場合もある
- Service Information の Service Name：チケットが更新された先のアカウントやコンピューター名
- Network Information の Client Address・Client Port：更新の要求を受けたコンピューターのIPアドレスと、送信元ポート（ローカルの要求では 0）
- Ticket Options：チケットのフラグを16進数で表した値。更新の要求では Renew のビットが立つ
- Ticket Encryption Type：使われた暗号化の種類（例：0x12 は AES256-CTS-HMAC-SHA1-96、0x17 は RC4-HMAC）
PowerShell で絞り込む
直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4770; StartTime = (Get-Date).AddDays(-1) } |
Select-Object TimeCreated, Id, Messageセキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。
よくある質問
4770 は異常のサインですか？
公式資料では、このイベントは通常、情報の記録が目的とされています。特定のアカウントや送信元に注目したい場合は、Account Name や Client Address で絞り込みます。
4769 とは何が違いますか？
4769 はサービスチケットを要求されたときの記録で、4770 は、すでにあるサービスチケットの更新のときの記録です。
あわせて読みたい
- 4769ドメインコントローラーがKerberosのサービスチケット（TGS）の要求を受けるたびに記録される。失敗コード 0x20 は期限切れ。
- 4768ドメインコントローラーがKerberosのTGTを発行するたびに記録される。失敗時は Result Code が 0x0 以外。
- 4771KDCがTGTを発行できなかったときの記録。パスワード誤り・期限切れ・証明書の問題などが原因。
出典・参考
社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。
確認日: 2026-10-31 掲載内容について