イベントID 4771（Kerberos事前認証に失敗）の原因と対処

イベントID 4771 は、キー配布センター（KDC）がKerberosのTGTを発行できなかったときに記録されます。公式資料では、ドメインコントローラーにスマートカード認証用の証明書がない、ユーザーのパスワードが期限切れ、間違ったパスワードが入力された、といった場合に起きるとされています。ドメインコントローラーだけで記録されます。

どこで確認するか

ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4771 を絞り込みます。

見る項目

• Account Information の Account Name：認証に失敗したアカウント
• Network Information の Client Address：要求の送信元
• Failure Code：失敗の理由のコード

対処の流れ

1. Account Name が、実在するユーザーか確認する。
2. 実在するユーザーなら、パスワードの期限切れや、古いパスワードを保存した端末・アプリがないか確認する。
3. Client Address が心当たりのない端末で、失敗が続く場合は、不正な試行の可能性がある。送信元を確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4771; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4768ドメインコントローラーがKerberosのTGTを発行するたびに記録される。失敗時は Result Code が 0x0 以外。
• 4625アカウントのログオンに失敗した記録。失敗の理由は「状態」「サブ状態」のコードで分かる。
• 4740ユーザーアカウントがロックされた記録。「呼び出し元コンピューター名」でロックの原因元を探す。

出典・参考

• 4771(F) Kerberos pre-authentication failed（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について