イベントID 4776（資格情報の検証）とエラーコードの見方

イベントID 4776 は、コンピューターがアカウントの資格情報を検証しようとするたびに記録されます。ドメインコントローラーでは、NTLM認証が使われたドメインアカウントの認証の試行がすべて見えます。Error Code が 0x0 以外のときは、検証に失敗しています。

どこで確認するか

ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4776 を絞り込みます。

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4776; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

Kerberos認証でも記録されますか？

このイベントはNTLM認証の検証の記録です。Kerberosの認証は別のイベントで記録されます。

社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。