イベントID 4781（アカウント名が変更された）の見方

イベントID 4781 は、ユーザーまたはコンピューターのアカウント名（sAMAccountName 属性）が変更されるたびに記録されます。ユーザーアカウントの場合は、ドメインコントローラー、メンバーサーバー、ワークステーションで記録され、コンピューターアカウントの場合は、ドメインコントローラーだけで記録されます。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4781 を絞り込みます。

見る項目

Subject：変更した人
Target Account の Old Account Name / New Account Name：変更前と変更後の名前

使い方

結婚・異動などによる名前変更の確認：申請と、変更の内容が合っているか見る。
不審な変更：管理者アカウントの名前が、別の名前に変わっていないか確認する。ログの追跡で、名前が変わる前の記録を見逃さないようにする。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4781; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

名前が変わると、過去のログとの対応はどうなりますか？

ログには、その時点のアカウント名が残ります。同じ人のログを追うときは、名前だけでなく、アカウントのセキュリティID（SID）でも追います。

出典・参考

社内のログ監視や、アカウント管理の見直しでお困りなら、社内IT 自己診断で、抜け漏れを点検できます。

確認日: 2026-10-28　掲載内容について