イベントID 4800 / 4801（ワークステーションのロックとロック解除）の見方

イベントID 4800 は、ワークステーションがロックされたときに、4801 は、ロックが解除されたときに記録されます。サインインの種類7（ロック画面の解除）の 4624 と合わせて見ると、端末の使われ方が分かります。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4800 を絞り込みます。 4801（ロック解除）も同じ手順です。

見る項目

• Account Name：ロック・解除したアカウント
• Session ID：セッションの識別
• 発生時刻

使い方

• 在席時間の確認：4801 から次の 4800 までを、使われていた時間とみなして確認する。
• 深夜・休日の解除：夜間や休日に 4801 が出ている場合は、誰がその端末を使ったか確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4800,4801; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4624ログオンセッションが作られた記録。「ログオンの種類」で、どの方法でサインインしたかが分かる。
• 4634ログオンセッションが終了して、もう存在しないことを示す記録。4647（ユーザーによるログオフの開始）との違いに注意。

出典・参考

• 4800(S) The workstation was locked（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について