イベントID 4801（ワークステーションのロックが解除された）の見方

イベントID 4801 は、ワークステーションのロックが解除されたときに記録されます。ロックされたときの 4800 と対になります。解除した人・時刻が、端末の使用者と合っているかを確認する手がかりになります。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4801 を絞り込みます。

見る項目

• Account Name：解除したアカウント
• 発生時刻

確認の流れ

• 共有端末や、離席しやすい環境では、4800 と 4801 の組で、使用者の動きを確認する。
• 同時刻の 4624（種類7）と合わせて、接続元などを確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4801; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4800画面がロックされたとき（4800）と解除されたとき（4801）の記録。離席や在席の時間の確認に使う。
• 4624ログオンセッションが作られた記録。「ログオンの種類」で、どの方法でサインインしたかが分かる。

出典・参考

• 4801(S) The workstation was unlocked（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について