イベントID 4902（ユーザーごとの監査ポリシーテーブルが作成された）の見方

イベントID 4902 は、ユーザーごとの監査ポリシー（Per-user audit policy）が定義されているコンピューターで、システムの起動時に記録されます。公式資料では、通常は情報的な記録で、セキュリティ上の意味はほとんどないとされています。

どこで確認するか

イベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4902 を絞り込みます。必要なサーバーの役割はありません。サブカテゴリは「監査ポリシーの変更」（Audit Policy Change）です。

見る項目

• Number of Elements：ユーザーごとのポリシーが定義されているユーザーの数（重複なし）。一覧は auditpol /list /user コマンドで確認できる
• Policy ID：ユーザーごとの監査ポリシーを識別する16進数のID

公式資料が挙げる監視の考え方

• 特定のコンピューターで、ユーザーごとの監査ポリシーが有効になっているはずがない場合は、このイベントを監視する。
• ネットワーク内でユーザーごとの監査ポリシーを使っていない場合も、このイベントを監視する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4902; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4719コンピューターの監査ポリシーが変わったときの記録。常に記録される。ログを残さない設定への変更に注意。
• 4672管理者相当の権限を持つアカウントがサインインしたときに記録される。通常の管理作業でも出る。

出典・参考

• 4902(S) The Per-user audit policy table was created（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-31　掲載内容について