イベントID 5136（ディレクトリサービスのオブジェクトが変更された）の見方

イベントID 5136 は、Active Directory のオブジェクトが変更されるたびに記録されます。記録されるには、変更されたオブジェクトの SACL に、対象の属性の「書き込み」の監査設定が必要です。値を変更する操作では、通常1回の操作に対して、種類が「Value Deleted」と「Value Added」の2件が記録されます。「Value Deleted」には変更前の値、「Value Added」には変更後の値が入るのが一般的です。

どこで確認するか

ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 5136 を絞り込みます。必要なサーバーの役割は Active Directory ドメインコントローラーです。サブカテゴリは「ディレクトリ サービスの変更の監査」（Audit Directory Service Changes）です。

見る項目

• Subject の Account Name：変更を要求したアカウント（実行者）
• Object の DN：変更されたオブジェクトの識別名
• Object の Class：変更されたオブジェクトの種類（user・group・groupPolicyContainer など）
• Attribute の LDAP Display Name：変更された属性の名前
• Operation の Type：「Value Deleted」（変更前の値）か「Value Added」（変更後の値）か
• Operation の Correlation ID：同じ操作で起きた変更をひもづける値

確認の流れ

1. Attribute の LDAP Display Name で、何の属性が変わったかを確認する。
2. 同じ Correlation ID の 5136 を探し、「Value Deleted」の値と「Value Added」の値を見比べて、変更前と変更後を確認する。
3. Subject の Account Name が、本来その変更をする権限のある管理者か確認する。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 5136; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 5137Active Directory にオブジェクトが作成されるたびに記録される。作成された場所（親）の SACL 設定が必要。
• 5141Active Directory のオブジェクトが削除されるたびに記録される。「Tree Delete」でサブツリーごとの削除かが分かる。
• 4725ユーザーまたはコンピューターのオブジェクトが無効になるたびに記録される。退職者対応の確認にも使える。

出典・参考

• 5136(S) A directory service object was modified（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について