イベントID 5137（ディレクトリサービスのオブジェクトが作成された）の見方

イベントID 5137 は、Active Directory のオブジェクトが作成されるたびに記録されます。記録されるのは、親のオブジェクトの SACL に「Create（作成）」の監査設定（特定のクラスやオブジェクトが対象）がある場合だけです。例として、組織単位（OU）に対する「コンピューターオブジェクトの作成」の監査があります。

どこで確認するか

ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 5137 を絞り込みます。必要なサーバーの役割は Active Directory ドメインコントローラーです。サブカテゴリは「ディレクトリ サービスの変更の監査」（Audit Directory Service Changes）です。

見る項目

• Subject の Account Name：作成を要求したアカウント（実行者）
• Object の DN：作成されたオブジェクトの識別名
• Object の Class：作成されたオブジェクトの種類（user・computer・group・groupPolicyContainer など）
• Operation の Correlation ID：同じ操作で起きた他の変更（5136 や 5139 など）とひもづける値

使い方

• 公式資料は、新しい グループポリシーオブジェクト（groupPolicyContainer クラス）の作成を、すべて監視することを推奨しています。
• すべての種類のオブジェクトの作成を監査する理由はありません。重要な場所（組織単位など）を決め、特定のクラス（user・computer・group など）に絞って監視します。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 5137; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 5136Active Directory のオブジェクトの属性が変更されるたびに記録される。1回の変更で「削除」と「追加」の2件が並ぶ。
• 5141Active Directory のオブジェクトが削除されるたびに記録される。「Tree Delete」でサブツリーごとの削除かが分かる。
• 4720新しいユーザーアカウントが作られるたびに記録される。作成者と作成されたアカウントを確認する。

出典・参考

• 5137(S) A directory service object was created（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について