イベントID 5141（ディレクトリサービスのオブジェクトが削除された）の見方

イベントID 5141 は、Active Directory のオブジェクトが削除されるたびに記録されます。記録されるのは、削除されたオブジェクトの SACL に「Delete（削除）」の監査設定がある場合だけです。「Tree Delete」が Yes なら「サブツリーの削除」操作が行われたことを、No ならそれを使わない削除であることを示します。

どこで確認するか

ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 5141 を絞り込みます。必要なサーバーの役割は Active Directory ドメインコントローラーです。サブカテゴリは「ディレクトリ サービスの変更の監査」（Audit Directory Service Changes）です。

見る項目

• Subject の Account Name：削除を要求したアカウント（実行者）
• Object の DN：削除されたオブジェクトの識別名
• Object の Class：削除されたオブジェクトの種類
• Operation の Tree Delete：Yes は「サブツリーの削除」を使った削除（例：Active Directory ユーザーとコンピューターで「サブツリーの削除サーバー コントロールを使用する」にチェックを入れた場合）、No は使わない削除
• Operation の Correlation ID：同じ操作で起きた他の変更とひもづける値

注意

• 削除されたオブジェクトの GUID は、イベントビューアーでは「Deleted Objects」コンテナー内の新しい場所として表示されることがあります。
• ユーザーアカウントの削除そのものは 4726 でも確認できます。5141 はディレクトリサービスのオブジェクト全般（OU・グループ・コンピューターなど）の削除が対象です。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 5141; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 5136Active Directory のオブジェクトの属性が変更されるたびに記録される。1回の変更で「削除」と「追加」の2件が並ぶ。
• 5137Active Directory にオブジェクトが作成されるたびに記録される。作成された場所（親）の SACL 設定が必要。
• 4726ユーザーオブジェクトが削除されるたびに記録される。誰が削除したかを確認する。

出典・参考

• 5141(S) A directory service object was deleted（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について