Hændelses-id 4726: En brugerkonto blev slettet [Ret]

Aktiver revision ved hjælp af ADSI-redigering, når du får dette hændelses-id

Nogle af vores læsere klager over at se Windows-sikkerhedsbegivenheden 4726 i domænecontrolleren. Hændelsesloggen angiver, at en brugerkonto blev slettet og andre detaljer om den registrerede hændelse. Denne guide vil dog tage dig igennem, hvordan du reparerer begivenheds-id'et.

Du kan også læse om hændelses-id 7023 fejl og nogle rettelser til at løse det på Windows 11.

Hvad er begivenhed 4726?

Hændelses-id 4726 er en Windows-sikkerhedsbegivenhed, der angiver sletning af en brugerkonto. Når denne hændelse er logget, blev en brugerkonto fjernet eller slettet fra Windows Active Directory.

Denne hændelse registreres typisk i sikkerhedshændelsesloggen på en Windows-domænecontroller.

Ved at overvåge Event ID 4726 kan systemadministratorer holde styr på sletninger af brugerkonti i deres Windows-domænemiljø og identificere eventuelle uautoriserede eller mistænkelige aktiviteter relateret til brugeren regnskaber.

Hvad forårsager hændelses-ID 4726?

Forskellige faktorer kan forårsage hændelse ID 4726. Her er nogle almindelige scenarier, der kan udløse denne hændelse:

• Administrativ handling – En administrator eller bruger med tilstrækkelige rettigheder slettede bevidst brugerkontoen ved hjælp af Active Directory-værktøjer eller PowerShell-kommandoer.
• Kontoudløb – Hvis en brugerkonto skal udløbe på en bestemt dato eller efter en bestemt periode, kan den automatisk slettes af systemet, når udløbsbetingelserne eksisterer.
• Kontooprydning – Brugerkonti kan nogle gange blive slettet som en del af rutinemæssig vedligeholdelse eller oprydningsprocesser. Det kan være til at fjerne inaktive eller ubrugte konti fra Active Directory-miljøet.
• Opsigelse eller afgang – Når en medarbejder forlader en organisation, kan vedkommendes brugerkonto blive slettet for at tilbagekalde adgangen til netværksressourcer og opretholde sikkerheden.
• Ondsindet aktivitet – I uheldige tilfælde af uautoriseret adgang eller hackingforsøg, en angriber med tilstrækkelig privilegier kan slette brugerkonti for at forstyrre driften, skjule deres spor eller forårsage skade på organisation.

Disse faktorer kan variere på forskellige computere. Uanset hvad vil vi diskutere nogle grundlæggende rettelser for at løse problemet.

Hvad kan jeg gøre, hvis jeg ser hændelses-id 4726?

1. Aktiver revision ved hjælp af ADSI Edit

1. Trykke Windows + R nøgler til at åbne Løb dialogboks, skriv ADSIEdit.msc, og tryk Gå ind for at åbne ADSI-konsollen (Active Directory Service Interface)..
2. Højreklik på ADSI Rediger mulighed øverst til venstre, og vælg derefter Forbinde til fra rullemenuen.
3. I vinduet Forbindelsesindstillinger skal du klikke på Vælg en velkendt navngivningskontekst mulighed og vælg Standard navngivningskontekst i rullemenuen, og klik derefter Okay.
4. Udvid Standard navngivningskontekst mulighed, højreklik på DC=www, DC=domæne, DC=com, og vælg Ejendomme fra kontekstmenuen.
5. Gå til Sikkerhed fanen og klik Fremskreden at åbne Avancerede sikkerhedsindstillinger.
6. Vælg Revision fanen og klik Tilføje for at tilføje revisionsposten for de brugere, hvis handlinger du vil overvåge.
7. Klik derefter på Vælg en rektor mulighed.
   
8. Gå til Indtast objektnavn indtastning og type Alle sammen, klik på Tjek navne knappen for at bekræfte navnet, og klik derefter på Okay.
9. På den Revisionsindførsel vindue, skal du klikke på Type mulighed og vælg Alle fra rullemenuen.
10. Klik Gælder til og vælg Dette objekt og alle efterkommerobjekter fra rullemenuen.
11. Marker afkrydsningsfelterne for følgende elementer: Fuld kontrol,Liste indhold, Læs alle egenskaber, og Læsetilladelser, og klik derefter på Okay knap.
12. På den Avancerede sikkerhedsindstillinger, klik på ansøge og Okay knapper.
13. Luk ADSI-redigeringsvinduet.

Når du får hændelses-id'et 4726, skal du spore de slettede bruger- og computerkonti. Det skal gøres ved at aktivere revisionen i Active Directory Service Interface (ADSI).

2. Brug Event Viewer til at kontrollere slettede brugerkonti og computere i AD

1. Venstre klik Start i Windows-menuen, skriv Event Viewer, og tryk på Gå ind.
2. Gå nu til Windows-logfiler og vælg Sikkerhed.
3. Søg efter begivenheds-id 4726 (AD-bruger/konto slettet hændelses-id) og begivenheds-id 4743 (Computerkonto slettet hændelses-id) for at identificere bruger- og computerkontosletninger.
4. Rul derefter ned for at finde konti, computerobjekter og computerkonti slettet.

Når du har aktiveret revision, vil Event Viewer logge slettede computer- og brugerobjekter.

Læs mere om dette emne

• Viser USB-drevet forkert størrelse? Løs det i 2 trin
• Fix: Du kan ikke foretage denne ændring, fordi markeringen er låst
• Rette: Hukommelsesintegritet kan ikke slås til på grund af Ftdibus.sys

3. Brug PowerShell til at opdage, hvem der har slettet kontoen

1. Venstre-klik på Windows ikon, skriv PowerShell, og klik Kør som administrator.
2. Indtast derefter følgende og tryk på Gå ind: Get-EventLog -LogName Security | Where-Object {$_.EventID -eq 4726} | Vælg-objekt -Ejendom *
3. Find den slettede brugerkonto under Besked > Emne. Kontonavnet og sikkerheds-id'et for den bruger, der udførte sletningen på målbrugeren, kan ses.

Afslutningsvis har vi en omfattende guide til hvordan rydde hændelsesloggen på Windows-computere. Læs også om hvad begivenhed ID 4769 er og hvordan man fikser det.

Hvis du har yderligere spørgsmål eller forslag, så send dem venligst i kommentarfeltet.