Sündmuse ID 4726: kasutajakonto kustutati [Paranda]

Kui saate selle sündmuse ID, lubage auditeerimine ADSI redigeerimise abil

Mõned meie lugejad kurdavad, et näevad domeenikontrolleris Windowsi turbesündmust 4726. Sündmuste logi näitab, et kasutajakonto on kustutatud, ja muud andmed salvestatud sündmuse kohta. Sellest juhendist saate aga teada, kuidas sündmuse ID-d parandada.

Samuti saate lugeda selle kohta sündmuse ID 7023 viga ja mõned parandused selle lahendamiseks Windows 11-s.

Mis on sündmus 4726?

Sündmuse ID 4726 on Windowsi turbesündmus, mis näitab kasutajakonto kustutamist. Kui see sündmus on logitud, eemaldati või kustutati Windows Active Directory kasutajakonto.

See sündmus salvestatakse tavaliselt Windowsi domeenikontrolleri turbesündmuste logisse.

Jälgides sündmuse ID 4726, saavad süsteemiadministraatorid jälgida oma kasutajakontode kustutamisi Windowsi domeenikeskkond ja tuvastada kõik kasutajaga seotud volitamata või kahtlased tegevused kontosid.

Mis põhjustab sündmuse ID 4726?

Sündmuse ID 4726 võivad põhjustada mitmesugused tegurid. Siin on mõned levinumad stsenaariumid, mis võivad selle sündmuse käivitada.

• Haldustegevus – Administraator või piisavate õigustega kasutaja kustutas Active Directory tööriistade või PowerShelli käskude abil teadlikult kasutajakonto.
• Konto aegumine – Kui kasutajakonto aegub kindlal kuupäeval või pärast teatud perioodi, saab süsteem selle automaatselt kustutada, kui aegumistingimus on olemas.
• Konto puhastamine – Rutiinse hoolduse või puhastusprotsessi käigus võidakse mõnikord kasutajakontosid kustutada. See võib olla passiivsete või kasutamata kontode eemaldamiseks Active Directory keskkonnast.
• Lõpetamine või lahkumine – Kui töötaja organisatsioonist lahkub, võidakse tema kasutajakonto võrguressurssidele juurdepääsu tühistamiseks ja turvalisuse säilitamiseks kustutada.
• Pahatahtlik tegevus – Kahetsusväärsel juhul volitamata juurdepääsu või häkkimiskatsete korral ründaja piisaval hulgal õigused võivad kasutajakontosid kustutada, et häirida toiminguid, katta nende jälgi või kahjustada kasutajakontot organisatsioon.

Need tegurid võivad erinevates arvutites erineda. Sellest hoolimata arutame probleemi lahendamiseks mõningaid põhiparandusi.

Mida teha, kui näen sündmuse ID-d 4726?

1. Lubage auditeerimine ADSI redigeerimise abil

1. Vajutage Windows + R võtmed avamiseks Jookse dialoogiboks, tüüp ADSIEdit.msc, ja vajutage Sisenema Active Directory teenuseliidese (ADSI) konsooli avamiseks.
2. Paremklõpsake ADSI redigeerimine suvand vasakus ülanurgas, seejärel valige Ühenda rippmenüüst.
3. Aknas Ühenduse sätted klõpsake nuppu Valige tuntud nimede andmise kontekst valik ja valige Vaikimisi nimetamise kontekst rippmenüüs, seejärel klõpsake nuppu Okei.
4. Laiendage Vaikimisi nimetamise kontekst valikut, paremklõpsake DC=www, DC=domeen, DC=comja valige Omadused kontekstimenüüst.
5. Mine lehele Turvalisus vahekaarti ja klõpsake Täpsemalt avada Täpsemad turvaseaded.
6. Valige Auditeerimine vahekaarti ja klõpsake Lisama et lisada nende kasutajate auditeerimiskirje, kelle tegevust soovite jälgida.
7. Seejärel klõpsake nuppu Valige printsipaali valik.
   
8. Mine lehele Sisestage objekti nimi sisestus ja tüüp Kõik, klõpsake nuppu Kontrollige nimesid nuppu nime kinnitamiseks, seejärel klõpsake nuppu Okei.
9. peal Auditeerimiskanne aknas klõpsake nuppu Tüüp valik ja valige Kõik rippmenüüst.
10. Klõpsake Kehtib ja valige See objekt ja kõik järeltulijad rippmenüüst.
11. Märkige järgmiste üksuste ruudud. Täielik kontroll,Loendi sisu, Lugege kõiki omadusija Lugemisload, seejärel klõpsake nuppu Okei nuppu.
12. peal Täpsemad turvaseaded, klõpsake nuppu Rakenda ja Okei nupud.
13. Sulgege ADSI redigeerimise aken.

Kui saate sündmuse ID 4726, peate jälgima kustutatud kasutaja- ja arvutikontosid. Seda tuleb teha, lubades auditi Active Directory teenuseliideses (ADSI).

2. Kasutage sündmustevaaturit AD-s kustutatud kasutajakontode ja arvutite kontrollimiseks

1. Vasakklõps Alusta tippige Windowsi menüüsse Sündmuste vaatajaja vajutage Sisenema.
2. Nüüd minge Windowsi logid ja valige Turvalisus.
3. Otsige üles sündmuse ID 4726 (AD kasutaja/konto kustutatud sündmuse ID) ja sündmuse ID 4743 (Arvutikonto kustutatud sündmuse ID), et tuvastada kasutaja ja arvutikonto kustutamised.
4. Seejärel kerige alla, et leida kontod, arvutiobjektid ja arvutikontod kustutatud.

Kui olete auditi lubanud, logib sündmustevaatur kustutatud arvuti- ja kasutajaobjektid.

Loe selle teema kohta lähemalt

• USB-draiv kuvab vales suuruses? Parandage see kahe sammuga
• Parandus: te ei saa seda muudatust teha, kuna valik on lukustatud
• Parandus: mälu terviklikkust ei saa Ftdibus.sys tõttu sisse lülitada

3. Kasutage PowerShelli, et tuvastada, kes konto kustutas

1. Vasakklõpsake Windows ikoon, tüüp PowerShellja klõpsake Käivitage administraatorina.
2. Seejärel sisestage järgmine ja vajutage Sisenema: Get-EventLog -Loginimi Turvalisus | Kus-objekt {$_.EventID -eq 4726} | Valige objekt - Atribuut *
3. Leidke alt kustutatud kasutajakonto Sõnum > Teema. Näete sihtkasutaja kustutamise teinud kasutaja konto nime ja turva ID-d.

Kokkuvõtteks on meil põhjalik juhend, kuidas seda teha tühjendage sündmuste logi Windowsi arvutites. Lugege ka selle kohta, mida sündmuse ID 4769 on ja kuidas seda parandada.

Kui teil on lisaküsimusi või ettepanekuid, kirjutage need kommentaaride jaotisesse.