Įvykio ID 4726: naudotojo paskyra buvo ištrinta [Pataisyti]

Įgalinkite auditą naudodami ADSI redagavimą, kai gausite šį įvykio ID

Kai kurie mūsų skaitytojai skundžiasi matę „Windows“ saugos įvykį 4726 domeno valdiklyje. Įvykių žurnale nurodoma, kad vartotojo paskyra buvo ištrinta, ir kita informacija apie įrašytą įvykį. Tačiau šiame vadove sužinosite, kaip pataisyti įvykio ID.

Taip pat galite perskaityti apie įvykio ID 7023 klaida ir kai kurie pataisymai, kaip tai išspręsti sistemoje „Windows 11“.

Kas yra 4726 įvykis?

Įvykio ID 4726 yra „Windows“ saugos įvykis, nurodantis vartotojo abonemento ištrynimą. Kai šis įvykis registruojamas, vartotojo abonementas buvo pašalintas arba ištrinta iš Windows Active Directory.

Šis įvykis paprastai įrašomas saugos įvykių žurnale Windows domeno valdiklyje.

Stebėdami įvykio ID 4726, sistemos administratoriai gali sekti vartotojo abonemento ištrynimus Windows domeno aplinką ir nustatyti bet kokią neteisėtą ar įtartiną veiklą, susijusią su vartotoju sąskaitas.

Kas sukelia įvykio ID 4726?

Įvykio ID 4726 gali sukelti įvairūs veiksniai. Štai keletas bendrų scenarijų, kurie gali sukelti šį įvykį:

• Administracinis veiksmas – Administratorius arba vartotojas, turintis pakankamai teisių, sąmoningai ištrynė vartotojo abonementą naudodamas „Active Directory“ įrankius arba „PowerShell“ komandas.
• Paskyros galiojimo laikas – Jei vartotojo abonemento galiojimas baigsis tam tikrą dieną arba po tam tikro laikotarpio, sistema gali ją automatiškai ištrinti, kai egzistuoja galiojimo pabaigos sąlyga.
• Paskyros valymas – Vartotojų paskyros kartais gali būti ištrintos atliekant įprastinės priežiūros ar valymo procesus. Jis gali būti skirtas neaktyvioms arba nenaudojamoms paskyroms pašalinti iš „Active Directory“ aplinkos.
• Nutraukimas arba išvykimas – Kai darbuotojas palieka organizaciją, jo vartotojo paskyra gali būti ištrinta, siekiant panaikinti prieigą prie tinklo išteklių ir užtikrinti saugumą.
• Kenkėjiška veikla – Nelaimingais neteisėtos prieigos arba bandymų įsilaužti atvejais užpuolikas turi pakankamai privilegijos gali ištrinti vartotojo abonementus, kad sutrikdytų operacijas, uždengtų jų pėdsakus arba padarytų žalą organizacija.

Šie veiksniai skirtinguose kompiuteriuose gali skirtis. Nepaisant to, aptarsime kai kuriuos pagrindinius problemos sprendimo būdus.

Ką daryti, jei matau įvykio ID 4726?

1. Įgalinkite auditą naudodami ADSI redagavimą

1. Paspauskite Windows + R klavišus, kad atidarytumėte Bėk dialogo langas, įveskite ADSIEdit.msc, ir paspauskite Įeikite kad atidarytumėte „Active Directory Service Interface“ (ADSI) konsolę.
2. Dešiniuoju pelės mygtuku spustelėkite ADSI redagavimas parinktį viršutiniame kairiajame kampe, tada pasirinkite Prisijungti prie iš išskleidžiamojo meniu.
3. Lange Ryšio nustatymai spustelėkite Pasirinkite gerai žinomą pavadinimo kontekstą parinktį ir pasirinkite Numatytasis pavadinimo kontekstas išskleidžiamajame meniu, tada spustelėkite Gerai.
4. Išplėskite Numatytasis pavadinimo kontekstas parinktį, dešiniuoju pelės mygtuku spustelėkite DC = www, DC = domenas, DC = comir pasirinkite Savybės iš kontekstinio meniu.
5. Eikite į Saugumas skirtuką ir spustelėkite Išplėstinė atidaryti Išplėstiniai saugos nustatymai.
6. Pasirinkite Auditas skirtuką ir spustelėkite Papildyti pridėti naudotojų, kurių veiksmus norite stebėti, audito įrašą.
7. Tada spustelėkite Pasirinkite direktorių variantas.
   
8. Eikite į Įveskite objekto pavadinimą įrašas ir tipas Visi, spustelėkite Patikrinkite vardus mygtuką, kad patvirtintumėte vardą, tada spustelėkite Gerai.
9. Ant Audito įrašas langą, spustelėkite Tipas parinktį ir pasirinkite Visi iš išskleidžiamojo meniu.
10. Spustelėkite Taikoma ir pasirinkite Šis objektas ir visi palikuonys objektai iš išskleidžiamojo meniu.
11. Pažymėkite šių elementų laukelius: Visiška kontrolė,Sąrašo turinį, Skaityti visas savybes, ir Skaitymo leidimai, tada spustelėkite Gerai mygtuką.
12. Ant Išplėstiniai saugos nustatymai, spustelėkite Taikyti ir Gerai mygtukai.
13. Uždarykite ADSI redagavimo langą.

Gavę įvykio ID 4726, turite sekti ištrintas vartotojo ir kompiuterio paskyras. Tai turi būti padaryta įgalinant auditą „Active Directory Service Interface“ (ADSI).

2. Naudokite įvykių peržiūrą, kad patikrintumėte ištrintas vartotojų paskyras ir kompiuterius AD

1. Kairysis spustelėjimas Pradėti „Windows“ meniu įveskite Įvykių peržiūros priemonė, ir paspauskite Įeikite.
2. Dabar eik į „Windows“ žurnalai ir pasirinkite Saugumas.
3. Ieškokite įvykio ID 4726 (AD naudotojo / paskyros ištrinto įvykio ID) ir įvykio ID 4743 (Kompiuterio paskyros ištrynimo įvykio ID), kad būtų galima identifikuoti vartotoją ir kompiuterio paskyros ištrynimą.
4. Tada slinkite žemyn, kad surastumėte paskyros, kompiuterių objektai ir kompiuterių paskyros ištrintas.

Įjungus auditą, įvykių peržiūros programa registruos ištrintus kompiuterio ir vartotojo objektus.

Skaitykite daugiau apie šią temą

• USB diskas rodomas netinkamo dydžio? Ištaisykite 2 veiksmais
• Pataisymas: šio pakeitimo atlikti negalite, nes pasirinkimas užrakintas
• Pataisymas: Atminties vientisumo negalima įjungti dėl Ftdibus.sys

3. Norėdami nustatyti, kas ištrynė paskyrą, naudokite „PowerShell“.

1. Kairiuoju pelės mygtuku spustelėkite Windows piktograma, tipas PowerShellir spustelėkite Vykdyti kaip administratorius.
2. Tada įveskite šiuos duomenis ir paspauskite Įeikite: Get-EventLog -LogName Security | Kur-Objektas {$_.EventID -eq 4726} | Pasirinkite objektą - nuosavybę *
3. Raskite ištrintą vartotojo abonementą Pranešimas > Tema. Galima pamatyti vartotojo, kuris atliko tikslinio vartotojo ištrynimą, paskyros pavadinimą ir saugos ID.

Apibendrinant, turime išsamų vadovą, kaip tai padaryti išvalyti įvykių žurnalą „Windows“ kompiuteriuose. Taip pat skaitykite apie ką įvykio ID 4769 yra ir kaip ją ištaisyti.

Jei turite daugiau klausimų ar pasiūlymų, maloniai prašome juos palikti komentarų skiltyje.