Hendelses-ID 4726: En brukerkonto ble slettet [Fiks]

Aktiver revisjon ved å bruke ADSI Edit når du får denne hendelses-IDen

Noen av våre lesere klager over å se Windows-sikkerhetshendelsen 4726 i domenekontrolleren. Hendelsesloggen indikerer at en brukerkonto ble slettet og andre detaljer om den registrerte hendelsen. Denne veiledningen vil imidlertid ta deg gjennom hvordan du fikser hendelses-IDen.

Du kan også lese om hendelses-ID 7023 feil og noen rettelser for å løse det på Windows 11.

Hva er hendelse 4726?

Hendelses-ID 4726 er en Windows-sikkerhetshendelse som indikerer sletting av en brukerkonto. Når denne hendelsen er logget, ble en brukerkonto fjernet eller slettet fra Windows Active Directory.

Denne hendelsen registreres vanligvis i sikkerhetshendelsesloggen på en Windows-domenekontroller.

Ved å overvåke hendelses-ID 4726 kan systemadministratorer holde styr på slettinger av brukerkontoer i deres Windows-domenemiljø og identifisere eventuelle uautoriserte eller mistenkelige aktiviteter relatert til brukeren kontoer.

Hva forårsaker hendelses-ID 4726?

Ulike faktorer kan forårsake hendelses-ID 4726. Her er noen vanlige scenarier som kan utløse denne hendelsen:

• Administrativ handling – En administrator eller bruker med tilstrekkelige rettigheter slettet brukerkontoen bevisst ved å bruke Active Directory-verktøy eller PowerShell-kommandoer.
• Kontoutløp – Hvis en brukerkonto skal utløpe på en bestemt dato eller etter en viss periode, kan den automatisk slettes av systemet når utløpsvilkåret eksisterer.
• Kontoopprydding – Brukerkontoer kan noen ganger bli slettet som en del av rutinemessig vedlikehold eller oppryddingsprosesser. Det kan være for å fjerne inaktive eller ubrukte kontoer fra Active Directory-miljøet.
• Oppsigelse eller avgang – Når en ansatt forlater en organisasjon, kan brukerkontoen deres slettes for å tilbakekalle tilgang til nettverksressurser og opprettholde sikkerheten.
• Ondsinnet aktivitet – I uheldige tilfeller av uautorisert tilgang eller hackingforsøk, en angriper med tilstrekkelig privilegier kan slette brukerkontoer for å forstyrre driften, dekke sporene deres eller forårsake skade på organisasjon.

Disse faktorene kan variere på forskjellige datamaskiner. Uansett vil vi diskutere noen grunnleggende rettelser for å løse problemet.

Hva kan jeg gjøre hvis jeg ser hendelses-ID 4726?

1. Aktiver revisjon ved å bruke ADSI Edit

1. trykk Windows + R tastene for å åpne Løpe dialogboks, skriv ADSIEdit.msc, og trykk Tast inn for å åpne ADSI-konsollen (Active Directory Service Interface)..
2. Høyreklikk på ADSI-redigering alternativet øverst til venstre, og velg deretter Koble til fra rullegardinmenyen.
3. I vinduet Tilkoblingsinnstillinger klikker du på Velg en velkjent navnekontekst alternativet og velg Standard navnekontekst i rullegardinmenyen, og klikk deretter OK.
4. Utvid Standard navnekontekst alternativ, høyreklikk på DC=www, DC=domene, DC=com, og velg Egenskaper fra kontekstmenyen.
5. Gå til Sikkerhet fanen og klikk Avansert å åpne Avanserte sikkerhetsinnstillinger.
6. Velg Revisjon fanen og klikk Legg til for å legge til revisjonsoppføringen for brukerne hvis handlinger du vil overvåke.
7. Klikk deretter på Velg en rektor alternativ.
   
8. Gå til Skriv inn objektnavn oppføring og type Alle sammen, Klikk på Sjekk navn for å bekrefte navnet, og klikk deretter OK.
9. På Revisjonsoppføring vindu, klikk på Type alternativet og velg Alle fra rullegardinmenyen.
10. Klikk Gjelder til og velg Dette objektet og alle etterkommere objekter fra rullegardinmenyen.
11. Merk av i boksene for følgende elementer: Full kontroll,Liste innhold, Les alle egenskaper, og Lestillatelser, og klikk deretter på OK knapp.
12. På Avanserte sikkerhetsinnstillinger, Klikk på Søke om og OK knapper.
13. Lukk ADSI Edit-vinduet.

Når du får hendelses-ID 4726, må du spore de slettede bruker- og datamaskinkontoene. Det må gjøres ved å aktivere revisjonen i Active Directory Service Interface (ADSI).

2. Bruk Event Viewer for å sjekke slettede brukerkontoer og datamaskiner i AD

1. Venstre klikk Start på Windows-menyen, skriv Event Viewer, og trykk Tast inn.
2. Nå, gå til Windows-logger og velg Sikkerhet.
3. Søk etter hendelses-ID 4726 (AD-bruker/konto slettet hendelses-ID) og hendelses-ID 4743 (datamaskinkonto slettet hendelses-ID) for å identifisere bruker- og datamaskinkontosletting.
4. Rull deretter ned for å finne kontoer, dataobjekter og datakontoer slettet.

Når du har aktivert revisjon, vil Event Viewer logge slettede datamaskin- og brukerobjekter.

Les mer om dette emnet

• Viser USB-stasjonen feil størrelse? Løs det i 2 trinn
• Fix: Du kan ikke gjøre denne endringen fordi utvalget er låst
• Fix: Minneintegritet kan ikke slås på på grunn av Ftdibus.sys

3. Bruk PowerShell til å oppdage hvem som har slettet kontoen

1. Venstreklikk på Windows ikon, skriv Kraftskall, og klikk Kjør som administrator.
2. Skriv deretter inn følgende og trykk Tast inn: Get-EventLog -LogName Security | Where-Object {$_.EventID -eq 4726} | Velg-objekt -Egenskap *
3. Finn den slettede brukerkontoen under Melding > Emne. Kontonavnet og sikkerhets-IDen til brukeren som utførte slettingen på målbrukeren kan sees.

Avslutningsvis har vi en omfattende veiledning om hvordan tømme hendelsesloggen på Windows-datamaskiner. Les også om hva hendelses-ID 4769 er og hvordan du fikser det.

Hvis du har flere spørsmål eller forslag, vennligst slipp dem i kommentarfeltet.