Identyfikator zdarzenia 4726: Konto użytkownika zostało usunięte [Poprawka]

Włącz inspekcję za pomocą Edycji ADSI, gdy otrzymasz ten identyfikator zdarzenia

Niektórzy z naszych czytelników narzekają, że widzą zdarzenie bezpieczeństwa systemu Windows 4726 w kontrolerze domeny. Dziennik zdarzeń wskazuje, że konto użytkownika zostało usunięte i inne szczegóły dotyczące zarejestrowanego zdarzenia. Jednak ten przewodnik przeprowadzi Cię przez proces naprawy identyfikatora zdarzenia.

Możesz też poczytać o tzw identyfikator zdarzenia 7023 błąd i kilka poprawek, aby rozwiązać ten problem w systemie Windows 11.

Co to jest zdarzenie 4726?

Identyfikator zdarzenia 4726 to zdarzenie zabezpieczeń systemu Windows, które wskazuje na usunięcie konta użytkownika. Gdy to zdarzenie jest rejestrowane, konto użytkownika zostało usunięte lub usunięte z Windows Active Directory.

To zdarzenie jest zwykle rejestrowane w dzienniku zdarzeń zabezpieczeń na kontrolerze domeny z systemem Windows.

Monitorując identyfikator zdarzenia 4726, administratorzy systemu mogą śledzić usuwanie kont użytkowników w swoich środowiska domeny Windows i zidentyfikować wszelkie nieautoryzowane lub podejrzane działania związane z użytkownikiem konta.

Co powoduje zdarzenie o identyfikatorze 4726?

Różne czynniki mogą powodować zdarzenie o identyfikatorze 4726. Oto kilka typowych scenariuszy, które mogą wywołać to zdarzenie:

• Akcja administracyjna – Administrator lub użytkownik z wystarczającymi uprawnieniami celowo usunął konto użytkownika za pomocą narzędzi usługi Active Directory lub poleceń programu PowerShell.
• Wygaśnięcie konta – Jeśli konto użytkownika ma wygasnąć w określonym dniu lub po określonym czasie, może zostać automatycznie usunięte przez system, gdy spełniony jest warunek wygaśnięcia.
• Czyszczenie konta – Konta użytkowników mogą czasami zostać usunięte w ramach rutynowej konserwacji lub procesów czyszczenia. Może służyć do usuwania nieaktywnych lub nieużywanych kont ze środowiska Active Directory.
• Wypowiedzenie lub odejście – Kiedy pracownik odchodzi z organizacji, jego konto użytkownika może zostać usunięte, aby cofnąć dostęp do zasobów sieciowych i zachować bezpieczeństwo.
• Złośliwa aktywność – W niefortunnych przypadkach nieautoryzowanego dostępu lub prób włamania, atakujący z wystarczającymi uprawnienia mogą usuwać konta użytkowników, aby zakłócić działalność, zatrzeć ślady lub wyrządzić szkodę organizacja.

Czynniki te mogą się różnić na różnych komputerach. Niezależnie od tego omówimy kilka podstawowych poprawek, aby rozwiązać problem.

Co mogę zrobić, jeśli zobaczę identyfikator zdarzenia 4726?

1. Włącz inspekcję za pomocą Edycji ADSI

1. Naciskać Okna + R klucze do otwierania Uruchomić okno dialogowe, wpisz ADSIEdit.msc, i naciśnij Wchodzić aby otworzyć konsolę Active Directory Service Interface (ADSI)..
2. Kliknij prawym przyciskiem myszy Edycja ADSI opcję w lewym górnym rogu, a następnie wybierz Połącz z z listy rozwijanej.
3. W oknie Ustawienia połączenia kliknij przycisk Wybierz dobrze znany kontekst nazewnictwa opcję i wybierz Domyślny kontekst nazewnictwa w menu rozwijanym, a następnie kliknij OK.
4. Rozwiń Domyślny kontekst nazewnictwa opcję, kliknij prawym przyciskiem myszy DC=www, DC=domena, DC=comi wybierz Nieruchomości z menu kontekstowego.
5. Idź do Bezpieczeństwo kartę i kliknij Zaawansowany aby otworzyć Zaawansowane ustawienia zabezpieczeń.
6. Wybierz Audyt kartę i kliknij Dodać aby dodać wpis audytu dla użytkowników, których działania chcesz monitorować.
7. Następnie kliknij Wybierz dyrektora opcja.
   
8. Idź do Wprowadź nazwę obiektu wpis i typ Wszyscy, Kliknij Sprawdź nazwy aby zweryfikować nazwę, a następnie kliknij OK.
9. Na Wpis do audytu kliknij przycisk Typ opcję i wybierz Wszystko z menu rozwijanego.
10. Kliknij Dotyczy do i wybierz Ten obiekt i wszystkie obiekty podrzędne z menu rozwijanego.
11. Zaznacz pola dla następujących elementów: Pełna kontrola,Zawartość listy, Przeczytaj wszystkie właściwości, I Odczyt uprawnień, a następnie kliknij przycisk OK przycisk.
12. Na Zaawansowane ustawienia bezpieczeństwa, Kliknij Stosować I OK guziki.
13. Zamknij okno edycji ADSI.

Gdy otrzymasz identyfikator zdarzenia 4726, musisz śledzić usunięte konta użytkowników i komputerów. Należy tego dokonać poprzez włączenie audytu w Active Directory Service Interface (ADSI).

2. Użyj Podglądu zdarzeń, aby sprawdzić usunięte konta użytkowników i komputery w AD

1. Lewy przycisk myszy Początek w menu Windows wpisz Podgląd zdarzeńi naciśnij Wchodzić.
2. Teraz idź do Dzienniki systemu Windows i wybierz Bezpieczeństwo.
3. Wyszukaj identyfikator zdarzenia 4726 (Identyfikator zdarzenia usunięcia użytkownika/konta usługi AD) i identyfikator zdarzenia 4743 (Identyfikator zdarzenia usunięcia konta komputera) w celu identyfikacji usunięcia konta użytkownika i komputera.
4. Następnie przewiń w dół, aby zlokalizować plik konta, obiekty komputerów i konta komputerów usunięte.

Po włączeniu audytu Podgląd zdarzeń będzie rejestrował usunięte komputery i obiekty użytkowników.

Przeczytaj więcej na ten temat

• Dysk USB ma niewłaściwy rozmiar? Napraw to w 2 krokach
• Poprawka: nie możesz dokonać tej zmiany, ponieważ wybór jest zablokowany
• Poprawka: nie można włączyć integralności pamięci ze względu na plik Ftdibus.sys

3. Użyj programu PowerShell, aby wykryć, kto usunął konto

1. Kliknij lewym przyciskiem myszy Okna ikona, typ PowerShelli kliknij Uruchom jako administrator.
2. Następnie wprowadź następujące informacje i naciśnij Wchodzić: Get-EventLog -LogName Zabezpieczenia | Gdzie-Obiekt {$_.EventID -eq 4726} | Wybierz-Obiekt-Właściwość *
3. Znajdź usunięte konto użytkownika w Wiadomość > Temat. Można zobaczyć nazwę konta i identyfikator bezpieczeństwa użytkownika, który wykonał usunięcie użytkownika docelowego.

Podsumowując, mamy obszerny przewodnik, jak to zrobić wyczyść dziennik zdarzeń na komputerach z systemem Windows. Przeczytaj też o czym identyfikator zdarzenia 4769 jest i jak to naprawić.

Jeśli masz dodatkowe pytania lub sugestie, uprzejmie upuść je w sekcji komentarzy.