รหัสเหตุการณ์ 4726: บัญชีผู้ใช้ถูกลบ [แก้ไข]

เปิดใช้งานการตรวจสอบโดยใช้การแก้ไข ADSI เมื่อคุณได้รับ ID เหตุการณ์นี้

ผู้อ่านของเราบางคนบ่นว่าเห็นเหตุการณ์ความปลอดภัยของ Windows 4726 ในตัวควบคุมโดเมน บันทึกเหตุการณ์ระบุว่าบัญชีผู้ใช้ถูกลบและรายละเอียดอื่นๆ เกี่ยวกับเหตุการณ์ที่บันทึกไว้ อย่างไรก็ตาม คำแนะนำนี้จะนำคุณไปสู่วิธีการแก้ไข ID เหตุการณ์

นอกจากนี้คุณยังสามารถอ่านเกี่ยวกับ ข้อผิดพลาด ID เหตุการณ์ 7023 และการแก้ไขบางอย่างเพื่อแก้ไขใน Windows 11

เหตุการณ์ 4726 คืออะไร?

รหัสเหตุการณ์ 4726 เป็นเหตุการณ์การรักษาความปลอดภัยของ Windows ที่ระบุการลบบัญชีผู้ใช้ เมื่อบันทึกเหตุการณ์นี้ บัญชีผู้ใช้จะถูกลบหรือลบออกจาก Windows Active Directory

โดยทั่วไปเหตุการณ์นี้จะถูกบันทึกไว้ในบันทึกเหตุการณ์ด้านความปลอดภัยบนตัวควบคุมโดเมนของ Windows

ด้วยการตรวจสอบ ID เหตุการณ์ 4726 ผู้ดูแลระบบสามารถติดตามการลบบัญชีผู้ใช้ใน สภาพแวดล้อมของโดเมน Windows และระบุกิจกรรมที่ไม่ได้รับอนุญาตหรือน่าสงสัยที่เกี่ยวข้องกับผู้ใช้ บัญชี

อะไรเป็นสาเหตุของ ID เหตุการณ์ 4726

ปัจจัยต่างๆ อาจทำให้เกิด ID เหตุการณ์ 4726 ต่อไปนี้เป็นสถานการณ์ทั่วไปที่อาจก่อให้เกิดเหตุการณ์นี้:

• การดำเนินการทางปกครอง – ผู้ดูแลระบบหรือผู้ใช้ที่มีสิทธิ์เพียงพอจงใจลบบัญชีผู้ใช้โดยใช้เครื่องมือ Active Directory หรือคำสั่ง PowerShell
• วันหมดอายุของบัญชี – หากบัญชีผู้ใช้จะหมดอายุในวันที่ระบุหรือหลังจากช่วงระยะเวลาหนึ่ง ระบบสามารถลบบัญชีผู้ใช้โดยอัตโนมัติเมื่อมีเงื่อนไขการหมดอายุ
• การล้างบัญชี – บางครั้งบัญชีผู้ใช้อาจถูกลบโดยเป็นส่วนหนึ่งของกระบวนการบำรุงรักษาหรือล้างข้อมูลตามปกติ สามารถใช้สำหรับการลบบัญชีที่ไม่ได้ใช้งานหรือไม่ได้ใช้ออกจากสภาพแวดล้อม Active Directory
• การเลิกจ้างหรือการจากไป – เมื่อพนักงานออกจากองค์กร บัญชีผู้ใช้ของพวกเขาอาจถูกลบเพื่อยกเลิกการเข้าถึงทรัพยากรเครือข่ายและรักษาความปลอดภัย
• กิจกรรมที่เป็นอันตราย – ในกรณีที่โชคไม่ดีที่มีการเข้าถึงโดยไม่ได้รับอนุญาตหรือการพยายามแฮ็ค ผู้โจมตีที่มีเพียงพอ สิทธิพิเศษอาจลบบัญชีผู้ใช้เพื่อรบกวนการทำงาน ปกปิดเส้นทาง หรือก่อให้เกิดอันตรายต่อ องค์กร.

ปัจจัยเหล่านี้อาจแตกต่างกันไปในคอมพิวเตอร์แต่ละเครื่อง ไม่ว่าเราจะหารือเกี่ยวกับการแก้ไขเบื้องต้นเพื่อแก้ไขปัญหา

ฉันจะทำอย่างไรหากเห็น ID เหตุการณ์ 4726

1. เปิดใช้งานการตรวจสอบโดยใช้ ADSI Edit

1. กด หน้าต่าง + ร กุญแจเปิด วิ่ง กล่องโต้ตอบ พิมพ์ ADSIEdit.msc, และกด เข้า เพื่อเปิดคอนโซล Active Directory Service Interface (ADSI).
2. คลิกขวาที่ ADSI แก้ไข ที่ด้านซ้ายบน จากนั้นเลือก เชื่อมต่อกับ จากเมนูแบบเลื่อนลง
3. ในหน้าต่างการตั้งค่าการเชื่อมต่อ คลิก เลือกบริบทการตั้งชื่อที่รู้จักกันดี ตัวเลือกและเลือก บริบทการตั้งชื่อเริ่มต้น ในเมนูแบบเลื่อนลง จากนั้นคลิก ตกลง.
4. ขยายความ บริบทการตั้งชื่อเริ่มต้น ตัวเลือกคลิกขวาที่ DC=www, DC=โดเมน, DC=comและเลือก คุณสมบัติ จากเมนูบริบท
5. ไปที่ ความปลอดภัย แท็บแล้วคลิก ขั้นสูง เพื่อเปิด การตั้งค่าความปลอดภัยขั้นสูง
6. เลือก สอบบัญชี แท็บแล้วคลิก เพิ่ม เพื่อเพิ่มรายการการตรวจสอบสำหรับผู้ใช้ที่คุณต้องการตรวจสอบการกระทำ
7. จากนั้นคลิก เลือกครูใหญ่ ตัวเลือก.
   
8. ไปที่ ป้อนชื่อวัตถุ รายการและประเภท ทุกคน, คลิก ตรวจสอบชื่อ เพื่อยืนยันชื่อ จากนั้นคลิก ตกลง.
9. บน รายการตรวจสอบบัญชี หน้าต่าง คลิกที่ พิมพ์ ตัวเลือกและเลือก ทั้งหมด จากเมนูแบบเลื่อนลง
10. คลิก ใช้ และเลือก วัตถุนี้และวัตถุที่สืบทอดมาทั้งหมด จากเมนูแบบเลื่อนลง
11. ทำเครื่องหมายในช่องสำหรับรายการต่อไปนี้: ควบคุมทั้งหมด,เนื้อหารายการ, อ่านคุณสมบัติทั้งหมด, และ อ่านสิทธิ์จากนั้นคลิก ตกลง ปุ่ม.
12. บน การตั้งค่าความปลอดภัยขั้นสูง คลิก นำมาใช้ และ ตกลง ปุ่ม
13. ปิดหน้าต่าง ADSI Edit

เมื่อคุณได้รับรหัสเหตุการณ์ 4726 คุณต้องติดตามบัญชีผู้ใช้และคอมพิวเตอร์ที่ถูกลบ จะต้องดำเนินการโดยเปิดใช้งานการตรวจสอบใน Active Directory Service Interface (ADSI)

2. ใช้ Event Viewer เพื่อตรวจสอบบัญชีผู้ใช้และคอมพิวเตอร์ที่ถูกลบใน AD

1. คลิกซ้าย เริ่ม บนเมนู Windows พิมพ์ ผู้ชมเหตุการณ์และกด เข้า.
2. ตอนนี้ไปที่ บันทึกของ Windows และเลือก ความปลอดภัย.
3. ค้นหา รหัสเหตุการณ์ 4726 (รหัสเหตุการณ์ผู้ใช้ AD/บัญชีที่ถูกลบ) และ รหัสเหตุการณ์ 4743 (รหัสเหตุการณ์ลบบัญชีคอมพิวเตอร์) เพื่อระบุผู้ใช้และการลบบัญชีคอมพิวเตอร์
4. จากนั้นเลื่อนลงเพื่อค้นหา บัญชี วัตถุคอมพิวเตอร์ และบัญชีคอมพิวเตอร์ ลบแล้ว

เมื่อคุณเปิดใช้งานการตรวจสอบแล้ว ตัวแสดงเหตุการณ์จะบันทึกคอมพิวเตอร์และวัตถุผู้ใช้ที่ถูกลบ

อ่านเพิ่มเติมเกี่ยวกับหัวข้อนี้

• ไดรฟ์ USB แสดงขนาดผิดใช่หรือไม่ แก้ไขได้ใน 2 ขั้นตอน
• แก้ไข: คุณไม่สามารถทำการเปลี่ยนแปลงนี้ได้เนื่องจากการเลือกถูกล็อค
• แก้ไข: ไม่สามารถเปิดใช้งานความสมบูรณ์ของหน่วยความจำได้เนื่องจาก Ftdibus.sys

3. ใช้ PowerShell เพื่อตรวจหาว่าใครลบบัญชี

1. คลิกซ้ายที่ หน้าต่าง ไอคอน, พิมพ์ พาวเวอร์เชลล์แล้วคลิก เรียกใช้ในฐานะผู้ดูแลระบบ
2. จากนั้นป้อนข้อมูลต่อไปนี้แล้วกด เข้า: Get-EventLog - LogName Security | Where-Object {$_.EventID -eq 4726} | เลือกวัตถุ - คุณสมบัติ *
3. ค้นหาบัญชีผู้ใช้ที่ถูกลบภายใต้ ข้อความ > เรื่อง. ชื่อบัญชีและ ID ความปลอดภัยของผู้ใช้ที่ดำเนินการลบกับผู้ใช้เป้าหมายสามารถมองเห็นได้

โดยสรุป เรามีคำแนะนำที่ครอบคลุมเกี่ยวกับวิธีการ ล้างบันทึกเหตุการณ์ บนคอมพิวเตอร์ Windows นอกจากนี้อ่านเกี่ยวกับอะไร รหัสเหตุการณ์ 4769 เป็นและจะแก้ไขอย่างไร.

หากคุณมีคำถามหรือข้อเสนอแนะเพิ่มเติม โปรดส่งคำถามเหล่านี้ในส่วนความคิดเห็น