Active Directory でコンピューター アカウントを削除したのが誰かを検出する方法

Netwrix Auditor for Active Directory

1. Netwrix Auditor を実行 → 「Search」に移動 → 未選択の場合は「Advanced mode」をクリック → 次のフィルターを設定します：
   • Filter = "Data source"
     Operator = "Equals"
     Value = "Active Directory"
   • Filter = "Object type"
     Operator = "Equals"
     Value = "Computer"
   • Filter = "Action"
     Operator = "Equals"
     Value = "Removed"
2. 「Search」ボタンをクリックし、コンピューター アカウントを削除したのが誰かを確認します。

ネイティブ監査（Native Auditing）

1. gpmc.msc を実行 → 「Default Domain Policy」を編集 → Computer Configuration → Policies → Windows Settings → Security Settings:
   • Local Policies → Audit Policy → Audit account management → Define → Success
   • Event Log → Define → セキュリティログの最大サイズを 1gb にし、セキュリティログの保持方法を「必要に応じてイベントを上書き」に設定します。
2. ADSI Edit を開く → Default naming context に接続 → 「DC=domain name」を右クリック → Properties → Security（タブ）→ Advanced → Auditing（タブ）→ 「Add」をクリック → 次の設定を選択します:
   • プリンシパル：Everyone；種類：Success；適用対象：このオブジェクトおよびすべての子孫オブジェクト；権限：Delete、Delete subtree、Write all properties → 「OK」をクリックします。
3. 削除されたコンピューター アカウントがどれかを特定するには、「セキュリティ イベント ログ」でイベント ID 4743 をフィルターします。

詳しくは Netwrix Auditor for Active Directory

誰がコンピューター アカウントを削除したかを特定して、認証エラーを回避する

ユーザー アカウントを不適切に削除すると、組織に深刻な問題が発生する可能性があります。コンピューター アカウントが削除されたユーザーは、ドメイン認証を使用して IT システムにログインできなくなります。すでにログインしている場合は、メール、共有フォルダー、SharePoint、その他のリソースへのアクセスに支障が出ます。こうした生産性の低下に加え、IT スタッフは認証エラーがなぜ発生したのかを調査する時間を費やさなければなりません。これらの問題を回避するには、コンピューター アカウントの削除を適時に検知することが非常に重要です。

Netwrix Auditor for Active Directory は、アクセス イベントおよび 変更 に関する実行可能な監査データを提供することで、Active Directory およびグループ ポリシー上の活動を完全に可視化できるようにします。 カスタマイズ可能な電子メール アラート は、誰かがコンピューター アカウントを削除したときに IT 管理者へ通知するため、望まない削除に迅速に対応でき、システムがユーザーを認証できなかった場合に発生する問題を防ぐことができます。監査レポートには、誰がどのコンピューター アカウントをいつ・どこで削除した／変更したかといった実行可能な詳細情報が含まれているため、管理者は調査して、将来的に同様の問題が起きないように防止できます。