ユーザーが Builtin/Users グループに追加されたときのイベント ID 4732

Question

新しいユーザーがグループ: Users、グループ ドメイン名:builtin に追加されるたびに、Windows イベント ID 4732 (セキュリティが有効なローカル グループにメンバーが追加されました) がトリガーされる理由を理解するのに苦労しています。つまり、これは、ユーザーがグループに追加されたことを意味していると思いますBuiltin\Users。

Builtin\Users についてさらに調べてみると、ローカル アカウントを含む、OS のインストール時に OS が作成するすべてのユーザーのようです。

1. なぜbuiltin\Usersはセキュリティが有効なグループと見なされるのですか?

2. このイベントは、新しい非管理者ユーザーがシステムに追加されるたびにトリガーされるのでしょうか?

3. アカウントが新しく作成された後にこのイベントが発生した場合、それは新しいローカル管理者アカウントまたはドメイン アカウントと見なされますか?

Answer 1

私の理解では、これらはアクティブ ディレクトリ ドメインがセットアップされるときに追加される既定のグループであり、これにより、ログイン、バックアップの実行、およびグループに関連付けられたその他のタスクを実行できるようになります。

多くの既定のグループには、グループのメンバーがローカル システムへのログオンやファイルとフォルダーのバックアップなど、ドメイン内で特定の操作を実行することを許可する一連のユーザー権限が自動的に割り当てられます。たとえば、Backup Operators グループのメンバーには、ドメイン内のすべてのドメイン コントローラーに対してバックアップ操作を実行する権限があります。

既定のグループは、Active Directory ユーザーとコンピューターの Builtin コンテナーと Users コンテナーにあります。Builtin コンテナーには、ドメイン ローカル スコープで定義されたグループが含まれます。Users には、グローバル スコープで定義されたグループと、ドメイン ローカル スコープで定義されたグループが含まれます。これらのコンテナーにあるグループをドメイン内の他のグループまたは組織単位 (OU) に移動することはできますが、他のドメインに移動することはできません。

参照：https://docs.microsoft.com/ja-jp/windows/security/identity-protection/access-control/active-directory-security-groups