ログオン失敗を見つけて調査を依頼するとき、画面だけ送ると「いつ、どの端末で、何をしたか」を追加で聞かれることがあります。イベント4625を例に、相手が確認を始められる共有メモを作ります。以下は社内ルールに合わせて調整する運用案です。
原本と共有用コピーを用意する
原本は社内の保管手順に沿って保存し、取得日時と対象端末を記録します。共有用コピーでは、送付先に渡してよい情報の範囲を確認します。伏せ字にする作業はコピーへ行い、調査担当が必要時に原本へ戻れるよう保管先と管理担当を残します。
同じアカウントを「利用者A」、同じ端末を「端末A」のように一貫した仮名へ置き換えると、複数の事象の対応を追いやすくなります。対応表も管理対象です。送付先の調査に実値が必要な場合は、共有範囲と送付経路を社内の担当者と確認します。
4625で確認する項目
Microsoftの4625資料には、ログオン対象のアカウント、ログオン種別、失敗状態、端末名や送信元情報などの項目が説明されています。項目の値や記録状況を読み取り、欠けている項目は未記録と伝えます。
- イベントID、ログ名、発生した端末。
- 発生日時とタイムゾーン。画面表示の時刻か、XMLの時刻かも記載。
- 対象アカウントとログオン種別。
- Status、SubStatusなどの失敗情報。
- 記録されている場合の送信元情報と、同時刻に利用者が行った操作。
イベントに記載された主体と、ログオンに失敗した対象アカウントを混同しないよう、項目名も残します。IPアドレスや端末名から個人や機器を特定できる場合があるため、共有用コピーを全文確認してください。
コピーして使える共有メモ
【説明用の架空例・実測ログではありません】 相談内容 端末Aから接続先Bへの接続でログオンに失敗 確認日時 2026-11-01 10:00 JST 対象ログ Security / イベントID 4625 ログを取得した機器 接続先B 対象アカウント 利用者A（TargetUserNameを仮名化） 発生日時 2026-11-01 09:55 JST（画面表示） LogonType 3 Status / SubStatus 原本の値を確認して記入 送信元 端末A（記録された値と対応付け） 利用者の操作 共有フォルダーへの接続 頻度・範囲 観測した期間と件数を記入 原本保管先・管理担当 社内で確認可能な場所を記入 依頼したい確認 失敗情報と接続条件の確認 伏せた項目 機器名、利用者名、送信元情報
この例の値から実際の障害原因を判定することはできません。1件の記録に加え、周辺時刻の事象や再現条件が必要になる場合があります。送付前に「分かったこと」「確認してほしいこと」を分けて書くと、調査の目的が伝わります。
送付前の確認
本文、添付、画面の別ウィンドウ、ファイル名に共有対象外の情報が残っていないかを確認します。パスワードやトークンなどが含まれる場合は送付を止め、社内の対応手順に従ってください。宛先とアクセス権を確認し、社内で認められた経路を使います。
まず上のメモをコピーし、未確認欄を埋めるところから始めてください。失敗が繰り返される場合は4625連続失敗の調べ方も参照できます。
参考資料 Microsoft Learn「4625」（2026/11/4確認）
