Что означает событие Event ID 4747?

Событие Event ID 4747 генерируется операционной системой, когда учетная запись пользователя, компьютера или вложенная группа исключается из состава локальной группы распространения.

Основные причины появления события:

• Сотрудник уволился или перевелся в другой отдел, и администратор исключил его из почтовой рассылки.
• Отработал автоматический скрипт синхронизации кадров (HR) или служба Microsoft Identity Manager.
• Ошибочные действия оператора технической поддержки.

Как проанализировать событие Event ID 4747

1. Откройте консоль PowerShell на контроллере домена от имени Администратора.
2. Выгрузите подробную информацию о последних удалениях из групп:

Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4747
} -MaxEvents 5 | ForEach-Object {
    $xml = [xml]$_.ToXml()
    [PSCustomObject]@{
        Time      = $_.TimeCreated
        WhoRemoved = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'SubjectUserName'} | Select-Object -ExpandProperty '#text'
        TargetUser = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'MemberName'} | Select-Object -ExpandProperty '#text'
        GroupName  = $xml.Event.EventData.Data | Where-Object {$_.Name -eq 'TargetUserName'} | Select-Object -ExpandProperty '#text'
    }
}