Hvem nulstillede adgangskoden? Spor i AD, Entra ID og Google Workspace

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Kort svar: Det kan normalt ses, hvis loggen stadig findes. I Active Directory registrerer domænecontrolleren nulstillingen som hændelse 4724 med den udførende konto. I Entra ID står den i revisionsloggen som Reset password med feltet Igangsat af. I Google Workspace står den i administratorloggen. Opbevaringen er ofte kort, så loggen skal sikres hurtigt.

Spørgsmålet er typisk led i en sag om en overtaget konto, en konflikt med en administrator eller en medarbejder, der er blevet lukket ude. Artiklen viser, hvor sporet findes i de tre mest udbredte miljøer, og hvordan det tolkes. De bredere logkilder er beskrevet i Active Directory og domænecontroller-logs og Entra ID audit log.

Skift eller nulstilling

Første skridt er at skelne mellem to handlinger, som logges forskelligt:

Skift: Brugeren ændrer sin egen adgangskode og kender den gamle.
Nulstilling: En anden, typisk en administrator, servicedesken eller et automatiseret system, sætter en ny adgangskode uden at kende den gamle. Selvbetjent nulstilling er en mellemform, hvor brugeren selv nulstiller ved at bekræfte sig med en registreret metode.

Hvem der har gjort hvad, fremgår af, hvilken af handlingerne der er logget, og af den udførende konto.

Active Directory

På en domænecontroller skrives:

4723 · Forsøg på at skifte egen adgangskode
4724 · Forsøg på at nulstille en anden kontos adgangskode
4738 · Kontoen er ændret, bl.a. med nyt tidspunkt i feltet for sidste adgangskodeskift

4724 indeholder både den udførende konto (Subject) med logon-id og den berørte konto (Target). Microsoft oplyser, at hændelsen også skrives for lokale konti på medlemsservere og arbejdsstationer, og at en mislykket hændelse skrives, hvis den nye adgangskode ikke opfylder politikken, men ikke ved adgang nægtet. Hændelsen skrives kun på den domænecontroller, der udførte handlingen, og kun hvis User Account Management-revisionen er slået til. Alle domænecontrollere skal derfor undersøges.

Er loggen overskrevet, kan attributten pwdLastSet og replikationsmetadata for kontoen stadig vise, hvornår adgangskoden sidst blev sat, og på hvilken domænecontroller. Det viser tidspunktet, men ikke hvem. Logon-id’et i 4724 kan kobles til den 4624, der viser, hvorfra den udførende konto var logget ind.

Entra ID

Revisionsloggen i Entra ID har flere aktiviteter, der er relevante. Ifølge Microsofts aktivitetsreference findes bl.a. Reset password og Change user password under Core Directory og Reset password (by admin), Reset password (self-service), Change password (self-service) og Self-service password reset flow activity progress under selvbetjent adgangskodestyring. Feltet Igangsat af viser, om handlingen blev udført af en bruger, en administrator eller en app.

Selvbetjent nulstilling bruger de samme metoder som totrinsgodkendelsen. Har en uvedkommende registreret sin egen metode, kan den også bruges til at nulstille adgangskoden. Derfor skal en selvbetjent nulstilling altid ses sammen med, hvornår metoderne blev registreret; se MFA-ændringer i Entra ID.

Brugerobjektet har også et felt med tidspunktet for sidste ændring af adgangskoden. Det viser hvornår, men ikke hvem. Revisionsloggen gemmes ved gennemgangen (oktober 2026) i 7 dage med Entra ID Free og 30 dage med P1 eller P2, medmindre den sendes videre.

Hybride miljøer

Med tilbageskrivning af adgangskoder sendes en nulstilling i Entra ID videre til det lokale Active Directory. Den 4724, der skrives på domænecontrolleren, viser så den tjenestekonto, synkroniseringen bruger, som udførende, ikke den person, der startede nulstillingen i skyen. Den egentlige aktør skal findes i Entra ID’s revisionslog. Omvendt kan en nulstilling i AD blive synkroniseret til skyen uden en tilsvarende administratorhandling i Entra ID. Sporet skal derfor følges begge veje. Se Entra Connect og hybrid identitet.

Google Workspace

I Google Workspace registrerer administratorloggen, når en administrator ændrer en brugers adgangskode, som hændelsen Password changed for brugerens adresse, med administratoren som aktør. En særskilt hændelse registrerer, om brugeren skal skifte adgangskode ved næste login, med gammel og ny værdi. Brugerens eget skift registreres i loginloggen som en ændring af kontoens adgangskode. Hvordan revisionsloggen bruges ved en overtaget konto, er beskrevet i overtaget Google Workspace-konto.

Lokale konti

Nulstillinger af lokale konti på en enkelt computer eller server logges i maskinens egen Security-log som 4724, hvis revisionen er slået til. Det er relevant, når en lokal administratorkonto har fået ny adgangskode, uden at IT-afdelingen kender til det. Bruges en løsning til automatisk styring af lokale administratoradgangskoder, registreres rotation og opslag af adgangskoden i den løsnings egen log, fx i Entra ID eller Active Directory.

Andre aktører

Mange organisationer nulstiller adgangskoder gennem andre systemer: servicedeskværktøjer, IAM-løsninger, RMM-værktøjer eller scripts. I loggen ser handlingen ud, som om den er udført af den tjenestekonto, værktøjet bruger. Den person, der faktisk trykkede på knappen, står i værktøjets egen log. Den skal sikres sammen med katalogets log, ellers ender sporet ved en tjenestekonto.

Hvad der skete bagefter

Selve nulstillingen er sjældent hele historien. Det afgørende er ofte, hvad der skete i timerne efter:

Hvem loggede ind med den nye adgangskode, og fra hvilken enhed og adresse?
Blev der registreret nye MFA-metoder eller enheder?
Blev der oprettet indbakkeregler eller videresendelse?
Blev sessioner tilbagekaldt, så den legitime bruger blev logget ud?

Ved mistanke om en overtaget konto er de næste spor beskrevet i er mailen hacket?.

Sikring i praksis

Fordi loggene har kort opbevaring, bør sikringen ske i denne rækkefølge, så snart spørgsmålet opstår:

Eksportér Entra ID’s revisionslog og loginlog for den berørte konto og den udførende konto for den relevante periode, gerne via Graph, og gem dem med hashværdier.
Eksportér Security-loggen fra alle domænecontrollere, og notér loggens ældste hændelse på hver.
Gem kontoens attributter og replikationsmetadata fra AD.
Eksportér administrator- og loginloggen fra Google Workspace, hvis det er relevant.
Sikr logs fra servicedesk, IAM- og RMM-værktøjer, der kan nulstille adgangskoder.

Notér, hvilken konto der blev brugt til eksporten, og at den ikke selv har ændret noget på den berørte konto.

Tidspunkter

Domænecontrollerens hændelser, Entra ID’s eksport og Googles logs kan bruge forskellige tidszoner i visning og eksport. Normalisér til UTC i analysen, og angiv tydeligt i rapporten, hvilken tidszone der bruges. Ved hybride miljøer kan der gå kort tid fra en handling i skyen til tilbageskrivningen i AD, og rækkefølgen skal læses med det for øje.

Fortolkning

Loggen viser, hvilken konto der udførte nulstillingen, ikke hvilken person. En nulstilling er desuden en helt almindelig supportopgave. Vurderingen kræver kendskab til procedurerne: Findes der en supportsag, var nulstillingen bestilt, og var den udførende konto delt eller kompromitteret? Se attribution af brugerhandlinger. Rapporten bør derfor angive, hvilke kilder der blev undersøgt, hvilken periode de dækkede, og hvilke spørgsmål der ikke kunne besvares, fordi loggen var overskrevet eller aldrig blev skrevet.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Entra ID audit log: ændringer i brugere, apps og politikker · OneNote og Loop: hvor indholdet ligger, og hvordan versioner sikres

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik