Windowsのセキュリティログに記録されるNPS（Network Policy Server）のイベントID 6272は、802.1Xの無線または有線接続の認証要求が正常に受け入れられたこと（Audit Success）を示します。接続が成功しているかを検証するには、まずNPSサーバーのセキュリティログで本イベントを確認し、認証されたポリシー名やクライアント情報を照合します。
このイベントは発生した事象を記録するもので、単独では原因を断定できません。前後のログと詳細フィールドを使う切り分けの手掛かりとして扱います。
イベントID 6272とNPS（Security）の意味
NPS（Network Policy Server）は、ネットワークアクセス要求の認証、承認、およびアカウント管理を行うマイクロソフトのサービスです。
イベントID 6272は「接続要求が受け入れられた」という監査成功ログであり、これ単体でシステムに異常が発生していることを示すものではありません。ただし、意図しないデバイスやユーザーからのアクセスが成功していないか、または特定の接続要求ポリシーやネットワークポリシーが正しく適用されているかを検証するための重要な一次情報となります。
公式資料によると、クライアント側はWindows 7からWindows 10（およびWindows 11）、サーバー側はWindows Server 2008 R2からWindows Server 2012 R2（およびそれ以降の対応バージョン）におけるNPSが対象となります。
イベントログの「全般」「詳細」タブの読み方
イベントビューアでイベントID 6272を開き、「全般」タブや「詳細」タブを確認します。
該当ログの見分け方
イベントID 6272が記録されたログの「全般」タブには、通常以下のようなメッセージが表示されます。
- 代表的なメッセージ: 「Network Policy Server granted access to a user.」（Network Policy Server はユーザーにアクセスを許可しました。）
- 確認すべき主要フィールド:
- Connection Request Policy Name（接続要求ポリシー名）: 接続要求がどのポリシーにマッチしたかを示します。
- Network Policy Name（ネットワークポリシー名）: 接続を許可または拒否したネットワークポリシーの名前です。
- Reason Code（理由コード）: 接続結果の詳細な理由を示すコードです。成功ログであるID 6272の場合、通常は正常終了を示すコード（「IAS_SUCCESS」など）が記録されますが、トラブルシューティング時には下部にあるReason Codeのテキストを確認することが推奨されます。
状況切り分け表
| 症状 | 確認箇所 | 判断材料 | 次の行動 |
|---|---|---|---|
| 802.1X接続が成功し、通信ができる | NPSサーバーのセキュリティログ | イベントID 6272が記録されている | 正常動作のため、追加の対応は不要 |
| 接続は成功するが、意図しないポリシーが適用される | イベントID 6272の「Network Policy Name」フィールド | 適用されているポリシー名が想定と異なる | NPSのネットワークポリシーの優先順位や条件を見直す |
| 接続が失敗し、通信ができない | NPSサーバーのセキュリティログ | イベントID 6273（Audit Failure）が記録されている | ログ下部の「Reason Code」を確認し、証明書や認証方法のエラーを特定する |
| 接続成否のログ自体がセキュリティログに記録されない | NPSサーバーの監査ポリシー設定 | auditpol コマンドの出力結果 |
監査ポリシーで「Network Policy Server」の監査が有効になっているか確認・設定する |
安全な確認・切り分け手順
1. NPSサーバーのセキュリティログの確認
イベントビューアを起動し、「Windows ログ」 > 「セキュリティ」を選択します。イベントID 6272（成功）および6273（失敗）の有無を確認します。
2. クライアント側の動作確認
接続に問題がある場合は、クライアント側のイベントログも確認します。
- 無線接続の場合:
Applications and Services Logs\Microsoft\Windows\WLAN-AutoConfig/Operationalを確認し、接続プロファイルや認証の成否を追跡します。 - 有線接続の場合:
Applications and Services Logs\Microsoft\Windows\Wired-AutoConfig/Operationalを確認し、有線LANでの認証プロセスを追跡します。
3. 証明書の検証
多くの802.1X認証の問題は、クライアントまたはサーバーの証明書（有効期限切れ、無効な証明書、信頼チェーンの検証失敗など）に起因します。NPSのスナップインから、適用されているネットワークポリシーの「制約」タブ > 「認証方法」セクションで、使用されているEAP方法と証明書が正しいか確認します。必要に応じて「CAPI2」ログ（Microsoft\Windows\CAPI2/Operational）を有効化して証明書エラーを追跡します。
コマンドによる監査ポリシーの確認と有効化
NPSの接続ログが記録されない場合、監査ポリシーの設定を確認・変更する必要があります。
- 目的: NPSの監査ポリシー（成功・失敗）が有効になっているか確認し、無効な場合は有効化する。
- 権限: 管理者権限で実行する必要があります。
- 変更の有無: 確認コマンドは変更なし。有効化コマンドはシステムの監査設定を変更します。
確認コマンド
auditpol /get /subcategory:"Network Policy Server"実行結果の読み方:
「Network Policy Server」の項目が「成功および失敗」（Success and Failure）になっていれば正常です。「監査なし」（No auditing）と表示された場合は、以下の有効化コマンドを実行します。
有効化コマンド
auditpol /set /subcategory:"Network Policy Server" /success:enable /failure:enable実行結果の読み方:
コマンドが正常に実行されると、NPSの接続成功（ID 6272）および失敗（ID 6273）がセキュリティログに記録されるようになります。
やってはいけない対処と専門家への相談条件
- 接続がうまくいかないからといって、NPSのネットワークポリシーや証明書をバックアップなしに削除・変更することは避けてください。設定を元に戻せなくなり、他の正常なクライアントの接続まで遮断されるリスクがあります。
- ネットワークスイッチやアクセスポイントの設定変更を、NPS側のログを確認せずに行うのは避けてください。まずはNPSのログで「認証サーバーまで要求が届いているか」を切り分けることが先決です。
- ログの解析や証明書の再発行手順が不明な場合、またはネットワーク全体の通信に影響が及んでいる場合は、社内のネットワーク管理者や構築ベンダー、マイクロソフトのサポート窓口などの専門家に相談してください。
よくある質問
Q1: イベントID 6272が大量に記録されていますが、異常ですか？
A1: 異常ではありません。イベントID 6272は接続要求が正常に受け入れられたことを示す「監査成功」のログです。多くのアクティブなクライアントが接続・再認証を繰り返す環境では、日常的に大量のログが記録されます。実害（接続できない、通信が途切れるなど）が発生していない限り、静観して問題ありません。
Q2: 接続が失敗しているのにイベントID 6272が記録されることはありますか？
A2: いいえ、接続要求が拒否された場合はイベントID 6273（Audit Failure）が記録されます。もしクライアント側で接続できないにもかかわらずID 6272が記録されている場合は、NPSでの認証・承認は成功しているものの、その後のIPアドレス割り当て（DHCP）やネットワークスイッチ、アクセスポイント側のVLAN設定などに問題がある可能性が考えられます。
Q3: 監査ポリシーを有効にしてもイベントID 6272が記録されません。なぜですか？
A3: クライアントからの認証要求（EAPOL/EAP）が、そもそもNPSサーバーまで到達していない可能性があります。クライアントとNPSサーバーの間にあるアクセスポイントやスイッチ、ファイアウォールの設定を確認し、RADIUSプロトコル（通常UDPポート1812/1645）の通信が許可されているか確認してください。
Q4: クライアント側のログはどこを確認すればよいですか？
A4: 無線接続の場合は、イベントビューアの「アプリケーションとサービス ログ」 > 「Microsoft」 > 「Windows」 > 「WLAN-AutoConfig」 > 「Operational」を確認します。有線接続の場合は、同様のパスにある「Wired-AutoConfig」 > 「Operational」を確認してください。
Q5: 証明書のエラーをより詳細に調査する方法はありますか？
A5: Windowsの「CAPI2」イベントログが有効です。デフォルトでは無効になっているため、イベントビューアの「アプリケーションとサービス ログ」 > 「Microsoft」 > 「Windows」 > 「CAPI2」 > 「Operational」を右クリックして「ログの有効化」を選択し、証明書の検証エラー（有効期限切れやルート証明書の不足など）が発生していないか確認します。
参考情報
まとめ
イベントID 6272は、NPSにおいて802.1X認証が正常に受け入れられたことを示すログです。接続トラブルの際は、本ログの「Connection Request Policy Name（接続要求ポリシー名）」や「Network Policy Name（ネットワークポリシー名）」を確認し、意図したポリシーで認証されているかを検証してください。接続に失敗する場合は、併発するイベントID 6273やクライアント側のWLAN/Wired-AutoConfigログ、CAPI2ログを合わせて確認することが、安全かつ迅速な原因特定につながります。