Windows 10は、アクティブではなかったときにイベントにログオンおよびログオフしますか？

Question

イベントについて次のデータが表示されています。

An account was logged off Security ID S-1-5-90-0-10
                           account name DWM-10 at 00:01:24 
                                        DWM-9  at  00:01:36
                           Security Id S-1-5-96-0-9            
                                       UMFD-9 at  00:01:36 logged off

特にログオンしなかった場合の意味を説明してください。

Answer 1

• S-1-5-96-0-9

• S-1-5-90-0-10

これらのユーザーは両方とも既知のシステムアカウントです。この場合、 S-1-5、NT_AUTHORITYに属します

SECURITY_NT_AUTHORITY識別子権限のみを含むSID。

出典： よく知られているSID構造

特にログオンしなかった場合の意味を説明してください。

異常なことは何も起こりませんでした。

Answer 2

S-1-5-90-0で始まるアカウント（アカウント名DWM-x）は、システムサービス用のDesktop WindowManagerコンポーネントによってオンザフライで生成されます。

S-1-5-96-0で始まるアカウント（アカウント名UMFD-x）は、システムサービスのユーザーモードドライバーフレームワークコンポーネントによってオンザフライで生成されます。

（通常のユーザーアカウントはS-1-5-21で始まります。）

あなたが観察している振る舞いは完全に正常です。