Windowsを使用していると、システムで発生したさまざまなイベントを確認したいときがあります。たとえば、エラーメッセージやシステムの起動・終了など、重要な情報が含まれていることが多いです。
これらの情報を効率的に取得し、保存するために、PowerShellを使ってイベントログを操作する方法を学びましょう。本記事では、初心者向けにPowerShellを使ってイベントログを取得し、保存する方法をわかりやすく解説します。
イベントログとは？
イベントログは、Windowsシステムが記録する出来事の一覧です。これには、システムの起動、シャットダウン、エラー、警告、情報メッセージなどが含まれます。
これらのログは、システムの問題解決や動作の追跡に役立ちます。PowerShellを使えば、これらのイベントログを簡単に取得し、保存することが可能です。
PowerShellでイベントログを取得する方法
PowerShellを使用して、Windowsのイベントログを簡単に取得できます。以下の手順で進めてみましょう。
使用可能なイベントログの一覧を取得する
最初に、システムで利用可能なイベントログの一覧を表示しましょう。このコマンドを実行すると、各ログの名前やエントリ数が表示されます。
Get-EventLog -Listこのコマンドは、システムで利用可能なすべてのイベントログを一覧表示します。
最新のイベントを取得する
特定のイベントログから、最新のイベントを取得することもできます。たとえば、システムログから最新の5つのイベントを取得するには、次のコマンドを実行します。
Get-EventLog -LogName System -Newest 5これにより、システムログ内で最も新しい5件のイベントが表示されます。
特定の種類のイベントを取得する
特定の種類のイベント（例：エラーイベント）を取得することもできます。たとえば、システムログからすべてのエラーイベントを取得するには、次のコマンドを使用します。
Get-EventLog -LogName System -EntryType Errorこのコマンドは、システムログ内のすべてのエラーイベントを表示します。
PowerShellでイベントログを保存する方法
取得したイベントログを保存して、後で参照することができます。次に、取得したログをファイルとして保存する方法を見てみましょう。
テキストファイルにログを保存する
取得したイベントログをテキストファイルに保存する場合は、次のようにします。たとえば、最新の5つのイベントをシステムログから取得し、デスクトップに保存します。
Get-EventLog -LogName System -Newest 5 | Out-File -FilePath "$env:UserProfile\Desktop\SystemLog.txt"このコマンドにより、システムログの最新5件のイベントがテキストファイルとして保存されます。
.evtx形式でログを保存する
イベントログを標準のWindowsイベントログ形式（.evtx）で保存することもできます。.evtx形式で保存するには、以下のようにwevtutilコマンドを使用します。
wevtutil epl System "$env:UserProfile\Desktop\SystemLog.evtx"これにより、システムログが.evtx形式でデスクトップに保存され、後でイベントビューアーで開いて確認することができます。
リモートコンピューターからイベントログを取得する
PowerShellを使ってリモートコンピューターからイベントログを取得することも可能です。たとえば、複数のリモートコンピューターからシステムログを取得するには、以下のコマンドを使用します。
Get-EventLog -LogName System -ComputerName Server01, Server02, Server03このコマンドにより、指定したリモートコンピューターのシステムログが取得されます。
イベントログのフィルタリングと解析
大量のイベントログから特定の情報を抽出するために、フィルタリングと解析の方法を学びましょう。
特定のメッセージを含むイベントを取得する
特定のキーワードを含むイベントだけを取得したい場合、次のようにします。
Get-EventLog -LogName System -Message *description*このコマンドは、メッセージに「description」という単語を含むイベントを取得します。
イベントをユーザー名でグループ化する
イベントをユーザー名でグループ化し、各ユーザーごとのイベント数を確認するには、以下のコマンドを使用します。
Get-EventLog -LogName System -UserName NT* | Group-Object -Property UserName -NoElementこのコマンドにより、各ユーザー名ごとにイベントがグループ化され、その数が表示されます。
特定の日時範囲内に発生したイベントを取得する方法
特定の期間に発生したイベントだけを取得したい場合、PowerShellのGet-EventLogコマンドを使用して、開始日時と終了日時を指定できます。これにより、指定した日時範囲内で発生したイベントのみを取得することが可能です。
開始日時と終了日時を指定してイベントを取得する
以下のコマンドは、特定の期間に発生したシステムログのエラーイベントを取得する例です。
$Begin = Get-Date -Date '2024-08-10 08:00:00'
$End = Get-Date -Date '2024-08-10 17:00:00'
Get-EventLog -LogName System -EntryType Error -After $Begin -Before $End$Beginと$Endにそれぞれ開始日時と終了日時を指定しています。-LogName Systemは、システムログを対象にしていることを示します。-EntryType Errorは、エラータイプのイベントのみを対象にしています。-Afterと-Beforeパラメーターで、指定された日時範囲内のイベントのみを取得します。
この方法により、必要な期間内のイベントを効率的に絞り込むことができ、問題の発生時期やシステムの動作を詳細に分析するのに役立ちます。
特定の日時範囲内のイベントを保存する
取得したイベントを保存して、後で確認したり共有したりすることができます。以下のコマンドは、指定した日時範囲内のイベントをテキストファイルに保存する例です。
$Begin = Get-Date -Date '2024-08-10 08:00:00'
$End = Get-Date -Date '2024-08-10 17:00:00'
Get-EventLog -LogName System -After $Begin -Before $End | Out-File -FilePath "$env:UserProfile\Desktop\SystemLog_20240810.txt"このコマンドでは、指定した日時範囲内のシステムログがテキストファイルとしてデスクトップに保存されます。これにより、後から特定の期間に発生したイベントを確認しやすくなります。
まとめ
PowerShellを使ってWindowsのイベントログを取得し、保存する方法について学びました。基本的なコマンドから始め、リモートコンピューターのログ取得や、ログのフィルタリング、保存方法まで幅広くカバーしました。これにより、システムの状態を把握し、トラブルシューティングに役立てることができます。
イベントログの操作は、システム管理者だけでなく、一般ユーザーにとっても重要なスキルです。この記事を参考に、PowerShellを使いこなして、システム管理の効率を高めましょう。
Tamaglo最後までお読みいただきありがとうございます。
コメント