Windows 11では、ネットワーク上の他のコンピューターからイベントログを一元的に収集できる仕組みが用意されています。その中核を担うのが「Windows Event Collector」というサービスです。
このサービスは、イベントサブスクリプション機能を通じてリモートデバイスからのイベントを収集し、管理者が複数端末のログを効率的に監視できるようにします。特に企業ネットワークやセキュリティ強化が必要な環境では、重要な役割を果たします。
サービスの基本情報
- サービス名：Windows Event Collector
- 内部サービス名：
Wecsvc - 実行ファイル：
svchost.exe -k LocalService - スタートアップの種類：手動（初期設定）
サービスの概要
Windows Event Collectorは、WS-Managementプロトコル（WinRM）を通じて他のWindows端末からイベントログを受信するためのバックグラウンドサービスです。
グループポリシーやPowerShellを使ってイベントの「サブスクリプション」を構成することで、特定のイベント（ログオン失敗、アプリケーションエラーなど）を自動的に収集可能になります。
主な用途と機能
- リモート端末からイベントログを収集
- イベントサブスクリプションの受信側として動作
- ネットワーク上のログ管理を集中化
- セキュリティインシデントや障害の早期検知を支援
- WS-ManagementまたはHTTP/Sによる通信に対応
サービスの設定方法
Win + R→services.mscを入力してサービス一覧を表示- 「Windows Event Collector」をダブルクリック
- 「スタートアップの種類」が「手動」であることを確認
- サブスクリプション構成時に必要に応じて「開始」をクリック
有効化や無効化の手順
有効化する場合
sc config Wecsvc start= demand
net start Wecsvc
無効化する場合
net stop Wecsvc
sc config Wecsvc start= disabled
※サービスを無効化すると、リモートからのイベント受信ができなくなります
推奨設定とその理由
- 一般ユーザーや家庭用PC：手動のままで問題なし
- 管理者がイベント収集を行っている環境：必要に応じて「自動（遅延開始）」などに設定し、常時受信できるように調整
- サブスクリプション機能を使わない場合はサービスを起動する必要はありません
よくあるトラブルと対処法
トラブル事例
- イベントサブスクリプションが有効にならない
- サービスが勝手に停止している
- リモートPCからイベントが届かない
- イベントログに
Wecsvc関連のエラーが表示される
解決手順
- サービスが無効になっていないか確認
sc query Wecsvc
- サービスの再起動
net stop Wecsvc
net start Wecsvc
- WinRMが有効になっているか確認
winrm quickconfig
- イベントサブスクリプションの確認
イベントビューアー > サブスクリプション に表示されているか確認
関連サービスや補足情報
| サービス名 | 説明 |
|---|---|
Windows Remote Management (WinRM) | WS-Managementプロトコルを提供する基盤 |
EventLog (eventlog) | イベントログ記録を行う必須サービス |
Windows Management Instrumentation (Winmgmt) | 管理スクリプトの実行を支援 |
Task Scheduler (Schedule) | イベントに連動したタスクの実行にも活用可能 |
バッチファイル例
@echo off
sc config Wecsvc start= demand
net start Wecsvc
pause
FAQセクション
Q1：家庭用PCでもこのサービスは必要ですか？
通常は不要です。主に企業やネットワーク管理者向けのサービスで、家庭用PCで無効にしても問題ありません。
Q2：イベントサブスクリプションの設定はどうすればできますか？
イベントビューアーで「サブスクリプション」を選択し、新規作成から送信元を追加することで構成できます。WinRMが有効になっていることが前提です。
関連リンク
- Windows Event Collector の構成ガイド（Microsoft公式）
- WinRMの設定と確認方法（Microsoft公式）
- イベントビューアーを使ったトラブル調査方法
- バッチファイルでイベント監視を自動化する方法
まとめ
Windows Event Collectorは、Windows 11でリモートイベント収集を実現するための中核サービスです。特に複数端末を管理するシステム管理者にとっては、不可欠な仕組みとなります。
一般的な用途では手動のままで問題ありませんが、ログの一元管理やセキュリティ対策を強化したい場合は、サービスを有効にし、WinRMやサブスクリプション設定と連携することで、その力を発揮します。
Tamaglo最後までお読みいただきありがとうございます。
コメント