WS1 UEM管理下のWindowsデバイスのトラブルシューティング時などに有用なログ収集の方法を紹介します。
また、実際のトラブルシュート時の小技なども紹介したいと思います。
大まかな流れは以下の通りです。
1．WS1 UEM管理コンソールからリモートでログ取得
2．取得したログの確認
3．小技
1．WS1 UEM管理コンソールからリモートでログ取得
ログ収集を行う際、管理者目線で言うと、可能であればユーザー側の操作なしにリモートでかつサイレントで収集できることが望ましいと思います。
WS1 UEMではリモートでログ収集を行う機能が備わっているため、その機能を利用します。
WebブラウザでWorkspace ONE UEMの管理コンソールにログインし、ログ取得対象のデバイス詳細画面で[その他のアクション]>[デバイスログを要求]をクリックします。
【補足】
[HUB]の方は文字通りIntelligent Hubのログの収集で、[システム]の方はOSレベルのログを一部収集することができます。
2．取得したログの確認
次に実際に取得されたログを確認してみます。
先ほどログ取得を実行したデバイスの詳細画面で[その他]>[添付ファイル]をクリックします。
[ファイル]タブをクリックすると収集されたログの一覧が表示されます。
ファイル名の接頭辞部分(Hub_とかSystem_の部分)は、ログ取得実行時に選択した種別に対応したものになります。
[spanned]という文字列が含まれているファイルはサイズの関係で複数のファイルに分割された状態になっているログです。
ファイル名のリンクをクリックするとダウンロードができます。
【補足】
ファイル分割はされないような機能改善がどこかのバージョンで実施されたため今後は不要かもしれません。分割されていても次の手順で対応が可能です。
[spanned]が名前に含まれるファイルはそのままだと中身を見ることができないため一手間必要になります。
まずは、末尾にzXXを含むファイルの拡張子部分を削除します。すると右側の画像のようになるはずです。
【補足】
_spanned.zXXというファイルが無ければ(=分割されていなければ)この対応は不要です。
残ったZIPファイルを右クリック後、7-Zip>[ここに展開]をクリックします。
階層を掘っていくとログZipファイルの本体が現れるので、これを解凍します。
3．小技
前述の解凍したZIPファイルの中身を見ると、少なくともIntelligent Hubのログフォルダである[C:\ProgramData\Airwatch\UnifiedAgent\Logs]はZIPファイルの中に含まれているようです。
Hubでデフォルトで出力されるようなログはこの前述の方法だけ収集できますが、それ以外の、例えばOSのイベントログや他アプリケーションのログを取得することはできません。（OSイベントログについては一部含まれるものもありますが、分量としてはある程度限定されます。）
ただし、[C:\ProgramData\Airwatch\UnifiedAgent\Logs]フォルダに含まれてさえいればこの機能で収集することができるので、例えば特定のレジストリが取得したい、とかOSレベルのイベントログの確認が必要、他アプリのログが欲しいなどの場合は、上記のフォルダに対象のログをエクスポートするコマンドをスクリプト機能などで実行しておき、その後Hubのログ収集を実行することで、Hubとは直接関連しないログも収集することが可能です。
例として、以下のようなコマンドをスクリプト機能やプロダクトプロビジョニングなどで事前に実行しておき、その後Hubのログ収集機能を実行することで、Hubに関連しないレジストリ値やログでもデバイス側の操作無しに収集することが可能です。
■レジストリエクスポート
reg export HKLM\SOFTWARE\myapp C:\ProgramData\Airwatch\UnifiedAgent\Logs\myapp.reg
■イベントログエクスポート
wevtutil export-log system C:\ProgramData\Airwatch\UnifiedAgent\Logs\System_YYYYMMDD.evtx
上記の方法で、HKLM¥SOFTWARE¥Microsoftのレジストリとシステムイベントログを実際に検証機のHubのログ収集機能で取得してみた結果が以下です。
WS1関連の問題と思いきや、調査を進めるうちに他のアプリ起因の問題の可能性が出てくる、なんてことは往々にしてあると思いますが、そんな時でもWS1の機能をうまく活用することで調査を円滑にすすることができるのではないかと思います。
コメント
コメントを投稿