この記事はWindows Server初級講座の一部です。 基礎から順番に学習したい方は、講座一覧から進めてください。
Windows Server初級講座を見る →前の記事では、 Windows Updateと更新プログラムの基本について学びました。
では、Windows Serverで 「サービスが突然利用できなくなった」 「再起動後からエラーが発生している」 といった問題が起きた場合、 何を手掛かりに原因を調べればよいのでしょうか。
Windows Serverでは、 OSやアプリケーションなどで発生したさまざまな出来事が イベントログとして記録されます。
そのイベントログをGUIから確認するための代表的な管理ツールが、 イベントビューアー（Event Viewer）です。
イベントビューアーの役割と基本的な画面構成を理解し、 問題が発生したときに、どのログを開き、 何を手掛かりに調査すればよいのか を説明できる状態を目指します。
イベントビューアーとは？
イベントビューアーは、 Windowsに記録された イベントログを確認・管理するためのツールです。
Windows Serverでは、 システムの動作やアプリケーションの状態、 セキュリティに関する出来事など、 さまざまな情報がログとして記録されます。
Windowsやドライバー、サービスなどに関係するイベントを確認します。
アプリケーションやプログラムが記録したイベントを確認します。
構成されている監査ポリシーに応じて、ログオンなどの監査イベントを確認します。
イベントログは「Windows Serverで何が起きたか」を調べる手掛かり
障害対応では、 画面に表示されている症状だけでは 原因を判断できないことがあります。
たとえば、 あるサービスが正常に動作していない場合でも、 原因はサービスそのものとは限りません。
設定変更や依存するコンポーネント、 システム側の問題など、 さまざまな原因が考えられます。
イベントログは非常に重要な調査材料ですが、 ログにエラーが記録されているからといって、 そのイベントが必ず障害の根本原因とは限りません。
発生時刻・症状・ほかのログ・設定状況 などと組み合わせて判断することが重要です。
イベントビューアーを開く方法
イベントビューアーは、 Windows Serverの管理ツールなどから起動できます。
Windows Serverへサインインし、スタートメニューを開きます。
「イベント ビューアー」または「Event Viewer」を検索します。
起動後、左側のツリーから確認したいログを選択します。
サーバーマネージャーの ［ツール］メニューから イベントビューアーを起動する方法もあります。
イベントビューアーの基本画面を理解する
イベントビューアーを開くと、 複数の領域に分かれた管理画面が表示されます。
基本的には、 左側でログを選択し、中央でイベント一覧を確認し、 必要なイベントの詳細を見る という流れで利用します。
まず覚えたい「Windowsログ」
初めてイベントビューアーを使う場合は、 まずWindowsログにある代表的なログを覚えましょう。
| ログ | 主な内容 | 確認する場面の例 |
|---|---|---|
| Application | アプリケーションやプログラムが記録したイベント | アプリケーションのエラーや異常終了などを調べたい |
| Security | 監査ポリシーに基づいて記録されるセキュリティ関連イベント | ログオンなどの監査イベントを確認したい |
| Setup | Windowsのセットアップや構成に関係するイベント | セットアップや構成変更に関係する情報を確認したい |
| System | Windowsシステムやドライバー、サービスなどが記録するイベント | OSやサービス、システム関連の問題を調べたい |
| Forwarded Events | 他のコンピューターから転送されたイベント | イベント転送を構成して集中管理している環境で確認する |
アプリケーションに関係する問題なら Application、 Windowsやサービスなどシステム側の問題なら Systemが代表的な確認先です。
ただし、実際には1つの問題に関連するイベントが 複数のログへ記録されることもあります。
「エラー」「警告」「情報」の違い
イベント一覧には、 イベントの重要度や状態を示す レベルが表示されます。
機能や処理の失敗など、 問題が発生したことを示すイベントです。
現時点では致命的ではなくても、 注意が必要な状態などを示します。
正常な処理や状態変化など、 通常の動作に関する情報も記録されます。
Windows Serverには、 過去に発生したエラーや、 一時的に発生してすでに解消しているイベントも残っています。
そのため、 「エラーを見つけたからこれが原因だ」 と即断しないことが重要です。
イベントを調べるときに見る4つの項目
イベントログを調査するときは、 エラーという表示だけを見るのではなく、 複数の情報を組み合わせて確認します。
障害が発生した時刻とイベントの記録時刻が近いか確認します。
どのコンポーネントやサービスなどがイベントを記録したか確認します。
イベントを識別するための番号を確認します。
特に重要なのは、 発生日時・ソース・イベントID・イベントの説明 です。
この情報を使って、 発生している症状との関連性を確認していきます。
イベントIDだけで原因を判断しない
イベントIDは、 障害調査でよく利用する情報です。
しかし、 イベントIDだけを見て原因を決めるのは適切ではありません。
同じイベントIDでも、 どのソースが記録したイベントなのか、 どのWindows Server環境なのかによって 意味を正しく読み取るための前提が異なる場合があります。
たとえばWeb検索や製品ドキュメントで調査するときも、 「イベントID 〇〇」だけではなく、 ソース名やエラーメッセージ、利用している製品 などを合わせて確認すると、 関係のない情報を拾いにくくなります。
障害調査では「発生時刻」から確認する
イベントビューアーには大量のログが記録されるため、 最初からすべてのエラーを調べようとすると 非常に時間がかかります。
そこで重要なのが、 障害が発生した時刻を基準にログを確認する という考え方です。
たとえば 「10時12分ごろから共有フォルダへアクセスできない」 という情報があれば、 その前後の時刻に記録されたイベントを中心に確認できます。
ログが多いときはフィルターを使う
SystemやApplicationには、 非常に多くのイベントが記録されます。
必要なイベントを探すときは、 現在のログをフィルターすることで 対象を絞り込めます。
必要なイベントだけに絞り込む
たとえば、 問題が発生した時間帯に絞り、 エラーや警告を中心に確認することで、 大量のログから関連するイベントを探しやすくなります。
実務で使えるイベントログ調査の基本手順
Windows Serverで問題が起きた場合は、 次の順番で考えると整理しやすくなります。
利用できない機能や表示されているエラーなど、現在の症状を確認します。
いつから問題が発生しているのかを確認します。
症状に応じてSystemやApplicationなどを確認します。
大量のログをすべて見るのではなく、障害発生時刻を基準に確認します。
関連しそうなイベントの詳細を確認し、原因候補を絞ります。
イベントビューアーには、 障害と無関係な警告やエラーが記録されていることもあります。
そのため、 症状 → 発生時刻 → 対象ログ → 関連イベント の順番で確認することが、 効率的なトラブルシューティングにつながります。
Windows Update後のトラブルでもログを確認できる
前の記事で学習したWindows Updateでも、 更新後に何らかの問題が発生した場合、 イベントログが調査材料になることがあります。
たとえば、 更新後の再起動を終えたあとに 特定の機能が利用できない場合は、 問題が発生した時刻の前後を確認します。
ただし、 更新直後に問題が起きたという時間的な関係だけで、 更新プログラムが原因だと断定することはできません。
ログやサービスの状態などを確認しながら、 原因を切り分けることが重要です。
イベントログを削除する前に考えること
イベントビューアーには、 ログを消去する機能もあります。
しかし、運用中のサーバーでは、 障害調査や監査などで過去のログが必要になる場合があります。
「エラーがたくさん表示されているから」 という理由だけでログを削除すると、 後から障害の原因を調査するときに 必要な情報を失う可能性があります。
本番環境では、 組織のログ管理・保管ルールに従う ことが重要です。
理解度チェック：どのログから確認する？
実際のWindows Server運用を想定して考えてみましょう。
10時ごろからWindows Server上のサービスに問題が発生しています。
OSやサービス側のイベントを確認したい場合、 最初の確認先として適切なものはどれでしょうか？
OSやWindowsサービスなどシステム側の問題では、 Systemログが代表的な確認先です。 障害発生時刻が10時ごろと分かっているため、 その前後に記録されたイベントを確認すると効率的です。
確認問題：イベントビューアーの基本を理解できたか確認しよう
最後に3問の確認問題に挑戦してみましょう。
イベントビューアーの主な役割として適切なものはどれですか？
イベントビューアーは、 Windowsに記録されたイベントログを 確認・管理するための代表的なツールです。
障害調査でイベントログを確認するとき、適切な考え方はどれですか？
過去のエラーや障害と無関係なイベントも存在するため、 症状や発生時刻、ソース、イベントID、 メッセージなどを組み合わせて判断します。
Windowsやサービスなどシステム側のイベントを確認するとき、代表的なログはどれですか？
Systemログには、 Windowsシステムやドライバー、 サービスなどが記録するイベントが含まれます。
次はWindowsサービスの管理を学ぼう
イベントビューアーを使うことで、 Windows Serverで発生した出来事を ログから確認できるようになりました。
イベントログを調査していると、 「サービスが停止した」 「サービスを開始できなかった」 といった情報を目にすることがあります。
では、この「Windowsサービス」とは そもそも何なのでしょうか。
次の記事では、 Windowsサービスとは何か、 実行中・停止中などの状態、 サービスの開始・停止、 スタートアップの考え方などを学習します。
まとめ
今回は、 Windows Serverのイベントビューアーと イベントログの基本について学習しました。
イベントビューアーは、 Windowsに記録されたイベントログを確認するための管理ツール
初級ではまず、 Application・System・SecurityなどWindowsログの役割 を理解する
ログ調査では、 発生日時・ソース・イベントID・イベントの説明 を確認する
エラーが記録されていても、 そのイベントが障害の根本原因とは限らない
障害調査では、 症状 → 発生時刻 → 対象ログ → 関連イベント の順に絞り込む
次は「Windowsサービスとは？確認・開始・停止方法を理解する」を学びましょう
イベントログの確認方法を理解したら、 次はWindows Server上でバックグラウンド動作する Windowsサービスについて学びます。 サービスの状態確認や開始・停止、 スタートアップの基本を確認していきます。
次のレッスンへ進む →Windows Server初級の学習一覧へ戻る
他のレッスンを確認したい場合は、 Windows Server初級講座の一覧ページへ戻りましょう。
← Windows Server初級講座へ戻る