【Windows 11/10】WevtUtilコマンドとは？基本的な使い方を徹底解説

WevtUtil.exeは、Windowsオペレーティングシステムに標準搭載されているコマンドラインユーティリティで、主にプロバイダー（Provider）をコンピューターに登録するために使用されます。このツールは%windir%\System32フォルダーに配置されており、実行には管理者（Administrators）グループの権限が必要で、昇格された特権で起動しなければなりません。本記事では、Windows 11またはWindows 10のPCでこの内蔵ツールを活用する方法を詳しく解説します。

C:\System32のWevtUtil.exeとは何か？

Windows Events Command Line Utilityとして知られるこのプロセスは、Microsoft製Windows OSにネイティブに組み込まれています。wevtutil.exeファイルはC:\Windows\System32フォルダー内に存在し、Windows 11/10におけるファイルサイズは171,008バイトです。WevtUtil.exeはWindowsの中核を担うシステムファイルの一つです。

WevtUtilとは？何ができるのか

WevtUtil.exeコマンドを使うと、イベントログやパブリッシャー（イベント発行元）に関する情報を取得できます。具体的には、プロバイダーのメタデータ情報、発行可能なイベント、イベントを記録するチャンネルに関する情報の取得や、チャンネル・ログファイルからのイベント照会などが可能です。

PCユーザーは、以下のような目的でWevtUtilコマンドを利用できます。

• イベントログおよびパブリッシャーに関する情報を取得する
• 自己完結型の形式でログをアーカイブする
• 利用可能なログを列挙する
• イベントマニフェストをインストール・アンインストールする
• クエリを実行する
• イベントを指定したファイルへエクスポートする（イベントログから、ログファイルから、または構造化クエリを使用）
• イベントログをクリアする

使用方法を確認するには、コマンドプロンプトでwevtutil /?と入力してください。

WevtUtilコマンドの基本的な使い方

ここからは、Windows 11/10環境でのWevtUtilコマンドの基本的な使い方を見ていきましょう。

Windowsキー + Rを押し、「cmd」と入力してEnterキーを押すと、コマンドプロンプトが開きます。あるいは、Windowsターミナルを開いてコマンドプロンプトのプロファイルを選択しても構いません。CMDプロンプト上で、実行したいタスクに応じて以下のコマンドを入力してください。

注意：WevtUtilのほとんどのオプションは大文字・小文字を区別しませんが、組み込みヘルプのみは区別されるため、大文字（UPPER case）で指定する必要があります。また、単にイベントログのデータを取得したいだけであれば、PowerShellコマンドレットのGet-WinEventの方がより簡単かつ柔軟に使えます。

• すべてのログ名を一覧表示する：

wevtutil el

• ローカルコンピューターのSystemログの構成情報をXML形式で表示する：

wevtutil gl System /f:xml

• 構成ファイルを使ってイベントログの属性を設定する（構成ファイルの例は後述の備考を参照）：

wevtutil sl /c:config.xml

• Microsoft-Windows-Eventlogイベントパブリッシャーの情報（発行可能なイベントのメタデータを含む）を表示する：

wevtutil gp Microsoft-Windows-Eventlog /ge:true

• myManifest.xmlマニフェストファイルからパブリッシャーとログをインストールする：

wevtutil im myManifest.xml

• myManifest.xmlマニフェストファイルからパブリッシャーとログをアンインストールする：

wevtutil um myManifest.xml

• Applicationログから最新3件のイベントをテキスト形式で表示する：

wevtutil qe Application /c:3 /rd:true /f:text

• Applicationログの状態を表示する：

wevtutil gli Application

• SystemログのイベントをC:\backup\system0506.evtxへエクスポートする：

wevtutil epl System C:\backup\system0506.evtx

• Applicationログの全イベントをC:\admin\backups\a10306.evtxに保存してからクリアする：

wevtutil cl Application /bu:C:\admin\backups\a10306.evtx

• Applicationログの全イベントをクリアする：

wevtutil clear-log Application

• コンピューターにインストールされているすべてのイベントログを解析して一括クリアする：以下の構文でバッチファイルを作成し、.batファイルとして実行します。

@echo off
for /f "tokens=*" %%G in ('wevtutil.exe el') do (wevtutil.exe cl "%%G")

• SystemログのイベントをC:\backup\ss64.evtxへエクスポートする：

wevtutil export-log System C:\backup\ss64.evtx

• 現在のコンピューター上のイベントパブリッシャーを一覧表示する：

wevtutil enum-publishers

• SS64.manマニフェストファイルからパブリッシャーとログをアンインストールする：

wevtutil uninstall-manifest SS64.man

• タスクスケジューラのイベントログを有効にする：

wevtutil set-log "Microsoft-Windows-TaskScheduler/Operational" /e:true >null 2>&1

• Applicationログから最新50件のイベントをテキスト形式で表示する：

wevtutil qe Application /c:50 /rd:true /f:text

• Systemログから直近20件の起動イベントを検索する：

wevtutil query-events System /count:20 /rd:true /format:text /q:"Event[System[(EventID=12)]]"

WevtUtil.exeコマンドは、イベントビューアーとログのほぼあらゆる側面を制御できる反面、それらの細かな動作を指定するために多くのパラメーターやスイッチが必要になります。WevtUtil.exeの構文全体の構造を確認し、このネイティブツールについてさらに詳しく学びたい方は、Microsoftの公式ドキュメントを参照してください。

本記事が皆さんのお役に立てば幸いです！

Windowsログにはどうやってアクセスする？

Windows 11、Windows 10、Windows Serverでイベントビューアーにアクセスするには、以下の手順を実行します。

• スタートボタンを右クリックします。
• コントロールパネル ＞ システムとセキュリティを選択します。
• 管理ツールをダブルクリックします。
• イベントビューアーをダブルクリックします。
• 確認したいログの種類を選択します（例：Application、System）。

システムログには何が記録される？

Windows 11/10のPCでは、システムログ（Syslog）に、OSのプロセスやドライバーがどのように読み込まれたかを示すオペレーティングシステム（OS）イベントの記録が保存されています。Syslogには、コンピューターOSに関連する情報イベント、エラーイベント、警告イベントが表示されます。

ログファイルは削除できる？

デフォルト設定では、DBはログファイルを自動的に削除しません。そのため、DBのログファイルは放置すると、最終的に不要なほど大量のディスク容量を消費するまで増大していきます。これを防ぐには、アプリケーションで使用されなくなったログファイルを、定期的に管理操作によって削除する必要があります。アプリケーションレベルのログファイルは、システムビュー ＞ データベースプロパティ ＞ エンタープライズビューから削除できます。Planningアプリケーションの種類と、削除対象のログファイルを含むアプリケーションを展開し、アプリケーションを右クリックして「ログの削除」を選択してください。