Windows 10 / Windows Server 2016でWindowsUpdate.logを表示および解析する方法は？

歴史的に、 WindowsUpdate.log プレーンテキストファイルは、WindowsUpdateエージェントおよびサービスの動作を分析するために使用されています。ただし、Windows 10（Windows Server 2016/2019）のWindows Updateログは、Windowsのイベントトレースに保存されます。 ファイル形式（ ETW ）、通常のテキストファイルの代わりに。このようなアクションにより、Windows開発者は、ロギングサブシステムのパフォーマンスを向上させ、ディスク上のテキストファイルが占めるスペースを削減することを計画しました。

したがって、WindowsUpdateイベントは％windir％\ WindowsUpdate.logにリアルタイムで書き込まれなくなりました。 ファイル。このファイルはWindowsフォルダーのルートにまだ存在していますが、WUログの収集にETW形式が使用されていることを示しているだけです。

Windows Updateログは、ETW（Windowsのイベントトレース）を使用して生成されるようになりました。

Get-WindowsUpdateLog PowerShellコマンドを実行して、ETWトレースを読み取り可能なWindowsUpdate.logに変換してください。

詳細については、http：//go.microsoft.com/fwlink/？LinkId=518345にアクセスしてください。

管理者にとっての新しいログ方法の欠点– Windows Updateエージェントサービスをすばやく分析したり、WindowsUpdate.logテキストファイルでエラーコードを見つけたり（Windows Updateエラーコードの完全なリストを参照）、WSUSエージェントの設定を確認したりすることができなくなりました。更新プログラムのインストール履歴を分析します。

ETWイベントをプレーンテキストのWindowsUpdate.logファイルに変換して、更新サービスイベントをより便利に分析できます。これを行うには、PowerShellコマンドレット– Get-WindowsUpdateLog を使用します 。このコマンドレットを使用すると、すべての .etlから情報を収集できます。 ファイル（ C：\ WINDOWS \ Logs \ WindowsUpdateに保存されます ）そして、単一のWindowsUpdate.logテキストファイルを作成します。

WindowsUpdate.logファイルを生成してC：\ PS \ Logsに保存するには、PowerShellコンソールで次のコマンドを実行します。

Get-WindowsUpdateLog -logpath C:\PS\Logs\WindowsUpdate.log

Windows Server 2016では、Get-WindowsUpdateLogコマンドレットを実行すると、「SymSrv.dllが見つかりません」というエラーが表示される場合があります。

Copy-Item : Cannot find path 'C:\Program Files\Windows Defender\SymSrv.dll' because it does not exist. At C:\Windows\system32\WindowsPowerShell\v1.0\Modules\WindowsUpdate\WindowsUpdateLog.psm1:56 char:5

Windows Defenderがサーバーにインストールされていない場合、ファイル「C：\ Program Files \ Windows Defender\SymSrv.dll」は通常欠落しています。

エラーを修正するには、Windows Defenderをインストールするか、別のWindows Server 2016 / Windows 10からSymSrv.dllファイルをコピーするか、ローカルのWinSxSフォルダー（私の場合、ディレクトリの名前は C：\ Windows \ WinSxS\amd64_windows-defender-service-cloudclean_… ）そしてそれを「C：\ ProgramFiles\WindowsDefender」フォルダにコピーします。

古いWindows10ビルドでは、Get-WindowsUpdateLogコマンドレットを初めて実行すると、 Microsoft InternetSymbolStoreがダウンロードおよびインストールされます。 最新バージョンのWindows10は、AzureのMicrosoftCharacterServerにオンラインでアクセスします。次に、コマンドレット：

1. すべての.etlファイルからデータを読み取ります;
2. データはCSV（デフォルト）またはXML形式に変換されます;
3. 中間形式のファイルのデータが変換され、LogPathパラメーターで指定されたログテキストファイルに追加されます（LogPathのパラメーターが指定されていない場合、WindowsUpdate.logは、を実行しているユーザーのデスクトップに作成されます。コマンド）

ヒント。 ETLファイルを分析するもう1つの方法は、多少複雑ですが、 Tracefmt.exeを使用することです。 .etlからデータを受信するユーティリティ。

次のPowerShellコマンドを使用してログファイルを開きます：

Invoke-Item -Path C:\PS\Logs\WindowsUpdate.log

場合によっては、WindowsUpdate.logファイルに次のような文字列が表示されます。

Unknown(140): GUID=53212e4cc-4321-f43a-2123-9ada0090bc12b (No Format Information found).

これは、Windowsシンボルサーバーがインストールされていないことを意味します（現在、Azureのシンボルストアから自動的にダウンロードされるため、個別のWindowsシンボルインストーラーをダウンロードすることはできません）。分離された環境では、記事「WindowsUpdateのオフラインシンボル」に従ってオフラインバージョンのシンボルサーバーを使用できます。

ヒント。 作成されたWindowsUpdate.logファイルは静的であり、以前のWindowsバージョンのようにリアルタイムで更新されないことに注意してください。ファイルを更新するには、Get-WindowsUpdateLogコマンドレットをもう一度実行するか、ある頻度でファイルを自動的に更新するスクリプトを作成する必要があります（ファイルは上書きされます）。

多くのイベントソースからデータを収集するため、結果のWindowsUpdate.logファイルを分析することは非常に困難です。

• エージェント–WindowsUpdateエージェントイベント;
• AU –自動更新;
• AUCLNT –ユーザーインタラクション;
• HANDLER –インストーラー管理を更新します;
• MISC –一般的なWU情報;
• PT –ローカルデータストアとの更新の同期;
• レポート–レポートコレクション;
• サービス–wuauservサービスの開始/停止イベント;
• セットアップ–新しいバージョンのWindowsUpdateクライアントをインストールします;
• DownloadManager –BITSを使用してローカルキャッシュに更新をダウンロードします;
• ハンドラー、セットアップ–インストーラーヘッダー（CBSなど）;
• その他多数。

単純な正規表現を使用して、Windows Updateエージェント（エージェント）から最新の30個のイベントを選択できます。

Select-String -Pattern '\sagent\s' -Path C:\PS\Logs\WindowsUpdate.log | Select-Object -Last 30

WindowsUpdate.logのイベントは、いくつかのソースでフィルタリングできます。

Select-String -Pattern '\sagent\s|\smisc\s' -Path c:\PS\Logs\WindowsUpdate.log | Select-Object -Last 50

同様に、テキストファイルのイベントをKB番号、エラー（FAILED、終了コード、FATAL）で解析できます。

リモートコンピューターまたはサーバーのWindowsUpdate.logファイルを生成することもできます。

Get-WindowsUpdateLog -ETLPath \\ny-srf-1\C$\windows\Logs\WindowsUpdate -LogPath C:\PS\Logs\windowsupdate-ny-srf-1.log

イベントビューアログを使用して、WindowsUpdateサービスの動作を分析することもできます。次の[イベントビュー]セクションを展開します。アプリケーションとサービスのログ->Microsoft->Windows –>WindowsUpdateClient->操作可能 。

PSWindowsUpdateモジュールを使用して、PowerShellCLIからの更新を管理できます。