次の方法で共有

about_Logging_Non-Windows

  • [アーティクル]

簡単な説明

PowerShell は、エンジン、プロバイダー、コマンドレットからの内部操作をログに記録します。

詳細な説明

PowerShell では、エンジンの開始と停止、プロバイダーの起動と停止など、PowerShell 操作の詳細がログに記録されます。 また、PowerShell コマンドに関する詳細もログに記録されます。

Windows PowerShell 5.1 でのログ記録の詳細については、about_Loggingを参照してください。

PowerShell ログの場所は、ターゲット プラットフォームによって異なります。

  • Linux では、PowerShell は Syslog サーバーに 転送できるシステム ジャーナル にログを 記録 します。 詳細については、Linux ディストリビューションの man ページを参照してください。
  • macOS では、Apple の統合ログ システムが使用されます。 詳細については、ログ記録に関する Apple の開発者向けドキュメントを参照してください。

PowerShell では、次の 2 つのカテゴリのログ記録の構成がサポートされています。

  • モジュール ログ - 指定されたモジュールのメンバーのパイプライン実行イベントを記録します。 モジュールのログ記録は、セッションと特定のモジュールの両方で有効にする必要があります。 このログの構成の詳細については、about_PowerShell_Configを参照してください。

    構成によってモジュール のログ記録が有効になっている場合は、モジュールの LogPipelineExecutionDetails プロパティの値を設定することで、セッション内の特定のモジュールのログ記録を有効または無効にすることができます。

    たとえば、PSReadLine モジュールのモジュール ログ記録を 有効にするには、次のようにします 。

    $psrl = Get-Module PSReadLine
$psrl.LogPipelineExecutionDetails = $true
Get-Module PSReadline | Select-Object Name, LogPipelineExecutionDetails

    Name       LogPipelineExecutionDetails
----       ---------------------------
PSReadLine                        True

  • スクリプト ブロックのログ記録 - 対話形式で呼び出された場合でも、自動化を介して呼び出された場合でも、コマンド、スクリプト ブロック、関数、スクリプトの処理を記録します。

    スクリプト ブロック ログを有効にすると、PowerShell は処理するすべてのスクリプト ブロックの内容を記録します。 有効にすると、新しい PowerShell セッションによってこの情報がログに記録されます。

    Note

    診断以外の目的でスクリプト ブロック ログを使用する場合は、保護されたイベント ログを有効にすることをお勧めします。 詳細については、「about_PowerShell_Config」を参照してください。

Linux または macOS でのログ記録の構成

Linux および macOS でのログ記録の構成は、ファイルに powershell.config.json 格納されます。 ファイルはpowershell.config.json、PowerShell $PSHOME ディレクトリに存在する JSON 形式のファイルです。 この構成ファイルが存在しない場合は、既定の設定を変更するために作成する必要があります。 PowerShell の各インストールでは、このファイルの独自のコピーが使用されます。

既定では、PowerShell ではチャネルへのログ記録がOperational有効になりますInformational。 詳細ログ出力や分析ログ出力の有効化など、追加のログ出力が必要な場合は、構成を変更できます。

次のコードは、構成の例です。

{
    "ModuleLogging": {
        "EnableModuleLogging": false,
        "ModuleNames": [
            "PSReadLine",
            "PowerShellGet"
        ]
    },
    "ScriptBlockLogging": {
        "EnableScriptBlockInvocationLogging": true,
        "EnableScriptBlockLogging": true
    },
    "LogLevel": "verbose"
}

PowerShell ログを構成するためのプロパティの一覧を次に示します。 プロパティが構成に一覧表示されていない場合、PowerShell では既定値が使用されます。

  • LogIdentity
    • 値: <string name>、powershell
    • 説明: ログ記録時に使用する名前。 既定の ID は powershell. この値を使用すると、リリースバージョンやベータ版など、PowerShell インストールの 2 つのインスタンス間の違いを確認できます。 この値は、ログ出力を別のファイルにリダイレクトするためにも使用されます。
  • LogChannels
    • 値: Operational、Analytic
    • 説明: 有効にするチャネル。 複数の値を指定する場合は、値をコンマで区切ります。 既定値は Operational です。
  • Loglevel
    • 値: Always, , Critical, Error, Warning, Informational, VerboseDebug
    • 説明: 1 つの値を指定します。 値は、詳細度の高い順に一覧表示されます。 選択した値によって、それ自体とその前のすべての値が有効になります。 既定値は Informational です。
  • LogKeywords
    • 値: Runspace, , Pipeline, Protocol, Transport, Host, Cmdlets, Serializer, SessionManagedPlugin
    • 説明: キーワードは、PowerShell 内の特定のコンポーネントにログ記録を制限する機能を提供します。 既定では、すべてのキーワード (keyword)が有効になり、この値を変更することは、特殊なトラブルシューティングにのみ役立ちます。
  • PowerShellPolicies
    • 説明: PowerShellPolicies 設定には、ModuleLogging、ProtectedEventLogging、および ScriptBlockLogging オプションが含まれています。 詳細については、「一般的な構成設定」を参照してください。

Linux でジャーナル処理された PowerShell ログ データの表示

PowerShell は、Ubuntu や Red Hat Enterprise Linux (RHEL) などの Linux ディストリビューションのジャーナル デーモンを使用して、システム ジャーナルにログを記録します。

ジャーナル・デーモンは、ログ・メッセージをバイナリ形式で保管します。 このユーティリティを journalctl 使用して、PowerShell エントリのジャーナル ログに対してクエリを実行します。

journalctl --grep powershell

ジャーナルされたデーモンは、システム ログ プロトコル (syslog) サーバーにログ メッセージを転送できます。 ForwardToSysLog Linux システムで syslog ログを/etc/systemd/journald.conf使用する場合は、ジャーナルされた構成ファイルのオプションを有効にします。 これは、多くの Linux ディストリビューションの既定の構成です。

Linux での Syslog での PowerShell ログ データの表示

Linux システムで syslog ログを使用する場合は、Linux ディストリビューションのパッケージ マネージャーを使用して、rsyslog などの syslog サーバーをインストールします。 Ubuntu プレインストール rsyslog などの一部の Linux ディストリビューション。

syslog プロトコルは、標準化されたテキスト形式でログ メッセージを格納します。 任意のテキスト処理ユーティリティを使用して、syslog コンテンツのクエリまたは表示を行うことができます。

既定では、 syslog はログ エントリを次の場所に書き込みます。

  • Ubuntu を含む Debian ベースのディストリビューションの場合: /var/log/syslog
  • RHEL ベースのディストリビューションの場合: /var/log/messages

次の例では、このコマンドを cat 使用して、Ubuntu 上の PowerShell syslog エントリのクエリを実行します。

cat /var/log/syslog | grep -i powershell

Syslog メッセージの形式

Syslog メッセージの形式は次のとおりです。

TIMESTAMP MACHINENAME powershell[PID]: (COMMITID:TID:CID)
  [EVENTID:TASK.OPCODE.LEVEL] MESSAGE
  • TIMESTAMP - ログ エントリが生成された日付/時刻。
  • MACHINENAME - ログが生成されたシステムの名前。
  • PID - ログ エントリを書き込んだプロセスのプロセス ID。
  • COMMITID - ビルドの 生成に使用される git コミット ID またはタグ。
  • TID - ログ エントリを書き込んだスレッドのスレッド ID。
  • CID - ログ エントリの 16 進チャネル識別子。
    • 0x10 = 運用
    • 0x11 = 分析
  • EVENTID - ログ エントリのイベント識別子。
  • TASK - イベント エントリのタスク識別子
  • OPCODE - イベント エントリのオペコード
  • LEVEL - イベント エントリのログ レベル
  • MESSAGE - イベント エントリに関連付けられているメッセージ

EVENTID、TASK、OPCODE、LEVEL は、Windows イベント ログにログを記録するときに使用される値と同じです。

PowerShell ログ メッセージを別のファイルに書き込む

PowerShell ログ エントリを別のファイルにリダイレクトすることもできます。 PowerShell ログ エントリが別のファイルにリダイレクトされると、既定の syslog ファイルにログが記録されなくなります。

次の手順では、Ubuntu の PowerShell ログ エントリを構成して、名前の付いた powershell.logログ ファイルに書き込みます。

  1. 次のようなnanoテキスト ファイル エディターを使用して、ディレクトリに /etc/rsyslog.d PowerShell ログ構成の構成 (conf) ファイルを作成します。 ファイル名の前に、既定値より小さい数値を付けます。 たとえば、 40-powershell.conf 既定値は 50-default.conf.

    sudo nano /etc/rsyslog.d/40-powershell.conf

  2. ファイルに次の情報を 40-powershell.conf 追加します。

    :syslogtag, contains, "powershell[" /var/log/powershell.log
& stop

  3. 新しいファイルの include ステートメントがあることを /etc/rsyslog.conf 確認します。 次のような一般的なステートメントを含む場合があります。

    $IncludeConfig /etc/rsyslog.d/*.conf

    そうでない場合は、include ステートメントを手動で追加する必要があります。

  4. 属性とアクセス許可が適切に設定されていることを確認します。

    ls -l /etc/rsyslog.d/40-powershell.conf

    -rw-r--r-- 1 root root   67 Nov 28 12:51 40-powershell.conf

    ファイルの 40-powershell.conf 所有権またはアクセス許可が異なる場合は、次の手順を実行します。

    1. 所有権を root に設定します。

      sudo chown root:root /etc/rsyslog.d/40-powershell.conf

    2. アクセス許可を設定する: root には読み取り/書き込みがあり、 ユーザー は読み取りを持っています。

      sudo chmod 644 /etc/rsyslog.d/40-powershell.conf

  5. rsyslog サービスを再起動します。

    sudo systemctl restart rsyslog.service

  6. PowerShell 情報を生成してログに記録する場合に実行 pwsh します。

    pwsh

    Note

    ファイルは/var/log/powershell.log、rsyslog サービスが再起動され、PowerShell によってログに記録される情報が生成されるまで作成されません。

  7. ファイルにクエリを powershell.log 実行して、PowerShell 情報が新しいファイルに記録されていることを確認します。

    cat /var/log/powershell.log

macOS での PowerShell ログ データの表示

PowerShell は、Apple の統合ログ システムにログを記録します。これは macOS の機能であり、システムログとアプリケーション ログを 1 か所で収集および保存できます。

Apple の統合ログ システムでは、ログ メッセージがバイナリ形式で格納されます。 コンソール アプリまたはログ ツールを使用して、PowerShell エントリの統合ログ システムに対してクエリを実行します。

macOS 上のコンソール アプリケーションでの PowerShell ログ データの表示

macOS 上の コンソール アプリケーションは、ログ データを表示するためのグラフィカル ユーザー インターフェイスを提供するユーティリティです。 コンソール アプリケーションは既定で macOS に含まれており、Applications フォルダーの Utilities フォルダーを開いてアクセスできます。

macOS 上のコンソール アプリケーションで PowerShell ログ データを表示するには、次の手順に従います。

  1. コンソール アプリケーションを検索して起動します。
  2. [デバイス] で [マシン名] を 選択します。
  3. [検索] フィールドに、PowerShell メインバイナリを入力pwshし、return キーを押します。
  4. 検索フィルターを次の値に Any 変更します Process。
  5. [開始] をクリックします。
  6. PowerShell 情報を生成してログに記録する場合に実行 pwsh します。

PowerShell の実行中のインスタンスのプロセス ID は、変数に $PID 格納されます。 コンソール アプリケーションで PowerShell の特定のプロセス インスタンスをフィルター処理するには、次の手順を使用します。

  1. のインスタンス pwshを実行します。
  2. 前の手順で開始した PowerShell のインスタンスで実行 $PID し、そのプロセス ID を確認します。
  3. [検索] フィールドにプロセス ID をpwsh入力し、Return キーを押します。
  4. 検索フィルターを次の値に Any 変更します PID。
  5. [開始] をクリックします。
  6. 最初の手順で開始した PowerShell のインスタンスからログに記録する PowerShell 情報を生成します。

詳細については、Mac のコンソールでログ メッセージを表示するを参照してください。

macOS でのコマンド ラインからの PowerShell ログ データの表示

macOS 上のコマンド ラインから PowerShell ログ データを表示するには、ターミナルまたは他のシェル ホスト アプリケーションでコマンドを使用logします。 これらのコマンドは、PowerShell、Z シェル (Zsh)、または Bash から実行できます。

次の例では、コマンドを log 使用して、リアルタイムで発生しているシステム上のログ データを表示します。 プロセス パラメーターは、プロセスについてのみログ データをフィルター処理しますpwsh。 実行中の pwsh インスタンスが複数ある場合、 プロセス パラメーターはプロセス ID もその値として受け入れます。 level パラメーターは、指定されたレベル以下のメッセージを表示します。

log stream --process pwsh --level info

macOS での PowerShell ログ データのモードとレベル

既定では、PowerShell サブシステムは情報レベルのメッセージをメモリ (モード) に記録し、既定レベルのメッセージを macOS 上のディスク (永続化) に記録します。 この動作を変更して、コマンドを使用して別のモードとレベルのログ記録を log config 有効にすることができます。

次の例では、PowerShell サブシステムの情報レベルのログ記録と永続化を有効にします。

sudo log config --subsystem com.microsoft.powershell --mode level:info,persist:info

ログ設定を PowerShell サブシステムの既定値に戻すには、reset パラメーターを使用します。

sudo log config --subsystem com.microsoft.powershell --reset

このコマンドを log show 使用して、ログ項目をエクスポートできます。 この log show コマンドは、指定された期間内の最後 N のアイテム、指定された時刻以降のアイテム、またはアイテムをエクスポートするためのオプションを提供します。

たとえば、次のコマンドは次の項目を 9am on April 5 of 2022エクスポートします。

log show --info --start "2022-04-05 09:00:00" --process pwsh

詳細については、コマンドのヘルプlog showを表示するために実行log show --helpします。

セキュリティ情報およびイベント管理 (SIEM) アグリゲーターなど、より安全な場所にログを保存することを検討することもできます。 Microsoft Defender for Cloud Apps を使用して、Azure で SIEM を設定できます。 詳細については、「汎用 SIEM 統合」を参照してください。

関連項目

  • Linux syslog と rsyslog.conf の情報については、Linux コンピューターのローカル man ページを参照してください
  • macOS のログ情報については、Apple のログ記録に関する開発者向けドキュメントを参照してください
  • Windows の場合は、about_Logging_Windowsを参照してください
  • 一般的な SIEM 統合