昨日投稿したトレースログの 2008 R2 版です。
最初は 2008 で書こうかと思っていたのですがせっかくなので 2008 R2 にアップグレードした環境を準備してみました。
■Windows Server 2008 R2 でトレースログを取得
Windows Server 2008 / R2 のトレースログは、[管理ツール] の [パフォーマンス モニター] から取得をします。
[ファイル名を指定して実行] から実行する場合は Windows Server 2003 同様 [perfmon.exe] になります。
この中の、[イベント トレース セッション] に新規データコレクターセットを作成することで Active Directory の
トレースログを取得できます。
?
それではさっそく作成してみたいと思います。
- [イベント トレース セッション] で右クリックして、[データ コレクター セット] をクリックします。
- 名前を入力して、[次へ] をクリックします。
- [追加] をクリックし、[Active Directory Domain Services: Core] を追加します。
- [次へ] をクリックします。
この段階でフィルターを設定して取得情報が絞り込めればいいのですが、フィルターの使い方がわかりませんでした…。
- データの保存場所を指定し、[次へ] をクリックします。
- [完了] をクリックします。
これでトレースの設定は終了です。
先ほど、すぐに開始にはしなかったので、取得するタイミングで右クリックして、[開始] をクリックします。
今回は PC 起動時のログを確認してみたいと思いますので、ログインはしない状態で。
取得が終わりましたら停止します。
取得されたファイルは、2003 と同様 ETL ファイルになりますので今回も成形します。
?
■ログの成形
使用するコマンドは Windows Server 2003 と同様 [tracerpt] になります。
|
c:PerfLogs>tracerpt "Active Directoy Trace.etl" -of CSV -o log.txt -f HTML -report report.html 入力 100.00% 出力 コマンドは、正しく完了しました。 |
後は FIND でログを切り出します。
| find log.txt "DsDirSearch" > report.txt |
今回はログオン前なので、コンピュータアカウント (EXCHANGE-XP-02$) の情報を切り出してみました。
|
Event Name,?????? Type,???? Event ID,??? Version,??? Channel,????? Level,???? Opcode,?????? Task,??????????? Keyword,??????? PID,??????? TID,???? Processor Number,? Instance ID,?? Parent Instance ID,????????????????????????????? Activity ID,????????????????????? Related Activity ID,?????????? Clock-Time, Kernel(ms),?? User(ms), User Data DsDirSearch,????? Start,??????????? 0,????????? 4,????????? 0,????????? 0,????????? 1,????????? 0, 0x0000000000000000, 0x000001FC, 0x00000984,??????????????????? 0,???????????? ,???????????????????? ,?? {00000000-0000-0000-0000-000000000000},???????????????????????????????????????? ,?? 129104577092364013,??????? 105,??????? 210, "DS", 4, 6, 1141178432,??????? 0, "LSA", "deep", "DC=exchange,DC=local", " (sAMAccountName=EXCHANGE-XP-02$) ", "[types_only]", "SDflags:0x0;",? 0x5404000000000B0000000000 DsDirSearch,????? Start,??????????? 0,????????? 4,????????? 0,????????? 0,????????? 1,????????? 0, 0x0000000000000000, 0x000001FC, 0x00000984,??????????????????? 0,???????????? ,???????????????????? ,?? {00000000-0000-0000-0000-000000000000},???????????????????????????????????????? ,?? 129104577093494882,??????? 105,??????? 210, "DS", 4, 6, 1141178432,??????? 0, "NTDSAPI", "deep", "DC=exchange,DC=local", " (sAMAccountName=EXCHANGE-XP-02$) ", "distinguishedName", "", "", "",? 0x0000540400000000 DsDirSearch,????? Start,??????????? 0,????????? 4,????????? 0,????????? 0,????????? 1,????????? 0, 0x0000000000000000, 0x000001FC, 0x00000984,??????????????????? 0,???????????? ,???????????????????? ,?? {00000000-0000-0000-0000-000000000000},???????????????????????????????????????? ,?? 129104577093738939,??????? 105,??????? 225, "DS", 4, 6, 1141178432,??????? 0, "NTDSAPI", "deep", "DC=exchange,DC=local", " (sAMAccountName=EXCHANGE-XP-02$) ", "distinguishedName", "", "", "",? 0x0000540400000000 DsDirSearch,????? Start,??????????? 0,????????? 4,????????? 0,????????? 0,????????? 1,????????? 0, 0x0000000000000000, 0x000001FC, 0x00000530,??????????????????? 0,???????????? ,???????????????????? ,?? {00000000-0000-0000-0000-000000000000},???????????????????????????????????????? ,?? 129104577094493737,??????? 165,??????? 825, "DS", 4, 6, 1141178432,? 4194304, "10.2.0.2:1052", "base", "CN=EXCHANGE-XP-02,CN=Computers,DC=exchange,DC=local", " (objectClass=*) ", "objectClass", "",? 0xAC2981770000000000005404 DsDirSearch,????? Start,??????????? 0,????????? 4,????????? 0,????????? 0,????????? 1,????????? 0, 0x0000000000000000, 0x000001FC, 0x00000530,??????????????????? 0,???????????? ,???????????????????? ,?? {00000000-0000-0000-0000-000000000000},???????????????????????????????????????? ,?? 129104577094915903,??????? 165,??????? 825, "DS", 4, 6, 1141178432,? 4194304, "10.2.0.2:1052", "base", "CN=Windows Virtual Machine,CN=EXCHANGE-XP-02,CN=Computers,DC=exchange,DC=local", " (objectClass=*) ", "objectClass", "", "", "",? 0x5404000000000B00 |
?
出力の項目は増えているようですが、[Start] [End] [TID] で一組になっているのは変わらないようですね。
[Windows Virtual Machine] となっているものが面白そうですので、これを使って [dsquery] を実行してみたいと思います。
| dsquery *? "CN=Windows Virtual Machine,CN=EXCHANGE-XP-02,CN=Computers,DC=exchange,DC=local" -filter " (objectClass=*) " -attr * objectClass: top objectClass: leaf objectClass: connectionPoint objectClass: serviceConnectionPoint cn: Windows Virtual Machine distinguishedName: CN=Windows Virtual Machine,CN=EXCHANGE-XP-02,CN=Computers,DC=exchange,DC=local instanceType: 4 whenCreated: 02/11/2010 07:57:43 whenChanged: 02/11/2010 07:57:43 uSNCreated: 78287 uSNChanged: 78287 showInAdvancedViewOnly: TRUE name: Windows Virtual Machine objectGUID: {2608F212-1FBE-4F97-913A-7DF0AA097AB5} objectCategory: CN=Service-Connection-Point,CN=Schema,CN=Configuration,DC=exchange,DC=local dSCorePropagationData: 01/01/1601 00:00:00 ADsPath: LDAP://EXCHANGE-AD-01.exchange.local/CN=Windows Virtual Machine,CN=EXCHANGE-XP-02,CN=Computers,DC=exchange,DC=local |
今まで気にしたことがなかったのですが、コンピュータアカウントの下に [Windows Virtual Machine] というコンテナがあったんですね。
2003 / 2008 / R2 ともに基本的な操作は変わらないですね。
2008 / R2 の注意点としては、イベントトレースセッションは再起動すると消えてしまうということでしょうか。
常時起動や、設定を残しておきたい場合は、テンプレートとして保存するか、スタートアップ イベント トレース セッションとして作成して、
イベント トレース セッションとして開始する必要がありそうです。
イベントトレースセッションは、使いこなせるとトラブルシューティング時にとても便利そうなのですが、情報を集められていません…。
まだまだ勉強が足りないですね～。 自分の懐の浅さを思い知る限りです。
