知識マップ: Windowsイベントログ・ETW入門 ── 業務アプリのログをOS標準の仕組みに乗せる

記事「Windowsイベントログ・ETW入門 ── 業務アプリのログをOS標準の仕組みに乗せる」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

業務アプリのログは、開発者が詳細を追うファイルログ、運用担当者やOS標準ツールが異常に気づくためのWindowsイベントログ、性能調査や不具合解析のために購読者がいるときだけ記録されるETWという役割分担で使い分ける。Windowsイベントログへの書き込みは事前に登録されたイベントソースを前提とし、その登録には管理者権限が要る一方、登録済みソースへの書き込みは標準ユーザーでも行える。.NETのETW計装はEventSourceクラスで独自プロバイダーを定義し、dotnet-traceはETWそのものではなくクロスプラットフォームなEventPipe経由でこれを収集する。ILoggerを使えば、同じログ呼び出しをAddEventLogでイベントログへ、ファイルシンクへ、EventSourceLoggerProvider経由でETWへとまとめて振り分けられる。

flowchart LR
    accTitle: Windowsイベントログ・ETW入門の知識マップ
    accDescr: ファイルログ・イベントログ・ETWが役割分担の関係にあること、イベントログの利用がイベントソースの登録を前提とすること、ETWがEventSourceとEventPipe・dotnet-traceを介して収集されること、ILoggerが複数のプロバイダーへ同じログ呼び出しを振り分ける仕組みを示す図
    windows_event_log["Windowsイベントログ"]
    etw["ETW(Event Tracing for Windows)"]
    eventlog_source["イベントソース"]
    admin_rights["管理者権限"]
    ilogger_addeventlog["ILogger + AddEventLogプロバイダー"]
    ilogger_abstraction[".NETのILogger"]
    structured_logging_template["構造化ログのメッセージテンプレート"]
    file_log["ファイルログ"]
    event_viewer["イベントビューアー"]
    wevtutil["wevtutil"]
    get_winevent["Get-WinEvent"]
    eventsource_class[".NETのEventSourceクラス"]
    dotnet_trace["dotnet-trace"]
    eventpipe["EventPipe"]
    dotnet[".NET(Core以降)"]
    dotnet_framework[".NET Framework"]
    windows_event_log -.->|"前提とする"| eventlog_source
    eventlog_source -->|"前提とする"| admin_rights
    ilogger_addeventlog -->|"利用する"| windows_event_log
    ilogger_addeventlog -->|"前提とする"| eventlog_source
    ilogger_abstraction -->|"利用する"| structured_logging_template
    ilogger_abstraction -.->|"利用する"| ilogger_addeventlog
    ilogger_abstraction -.->|"利用する"| file_log
    ilogger_abstraction -.->|"利用する"| etw
    windows_event_log -->|"で確認できる"| event_viewer
    windows_event_log -->|"で確認できる"| wevtutil
    windows_event_log -->|"で確認できる"| get_winevent
    etw -.->|"利用する"| eventsource_class
    dotnet_trace -->|"利用する"| eventpipe
    eventpipe -->|"利用する"| eventsource_class
    etw -.->|"前提とする"| admin_rights
    dotnet -.->|"前提とする"| windows_event_log
    dotnet_framework -->|"両立しない"| eventpipe
    dotnet -->|"利用する"| eventpipe

概念間の関係(全18件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

Windowsイベントログはイベントソースを前提とします。System.Diagnostics.EventLogのような従来型のAPIで書き込む場合、事前に登録されたイベントソースを前提とする。マニフェストベースのプロバイダーやETW由来のチャネルはプロバイダー登録で発行するため、この経路には当てはまらない / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
イベントソースは管理者権限を前提とします。Windows Vista以降、イベントソースの登録(CreateEventSource)にはSecurityログを含む全ログの検索が必要なため管理者権限が要る。登録済みソースへの書き込み自体は標準ユーザーでも行える / 確度: 確立した関係 / 確認日: 2026-08-01 出典
ILogger + AddEventLogプロバイダーはWindowsイベントログを利用します。AddEventLogプロバイダーは、ILogger経由のログ呼び出しをWindowsイベントログへ書き込む / 確度: 確立した関係 / 確認日: 2026-08-01 出典
ILogger + AddEventLogプロバイダーはイベントソースを前提とします。AddEventLogのSourceNameに指定する名前は、事前にインストーラー側で登録済みである必要があり、省略すると既定で".NET Runtime"という汎用名になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
.NETのILoggerは構造化ログのメッセージテンプレートを利用します。ILoggerのメッセージテンプレートは{PlaceHolder}を含む固定文字列として書くことで、プレースホルダー名と値の対応関係を保持する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
.NETのILoggerはILogger + AddEventLogプロバイダーを利用します。ILoggerProviderの1つとしてAddEventLogを明示的に登録した場合に限り、同じログ呼び出しがWindowsイベントログにも流れる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
.NETのILoggerはファイルログを利用します。ILoggerProviderにSerilog/NLogなどのファイルシンクを明示的に登録した場合に限り、同じログ呼び出しがファイルログにも詳細に出力される / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
.NETのILoggerはETW(Event Tracing for Windows)を利用します。Generic Hostの既定のロギングプロバイダーを使う場合に限り、EventSourceも含まれ、ILogger経由のログをEventSourceLoggerProvider経由でETWへも流せる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
Windowsイベントログはイベントビューアーで確認できます。書き込んだイベントログは、イベントビューアーでソース・レベル・イベントIDによるフィルターやXPathのカスタムビューで確認できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
Windowsイベントログはwevtutilで確認できます。イベントログはwevtutilのeplでのエクスポートやqeでのクエリでコマンドラインから確認・出力できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
WindowsイベントログはGet-WinEventで確認できます。PowerShellのGet-WinEventは-FilterHashtableでログ名やプロバイダー名を指定し、書き込んだイベントを絞り込んで取得できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
ETW(Event Tracing for Windows)は.NETのEventSourceクラスを利用します。.NETで独自のETWプロバイダーを定義する場合、EventSourceを継承したクラスを実装する。ETWのプロバイダーはネイティブ実装など.NET以外の方法でも定義できる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
dotnet-traceはEventPipeを利用します。dotnet-traceが実際に使っているのはETWそのものではなく、.NETランタイム内蔵のEventPipeという別の経路である / 確度: 確立した関係 / 確認日: 2026-08-01 出典
EventPipeは.NETのEventSourceクラスを利用します。EventPipeはETWと同じようにEventSourceで定義したイベントを収集できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
ETW(Event Tracing for Windows)は管理者権限を前提とします。ETWの収集開始には管理者権限が必要な場合が多く、これがEventPipe(対象アプリと同じユーザーで実行すれば管理者権限が不要)との違いの1つになっている / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
.NET(Core以降)はWindowsイベントログを前提とします。.NET(Core系)でWindowsイベントログへ書き込むには、.NET FrameworkではBCLに含まれるSystem.Diagnostics.EventLogを、同名のNuGetパッケージとして明示的に参照する必要がある / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
.NET FrameworkはEventPipeと両立しません。.NET FrameworkのEventSourceはETWにのみイベントを送り、.NET(Core系)にのみ存在するEventPipeには対応しない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
.NET(Core以降)はEventPipeを利用します。.NET(Core系)のEventSourceは、ETWに加えてEventPipeにもイベントを送るため、dotnet-traceのようなツールで管理者権限なしに収集できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典

主要概念の定義

Windowsイベントログ: Application・System・Securityなどのログにアプリケーションやサービスの事象を記録し、イベントビューアーや監視ツールから運用担当者が確認できるWindows標準の記録機構。
ETW(Event Tracing for Windows): OS全体を貫く、カーネルからアプリまで同じ時間軸で記録できるWindows専用のトレース基盤。カーネル全体を対象にするような特権的なセッションの開始・停止には管理者権限が要るが、トレースACLの委譲やPerformance Log Usersへの所属、ユーザーモードのプライベートセッションでは管理者権限なしでも扱える。
イベントソース: Windowsイベントログへ書き込む際にアプリケーションを識別する登録済みの名前で、コンピューター上で一意である必要がある。
ILogger + AddEventLogプロバイダー: Microsoft.Extensions.Logging.EventLogパッケージが提供する、ILoggerのログ出力をWindowsイベントログへ書き込むロギングプロバイダー。
.NETのILogger: メッセージテンプレートで構造化ログを書くための.NETのロギング抽象化で、複数のILoggerProviderへ同じログ呼び出しを振り分けられる。
dotnet-trace: EventPipeを使い、CPUサンプリングやGC・メモリ割り当てなどのイベントを時系列で収集する.NETのトレース収集ツール。
EventPipe: .NETランタイムに組み込まれた、管理者権限が不要で全OSで動くトレース機構。見えるのはマネージドコードとランタイムの範囲に限られ、カーネルイベントやネイティブスタックは取れない。
.NET(Core以降): .NET Frameworkの後継となる、クロスプラットフォーム対応の.NETランタイム(.NET 5以降)。
.NET Framework: Windowsのコンポーネントとして扱われ、インストールされているOSのライフサイクルに沿ってサポートされるランタイム。System.Messagingの対象範囲。

機械可読データ

JSON-LD / Turtle ── この記事の知識グラフ全体
概念一覧 / 語彙(述語)の定義

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。