そのエラーやお困りごと、ツールを使えば解決できるかも！～ Sysinternals や OS 標準ツールの徹底活用術～ (Microsoft de:code 2016)

1. 問題解決における基礎知識
2. 問題解決を支援するツール群
[ OS 標準ツール編 ]
[ Sysinternals 編 ]
3. Dumpって？
4. まとめ

本セッションの目的
• 各種ツールの紹介を通して、問題解決のアプローチをお持ち帰りいただく
本セッションの中でご理解いただきたいこと
• ツールをダウンロードし、まずは手元の環境で試してみる
本セッションの後に実行いただきたいこと

どのような問題が発生しているかを明確にする
問題発生の背景
Microsoft に問い合わせる際の注意事項

 どのような問題でも、正確なヒアリングが必要
 憶測や感覚で、ヒアリングしない
例えば？？

 状況の整理
 問題発生時の状況、発生手順
 変化点 (ソフトウェア / ハードウェア)
 外部要因

ヒアリングによってかなりの情報が得られる
具体的に正確に収集することが必要
そのためには？
トラブルシューティングの初動で、誤った方向に調査が進むと
問題解決までの時間が非常に多くかかる。
初動が一番大事なので、ちょっとの時間を惜しまないこと！

 ツール
✓ 監視ツールから
✓ 問題発生のタイミング、変化点
✓ 同一構成のサーバーがあれば、比較
 その他
✓ ハードウェア障害
✓ 設定ミス
✓ ウィルス対策ソフト
➢ KB822158

 発生時に情報採取できるように備える
 可能な限り、常時ログ採取を検討する
✓ 監視ツールを利用する
✓ 難しい場合は、OS標準ツールでも
 正確な情報収集を心がける
✓ 正しくない情報は無意味

 サポートオンラインで、不具合や技術情報を掲載
✓ KB (Knowledge Base)
➢ 不具合内容、解決方法を確認できる
➢ エラーコード、DLLからの検索も有効
 英語情報を推奨
✓ 日本語よりも情報が早い
サポートオンライン
https://support.microsoft.com/ja-jp

 TechNet オンライン
✓ IT プロフェッショナルが対応
✓ サーバー、クライアント、セキュリティ等の技術情報を掲載
✓ 検索機能
➢ サポートオンライン含め、横断検索も可能
➢ トラブルシューティングとサポート
 MSDN
✓ 開発者が対象
✓ Sample Code、開発の技術情報

Microsoft Japan Windows Technology Support
Network & AD
Exchange Blog
System Center Support Team Blog
Mark’s Blog

• OS 標準ツール
• Windows Sysinternals

Windows OS 標準ツール
Windows Sysinternals

イベントビューアー
タスクマネージャー
パフォーマンスモニター
ipconfig
netsh
nslookup nslookup
robocopy
shutdown
regedit
msinfo32msconfig
gpupdate
gpresult
openfiles
xcopy SnippingTool
イベントビューアー
タスクマネージャー
パフォーマンスモニター
fc
sc

OS やアプリケーションが書き出した “イベントログ” を GUI 上で参照するツール

ログの保存 (エクスポート) は、2種類の形式で！

✓ Windows ログ
➢ 「アプリケーション」「セキュリティ」「システム」
などの OS 基本ログを格納
✓ アプリケーションとサービスログ
➢ アプリケーションやサービスが独自に生成した
ログを保管する場所として提供
➢ 原則として、”ベンダー名¥アプリケーション名
¥ログ” の形式で階層化
➢ 特定のアプリケーションに関するトラブル
発生時は、こちらも見落とさないこと
✓ .evt形式
➢ イベントビューアーでフィルタ可能
➢ イベントを記録したマシン上でしか、
100%の情報読みとることができない
➢ 分析ツール等により解析が可能
✓ .csv形式
➢ メモ帳やExcelで手軽にかつ、
100%の情報を読み取ることができる
➢ 読み込むツールによっては、改行コードを含
むため、加工が必要になる場合がある
➢ 分析ツールが無い

✓ Windows Vista 以降に搭載された、
他のコンピューターで記録したイベントロ
グを転送する機能
✓ 複数サーバーのイベントログを、一台に
集約したい場合などに使う
✓ 収集する対象は、細かく指定可能
✓ .evtx 形式で格納される
➢ %windir%¥sytem32¥Winevt¥Logs¥
✓ 以下のサービスによって実行される
➢ Windows リモート管理 (WinRM)
➢ Windows イベントコレクター (Wecsvc)

✓ 特定のイベント発生時に、任意のタスクを自動実行させる機能
✓ 既存で出力されたイベントログのコンテキストメニューから、簡単に作成可能
✓ 作成したタスクは、タスクスケジューラの [イベントビューアータスク] として登録される

システム (プロセス, パフォーマンス等) の状態をリアルタイム表示するツール
✓ 現在のシステムの状態を確認
✓ アプリケーションの強制終了
✓ 新しいタスクの実行
✓ プロセスダンプの作成

✓ 特に利用頻度の高いタブは、[プロセス] と [パフォーマンス] の2つ
[パフォーマンス]タブ
• リソース使用状況 (合計値) をグラフ出力
[プロセス] タブ
• 稼働中のアプリケーションやプロセスの一覧、
およびそれぞれのリソース使用状況を可視化
• “PID”, “コマンドライン” などの列を追加可能

✓ 応答しなくなったアプリケーションなどを
強制終了
(正常なシャットダウンの機会を与えない
ため、データの損失などを招く可能性があ
ります)
✓ [ファイル名を指定して実行] ( + [R])
と近い機能
✓ 管理者権限を付与して、
タスクを起動させることが可能
✓ プロセスごとに実行可能なプロセッサを
指定可能

パフォーマンスログの収集および分析を行うための GUI ツール群
✓ パフォーマンスのリアルタイム表示
✓ パフォーマンスログの収集
✓ パフォーマンスログおよび
レポートの表示

• トラブル時
✓ トラブル内容に応じて、カウンター追加
✓ 採取間隔: １分から５分
ベースライン策定のため、平時からログを採取する！
たとえば…
メモリリークの疑いがあっても、
Available Bytes だけでは判断で
きない。
Paged Pool , Non Paged Pool な
どのカウンターがあることで、
傾向を判断できる。
☞ 取得するカウンターは、
中途半端に削らない！

✓ 任意のパフォーマンスカウンターを追加して、
パフォーマンスをリアルタイム表示可能
✓ リモートコンピューターのパフォーマンスカウンターも
参照可能
✓ perfmon /sys /comp オプションをつけて起動
✓ 取得済みログやリアルタイムパフォーマンスデータを
重ねて表示させることが可能

✓ パフォーマンスカウンターやイベントトレースデータなどの情報をバックグラウンド収集
✓ 開始スケジュールや停止条件を柔軟に指定可能
✓ ゼロベースで構成することも、テンプレートを用いて作成・カスタマイズすることも可能
✓ パフォーマンスカウンターに閾値を定義し、閾値に達した場合に任意のタスクを実行
パフォーマンスカウンター閾値の設定停止条件の指定コレクターセットの作成レポートの表示

✓ 創業者の Mark Russinovich を中心に開発
(現 CTO of Microsoft Azure)
✓ 2006年7月に Microsoft が買収し、
現在も開発を継続
Windows プラットフォームの管理、診断、トラブルシューティングに
役立つ “痒い所に手が届く” 70個以上の無償ツール群

1. Process Explorer (procexp.exe)
2. AutoRuns (autoruns.exe)
3. Process Monitor (procmon.exe)
4. PsTools
(psexec.exe, psfile.exe, psinfo.exe, pskill.exe 他多数)
5. TcpView (tcpview.exe)
6. BgInfo (bginfo.exe)
AutoRuns
TcpView
BgInfo
☞
☞

圧倒的な情報量を誇る、タスクマネージャーの上位拡張版
http://technet.microsoft.com/en-us/sysinternals/bb896653
タスクマネージャーでできることに加えて…

✓ ツリービューでプロセスの親子関係を階層表示
✓ プロセスの種類に応じた色分け表示 (新しいプロセスや最近終了したプロセスの強調表示等)
✓ 豊富なデータ項目(*次項参照) を選択表示 (Column Set としてビューの保存も可能)

➢ ハンドルビューの表示 : [Ctrl] + [H]
➢ DLL ビューの表示 : [Ctrl] + [D]
✓ プロセス単位での詳細情報表示 (Image, Performance, GPU Graph, Threads など)
DLL ビューハンドルビュープロセスの詳細情報

✓ デフォルトでは、1秒間に1回更新される (0.5秒～10秒の間で変更可能)
✓ [スペース] キーを押すことで、更新の一時停止が可能
✓ 表示の更新を行う [F5] キーとの組み合わせで、
一時停止後に作成または削除されたオブジェクトの参照が容易に
✓ [Options] – [Replace Task Manager] を選択
✓ taskmgr.exe を起動しようとすると、自動的に Process Explorer が起動
✓ 正確かつ小数点での表示 (タスクマネージャーは近似値かつ整数での表示)
✓ 1% 未満の CPU を消費するプロセス (スレッド) と、完全に非アクティブなプロセスを区別可能

✓ [Find Windows Process] ボタンを任意のウィンドウにドラッグすることで、
指定したウィンドウを所有するプロセスが選択される
✓ 突然のエラーダイアログ出現時などの原因特定が容易に
✓ “強制終了 (Kill)” などに加えて、
” 一時停止 (Suspend)” や “再起動 (Restart)” も可能
✓ 特に Suspend は、Buddy System 型のマルウェアの疑いが
ある場合に有効な手段となる
https://blogs.technet.microsoft.com/markrussinovich
/2011/03/13/the-case-of-the-unusable-system/

システムの活動状況を高度に監視・分析できるログ記録ツール
http://technet.microsoft.com/en-us/sysinternals/bb896645

レジストリ
ファイル
システム
ネットワークプロセス/
スレッド
プロファイル
➢ Process Monitor 自身によって定期生成される、すべてのプロセスとスレッドにおけるイベント
➢ プロセスが開始してから使用されたユーザーモードとカーネルモードのCPU時間、プロセスに割り当てられている Private
Bytes の現在値、プロセスに消費されたワーキングセットなどをキャプチャー
• プロセスプロファイルイベント : すべてのプロセスについて、1秒ごとに１回生成
• スレッドプロファイルイベント : すべてのスレッドについて、1秒間に1回、または1秒間に10回生成可能
(負荷が高いためデフォルトでは生成しない)
プロファイルとは

ショートカットの活用で、調査の効率性を最大化！
機能ショートカット
キャプチャーの開始または終了 [Ctrl] + [E]
キャプチャーのクリア [Ctrl] + [X]
検索 [Ctrl] + [F]
次を検索 [F3]
一つ前を検索 [Shift] + [F3]
フィルター開始 [Ctrl] + [L]
フィルターのリセット [Ctrl] + [R]
レジストリやファイルのパスを開く [Ctrl] + [J]

マイクロソフトのサポートチームでも、
Process Monitor などの Sysinternals を活用し、
数多くの問題を解決してきています！

うわ
16進数・・・難しそうだなぁ・・・
見なかったことにしよう！
分からないよ Windows だからねー
意味不明ｗ

Download the WDK, WinDbg, and associated tools

 ソースレベルでのデバッグが可能
 Kernel
 Kernel Mode Driver
 System Service
 User Mode Applicatioin

_NT_SYMBOL_PATH シンボルファイルの配置場所

 OSのArchitecture を理解する

 ！analyze –v コマンドから例外に関する情報を取得
 ！analyze –v コマンド

原因特定優先か、復旧優先か、検討が必要です！
https://support.microsoft.com/ja-jp/kb/969028

これらをきっかけに
運用の見直し検討してみる

そのエラーやお困りごと、ツールを使えば解決できるかも！～ Sysinternals や OS 標準ツールの徹底活用術～ (Microsoft de:code 2016)

More Related Content

What's hot (19)

Similar to そのエラーやお困りごと、ツールを使えば解決できるかも！～ Sysinternals や OS 標準ツールの徹底活用術～ (Microsoft de:code 2016) (20)

More from Takamasa Maejima (12)