PowerShell で Windows イベントログを監視して特定エラーをメール通知する — 1人運用の業務SE向け自動化

みなさんこんにちは！ヒロポンです！

サーバーのイベントログ、毎朝目視で見てませんか？？

俺もそうでした。流通系の基幹システムの保守をやってた頃、朝イチでサーバーにリモート接続して、イベントビューア開いて、赤いエラーが出てないか目で追う。これを毎日。

で、ある朝。前夜にサービスが落ちてたのを半日気付かなかった。目視って、見落とすんですよ。人間だもん。

これ、PowerShell イベントログ 監視を組めば自動化できます。エラーが出たら勝手にメールが飛んでくる。朝の目視チェックがまるごと消える。

この記事では、Get-WinEvent で対象エラーを絞って、Send-MailMessage で通知して、タスクスケジューラで定期実行するところまで、1人運用の業務SEが組める手順で書いていきます。

この記事でできること（完成イメージ）

組み上がると、こういう流れが10分おきに勝手に回ります。

ゴールは「エラーが出た時だけメールが来る」状態。平常時は何も鳴らない。だからメールが来た＝何か起きた、と即わかります。

前提条件・必要なもの

• Windows Server（クライアント Windows でも可）
• PowerShell 5.1（Windows 標準。この記事は 5.1 前提で書きます）
• 送信できる SMTP サーバー（社内のメールサーバー等）
• スクリプトを置くフォルダ（例: C:\scripts\）

PowerShell 7 を使ってる人向けの注意は、後ろのトラブルシューティングで1つ触れます。

この記事のコードは Windows 専用 cmdlet（Get-WinEvent / タスクスケジューラ系 / Send-MailMessage）が中心です。構文は検証済みですが、実行は Windows + PowerShell 5.1 環境でやってください。

Step 1: Get-WinEvent で対象ログのエラーを絞る

まずはイベントログから「直近のエラーだけ」を取り出す。使うのは Get-WinEvent の FilterHashtable です。

# System ログから直近10分の Error を取得
$since = (Get-Date).AddMinutes(-10)

$events = Get-WinEvent -FilterHashtable @{
    LogName   = 'System'
    Level     = 2          # 1=Critical, 2=Error, 3=Warning, 4=Information
    StartTime = $since
} -ErrorAction SilentlyContinue

Level = 2 が Error。StartTime で「直近10分」に絞ってます。

地味だけど重要なのが -ErrorAction SilentlyContinue。Get-WinEvent は該当ログが0件だとエラーを吐く仕様なんですよ。だからこれを付けないと「エラーが無いのにスクリプトがコケる」っていう、なんとも変な動きになります。

古い Get-EventLog でも似たことはできるんですが、新しいログ（セットアップログや一部のアプリログ）を拾えない場面があって、今は Get-WinEvent が定番です。

Step 2: 拾う条件を組み立てる（Level / EventID / 直近N分）

「全部の Error」だと、現場によっては多すぎる。そういう時は EventID で絞ります。

# 特定の EventID だけ拾う
# (例: 7=ディスクのコントローラエラー, 7034=サービスが予期せず終了)
$events = Get-WinEvent -FilterHashtable @{
    LogName   = 'System'
    Level     = 2
    Id        = 7, 7034
    StartTime = $since
} -ErrorAction SilentlyContinue

Id = 7, 7034 みたいにカンマで複数指定できます。自分の現場で「これは絶対拾いたい」EventID を、ここに足していく感じ。

LogName を 'Application' にすればアプリケーションログ、'Security' ならセキュリティログも見られます。こんな感じで、監視したいログと条件を組み合わせていきます。

Step 3: 引っかかったらメールで通知する（Send-MailMessage）

対象イベントがあったら、メールを飛ばす。

if ($events) {
    # 本文を読みやすく整形
    $body = $events |
        Select-Object TimeCreated, Id, LevelDisplayName, Message |
        Format-List | Out-String

    Send-MailMessage `
        -From       'monitor@example.co.jp' `
        -To         'admin@example.co.jp' `
        -Subject    "[警告] $($env:COMPUTERNAME) でエラー $($events.Count) 件" `
        -Body       $body `
        -SmtpServer 'smtp.example.co.jp'
}

if ($events) で「1件でもあれば」通知。$events.Count で件数、$env:COMPUTERNAME でどのサーバーかを件名に突っ込んでおくと、メールを見た瞬間に状況がつかめます。

平常時は $events が空なので、if に入らず何も送りません。いい感じに「異常時だけ鳴る」が実現します。

⚠️ Send-MailMessage は PowerShell 7 で非推奨（obsolete）になっています。5.1 ではそのまま使えますが、7 や新規構築なら MailKit などの代替を検討してください（詳細はトラブルシューティングに）。

Step 4: タスクスケジューラで定期実行する

ここまでを1つの .ps1（例: C:\scripts\EventMonitor.ps1）にまとめたら、タスクスケジューラで10分おきに回します。

# 監視スクリプトを10分ごとに実行するタスクを登録
$action = New-ScheduledTaskAction -Execute 'powershell.exe' `
    -Argument '-NoProfile -ExecutionPolicy Bypass -File "C:\scripts\EventMonitor.ps1"'

$trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) `
    -RepetitionInterval (New-TimeSpan -Minutes 10)

Register-ScheduledTask -TaskName 'EventLogMonitor' `
    -Action $action -Trigger $trigger `
    -User 'SYSTEM' -RunLevel Highest

-User 'SYSTEM' で実行アカウントを指定、-RunLevel Highest で管理者権限で動かす。ここの権限設定が後でじわっと効いてくるので、覚えておいてください。

動作確認

組んだら、本番を待たずにわざとエラーを起こして確認します。

# テスト用に Application ログへ Error を1件書き込む
New-EventLog -LogName Application -Source 'MonitorTest' -ErrorAction SilentlyContinue
Write-EventLog -LogName Application -Source 'MonitorTest' `
    -EntryType Error -EventId 9999 -Message 'テストエラーです'