AWS Workspaces のイベントビューアを1台に集約保存する方法

こんにちは、インフラチームのまっつんです。

普段はLinuxベースの業務が多いインフラチームですが、AWS Workspacesを使う業務で久しぶりにWindowsを触る機会がありました。

複数のAWS Workspacesのインスタンスを立てたときに、各インスタンスのWindowsが生成したログ（イベントビューア）を1台に集約する必要がありました。
今回はWindowsの標準機能の「サブスクリプション」を使って集約させたいと思います。

ログを飛ばす側（クライアント）の設定

今回は複数のクライアントが必要なため、Active Directory（AD）上でグループポリシーを使って設定することになります。
バージョンによって設定値の名前等が違う可能性がありますが、ご容赦ください。
ログを飛ばす側の設定はざっくりと下記の4つの設定が必要です。

ログを読み込むためのユーザの設定変更
WinRM（Windows Remote Management）サービスの定義
WinRM（Windows Remote Management）の有効化
WindowsのFirewall

ログを読み込むためのユーザの設定変更

・グループポリシー設定箇所
「コンピューターの構成 (有効)」-「ポリシー」-「Windows の設定」-「セキュリティの設定」-「制限されたグループ」

・設定値
グループ名：Event Log Readers
メンバー：aws-ws-logs

メンバーとして「aws-ws-logs」という値を入れてますが、デフォルトで用意されているユーザではありません。
利用するユーザを用意するか、新しくユーザを作成してメンバーの中に入れてください。

WinRM（Windows Remote Management）サービスの定義

・グループポリシー設定箇所
「コンピューターの構成 (有効)」-「基本設定」-「コントロールパネルの設定」-「サービス」

・設定値
サービス名：WinRM
操作：サービスの開始
スタートアップの種類：自動 (遅延開始)
サービスがロックされている場合のタイムアウトまでの待ち時間：30 秒
サービスアカウント：
サービスにログオンするアカウント名：変更なし
回復：
最初のエラー：サービスを再開する
次のエラー：サービスを再開する
その後のエラー：変更なし
エラーカウントのリセット：0 日
サービスの再開：5 分

WinRM（Windows Remote Management）の有効化

・グループポリシー設定箇所
「コンピューターの構成 (有効)」-「ポリシー」-「管理用テンプレート」-「Windows コンポーネント」-「Windows リモート管理 (WinRM)」-「WinRM サービス」-「WinRMによるリモートサーバ管理を許可する」

・設定値
設定：有効
IPv4フィルター：192.168.1.0/24

WindowsのFirewall

・グループポリシー設定箇所
「コンピューターの構成 (有効)」-「ポリシー」-「Windows の設定」-「セキュリティの設定」-「セキュリティが強化された Windows ファイアウォール」-「セキュリティが強化された Windows ファイアウォール」-「受信の規則」

・設定値
名前：Windows リモート管理 (HTTP 受信)
グループ：Windows リモート管理
プロファイル：ドメイン, プライベート
有効：はい
操作：許可
優先：いいえ
プログラム：System
ローカルアドレス：任意
リモートアドレス：任意
プロトコル：TCP
ローカルポート：5985
リモートポート：任意
承認されているユーザー：任意
承認されているコンピューター：任意
承認されたローカルプリンシパル：任意
ローカルユーザーオーナー：任意
アプリケーションパッケージ：任意