複数台のPCのログを1か所に集める方法　Windowsイベント転送（WEF）の設定手順とADがない会社の選択肢

Windowsのログイン記録は、PC・サーバーそれぞれのイベントログに残ります。台数が少なければ1台ずつ開いて見られますが、10台、20台と増えると、調べたいときに全台を見て回るのは現実的ではありません。この記事では、複数台のPCのログを1か所に集める方法を、Windows標準の機能から順に整理します。

Windowsイベント転送でログを集める流れ

1
集める側を準備
wecutil qc
2
送る側を準備
winrm quickconfig
3
何を集めるか決める
サブスクリプション
4
届いたか確かめる
転送されたイベント

なぜログを1か所に集めるのか

ログを各PCに置いたままにすると、次のことが起きます。

上書きで消える：イベントログは期間ではなくサイズで管理され、上限に達すると古いものから消えます（ログの保存期間を確認・変更する手順）。
消される：管理者権限で入られると、そのPCのログを消去できます。消去した記録（イベントID 1102）も、同じPCの中に残るだけです。
見落とす：1台ずつ見に行く運用では、見に行かなかったPCの異変には気づけません。
壊れると一緒に失う：PCが故障したり、ランサムウェアで暗号化されたりすると、ログも一緒に読めなくなります。

別の場所にコピーが届いていれば、そのPCで何が起きても、記録は手元に残ります。

アプリップリキーは、全PC・サーバーのログイン記録を自動で1か所に集め、利用者・PC名・IPアドレス・使ったスマホで検索できます。この記事の設定をしなくても、1台ずつ見て回る手間がなくなり、取引先や監査で聞かれた日にCSVで出せます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにでき（PC版・サーバー版。リモートデスクトップでのログインも対象）、記録の「誰が入ったか」を本人と結びつけて説明できます。

価格と初月無料を見る資料を見る（PDF）

PC版月1,800円／台（初期費用0円）・サーバー版月20,000円／台。初月無料ではじめられます（税別・目安）

方法1：Windowsイベント転送（WEF）で集める

Windowsには、他のPCのイベントログを受け取る「Windowsイベントコレクター」という機能が標準で入っています。ログを受け取る側を収集側（コレクター）、送る側を送信側（ソース）と呼びます。追加のソフトや費用は要りません。

前提

ここで紹介する手順は、Active Directory（ドメイン）に参加しているPC・サーバーを前提にしています。ワークグループ（ADなし）の場合は、後の「ADがない場合」を先に読んでください。

手順1：収集側を準備する

ログを集めるPCかサーバーを1台決め、管理者権限のコマンドプロンプトで実行します。

wecutil qc

Windowsイベントコレクターのサービスが自動起動に設定されます。集めたログは、このPCのイベントビューアーの「Windows ログ」>「転送されたイベント」に入ります。

手順2：送信側を準備する

ログを送るPC・サーバーで、リモート管理（WinRM）を有効にします。

winrm quickconfig

セキュリティログを送るには、送信側のPCでローカルグループ「Event Log Readers」に、ログを読む権限を持たせるアカウントを追加します。収集側から取りに行く方式なら収集側のコンピューターアカウント、送信側から送る方式なら NETWORK SERVICE を追加します。台数が多い場合は、グループポリシーの「制限されたグループ」などでまとめて配ります。

手順3：サブスクリプション（何を集めるか）を作る

収集側のイベントビューアー（eventvwr.msc）で「サブスクリプション」を右クリック >「サブスクリプションの作成」を開きます。方式は2つあります。

サブスクリプションの2つの方式

収集側から取りに行く

送信側のPCを1台ずつ指定する
数台なら設定が分かりやすい
PCが増えるたびに追加が必要

送信側から送る

グループポリシーで収集先を配る
台数が多い会社向け
新しいPCもポリシーで自動的に加わる

送信側から送る方式では、グループポリシーで次を設定し、収集側のアドレスを配ります。

コンピューターの構成 > ポリシー > 管理用テンプレート > Windows コンポーネント > イベント転送 > 「ターゲット サブスクリプション マネージャーを構成する」 Server=http://（収集側のFQDN）:5985/wsman/SubscriptionManager/WEC,Refresh=60

手順4：届いたか確かめる

収集側の「転送されたイベント」に、送信側のコンピューター名のイベントが並べば完了です。届かないときは、収集側で次のコマンドを実行し、送信側ごとの状態を確かめます。

wecutil gr （サブスクリプション名）

送信側のファイアウォールでWinRM（既定はTCP 5985）が止められていないか、送信側の「Event Log Readers」の設定が漏れていないかが、よくある原因です。

Windowsのログインは、パスワードを知っていれば誰でも本人として入れます

ログを1か所に集めても、記録されるのは「どのアカウントで入ったか」です。漏れたパスワードで入った人も、記録の上では本人になります。集めたログで本人を特定できるかは、ログインの仕組みで決まります。

パスワードだけのログイン

漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。

2要素認証のログイン

パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。

VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。

PC・サーバーのログインを2要素認証にする方法 ADなしで1台から始める方法

何を集めるか：ログイン調査に使うイベントID

すべてのイベントを集めると、量が多すぎて読めなくなります。ログインまわりの調査なら、次に絞るのが目安です。

イベントID	内容	分かること
4624	ログオン成功	誰がいつ入ったか。ログオンの種類10はリモートデスクトップ
4625	ログオン失敗	パスワードの総当たり・打ち間違い
4740	アカウントのロックアウト	どのアカウントがロックされたか（ドメインではドメインコントローラーに残る）
4720・4726	アカウントの作成・削除	知らないアカウントが作られていないか
4732	ローカルグループへの追加	Administratorsなどに誰かが加えられていないか
1102	監査ログの消去	誰かがログを消したか

サブスクリプションの「イベントのフィルター」で「XML」タブを開き、次のように絞り込めます。

<QueryList>
  <Query Id="0" Path="Security">
    <Select Path="Security">
      *[System[(EventID=4624 or EventID=4625 or EventID=4740
        or EventID=4720 or EventID=4726 or EventID=4732 or EventID=1102)]]
    </Select>
  </Query>
</QueryList>

4624（ログオン成功）は、サービスやシステムによる自動のログオンも含むため、特に件数が多くなります。人によるログインだけを見たい場合は、ログオンの種類（2：対話、10：リモートデスクトップなど）で絞ります。そもそも各PCで監査ポリシーが無効だと何も記録されないので、先に auditpol /get /category:* で「ログオン/ログオフ」が「成功および失敗」になっているかを確かめてください（ログイン履歴を確認する方法）。

保存期間と容量

集めた先のログも、サイズの上限に達すると古いものから消えます。「転送されたイベント」の上限は、収集側で広げておきます（例は4GB）。

wevtutil sl ForwardedEvents /ms:4294967296

何日分残っているかは、設定値ではなく最も古い記録の日時で確かめます。

Get-WinEvent -LogName ForwardedEvents -Oldest -MaxEvents 1

不正なログインは正しいIDとパスワードで行われ、気づくのが数週間後になることもあります。最低でも90日分を目標にし、台数と件数に合わせて上限を見直してください。収集側のPCが止まるとログも届かなくなるため、常時動いているサーバーを収集側にするのが基本です。

ADがない場合（ワークグループ）

ADがないワークグループの環境でも、イベント転送は使えます。ただし手間は大きくなります。ドメインでは送信側と収集側の認証をKerberosで自動的に行いますが、ワークグループではそれが使えません。代わりに次の準備が必要です。

収集側にサーバー証明書、送信側にクライアント証明書を用意し、HTTPS（既定はTCP 5986）で接続する
送信側ごとに、収集先と証明書の指定をローカルのポリシーで設定する
証明書の有効期限が切れる前に、全台で入れ替える

グループポリシーで一斉に配れないため、PCを1台ずつ設定し、新しいPCを買うたびに同じ作業を繰り返すことになります。社内に証明書を扱える人がいない会社では、ここで止まることが少なくありません。

方法2：ログを自動で集める仕組みを使う

イベント転送の設定や証明書の管理を自社で続けるのが難しい場合は、ログを自動で集めるソフトやサービスを使う方法があります。

アプリップリキーでは、アプリップリキーを入れた全PC・サーバーのログイン記録が、自動で1か所に集まります。ADは要らず、ワークグループのPCでもそのまま使えます。

検索できる：ログイン記録を、期間・利用者・PC名・接続元のIPアドレス・ログインに使ったスマホで絞り込み、CSVで出せます。ログは10年間残ります。→ 何かあったときに、誰がいつどのPCに入ったかをすぐ示せます。
知らせてくれる：ログインの連続失敗や、ランサムウェアの前兆（Defenderの停止・バックアップの削除など）を検知すると、管理者ご本人が登録したLINEに届きます。連続して失敗した相手のIPは自動で遮断します。→ ログを毎日見に行かなくても、異変があるときだけ気づけます。
その場で止められる：LINEから画面の確認・ネットワーク分離・電源オフ（確認付き）ができます。→ 夜間や休日も、何もない日は見に行かなくてよく、担当者が安心して休めます。
PCの状態も一緒に見える：台数・オンラインかどうか・OS・更新漏れも同じ画面で分かります。→ 棚卸しのために1台ずつ見て回る作業が、画面を開くだけで済みます。

Windowsイベント転送と、アプリップリキー

Windowsイベント転送（WEF）

追加費用なし
ADがあれば一斉に設定できる
ワークグループは証明書の準備が必要
インターネットにつながらない社内だけでも使える
異変の通知は別に仕組みが必要

アプリップリキー

ADなし・ワークグループでもそのまま使える
検索・CSV・10年保存
異変はLINEに届き、スマホから止められる
インターネットにつながっていないPCでは使えない
対象はアプリップリキーを入れたPC・サーバー

さらに、アプリップリキーはPC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにします（PC版・サーバー版。リモートデスクトップでのログインも対象）。パスワードを知っているだけでは入れなくなるので、集めたログの「誰が入ったか」が、本人のスマホと結びつきます。毎回の操作はスマホでワンタッチなので、社員の手間はほとんど増えません。

普段の管理が楽になると何が変わるか

ログが1か所にそろっていると、調べものの時間が短くなります。社員から「ロックされて入れない」と言われたら、席まで行かずに、どのPCで誰がいつ失敗したかをその場で確かめられます。取引先のチェックシートや保険の申込みで「ログイン記録を保存しているか」と聞かれても、聞かれたその日に記録を出して答えられます。兼任の担当者にとっては、PCのことで呼ばれる回数と、調べる時間の両方が減ります。

よくある質問

複数台のPCのログを、無料で1か所に集められますか

Windows標準の「Windowsイベント転送（WEF）」を使えば、追加費用なしで集められます。収集側で wecutil qc、送信側で winrm quickconfig を実行し、収集側のイベントビューアーでサブスクリプションを作成します。ADのある環境が前提で、ワークグループでは証明書の準備が必要です。

集めたログはどこに保存されますか

収集側のPCの、イベントビューアーの「Windows ログ」>「転送されたイベント」に保存されます。このログもサイズの上限に達すると古いものから消えるため、wevtutil sl ForwardedEvents /ms: で上限を広げておきます。

どのイベントを集めればよいですか

ログインまわりの調査なら、4624（ログオン成功）・4625（ログオン失敗）・4740（ロックアウト）・4720と4726（アカウントの作成・削除）・4732（ローカルグループへの追加）・1102（監査ログの消去）が目安です。すべてを集めると量が多すぎて読めなくなります。

ADがない会社でも使えますか

ワークグループでもイベント転送は使えますが、Kerberosの認証が使えないため、証明書を用意してHTTPSで接続する必要があります。グループポリシーで一斉に配れないので、PCを1台ずつ設定することになります。

いまの運用を棚卸ししてみる

ログを1か所に集めても、それは「後から調べられる」状態になっただけで、パスワードだけで入れる状態はそのまま残ります。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。個人情報の入力は不要で、会員登録もありません。

参考・出典

※ 本記事は2026年11月時点の一般的な解説です。画面の名称や既定値は、Windowsのバージョンおよび環境によって異なる場合があります。設定の変更は、影響範囲を確認のうえ実施してください。

1台ずつの確認手順はWindowsのログイン履歴を確認する方法、ドメインの記録はActive Directoryでログオン履歴を確認する方法、リモートデスクトップはリモートデスクトップの接続履歴を確認する方法にまとめています。