OS クラッシュ分析

Omnissa Workspace ONE Experience Management for Windows and Horizon 環境の拡張 OS クラッシュ分析機能を使用すると、カーネル レベルでイベントをキャプチャするのではなく、根本原因イベントをキャプチャできます。この機能はデフォルトで有効になっています。

収集されるデバイス データ

Experience Management for Windows and Horizon エージェントは、エージェントに含まれている ExternalDumpAnalyzer プロセスを使用して、OS クラッシュ分析機能のリストされた属性を収集します。

要件

拡張 OS クラッシュ分析機能を Windows デバイスに展開する前に、リストされている要件を満たしていることを確認します。

• Experience Management for Windows and Horizon エージェント 26.07 以降を使用します。
• デバイスのシンボル キャッシュ ディレクトリが Workspace ONE Endpoint Telemetry サービス アカウントによって書き込み可能であることを確認します。
• デバイスが http://msdl.microsoft.com/download/symbols で直接、または構成されたプロキシを介して Microsoft パブリック シンボル サーバにアクセスできることを確認します。
• デバイスに WinDbg をインストールして使用します。
• サービス シナリオには、システム レベルの環境変数を使用します。
• Workspace ONE Endpoint Telemetry サービスを再起動するか、システム レベルの環境変数を変更した後に再起動します。

この機能の仕組み

エクスペリエンス管理が Windows OS クラッシュ ダンプを検出すると、DeviceEventTracker は ExternalDumpAnalyzer プロセス (ws1dumpa.exe) を起動します。OS クラッシュ分析には、IPC (プロセス間通信) モードとスタンドアローン モードの 2 つのモードがあります。

IPC モード

• Windows OS クラッシュが発生し、システムが OS クラッシュ ダンプを検出すると、DeviceEventTracker は ExternalDumpAnalyzer プロセスを C:\Program Files\WorkspaceONE\Endpoint Telemetry\Tools\ws1dumpa.exe から起動します。
• クラッシュ ダンプ パスは、プロセスに引数として渡されます。
• 分析を開始する前に、ws1dumpa.exe は次の検証を実行します。
  • リクエストは SYSTEM 権限または管理者権限で実行されています。
  • ダンプ ファイルが存在します。
  • デバッガ ツールを使用できます。
  • ネットワーク接続を使用できます。
  • いずれかの検証に失敗した場合、システムは適切な警告またはエラー メッセージをログに記録します。
• 検証後、ExternalDumpAnalyzer プロセスは記載されている手順を実行します。
  • インストールされているデバッガを使用してダンプを分析します。
  • クラッシュ分析結果を生成します。
  • 結果をテレメトリ サービスに報告します。
• アナライザ出力には、次の拡充されたクラッシュ フィールドが含まれます。
  • process_associated_with
  • caused_by_module
  • complete_stack_trace

デバッガ フォールバック

デバッガー ツールが使用できない場合、アナライザはインボックス デバッガにフォールバックします。これは、クラッシュ ダンプの詳細、最小限のプロセス、モジュール情報、および complete_stack_trace のシンボル オプションで、インボックス Windows デバッグ ヘルパーを使用します。complete_stack_trace シンボル オプションは、分析に役立ちます。

シンボルの解決

• ネットワーク接続が使用可能な場合、システムはシンボル サーバから一致するシンボル をダウンロードできます。WinDbg は、正確な分析にこれらのシンボルを使用します。
• ネットワークが使用できないが、必要なシンボルがすでにローカル キャッシュに存在する場合、アナライザはそれらを使用できます。

分析フォールバック

何らかの理由で外部分析が失敗した場合、DeviceEventTracker は処理中のダンプ分析にフォールバックします。これは、クラッシュ ダンプの詳細、最小限のプロセス、モジュール情報、および complete_stack_trace のシンボル オプションで、インボックス Windows デバッグ ヘルパーを使用します。complete_stack_trace シンボル オプションは、分析に役立ちます。

最後に、 システムは system_crash イベントを生成し、これらの拡充された属性とともにエクスペリエンス管理に送信します。

スタンドアローン モード

また、引数としてダンプ ファイルを指定することで、ExternalDumpAnalyzer プロセスを個別に実行することもできます。

1. 管理者としてコマンド プロンプトを開きます。
2. 次の C:\Program Files\WorkspaceONE\Endpoint Telemetry\Tools\ws1dumpa.exe "dumpfilepath" コマンドを実行します。

動作

• すべての検証および分析機能は、IPC モードと同じです。
• 分析結果はコマンド プロンプトに直接表示されます。
• 結果は Intelligence またはエクスペリエンス管理サービスに送信されません。
• このモードは、主にトラブルシューティングと検証を目的としています。

デバイスに WinDbg をインストールして使用

ExternalDumpAnalyzer プロセスは、Microsoft デバッグ エンジンを使用して OS クラッシュ ダンプをロードし、シンボルを解決し、スタック トレースや caused-by モジュールなどのクラッシュ分析フィールドを生成します。Microsoft デバッガ エンジンの上に構築され、OS クラッシュ分析へのフル アクセスを提供するため、デバッガとして WinDbg を使用します。

検索の順序

ExternalDumpAnalyzer プロセスは、Microsoft デバッグ エンジン コンポーネントを記載されている順序で検索します。

1. Windows SDK デバッグ ツール パス (C:\\Program Files (x86)\\Windows Kits\\10\\Debuggers\\x64 など)
   • 何も見つからない場合は、次の検索場所を試みます。
2. C:\\Program Files\\WindowsApps\\Microsoft.WinDbg_* の下の Microsoft ストア WinDbg パッケージ パス
   • 何も見つからない場合は、次の検索場所を試みます。
3. システム dbgeng.dll

WindDbg のインストール方法

WinDbg は、Microsoft ストアまたは Windows SDK の 2 つの方法を使用してインストールできます。

展開システムで使用されるデバイス コンテキストでインストール コマンドを実行し、拡張 OS クラッシュ分析を広く有効にする前に、インストールされたパスを検証します。

• Microsoft ストアからのインストール
  • WinGet パッケージ マネージャと記載されているコマンドを使用して、管理者としてコマンド ラインから WinDbg をインストールできます。
  • winget install --id Microsoft.WinDbg --source msstore --accept-package-agreements --accept-source-agreements
  • Workspace ONE UEMの ソフトウェア配布 (SFD) 機能を使用して、コマンドをデバイスにプッシュします。
• WINDOWS SDK からのインストール
  • 組織がアプリ ストアの使用をブロックしている場合は、Windows SDK とそれに対応するWindows SDK デバッグ ツールを使用します。
  • dbgeng.dll システム ファイルが次に記載されているいずれかのパスに存在することを確認します。
    • C:\Program Files (x86)\Windows Kits\10\Debuggers\x64
    • C:\Program Files (x86)\Windows Kits\10\Debuggers\arm64
    • C:\Program Files (x86)\Windows Kits\10\Debuggers\x86

ExternalDumpAnalyzer プロセスはどこにありますか。

ExternalDumpAnalyzer プロセスは、記載されているパスのデバイスに存在します。

Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WorkspaceONE\Endpoint Telemetry\Service\Config\ExternalDumpAnalyzer\Enabled

デバイス レジストリのキーと値のペアを false に変更して、拡張 OS クラッシュ分析機能を無効にすることができます。

無効にするためのスクリプト

キーと値のペアを手動で無効にしない場合は、レジストリ キーを手動で編集する代わりに、リモートまたは一括で無効にするために独自の PowerShell スクリプトを作成 (例えば、ファイル Set-ExternalDumpAnalyzer.ps1 の名前を付ける) できます。

• .\Set-ExternalDumpAnalyzer.ps1 — 機能を有効にする (Enabled = "true")
• .\Set-ExternalDumpAnalyzer.ps1 -Disable — 機能を無効にする (Enabled = "false")
• .\Set-ExternalDumpAnalyzer.ps1 -Remove — キーを完全に削除する (デフォルトに戻す)

注：HKLM に書き込む際は、管理者権限/SYSTEM 権限でスクリプトを実行してください。

#Requires -RunAsAdministrator
<#
.SYNOPSIS
    Enables, disables, or removes the DEEM / Endpoint Telemetry
    "ExternalDumpAnalyzer" registry setting, for remote/mass deployment.

.DESCRIPTION
    Target key:
        HKLM\SOFTWARE\WorkspaceONE\Endpoint Telemetry\Service\Config\ExternalDumpAnalyzer

    Actions:
      (default)   Set  "Enabled" = "true"    -> feature enabled
      -Disable    Set  "Enabled" = "false"   -> feature disabled
      -Remove     Delete the ExternalDumpAnalyzer key entirely
                  -> agent falls back to its default (disabled)

    Notes:
    - "Enabled" is a STRING (REG_SZ) "true"/"false", matching the admin guide and
      the agent config option ExternalDumpAnalyzer/Enabled (bool, default false).
    - Creates the key path if it does not exist (enable/disable).
    - Always targets the 64-bit registry view, so it works even if invoked by a
      32-bit deployment host (avoids WOW6432Node redirection).
    - Intended for Workspace ONE UEM scripts, Intune, GPO startup scripts, or
      PowerShell Remoting (Invoke-Command).

.PARAMETER Disable
    Disable the feature (sets Enabled = "false"). Omit to enable ("true").

.PARAMETER Remove
    Remove the ExternalDumpAnalyzer key from the registry (reverts to default).

.EXAMPLE
    .\Set-ExternalDumpAnalyzer.ps1
    Enables ExternalDumpAnalyzer (Enabled = "true").

.EXAMPLE
    .\Set-ExternalDumpAnalyzer.ps1 -Disable

.EXAMPLE
    .\Set-ExternalDumpAnalyzer.ps1 -Remove

.NOTES
    Exit codes: 0 success | 1 general failure | 2 verification failed |
                5 not elevated
#>
[CmdletBinding(DefaultParameterSetName = 'Set')]
param(
    [Parameter(ParameterSetName = 'Set')]
    [switch]$Disable,

    [Parameter(ParameterSetName = 'Remove')]
    [switch]$Remove
)

$ErrorActionPreference = 'Stop'

$subKeyPath = 'SOFTWARE\WorkspaceONE\Endpoint Telemetry\Service\Config\ExternalDumpAnalyzer'
$valueName  = 'Enabled'

function Test-IsAdministrator {
    $identity  = [Security.Principal.WindowsIdentity]::GetCurrent()
    $principal = New-Object Security.Principal.WindowsPrincipal($identity)
    return $principal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
}

try {
    if (-not (Test-IsAdministrator)) {
        Write-Error 'Must be run as Administrator (writes to HKLM).'
        exit 5
    }

    # Open the 64-bit HKLM view explicitly (robust to 32-bit callers).
    $base = [Microsoft.Win32.RegistryKey]::OpenBaseKey(
        [Microsoft.Win32.RegistryHive]::LocalMachine,
        [Microsoft.Win32.RegistryView]::Registry64)

    if ($Remove) {
        # ---- Remove the ExternalDumpAnalyzer key entirely ----
        $existing = $base.OpenSubKey($subKeyPath)
        if ($null -eq $existing) {
            Write-Output "ExternalDumpAnalyzer key not present; nothing to remove."
            Write-Output "Key: HKLM\$subKeyPath"
            $base.Close()
            exit 0
        }
        $existing.Close()

        $base.DeleteSubKeyTree($subKeyPath)

        # Verify removal.
        $check = $base.OpenSubKey($subKeyPath)
        $base.Close()
        if ($null -ne $check) {
            $check.Close()
            Write-Error "Verification failed: key still present at HKLM\$subKeyPath"
            exit 2
        }

        Write-Output "ExternalDumpAnalyzer REMOVED from registry (agent reverts to default: disabled)."
        Write-Output "Key: HKLM\$subKeyPath"
        exit 0
    }

    # ---- Enable / Disable ----
    $desired   = if ($Disable) { 'false' } else { 'true' }
    $stateText = if ($Disable) { 'DISABLED' } else { 'ENABLED' }

    # CreateSubKey creates the full path if missing and opens it writable.
    $key = $base.CreateSubKey($subKeyPath)
    if ($null -eq $key) {
        Write-Error "Failed to open/create registry key: HKLM\$subKeyPath"
        exit 1
    }

    # Value is a REG_SZ string "true"/"false".
    $key.SetValue($valueName, $desired, [Microsoft.Win32.RegistryValueKind]::String)

    # Verify the written value.
    $actual = $key.GetValue($valueName)
    $key.Close()
    $base.Close()

    if ($actual -ne $desired) {
        Write-Error "Verification failed: $valueName = '$actual' (expected '$desired')."
        exit 2
    }

    Write-Output "ExternalDumpAnalyzer $stateText  ($valueName = `"$actual`")"
    Write-Output "Key: HKLM\$subKeyPath"
    exit 0
}
catch {
    Write-Error "Failed to update ExternalDumpAnalyzer: $($_.Exception.Message)"
    exit 1
}

シンボル関連設定のポリシー

一部のポリシーを構成して、シンボル関連の設定を定義できます。ポリシーは Workspace ONE Endpoint Telemetry > DEEM > Symbol Store Settings にあります。

ポリシーが使用するレジストリ キーは、Symbol Store Settings ポリシーであり、 HKLM\Software\Policies\WorkspaceONE\Endpoint Telemetry\DEEM\Symbol Store Settings にあります。これには構成する 5 つのシンボル レジストリ ポリシー ファイルが含まれています。

1. ローカル シンボル
   • 使用するシンボル変数を構成します。
   • これらの設定は、Microsoft シンボル、代替シンボル、シンボル プロキシ レジストリ ファイルに影響します。
   • True = ローカルシンボル変数
     • Symbol Store Settings ポリシーで、ローカルシンボル変数を使用するように ExternalDumpAnalyzer プロセスを設定するために、UseLocalSymbolConfiguration を true として構成します。
     • これらのローカル シンボル変数の少なくとも 1 つがデバイス上で構成されている必要があります。
       • _NT_SYMBOL_PATH
       • _NT_ALT_SYMBOL_PATH
       • _NT_SYMBOL_PROXY
     • これらのローカル シンボル変数がデバイスで構成されていない場合、ExternalDumpAnalyzer プロセスはデフォルトで管理されているシンボル キャッシュを使用できます。
     • このポリシーを true として設定する場合、システムは、Microsoft シンボル、代替シンボル、シンボル プロキシ レジストリ ファイルを無視します。
   • False = ポリシー値またはデフォルトで管理されているシンボル変数
     • Symbol Store Settings ポリシーで、ポリシー値またはデフォルトで管理されているシンボル変数のいずれかを使用するように ExternalDumpAnalyzer プロセスを設定するために、UseLocalSymbolConfiguration を false として構成します。
     • ポリシー値が存在する場合、システムはそれを優先的に使用します。ポリシー値がデバイスに設定されていない場合、システムはデフォルトで管理されている値を使用します。
2. Microsoft シンボル
   • Microsoft シンボル パスとローカル キャッシュの場所を構成します。
   • レジストリ値は MicrosoftSymbols です。
   • これが構成されていない場合、デフォルトは srv*C:\ProgramData\WorkspaceONE\ws1etlm\MSSymbols*http://msdl.microsoft.com/download/symbols です。
   • カスタム キャッシュの例は srv*C:\Symbols*http://msdl.microsoft.com/download/symbols です。
   • UseLocalSymbolConfiguration を true として構成すると、システムはこのレジストリ ファイルを無視します。
3. 代替シンボル
   • パス _NT_ALT_SYMBOL_PATH に相当する追加のシンボル パスを構成します。
   • レジストリ値は AlternativeSymbols です。
   • システムは、Microsoft シンボル パスを検索する前にこのパスを検索します。
   • 例：C:\PrivateSymbols
   • UseLocalSymbolConfiguration を true として構成すると、 システムはこのレジストリ ファイルを無視します。
4. シンボル プロキシ
   • _NT_SYMBOL_PROXY に相当するシンボル プロキシを構成します。
   • レジストリ値は SymbolProxy です。
   • 例として http://proxy.example.com:8080 があります。
   • UseLocalSymbolConfiguration を true として構成すると、システムはこのレジストリ ファイルを無視します。
5. シンボルを削除
   • 削除前に管理対象ローカル シンボル キャッシュを保持する期間を設定します。
   • レジストリ値は DeleteSymbolsKeepHours です。
   • クリーンアップ タイマーは、設定された保持スケジュールに関連付けるのが最善です。
     • デバイスがすでに過去にシンボルをダウンロードし、クリーンアップが間もなく期限切れになる、または期限切れになっている場合は、起動後 (クラッシュ後に発生) 15 ～ 25 分レジストリを遅延させます。
     • デバイスでクリーンアップの期限がより後になっている場合は、その保持期間に15 〜 25分を加えてタイマーをセットします。このタイマーにより、クリーンアップが起動してすぐに実行されず、クラッシュ ダンプの分析を妨げないようにします。
   • 使用できる値には、 Minimum: 1 hour、 Maximum: 720 hours、および Default: 168 hours が含まれます。7 日間で 168 時間。

シンボル ポリシーの構成

拡張 OS クラッシュ分析機能を有効にして展開するには、2 つの方法から選択します。PowerShell コマンドを使用するか、グループ ポリシー オブジェクト (GPO) を使用します。

• PowerShell
  • レジストリ ポリシーを使用して、ポリシー レジストリ キーに直接書き込みます。
  • この方法は、ソフトウェア配布 (SFD) 機能を使用してコマンドをデバイスにプッシュし、GPO を使用しない場合に便利です。
  • この方法では、デバイス上に WinDbg が必要です。
• グループ ポリシー オブジェクト
  • グループ ポリシー管理エディタでシンボル レジストリ ポリシー ファイルを構成します。
  • ADMX および ADML テンプレートを使用し、ドメイン GPO レベルでグループ ポリシー管理コンソールからシンボル ポリシーを展開します。
  • GPO は、レジストリベースの同じポリシー値を対象デバイスに書き込みます。
  • この方法は、GPO を使用してデバイスを管理し、SFD を使用しない場合に便利です。

PowerShell を使用する方法

SFD 機能を使用してコマンドをデバイスにプッシュする場合は、必要なシンボル レジストリ ポリシー ファイルを追加し、必要に応じて各ポリシーの値を調整します。

重要：Windows サービスはサービス プロセスの開始時に環境変数を読み込むため、マシンの環境変数を変更した後は、Workspace ONE Endpoint Telemetry サービスを再起動するかデバイスを再起動します。

例

シンボル レジストリ ポリシー ファイルの例をいくつか示します。

デフォルトで管理されているシンボル キャッシュ

デフォルトで管理されているシンボル キャッシュを定義します。

$policyPath = "HKLM:\Software\Policies\WorkspaceONE\Endpoint Telemetry\DEEM\Symbol Store Settings"
New-Item -Path $policyPath -Force | Out-Null

New-ItemProperty -Path $policyPath -Name "UseLocalSymbolConfiguration" -PropertyType String -Value "false" -Force | Out-Null
New-ItemProperty -Path $policyPath -Name "MicrosoftSymbols" -PropertyType String -Value "srv*C:\ProgramData\WorkspaceONE\ws1etlm\MSSymbols*http://msdl.microsoft.com/download/symbols" -Force | Out-Null
New-ItemProperty -Path $policyPath -Name "DeleteSymbolsKeepHours" -PropertyType DWord -Value 168 -Force | Out-Null

カスタム シンボル キャッシュ

カスタム シンボル キャッシュを定義します。

$policyPath = "HKLM:\Software\Policies\WorkspaceONE\Endpoint Telemetry\DEEM\Symbol Store Settings"
New-Item -Path $policyPath -Force | Out-Null

New-ItemProperty -Path $policyPath -Name "UseLocalSymbolConfiguration" -PropertyType String -Value "false" -Force | Out-Null
New-ItemProperty -Path $policyPath -Name "MicrosoftSymbols" -PropertyType String -Value "srv*C:\Symbols*http://msdl.microsoft.com/download/symbols" -Force | Out-Null
New-ItemProperty -Path $policyPath -Name "AlternativeSymbols" -PropertyType String -Value "C:\PrivateSymbols" -Force | Out-Null
New-ItemProperty -Path $policyPath -Name "SymbolProxy" -PropertyType String -Value "http://proxy.example.com:8080" -Force | Out-Null
New-ItemProperty -Path $policyPath -Name "DeleteSymbolsKeepHours" -PropertyType DWord -Value 168 -Force | Out-Null

ローカル シンボル環境変数

ローカル シンボル環境変数を定義します。ExternalDumpAnalyzer プロセスでポリシー シンボル値の代わりにローカル シンボル環境変数を使用する場合は、この構成を使用します。

$policyPath = "HKLM:\Software\Policies\WorkspaceONE\Endpoint Telemetry\DEEM\Symbol Store Settings"
New-Item -Path $policyPath -Force | Out-Null
New-ItemProperty -Path $policyPath -Name "UseLocalSymbolConfiguration" -PropertyType String -Value "true" -Force | Out-Null

[Environment]::SetEnvironmentVariable("_NT_SYMBOL_PATH", "srv*C:\Symbols-check*http://msdl.microsoft.com/download/symbols", "Machine")
[Environment]::SetEnvironmentVariable("_NT_ALT_SYMBOL_PATH", "C:\PrivateSymbols", "Machine")
[Environment]::SetEnvironmentVariable("_NT_SYMBOL_PROXY", "http://proxy.example.com:8080", "Machine")

GPO メソッド

グループ ポリシー管理エディタでポリシーを構成し、ADMX および ADML テンプレート ファイルを使用して、展開用のドメイン GPO レベルでグループ ポリシー管理コンソールでポリシーを使用できるようにします。

ADMX および ADML テンプレートの構成

ドメイン GPO ポリシーで ADMX および ADML テンプレートを構成し、拡張 OS クラッシュ分析設定を Windows デバイスに展開します。

前提条件

Customer Connect から etlm_extra_bundle を取得していない場合は、 Workspace ONE エンドポイント テレメトリ エージェントの ZIP ファイルにバンドルされている ADMX および ADML テンプレートが含まれているため、今すぐ取得してください。

手順

1. wsone_etlm.admx をドメインのセントラル ストアにコピーします。 \\<domain>\SYSVOL\<domain>\Policies\PolicyDefinitions\wsone_etlm.admx
2. wsone_etlm.adml を一致する言語フォルダにコピーします。 \\<domain>\SYSVOL\<domain>\Policies\PolicyDefinitions\en-US\wsone_etlm.adml
3. Windows デバイスの グループ ポリシー管理コンソール を開きます。
4. 対象のデバイス ポリシーを編集します。
5. [コンピュータの構成] > [管理テンプレート] > [Workspace ONE エンドポイント テレメトリ] > [DEEM] > [シンボル ストア設定] の順に移動します。
6. 特定のニーズに応じて、使用可能な 5 つのオプション (ローカル シンボル、Microsoft シンボル、代替シンボル、シンボル プロキシ、および削除シンボル) から適切なシンボル ポリシーを構成します。
7. ポリシーを対象デバイスに適用します。
8. gpupdate /force を実行するか、通常のポリシーの更新を待ちます。

レポートおよびダッシュボードへのクラッシュ診断の追加

拡張 OS クラッシュ分析機能が拡充されたクラッシュ診断フィールドをレポートした後、これらのフィールドを任意のレポートおよびダッシュボード ウィジェットに列として追加して、すでに使用している Intelligence レポート ワークフローを離れることなく、フリート全体のクラッシュの根本原因を分析できます。

レポート

1. Intelligence で、[ワークスペース] > [レポート] に移動します。
2. システム クラッシュ イベントを一覧表示するレポートを開きます。
3. 列リストから [列の管理] を選択して、[スタック トレース]、[スタック トレースの完了]、[原因モジュール]、および [関連付けられるプロセス] を追加します。
4. レポートを保存します。

レポート テーブルに、クラッシュ イベントごとに選択した診断列が表示されるようになりました。

ダッシュボード ウィジェット

1. Intelligence で、[ワークスペース] > [ダッシュボード] に移動します。
2. 既存のダッシュボードにウィジェットを追加するか、カスタム ダッシュボードを作成します。
3. データ ソースとして [従業員エクスペリエンス] > [デバイス] を選択します。
4. 必要なすべてのエントリをデフォルトのままにすることができます。
5. フィルタ 領域で、属性 [イベント名がシステム クラッシュに等しい] を選択します。
6. ウィジェットを保存します。
7. ウィジェットの [列の管理] メニュー オプションを使用して、[スタック トレース]、[原因モジュール]、および [関連付けられるプロセス] の列を追加します。

情報をフィールドとして追加するか、使用事例に一致する場合はグループ化ディメンションとして追加できます。