MDM 로그 수집

아티클
07/17/2024
적용 대상:

✅ Windows 11, ✅ Windows 10

MDM 서버에서 관리하는 Windows 디바이스의 등록 또는 디바이스 관리 문제를 진단하기 위해 데스크톱에서 수집된 MDM 로그를 검사할 수 있습니다. 다음 섹션에서는 MDM 로그를 수집하는 절차를 설명합니다.

Windows 디바이스에서 MDM 진단 정보 로그 다운로드

관리되는 디바이스에서 설정>계정>액세스 회사 또는 학교로 이동합니다.
회사 또는 학교 계정을 선택한 다음 정보를 선택합니다.
설정 페이지의 맨 아래에서 보고서 만들기를 선택합니다.
로그 파일의 경로를 보여 주는 창이 열립니다. 내보내기를 선택합니다.
파일 탐색기에서 로 C:\Users\Public\Documents\MDMDiagnostics 이동하여 보고서를 확인합니다.

명령을 사용하여 Windows 디바이스에서 직접 로그 수집

다음 명령을 사용하여 MDM 진단 정보 로그를 수집할 수도 있습니다.

mdmdiagnosticstool.exe -area "DeviceEnrollment;DeviceProvisioning;Autopilot" -zip "c:\users\public\documents\MDMDiagReport.zip"

파일 탐색기에서 c:\Users\Public\Documents\MDMDiagnostics로 이동하여 보고서를 확인합니다.

zip 구조 이해

zip 파일에는 명령에 사용된 영역에 따라 로그가 있습니다. 이 설명은 DeviceEnrollment, DeviceProvisioning 및 Autopilot 영역을 기반으로 합니다. 명령줄 또는 피드백 허브를 통해 수집된 zip 파일에 적용됩니다.

DiagnosticLogCSP_Collector_Autopilot_*: Autopilot etls
DiagnosticLogCSP_Collector_DeviceProvisioning_*: 프로비전 etls(Microsoft-Windows-Provisioning-Diagnostics-Provider)
MDMDiagHtmlReport.html: MDM 구성 및 정책의 요약 스냅샷 포함, 관리 URL, MDM 서버 디바이스 ID, 인증서, 정책.
MdmDiagLogMetadata.json: 도구를 실행하는 데 사용되는 명령줄 인수를 포함하는 mdmdiagnosticstool 메타데이터 파일입니다.
MDMDiagReport.xml: 등록 변수, 프로비저닝 패키지, 다변량 조건 등과 같은 MDM 구성에 대한 자세한 보기를 포함합니다. 프로비저닝 패키지 진단에 대한 자세한 내용은 프로비저닝 패키지 진단을 참조하세요.
MdmDiagReport_RegistryDump.reg: 일반적인 MDM 레지스트리 위치의 덤프를 포함합니다.
MdmLogCollectorFootPrint.txt: mdmdiagnosticslog 도구가 명령을 실행하지 못하도록 로그합니다.
*.evtx: 일반적인 이벤트 뷰어는 MDM 이벤트를 포함하는 microsoft-windows-devicemanagement-enterprise-diagnostics-provider-admin.evtx 기본 이벤트를 기록합니다.

Windows 디바이스에서 직접 로그 수집

MDM 로그는 다음 위치의 이벤트 뷰어에서 캡처됩니다.

애플리케이션 및 서비스 로그 > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostic-Provider

스크린샷은 다음과 같습니다.

mdm 이벤트 뷰어입니다.

이 위치에서 관리자 채널은 기본적으로 이벤트를 기록합니다. 그러나 자세한 정보 로그가 필요한 경우 이벤트 뷰어의 보기 메뉴에서 분석 및 디버그 로그 표시 옵션을 선택하여 디버그 로그를 사용하도록 설정할 수 있습니다.

관리자 로그 수집

관리자 노드를 마우스 오른쪽 단추로 클릭합니다.
모든 이벤트를 다른 이름으로 저장을 선택합니다.
위치를 선택하고 파일 이름을 입력합니다.
저장을 선택합니다.
이러한 언어에 대한 정보 표시를 선택한 다음, 영어를 선택합니다.
확인을 선택합니다.

자세한 로깅을 위해 디버그 로그를 사용하도록 설정할 수 있습니다. 디버그 노드를 마우스 오른쪽 단추로 클릭한 다음 로그 사용을 선택합니다.

디버그 로그 수집

디버그 노드를 마우스 오른쪽 단추로 클릭합니다.
모든 이벤트를 다른 이름으로 저장을 선택합니다.
위치를 선택하고 파일 이름을 입력합니다.
저장을 선택합니다.
이러한 언어에 대한 정보 표시를 선택한 다음, 영어를 선택합니다.
확인을 선택합니다.

Windows 디바이스의 이벤트 뷰어에서 로그 파일(.evtx 파일)을 열 수 있습니다.

Windows 디바이스에서 원격으로 로그 수집

PC가 MDM에 이미 등록된 경우 MDM 서버에서 이 기능을 지원하는 경우 MDM 채널을 통해 PC에서 원격으로 로그를 수집할 수 있습니다. DiagnosticLog CSP를 사용하여 전체 이름으로 이벤트 뷰어 채널을 사용하도록 설정할 수 있습니다. 관리자 및 디버그 채널의 이벤트 뷰어 이름은 다음과 같습니다.

Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider%2FAdmin
Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider%2FDebug

예: 디버그 채널 로깅 사용

<SyncML xmlns="SYNCML:SYNCML1.2">
    <SyncBody>
        <Replace>
            <CmdID>2</CmdID>
            <Item>
                <Target>
                    <LocURI>./Vendor/MSFT/DiagnosticLog/EtwLog/Channels/Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider%2FDebug/State</LocURI>
                </Target>
                <Meta>
                    <Format xmlns="syncml:metinf">bool</Format>
                </Meta>
                <Data>true</Data>
            </Item>
        </Replace>
        <Final/>
    </SyncBody>
</SyncML>

예: 디버그 로그 내보내기

<?xml version="1.0"?>
<SyncML xmlns="SYNCML:SYNCML1.2">
    <SyncBody>
        <Exec>
            <CmdID>2</CmdID>
            <Item>
                <Target>
                    <LocURI>./Vendor/MSFT/DiagnosticLog/EtwLog/Channels/Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider%2FDebug/Export</LocURI>
                </Target>
            </Item>
        </Exec>
        <Final/>
    </SyncBody>
</SyncML>

Windows Holographic에서 원격으로 로그 수집

이미 MDM에 등록된 홀로그램의 경우 DiagnosticLog CSP를 사용하여 MDM 채널을 통해 MDM 로그를 원격으로 수집할 수 있습니다.

DiagnosticLog CSP를 사용하여 ETW 공급자를 사용하도록 설정할 수 있습니다. 공급자 ID는 3DA494E4-0FE2-415C-B895-FB5265C5C83B. 다음 예제에서는 ETW 공급자를 사용하도록 설정하는 방법을 보여 줍니다.

수집기 노드 추가

<?xml version="1.0"?>
<SyncML xmlns="SYNCML:SYNCML1.2">
    <SyncBody>
        <Add>
            <CmdID>1</CmdID>
            <Item>
                <Target>
                   <LocURI>./Vendor/MSFT/DiagnosticLog/EtwLog/Collectors/MDM</LocURI>
                </Target>
                <Meta>
                    <Format xmlns="syncml:metinf">node</Format>
                </Meta>
            </Item>
        </Add>
        <Final/>
    </SyncBody>
</SyncML>

추적에 ETW 공급자 추가

<?xml version="1.0"?>
<SyncML xmlns="SYNCML:SYNCML1.2">
    <SyncBody>
        <Add>
            <CmdID>1</CmdID>
            <Item>
                <Target>
                    <LocURI>./Vendor/MSFT/DiagnosticLog/EtwLog/Collectors/MDM/Providers/3DA494E4-0FE2-415C-B895-FB5265C5C83B</LocURI>
                </Target>
                <Meta>
                    <Format xmlns="syncml:metinf">node</Format>
                </Meta>
            </Item>
        </Add>
        <Final/>
    </SyncBody>
</SyncML>

수집기 추적 로깅 시작

<?xml version="1.0"?>
<SyncML xmlns="SYNCML:SYNCML1.2">
    <SyncBody>
        <Exec>
            <CmdID>2</CmdID>
            <Item>
                <Target>
                    <LocURI>./Vendor/MSFT/DiagnosticLog/EtwLog/Collectors/MDM/TraceControl</LocURI>
                </Target>
                <Meta>
                    <Format xmlns="syncml:metinf">chr</Format>
                </Meta>
                <Data>START</Data>
            </Item>
        </Exec>
        <Final/>
    </SyncBody>
</SyncML>

수집기 추적 로깅 중지

<?xml version="1.0"?>
<SyncML xmlns="SYNCML:SYNCML1.2">
    <SyncBody>
        <Exec>
            <CmdID>2</CmdID>
            <Item>
                <Target>
                    <LocURI>./Vendor/MSFT/DiagnosticLog/EtwLog/Collectors/MDM/TraceControl</LocURI>
                </Target>
                <Meta>
                    <Format xmlns="syncml:metinf">chr</Format>
                </Meta>
                <Data>STOP</Data>
            </Item>
        </Exec>
        <Final/>
    </SyncBody>
</SyncML>

디바이스에서 로그를 수집한 후 DiagnosticLog CSP의 FileDownload 부분을 사용하여 MDM 채널을 통해 파일을 검색할 수 있습니다. 자세한 내용은 DiagnosticLog CSP를 참조하세요.

로그 보기

최상의 결과를 위해 로그를 보고 있는 PC 또는 VM이 로그가 수집된 OS 빌드와 일치하는지 확인합니다.

eventvwr.msc를 엽니다.
이벤트 뷰어(로컬)를 마우스 오른쪽 단추로 클릭하고 저장된 로그 열기를 선택합니다.
디바이스에서 얻은 etl 파일로 이동한 다음 파일을 엽니다.
새 로그 형식으로 저장하라는 메시지가 표시되면 예를 선택합니다.
새 보기에는 채널의 추적이 포함됩니다. 작업 메뉴에서 현재 로그 필터링을 선택합니다.
DeviceManagement-EnterpriseDiagnostics-Provider를 선택하여 이벤트 원본에 필터를 추가하고 확인을 선택합니다.
이제 로그 검토를 시작할 준비가 되었습니다.

디바이스 상태 데이터 수집

다음은 DiagnosticLog CSP를 사용하여 현재 MDM 디바이스 상태 데이터를 수집하는 방법의 예입니다. etl 파일과 마찬가지로 CSP에서 동일한 FileDownload 노드를 사용하여 디바이스에서 파일을 수집할 수 있습니다.

<?xml version="1.0"?>
<SyncML xmlns="SYNCML:SYNCML1.2">
  <SyncBody>
    <Exec>
      <CmdID>2</CmdID>
      <Item>
        <Target>
          <LocURI>./Vendor/MSFT/DiagnosticLog/DeviceStateData/MdmConfiguration</LocURI>
        </Target>
        <Meta>
           <Format xmlns="syncml:metinf">chr</Format>
        </Meta>
        <Data>SNAP</Data>
      </Item>
    </Exec>
    <Final/>
  </SyncBody>
</SyncML>

다음을 통해 공유