MITERAS でログが取れない人が2割。原因を5つに切り分けた

PC の稼働ログを取るツールを全台に配った。管理画面を見ると、ログが1日も出ていない人がいる。しかも1人や2人ではない。

ある D2C 系の会社（Mac と Windows が混在、PC 約120台）で、PC 稼働ログのツール（MITERAS）を展開した。登録者約80名のうち、ログがまったく出ていない人が20人以上いた。「ツールが入っていないんだろう」で片づけず、ユーザーマスタ・MDM・ログの3つを突き合わせたら、原因は5つに分かれた。そのうちいくつかは、エラーを出さずに黙って失敗するタイプだった。

▼3つのデータを突き合わせる

ログが出ていない人を、次の3つのデータで照らし合わせた。

データ	わかること
ツールのユーザーマスタ	誰を、どのログオン名で紐付けようとしているか
MDM（Mac は Jamf、Windows は Intune）	端末にアプリが入っているか、実際のローカルユーザー名、最終接続日
稼働ログ	いつまで取れていて、いつから止まったか

Windows のローカルユーザー名は、Intune の修復スクリプト（毎日ローカルアカウントを確認するもの）の結果から取った。アプリのインストール状況は、Intune のレポートのエクスポートで取れる。

▼原因は5つに分かれた

原因	典型例	対処
① マスタと実際のログオン名が違う	マスタは管理用アカウント名、実際は本人名で使っている。逆に、セットアップ用の共有アカウントのまま使い続けている	マスタを直す／本人のアカウントを作って切り替える
② 名前も一致、アプリもあるのに取れない	エージェントが常駐していない疑い	常駐状態を MDM で監視する（後述）
③ その端末を使っていない	MDM の最終接続が数か月前	本人や上長に、実際の使用端末を確認する
④ Windows で配布が始まっていない	Intune にインストール記録も、スクリプトの実行記録もない	本人の組織アカウントで PC にサインインしてもらう（推定）
⑤ 管理された端末がない	Jamf にも Intune にも、その人の端末がない	使用端末を確認する。マスタのユーザー名がメールアドレスになっていて、端末があっても紐付かない例もあった

▼黙って失敗するもの：ユーザー名の「完全一致」

このツールは、マスタに登録したユーザー名と、PC のローカルのユーザー名（%USERNAME%）が完全に一致したときだけログを紐付ける。一致しなければ、エラーも出さずに「ログなし」になる。

以前は「漢字のユーザー名だと紐付かない」と考えていた。だが今回、漢字のユーザー名でも、マスタと一致していればログは取れていた。問題は漢字ではなく、不一致だった。原因を「漢字」と決めつけていたら、マスタの修正という本当の対処にたどり着かなかった。

▼エージェントの常駐を MDM で監視する

②の「アプリはあるのに取れない」は、エージェントが動いていない可能性が高い。そこで、Mac の MDM（Jamf）に拡張属性を作り、エージェントの常駐状態を毎日集めるようにした。

• ▶ 結果は OK / NOT_RUNNING / NO_PLIST / NO_APP / NO_USER の5種類（読み取りのみのスクリプト）
• ▶ NG の端末を集めるスマートグループを作り、一覧で見られるようにした
• ▶ 値は、毎日のインベントリ更新で入る

1つ注意がある。MDM と通信できていない端末には、この値が入らない。一方で、MDM との通信が止まっていても、稼働ログのツールは単独で動いていた。「MDM が壊れている端末＝ログが取れない端末」ではない。ここも思い込みで判断しないようにした。

▼打刻の徹底は急がない

この会社では、稼働ログを勤怠の打刻と突き合わせて、乖離を見ることが目的だ。先方からは早く運用に乗せたい意向もあった。だが、ログが取れていない人が2割以上いる状態で打刻との突き合わせを始めれば、「ログがない＝働いていない」という誤解を生む。

そこで、「端末の稼働を見える化する → 打刻との乖離を測る」という段階を踏むロードマップを示した。まずはログが全員分そろうことが先だ。なお、このツールのログは直近3か月分しか取れないので、毎月末に前月分を取得して保管している。

▼まとめ

• ▶ 「入っているのに取れない」は、マスタ・MDM・ログの3点で突き合わせる
• ▶ ユーザー名の完全一致は黙って失敗する。原因は漢字ではなく不一致だった
• ▶ ユーザー宛ての割り当ては、共有アカウントで使っている PC には届かない
• ▶ エージェントの常駐は、MDM の拡張属性で毎日監視する
• ▶ ログが全員分そろうまで、打刻との突き合わせは始めない