# 実行前提:


# - PowerShell 7以降推奨（ForEach-Object -Parallel 利用のため）


# - 管理者権限で実行

# イベント監視スクリプト


# このスクリプトは無限ループでイベントを待ち受けるため、バックグラウンドジョブとして実行するか、


# 別途停止ロジックを実装する必要があります。

function Start-ProcessCreationMonitor {
    param(
        [string]$SubscriptionId = "ProcessCreationMonitor",
        [int]$ThrottleLimit = 5, # ForEach-Object -Parallel の並列度
        [int]$RecheckIntervalSeconds = 60 # サブスクリプション再確認の間隔
    )

    # ロギング設定 (Start-Transcript は全体の出力を記録。構造化ログも併用推奨)

    $LogPath = Join-Path (Get-Item Env:TEMP).Value "$SubscriptionId-$(Get-Date -Format 'yyyyMMdd-HHmmss').log"
    try {
        Start-Transcript -Path $LogPath -Append -Force
        Write-Information "イベント監視スクリプトを開始します。ログファイル: $LogPath" -InformationAction Continue
    }
    catch {
        Write-Error "トランスクリプトの開始に失敗しました: $($_.Exception.Message)"

        # ログが取れない場合でも続行

    }

    # 永続的なエラーとして扱わない設定 (スクリプトの停止を防ぐ)

    $ErrorActionPreference = 'Continue'

    # 既存のサブスクリプションを解除（再実行時などに備えて）

    try {
        Get-EventSubscriber -SourceIdentifier $SubscriptionId -ErrorAction SilentlyContinue | Unregister-Event
        Write-Information "既存のイベントサブスクリプション '$SubscriptionId' を解除しました。" -InformationAction Continue
    }
    catch {
        Write-Warning "既存のイベントサブスクリプション解除に失敗しました: $($_.Exception.Message)"
    }

    # イベントハンドラのスクリプトブロック


    # イベントが発生するたびに実行される

    $action = {
        param($event)

        # $event.SourceEventArgs.NewEvent にイベント詳細が含まれる

        $eventData = $event.SourceEventArgs.NewEvent

        # キューイングの代わりにここでは直接並列処理に渡す


        # 実際にはキューイングとワーカープールを組み合わせることで、


        # 高負荷時の安定性を高めることができます。

        $processInfo = [PSCustomObject]@{
            Timestamp = $eventData.__TIME_CREATED_Date_Utc
            ProcessName = $eventData.TargetInstance.Name
            ProcessId = $eventData.TargetInstance.ProcessId
            CommandLine = $eventData.TargetInstance.CommandLine
            User = $eventData.TargetInstance.GetOwner().User
        }

        # 並列処理でイベントを処理 (PowerShell 7以降の機能)


        # 高負荷時に対応するため、ForEach-Object -Parallelを使用


        # ここでは単一イベントだが、複数のイベントをバッファリングして一括処理する構成も可能

        try {

            # タイムアウトと再試行の概念


            # 実際の処理が外部システムへの書き込みなど時間のかかるものである場合、


            # Timeout-Command や独自の再試行ロジック (MaxRetries, RetryInterval) を実装します。


            # 例: Invoke-ExternalSystem -Data $processInfo -TimeoutSec 30 -MaxRetries 3

            # 本デモでは、簡易的な処理としてログ出力のみ

            $processInfo | ConvertTo-Json -Depth 3 | Write-Information -InformationAction Continue
            Write-Information "プロセス作成イベント処理完了: $($processInfo.ProcessName) (PID: $($processInfo.ProcessId))" -InformationAction Continue
        }
        catch {
            Write-Error "イベント処理中にエラーが発生しました: $($_.Exception.Message)"

            # エラーログへの記録、通知、再試行のトリガーなどをここに追加

        }
    }

    # CIMイベントサブスクリプションの登録


    # WQL: SELECT * FROM __InstanceCreationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_Process'


    #   __InstanceCreationEvent: インスタンス作成イベント


    #   WITHIN 5: 5秒ごとにイベントをポーリング (イベントプロバイダに依存)


    #   TargetInstance ISA 'Win32_Process': 作成されたインスタンスがWin32_Processクラスであること

    try {
        Register-CimSubscription `
            -ClassName "__InstanceCreationEvent" `
            -Query "SELECT * FROM __InstanceCreationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_Process'" `
            -SourceIdentifier $SubscriptionId `
            -MessageData $null ` # MessageDataは未使用
            -Action $action `
            -ThrottleLimit $ThrottleLimit # ForEach-Object -Parallel の並列度とは別で、これはWMIイベントの受信バッファリングに関係

        Write-Information "CIMイベントサブスクリプション '$SubscriptionId' を登録しました。プロセス作成イベントを監視中..." -InformationAction Continue

        # 監視を継続


        # スクリプトを停止するまでイベントを待ち受ける


        # 外部からの停止シグナル（例: Ctrl+C）を待つか、


        # 定期的なヘルスチェックでスクリプトが生きているか確認するループを実装

        while ($true) {

            # スクリプトが停止されない限り継続


            # 一定間隔でサブスクリプションの状態を確認するなどの運用ロジックをここに追加可能

            Write-Information "監視スクリプトはアクティブです。最終確認: $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss JST')" -InformationAction Continue
            Start-Sleep -Seconds $RecheckIntervalSeconds

            # ここでサブスクリプションがまだアクティブか確認するロジックを追加することもできます。


            # 例: If (-not (Get-EventSubscriber -SourceIdentifier $SubscriptionId -ErrorAction SilentlyContinue)) {


            #         Write-Error "サブスクリプションが失われたようです。再登録を試みます。"


            #         # 再登録ロジック


            # }

        }
    }
    catch {
        Write-Error "CIMイベントサブスクリプションの登録中にエラーが発生しました: $($_.Exception.Message)"
    }
    finally {

        # スクリプト終了時にクリーンアップ

        Stop-Transcript
        Write-Information "イベント監視スクリプトを終了します。" -InformationAction Continue
    }
}

# 監視を開始する場合:


# Start-ProcessCreationMonitor


# 停止する場合は、PowerShellプロセスを終了するか、Unregister-Event を別途実行

# 監視を停止する関数

function Stop-ProcessCreationMonitor {
    param(
        [string]$SubscriptionId = "ProcessCreationMonitor"
    )
    try {
        Get-EventSubscriber -SourceIdentifier $SubscriptionId -ErrorAction SilentlyContinue | Unregister-Event
        Write-Information "イベントサブスクリプション '$SubscriptionId' を解除しました。" -InformationAction Continue
    }
    catch {
        Write-Error "イベントサブスクリプションの解除に失敗しました: $($_.Exception.Message)"
    }
}

# SubscriptionIdを指定してイベントサブスクライバーを取得し、解除します。

$SubscriptionId = "ProcessCreationMonitor"
Get-EventSubscriber -SourceIdentifier $SubscriptionId | Unregister-Event
Write-Host "イベントサブスクリプション '$SubscriptionId' を解除しました。"

# 実行前提:


# - PowerShell 7以降推奨


# - 管理者権限で実行

# 事前準備: Start-ProcessCreationMonitor がバックグラウンドで実行されていることを想定


# 例: Start-Job -ScriptBlock { C:\Path\To\Your\MonitorScript.ps1 }


# または、PowerShell ISEなどで Start-ProcessCreationMonitor を実行しておく

function Test-MonitorPerformance {
    param(
        [int]$NumberOfEvents = 100, # 発生させるイベント数
        [string]$MonitorSubscriptionId = "ProcessCreationMonitor"
    )

    Write-Host "--- イベント監視性能テストを開始します ---" -ForegroundColor Yellow

    # 現在のイベントログ数を取得 (簡易的なイベントカウントのため)


    # Get-WinEvent -LogName System -FilterXPath "*[System[Provider[@Name='Microsoft-Windows-Kernel-Process'] and EventID=4688]]" | Measure-Object | Select-Object -ExpandProperty Count


    # より正確には、監視スクリプトのログファイルや独自のキューからカウントすべき

    # ダミーイベント発生スクリプト

    $testScriptBlock = {
        param($Count)
        Write-Host "ダミーイベントを $(Get-Date -Format 'HH:mm:ss JST') に $Count 件発生させます..." -ForegroundColor Cyan
        1..$Count | ForEach-Object {

            # ダミーのnotepad.exeプロセスを起動し、即座に終了


            # WMIイベントはプロセス起動時に発生するため、この方法でイベントを生成できる

            Start-Process -FilePath "notepad.exe" -WindowStyle Hidden -PassThru | Stop-Process -Force -ErrorAction SilentlyContinue
        }
        Write-Host "ダミーイベントの発生が完了しました。" -ForegroundColor Cyan
    }

    Write-Host "$NumberOfEvents 件のイベント発生をシミュレートし、処理時間を計測します..." -ForegroundColor Green

    # 監視スクリプトがイベントを処理する時間を Measure-Command で計測

    $elapsedTime = Measure-Command -Expression {

        # テストイベントを発生させる

        &$testScriptBlock -Count $NumberOfEvents

        # 監視スクリプトが全てのイベントを処理するのを待つ (簡易的な待機)


        # 実際には、監視スクリプトの内部でイベント処理完了を示すフラグやキューが空になるのを待つべき

        Start-Sleep -Seconds 10 # イベント処理に十分な時間を確保
    }

    Write-Host "--- 性能テスト結果 ---" -ForegroundColor Yellow
    Write-Host "発生イベント数: $NumberOfEvents" -ForegroundColor Green
    Write-Host "処理にかかった時間: $($elapsedTime.TotalMilliseconds) ms" -ForegroundColor Green
    Write-Host "1イベントあたりの平均処理時間: $([math]::Round($elapsedTime.TotalMilliseconds / $NumberOfEvents, 2)) ms" -ForegroundColor Green
    Write-Host "--- テスト終了 ---" -ForegroundColor Yellow

    # 正しさの検証


    # 実際には、監視スクリプトのログファイルを解析して、


    # 期待される数のイベントが全て記録されているかを確認します。


    # 例: Select-String -Path $LogPath -Pattern "プロセス作成イベント処理完了" | Measure-Object | Select-Object -ExpandProperty Count

}

# 監視スクリプトが起動していることを確認し、テストを実行


# Test-MonitorPerformance -NumberOfEvents 500

# 構造化ログの例

$logEntry = [PSCustomObject]@{
    Timestamp = Get-Date -Format "yyyy-MM-ddTHH:mm:ss.fffZ"
    Level = "INFO"
    Message = "イベントが正常に処理されました。"
    EventDetails = $processInfo # 処理したイベントの詳細オブジェクト
}
$logEntry | ConvertTo-Json -Depth 3 | Out-File -FilePath "C:\Logs\monitor_structured.json" -Append -Encoding Utf8

# 再試行ロジックの例

function Invoke-WithRetry {
    param(
        [ScriptBlock]$ScriptBlock,
        [int]$MaxRetries = 3,
        [int]$RetryIntervalSeconds = 5
    )
    for ($i = 0; $i -lt $MaxRetries; $i++) {
        try {
            return & $ScriptBlock
        }
        catch {
            Write-Warning "処理失敗 (試行 $($i + 1)/$MaxRetries): $($_.Exception.Message)"
            if ($i -lt ($MaxRetries - 1)) {
                Start-Sleep -Seconds $RetryIntervalSeconds
            }
            else {
                throw # 最終試行でも失敗したら例外を再スロー
            }
        }
    }
}

# 使用例:


# Invoke-WithRetry -ScriptBlock { New-Item -Path "C:\NonExistent\Folder" -ItemType File }

# SecretManagement モジュールの利用例 (インストールが必要)


# Install-Module -Name Microsoft.PowerShell.SecretManagement -Repository PSGallery -Force


# Install-Module -Name Microsoft.PowerShell.SecretStore -Repository PSGallery -Force


# Register-SecretVault -Name SecretStore -ModuleName Microsoft.PowerShell.SecretStore -DefaultVault

# Set-Secret -Name "MyApiServiceKey" -Secret "your-api-key-here" -Vault SecretStore


# $apiKey = Get-Secret -Name "MyApiServiceKey" -Vault SecretStore | ConvertFrom-SecureString -AsPlainText