<#
.SYNOPSIS
リモートホストからイベントログを並列で収集し、構造化ログとして出力します。

.DESCRIPTION
このスクリプトは、指定されたホストリストからGet-WinEventコマンドレットを使用して
イベントログを並列で収集します。特定のログ名、イベントID、および時間範囲で
フィルタリングし、結果をJSON形式のファイルに出力します。
接続エラーやイベント取得エラーに対するエラーハンドリング、および再試行ロジックを含みます。

.PARAMETER ComputerNameList
イベントログを収集する対象ホストのリスト (配列)。

.PARAMETER LogName
収集対象のイベントログ名 (例: 'Security', 'System')。

.PARAMETER EventId
収集対象のイベントID。単一のID、またはIDの配列を指定可能。

.PARAMETER TimeRangeHours
現在時刻から遡ってイベントを収集する時間範囲 (時間単位)。

.PARAMETER OutputDirectory
収集したログを出力するディレクトリのパス。存在しない場合は作成されます。

.PARAMETER MaxParallel
同時にイベントログを収集するホストの最大数。ForEach-Object -Parallelの-ThrottleLimitに相当。

.INPUTS
なし。スクリプト内部でパラメータが定義されます。

.OUTPUTS
JSON形式のイベントログファイルが指定された出力ディレクトリに作成されます。
エラー情報はログファイルに出力されます。

.NOTES
PowerShell 7.0以降が必要です（ForEach-Object -Parallelのため）。
リモートホストへの接続にはWinRMが有効になっている必要があります。
Get-WinEventの-FilterHashtableはXMLフィルタリングよりも効率的です。

.EXAMPLE

# 'Server01', 'Server02' から過去24時間以内のセキュリティログ (イベントID 4624) を収集し、


# 'C:\Logs\EventAnalysis' に出力する。

. .\Get-RemoteEventLogs.ps1 -ComputerNameList @('Server01', 'Server02') `
    -LogName 'Security' -EventId 4624 -TimeRangeHours 24 `
    -OutputDirectory 'C:\Logs\EventAnalysis' -MaxParallel 10
#>

function Invoke-RemoteEventLogCollection {
    param(
        [Parameter(Mandatory=$true)]
        [string[]]$ComputerNameList,

        [Parameter(Mandatory=$true)]
        [string]$LogName,

        [Parameter(Mandatory=$true)]
        [int]$EventId,

        [Parameter(Mandatory=$false)]
        [int]$TimeRangeHours = 24,

        [Parameter(Mandatory=$true)]
        [string]$OutputDirectory,

        [Parameter(Mandatory=$false)]
        [int]$MaxParallel = 5,

        [Parameter(Mandatory=$false)]
        [int]$MaxRetries = 3,

        [Parameter(Mandatory=$false)]
        [int]$RetryDelaySeconds = 10
    )

    $global:ErrorActionPreference = 'Stop' # 全体でエラーが発生したら停止

    # 出力ディレクトリの作成

    if (-not (Test-Path $OutputDirectory)) {
        Write-Verbose "出力ディレクトリ '$OutputDirectory' を作成します。"
        New-Item -Path $OutputDirectory -ItemType Directory | Out-Null
    }

    # ロギング設定

    $logFilePath = Join-Path $OutputDirectory "event_collection_log_$(Get-Date -Format 'yyyyMMdd_HHmmss').log"
    Start-Transcript -Path $logFilePath -Append -NoClobber -Force | Out-Null
    Write-Host "イベントログ収集を開始します。ログファイル: $logFilePath"
    Write-Verbose "対象ホスト数: $($ComputerNameList.Count)"

    $startTime = (Get-Date).AddHours(-$TimeRangeHours)
    $collectedEvents = [System.Collections.Concurrent.ConcurrentBag[pscustomobject]]::new()
    $failedHosts = [System.Collections.Concurrent.ConcurrentDictionary[string, int]]::new()

    # 各ホストでのイベントログ収集処理（並列）

    $ComputerNameList | ForEach-Object -Parallel {
        param($computerName)

        $currentRetry = 0
        do {
            try {
                Write-Host "処理中: ホスト $($computerName) からイベントログを収集しています..."

                # Get-WinEvent の -ComputerName は、リモートPCのイベントログを直接取得するが、


                # 大規模な並列処理では接続オーバーヘッドが問題になる可能性も。


                # より堅牢なリモート実行は Invoke-Command を経由するのが一般的だが、


                # Get-WinEvent の FilterHashtable を最大限活用するため直接利用。


                # 認証には、PowerShellセッションのCredentialを使用するか、-Credentialパラメータを使用。


                # 本例では現在ユーザーの資格情報を使用すると仮定。

                $filter = @{
                    LogName = $using:LogName
                    ID = $using:EventId
                    StartTime = $using:startTime
                }

                $events = Get-WinEvent -ComputerName $computerName -FilterHashtable $filter -ErrorAction Stop

                # 各イベントにホスト名を追加して結合

                foreach ($event in $events) {
                    $eventObject = [PSCustomObject]@{
                        ComputerName = $computerName
                        LogName = $event.LogName
                        ProviderName = $event.ProviderName
                        Id = $event.Id
                        LevelDisplayName = $event.LevelDisplayName
                        TimeCreated = $event.TimeCreated
                        Message = $event.Message -replace "`n", " " # 改行をスペースに置換してJSONに影響を与えないように
                    }
                    $using:collectedEvents.Add($eventObject)
                }
                Write-Host "成功: ホスト $($computerName) から $($events.Count) 件のイベントを取得しました。"
                break # 成功したらループを抜ける
            }
            catch {
                $errorMessage = $_.Exception.Message
                Write-Warning "エラー: ホスト $($computerName) でイベントログの収集に失敗しました。理由: $errorMessage"

                $currentRetry++
                if ($currentRetry -le $using:MaxRetries) {
                    Write-Host "リトライ中: $($computerName) - $($currentRetry)/$($using:MaxRetries) 回目。$($using:RetryDelaySeconds)秒後に再試行します..."
                    Start-Sleep -Seconds $using:RetryDelaySeconds
                } else {
                    Write-Error "最終失敗: ホスト $($computerName) は最大リトライ回数を超過しました。スキップします。"
                    $using:failedHosts.AddOrUpdate($computerName, 1, { $key, $value -> $value + 1 }) | Out-Null
                }
            }
        } while ($currentRetry -le $using:MaxRetries)

    } -ThrottleLimit $MaxParallel

    # 収集したイベントをJSON形式で出力

    $outputFileName = "events_$(Get-Date -Format 'yyyyMMdd_HHmmss').json"
    $outputPath = Join-Path $OutputDirectory $outputFileName

    if ($collectedEvents.Count -gt 0) {
        $collectedEvents | ConvertTo-Json -Depth 5 | Set-Content -Path $outputPath -Encoding Utf8
        Write-Host "収集したイベント $($collectedEvents.Count) 件を '$outputPath' に保存しました。"
    } else {
        Write-Warning "イベントは収集されませんでした。"
    }

    # 失敗したホストの報告

    if ($failedHosts.Count -gt 0) {
        Write-Warning "以下のホストからのイベント収集に失敗しました:"
        $failedHosts.GetEnumerator() | ForEach-Object {
            Write-Warning "  - $($_.Key) (リトライ回数: $($_.Value))"
        }
    }

    Stop-Transcript | Out-Null
    Write-Host "イベントログ収集処理が完了しました。"
}

# 実行前提:


# - PowerShell 7.0 以降の環境で実行してください。


# - 対象のホスト (TestServer01, TestServer02) はPowerShellリモート処理(WinRM)が有効であり、


#   スクリプト実行ユーザーにイベントログ読み取り権限が付与されている必要があります。


# - 以下のパスは実際の環境に合わせて変更してください。


#   - $targetServers: 監視対象のサーバー名を指定。


#   - $outputFolder: ログ出力先ディレクトリを指定。


#   - $specificLogName: 収集したいイベントログ名を指定。


#   - $specificEventId: 収集したいイベントIDを指定。

#


# このスクリプトはMeasure-Commandで囲むことで性能計測も可能です。


# 例: Measure-Command { Invoke-RemoteEventLogCollection -ComputerNameList ... }


# Memory: ConcurrentBag はイベントオブジェクトをメモリ上に保持するため、


# 大量のイベントを収集する場合、メモリ消費量が増加します。


# 大規模なイベント収集では、イベントごとに直接ファイルに書き出すか、


# ページング処理を検討する必要があります。


# 計算量: N (ホスト数) * M (各ホストのイベント数) * K (イベント処理時間)。


# 並列化により、Nホストの同時処理は ThrottleLimit に依存します。


# ネットワーク帯域とリモートホストの負荷がボトルネックになる可能性があります。

# Invoke-RemoteEventLogCollection の呼び出し例 (コメントアウトを解除して実行)


# $targetServers = @('TestServer01', 'TestServer02', 'NonExistentHost') # 存在しないホストも含めてエラーハンドリングをテスト


# $outputFolder = "C:\Temp\EventLogs_$(Get-Date -Format 'yyyyMMdd')"


# $specificLogName = 'Security'


# $specificEventId = 4624 # ログオン成功イベント

# Invoke-RemoteEventLogCollection -ComputerNameList $targetServers `


#     -LogName $specificLogName -EventId $specificEventId `


#     -TimeRangeHours 1 -OutputDirectory $outputFolder `


#     -MaxParallel 5 -MaxRetries 2 -RetryDelaySeconds 5

<#
.SYNOPSIS
イベントログ収集スクリプトの性能を計測します。

.DESCRIPTION
Invoke-RemoteEventLogCollection関数を実行し、その処理時間をMeasure-Commandで計測します。
異なるパラメータ設定での性能比較に利用できます。

.INPUTS
なし。

.OUTPUTS
Measure-Commandの結果（TotalSecondsなど）。
収集されたイベントログのファイル。

.NOTES
このスクリプトを実行する前に、Invoke-RemoteEventLogCollection 関数が定義されている必要があります。
大量のデータや多数のホストを対象とする場合、実行時間が長くなる可能性があります。
Memory: 計測スクリプト自体はメモリを大量に消費しませんが、呼び出す関数によってメモリ消費は変わります。
計算量: 呼び出す関数の計算量に準じます。
#>

Write-Host "性能計測を開始します..."

# 性能計測の対象となるホストリストとパラメータ

$testServers = @('TestServer01', 'TestServer02', 'TestServer03') # 実際の環境に合わせて適宜変更
$testOutputFolder = "C:\Temp\MeasuredEventLogs_$(Get-Date -Format 'yyyyMMdd')"
$testLogName = 'Security'
$testEventId = 4624
$testTimeRange = 1 # 過去1時間

# 計測の実行

$executionTime = Measure-Command {
    Invoke-RemoteEventLogCollection -ComputerNameList $testServers `
        -LogName $testLogName -EventId $testEventId `
        -TimeRangeHours $testTimeRange -OutputDirectory $testOutputFolder `
        -MaxParallel 3 -MaxRetries 1
}

Write-Host "イベントログ収集の合計実行時間: $($executionTime.TotalSeconds) 秒"
Write-Host "性能計測が完了しました。"

# 実行前提:


# - 上記の `Invoke-RemoteEventLogCollection` 関数が現在のPowerShellセッションで定義されていること。


# - `$testServers` リストには、実際にイベントログを取得できるホスト名を指定すること。


# - `$testOutputFolder` は、スクリプト実行ユーザーが書き込み可能なパスであること。


# - Memory: Measure-Command 自体は大きなメモリを消費しませんが、計測対象のスクリプトによってはメモリを大量に消費する場合があります。


# - 計算量: Measure-Command は計測対象のスクリプトの計算量に依存します。