Microsoft 365 / 監査ログでユーザー・管理者の操作を調べる方法
Microsoft 365 でユーザーや管理者がどの操作を行ったか確認するには、Microsoft Purview の 監査ログ検索 を使用します。調査対象者、活動種類、発生期間を絞った後、結果の時刻・操作・対象を解釈してください。監査ログは実際の活動を調査する資料であり、すべてのサービスのすべての詳細行動を無制限に保存する記録ではありません。
監査ログで何を確認できますか？
ファイルアクセス・共有、メールボックス操作、グループ・設定変更など、様々な Microsoft 365 サービスのユーザー・管理者の活動を閲覧できます。収集されるイベントの種類、検索可能な時点や保持期間はサービスやライセンスによって異なります。Microsoft の Purview 監査開始ガイド で現在の組織の機能と条件を確認してください。
ログインの成功・失敗を調査しようとする場合は、Purview の監査検索よりも Microsoft Entra のサインインログの方がより直接的な資料です。メールの配信経路は Exchange メッセージ追跡を使用します。質問に合ったログを選ぶことが、検索キーワードを増やすよりも重要です。
監査検索の準備
- 確認する質問を1つ決めます。例：「このファイルの共有設定を誰がいつ変更しましたか？」
- 対象ユーザー、ファイル・サイトまたは作業の識別情報を取得します。
- 発生時刻とタイムゾーンを確認します。画面表示時間とログのタイムゾーンが異なる場合があります。
- 監査検索の権限を確認します。権限がない場合、結果がないという意味ではなく、検索できない状態である可能性があります。
閲覧権限・保持期間・収集遅延の確認
監査の検索・エクスポートには、Purview の Audit Reader または Audit Manager などの監査ログの役割が必要です。役割に管理単位の範囲が指定されている場合、検索可能な対象も制限されることがあります。Exchange や Teams の管理者であるという理由だけで、Purview 全体のログを参照できるとは考えないでください。
Audit(Standard) の基本保持期間は現在 180 日です。適切な Premium ライセンスを持つユーザーの一部サービスアクティビティは、基本の 1 年保持など別の条件が適用されるため、「管理者にライセンスが 1 つあれば全て 1 年」とは判断しません。元のアクティビティを行ったユーザーのライセンス、サービス、適用される保持ポリシーも合わせて確認する必要があります。
最近のアクティビティは即座に表示されない場合があります。Microsoft は主要サービスでは通常 60～90 分の反映時間がある可能性があると説明していますが、固定時間を保証するものではありません。保持期間外や収集されていないアクティビティは、検索条件を拡大しても表示されません。現在の組織の監査収集状況と必要なアクティビティのサポート状況をまず確認してください。
Purview で検索する
- Microsoft Purview ポータルの [監査] に移動し、検索画面で日付範囲を設定します。
- 対象ユーザーと活動の種類をフィルタリングします。最初から条件を多く入れるより、重要な条件から始めます。
- 検索を実行し、結果を開いて作業時刻、ユーザー、対象オブジェクトと詳細を確認します。必要であればイベントIDや記録を内部調査文書に残します。
- 結果がなければ、範囲と時間帯、検索権限、ログ収集遅延、その活動が監査対象かを確認します。ログがないという理由だけで作業がなかったと結論しません。
ポータルホームに監査がなければ、すべてのソリューションを見る → 監査で探します。検索を実行すると、待機・進行中・完了状態の作業が作成されます。画面を閉じたからといって作業がキャンセルされるわけではないので、同じ検索を何度も作るより既存の作業の状態を確認します。
Microsoftの監査ログ検索ドキュメントで検索権限、結果形式とエクスポート方法を確認できます。エクスポートしたCSVには個人情報やセキュリティ上敏感な内容が含まれる場合があるため、公開記事に原本として添付しません。
ファイル共有変更を調査する検索例
「今日の午前中にこのファイルの共有範囲を誰が変更したか」を調査すると仮定します。ファイルの所有者と変更した人物は異なる場合があるため、行為者が不明な段階で所有者だけで検索すると、重要な結果を見落とす可能性があります。
- ファイルがあるサイトのアドレスと該当ファイルのパス、問題を発見した時刻を確保します。同名のファイルを区別するために、実際の場所を使用します。
- 検索日・時刻のUTC表記を確認します。UTCは協定世界時であり、韓国標準時（KST、UTC+9）より9時間遅れています。韓国時間10:00～12:00を調査する場合は、同日のUTC 01:00～03:00に変換します。深夜付近であれば日付が変わることも確認します。
- アクティビティの表示名（friendly names）の一覧から、ファイル・フォルダ共有関連の活動を選びます。正確な作業名を直接入力する場合、公式活動一覧の名前と一致させ、任意の翻訳や推測の名前は入力しません。
- ファイル・フォルダ・サイトの条件に必要なアドレス・名前の範囲を指定し、変更者が不明の場合はユーザー条件を空白で検索します。検索名には事象を区別できる識別子を使用します。
- 検索ジョブが完了したら、活動・時間・ユーザー・対象を一緒に比較し、関連項目の詳細を開きます。条件が狭すぎて結果がない場合は、ファイル範囲と活動条件を一つずつ調整します。
キーワード検索はログのすべての詳細なJSON内容を完全に検索するものではありません。特定の属性をキーワードに入れて結果がなかった場合、そのフィールドが検索対象かどうか確認してください。最初は期間・活動・実際のファイル位置のように意味が明確な条件で範囲を決めると良いです。
結果を解釈する際の注意点
ある活動に複数の関連イベントが残る場合や、サービスごとの記録反映時点が異なる場合があります。自動化アカウント、アプリ、または委任作業がユーザー名とは異なって表示されることもあります。重要な事象であれば、該当サービスの詳細ログと設定変更履歴、ユーザーの説明を照合してください。調査目的が終了した後も、監査結果を必要以上に複製・保管しないよう、組織のデータ処理基準に従ってください。
例えば、共有リンク作成記録はその時リンクを作成した事実を示すものであり、外部の人が実際に内容を読んだ証拠ではありません。ファイルアクセス・ダウンロード活動があっても、ユーザーの意図やその後の外部複製までその記録一つで確定しません。調査での主張と記録が証明する範囲を区別してください。
結果がない場合やエクスポートが必要な場合
- 最近の作業: 収集の遅れを考慮して、同じ検索を再実行するか、新しい条件で検索しますが、既存の作業が完了しているかどうかをまず確認します。
- 期間・時間帯のエラー: UTCと現地時間、日付の前後を照合します。保存可能期間も確認します。
- 対象・権限のエラー: 現在の組織と管理者範囲、実際の実行者・ストレージが正しいか確認します。SharePointのファイルを個人用OneDriveのパスで探しません。
- 活動条件のエラー: 入力した作業名とサービスのサポート有無、監査収集状態を確認します。一つずつ条件を減らして原因を探します。
完了した検索結果からエクスポートを選ぶとCSVで分析できます。製品ごとのエクスポート行数制限があるため、結果が多い場合は期間・対象を分けて、全体結果が含まれているか照合します。CSV（カンマ区切り表データ）の原本は保存し、分析用コピーで時間帯を変換すると元の記録と比較しやすくなります。
調査記録には検索条件と時間帯、検索ジョブID・時刻、主要イベント、まだ確認できていない範囲を一緒に残します。ログイン障害は Entra ログイン調査、メール配信は メッセージ追跡 と関連させて確認し、1つのログがないという理由だけで事象がなかったと結論を出しません。
