Azure Monitor
Azure およびオンプレミス環境からのテレメトリ データを収集、分析、処理するために使用する Azure サービス。
Log Analytics workspace のログテーブルが表示されない
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(284.8, 6%, 37%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3ETM%3C/text%3E%3C/svg%3E)
Tomoya Mikoshiba
60
評価のポイント
Azure PortalのLog Analytics workspace の「設定」> 「テーブル」に以下のログテーブルが表示されません。 各テーブルが表示されるためには、どのような設定をすればよいかご教示ください。
表示されないテーブル
- ①applicationgatewayfirewalllog
- ②RiskyUsers(Entra)
- ③Windows events
- ④PurviewSecurityLogs
- ⑤MicrosoftAzureBastionAuditLogs
各ログが発生していないため、表示されない場合、それぞれのログを発生させる方法についてご教示お願いいたします。
Azure Monitor
-
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(233.6, 85%, 32%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EVS%3C/text%3E%3C/svg%3E)
VEMULA SRISAI 13,890 評価のポイント Microsoft 外部スタッフ モデレーター2026-07-01T11:03:02.6133333+00:00 Tomoya Mikoshiba これは Log Analytics の想定された動作です。
[テーブル] ブレードには、ワークスペース内に作成済みのテーブルのみが表示されます。Azure Monitor のリソース ログの場合、最初のレコードが正常に取り込まれた時点でテーブルが自動的に作成されます。そのため、診断設定（Diagnostic Settings）または DCR（Data Collection Rule）が構成されていない場合や、対応するイベントがまだ生成されていない場合は、テーブルは [Log Analytics Workspace] > [Tables] に表示されません。
対象のテーブルについて説明します。
Application Gateway WAF Logs
ApplicationGatewayFirewallLog は診断ログのカテゴリ名であり、必ずしも実際のテーブル名ではありません。
- Diagnostic Settings が Azure Diagnostics モード で構成されている場合、ログは AzureDiagnostics テーブルに保存され、
Category = ApplicationGatewayFirewallLogとして記録されます。 - Resource-specific モード が選択されている場合、ログは AGWFirewallLogs テーブルに保存されます。
ログを生成する手順
- Application Gateway で Diagnostic Settings を有効化します。
- Firewall Logs を Log Analytics ワークスペースへ送信します。
- WAF ルールに一致するテスト トラフィックを送信して、WAF ルールをトリガーします。
AADRiskyUsers
正しい Log Analytics テーブル名は AADRiskyUsers です。
このテーブルには、Microsoft Entra ID Protection によって検出されたリスク情報が格納されます。AADRiskyUsers データを Log Analytics に出力するには、Microsoft Entra の診断設定でエクスポートを有効にする必要があります。
ログを生成する手順
- Microsoft Entra の Diagnostic Settings を構成し、RiskyUsers ログを Log Analytics に送信します。
- サポートされている Identity Protection のテスト シナリオ（例: テスト アカウントを使用した Anonymous IP サインイン）を実行してリスク検出を発生させます。
Windows Events
Windows イベント ログを Azure Monitor Agent (AMA) と Data Collection Rule (DCR) を使用して収集している場合、Microsoft のドキュメントによると、イベントは Event テーブルに保存されます。
ログを生成する手順
- VM に Azure Monitor Agent をインストールします。
- Windows Event Logs を収集する DCR を関連付けます。
- VM 上で Application、System、または Security イベントを生成します。
PurviewSecurityLogs
PurviewSecurityLogs テーブルには、Microsoft Purview アカウントの監査イベント（コレクションの作成／削除やロール割り当ての変更など）が記録されます。
ログを生成する手順
- Purview アカウントで Diagnostic Settings を有効化します。
- Security/Audit Logs を Log Analytics ワークスペースへ送信します。
- コレクションの作成・削除や権限変更などの監査対象操作を実行します。
MicrosoftAzureBastionAuditLogs
MicrosoftAzureBastionAuditLogs テーブルは、BastionAuditLogs 診断ログ カテゴリから生成されるデータによって作成されます。
ログを生成する手順
- Azure Bastion リソースで Diagnostic Settings を有効化します。
- BastionAuditLogs を Log Analytics ワークスペースへ送信します。
- Azure Bastion 経由で RDP または SSH セッションを開始します。
ワークスペースにデータが既に取り込まれているか確認するには、以下の KQL クエリを実行してください。
KQL
1
search *
2
| summarize Records = count() by $table
3
| order by Records desc
Show more lines
このクエリを実行しても対象のテーブルが返されず、また [Tables] にも表示されない場合は、そのログ ソースからまだデータが取り込まれていないことを示しています。
その場合は、Diagnostic Settings または DCR の構成を確認し、対応するイベントを少なくとも 1 件生成したうえで、再度ご確認ください。
関連ドキュメント
- Application Gateway 診断ログ 診断ログ - Azure Application Gateway | Microsoft Learn [Diagnostic...soft Learn | Learn.Microsoft.com]
- Application Gateway ログの Log Analytics での分析 Azure Log Analyticsを使用してログを調べる - Azure Application Gateway | Microsoft Learn [Examining...soft Learn | Learn.Microsoft.com]
- AADRiskyUsers テーブル リファレンス Azure Monitor ログのリファレンス - AADRiskyUsers - Azure Monitor | Microsoft Learn [Azure Moni...soft Learn | Learn.Microsoft.com]
- Windows イベント ログの収集 (AMA/DCR) Azure Monitor エージェントを使用して仮想マシンから Windows イベントを収集する - Azure Monitor | Microsoft Learn [learn.microsoft.com]
- WindowsEvent テーブル リファレンス Azure Monitor ログ リファレンス - WindowsEvent - Azure Monitor | Microsoft Learn [learn.microsoft.com]
- PurviewSecurityLogs テーブル リファレンス Azure Monitor ログ リファレンス - PurviewSecurityLogs - Azure Monitor | Microsoft Learn [learn.microsoft.com]
- MicrosoftAzureBastionAuditLogs テーブル リファレンス Azure Monitor ログのリファレンス - MicrosoftAzureBastionAuditLogs - Azure Monitor | Microsoft Learn [learn.microsoft.com]
- Azure Bastion の監視データ リファレンス Azure Bastion の監視データ リファレンス | Microsoft Learn [learn.microsoft.com]
- Log Analytics テーブル一覧 https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables-categor
- Diagnostic Settings が Azure Diagnostics モード で構成されている場合、ログは AzureDiagnostics テーブルに保存され、
-
VEMULA SRISAI 13,890 評価のポイント Microsoft 外部スタッフ モデレーター
2026-07-02T13:31:14.8866667+00:00 Tomoya Mikoshiba 前のコメントについてフォローしていますが、まだ返事をもらっていません。もし追加の情報や手助けが必要であれば教えてください。
-
Tomoya Mikoshiba 60 評価のポイント
2026-07-13T01:30:26.6166667+00:00 こんにちは @VEMULA SRISAI
ご回答ありがとうございます。
PurviewSecurityLogs テーブルについて https://purview.microsoft.com/ に「Diagnostic Settings 」に関する以下の設定項目が見つかりません。実施に必要な前提作業等はありますでしょうか。
PurviewSecurityLogs テーブルには、Microsoft Purview アカウントの監査イベント（コレクションの作成／削除やロール割り当ての変更など）が記録されます。 ログを生成する手順
- Purview アカウントで Diagnostic Settings を有効化します。
- Security/Audit Logs を Log Analytics ワークスペースへ送信します。
- コレクションの作成・削除や権限変更などの監査対象操作を実行します。
-
VEMULA SRISAI 13,890 評価のポイント Microsoft 外部スタッフ モデレーター
2026-07-14T10:46:21.55+00:00 フォローアップいただきありがとうございます。
Diagnostic Settings（診断設定） の構成が見つからない理由は、Microsoft Purview ガバナンスポータル（purview.microsoft.com）を参照しているためです。これは想定された動作であり、前提条件が不足していることを意味するものではありません。
PurviewSecurityLogs テーブルは、Azure 上の Microsoft Purview アカウント リソース（Microsoft.Purview/accounts） に関連付けられています。このログ ソースの Diagnostic Settings は、Purview ガバナンスポータルではなく、Azure ポータル（portal.azure.com） の Purview アカウント リソースから構成します。PurviewSecurityLogs テーブルには、コレクションの作成・削除やロール割り当ての変更など、Purview アカウントによって生成された監査イベントが格納されます。
前提条件
- Azure サブスクリプション内に Microsoft Purview アカウント リソース が存在していること。
- Diagnostic Settings を管理するための適切な権限（例: Owner、Contributor、Monitoring Contributor）が付与されていること。
- ログの送信先となる Log Analytics ワークスペース が存在していること.
設定手順
- Azure ポータル を開き、対象の Microsoft Purview アカウント リソースに移動します。
- [Monitoring] > [Diagnostic settings] に移動します。
- 診断設定を新規作成または編集し、利用可能な監査ログやセキュリティログを Log Analytics ワークスペースへ送信するよう構成します。
- 次のような監査対象アクションを実行します。
- コレクションの作成または削除
- コレクション権限の変更
- ロール割り当ての更新
- 数分間待ってログが取り込まれた後、Log Analytics で次のクエリを実行します。
- PurviewSecurityLogs 2 | take 10
最初のレコードが取り込まれると、PurviewSecurityLogs テーブルは Log Analytics Workspace > Tables の一覧に自動的に表示されるはずです。
補足として、Azure ポータル内に Microsoft Purview アカウント リソース自体が存在しない場合、PurviewSecurityLogs を生成するソース リソースがない可能性があります。その場合、Purview アカウント リソースから監査イベントが出力されないため、PurviewSecurityLogs テーブルは作成・更新されません。
参考ドキュメント
- Microsoft** Purview のメトリックおよび Azure Monitor への診断ログ送信（Azure Portal → Diagnostic **Settings） Microsoft Purview metrics & sending diagnostic logs
監査ログ、診断ログ、およびアクティビティ履歴** — 「Microsoft Purview ガバナンス **ポータルではありません」 Audit logs, diagnostics, and activity history
microsoft.purview/accounts** の Log Analytics テーブル リファレンス（PurviewSecurityLogs **の定義） Log Analytics tables for Microsoft Purview Accounts
PurviewSecurityLogs** テーブル **リファレンス PurviewSecurityLogs table reference
-
VEMULA SRISAI 13,890 評価のポイント Microsoft 外部スタッフ モデレーター
2026-07-18T16:58:43.3966667+00:00 Tomoya Mikoshiba 前のコメントについてフォローしていますが、まだ返事をもらっていません。もし追加の情報や手助けが必要であれば教えてください。
-
Tomoya Mikoshiba 60 評価のポイント
2026-07-24T02:02:28.9666667+00:00 こんにちは @VEMULA SRISAI
PurviewSecurityLogsの診断設定の方法についてご教示ありがとうございます。
無事ログが発生したこと確認いたしました。
Windows Eventsについて追加で1点確認させてください。
下記の公式ドキュメントを参照し、監視対象VMにAMAのインストールとDCRの設定を行い、
VMにBastion経由でのRDP接続を行ったにも関わらず対象のLog AnalyticsにEventテーブルが表示されません。
どこに間違いがあるかご教示ください。
参考にしたドキュメント
Azure Monitor を使用して仮想マシンから Windows イベントを収集する
現在の構成
- AMAのインストール状況
- DCRの設定状況
-
-
VEMULA SRISAI 13,890 評価のポイント Microsoft 外部スタッフ モデレーター
2026-07-30T13:48:16.0433333+00:00 Tomoya Mikoshiba Thank you for providing the screenshots.
From the information provided, AMA installation, DCR configuration, destination workspace, and DCR association all appear to be configured correctly.
One important point is that establishing an RDP connection through Azure Bastion does not necessarily generate Windows Event logs that match the event levels currently selected in your DCR. Based on the screenshot, the DCR is configured to collect only Critical, Error, and Warning events. If only Information-level events are generated, they will not be ingested into Log Analytics, and the Event table will not be created.
Could you please try the following?
- Update the DCR to include Information events.
- Generate a test Windows event on the VM using:
eventcreate /T INFORMATION /ID 100 /L APPLICATION /SO TestSource /D "AMA Test Event"
3.Wait a few minutes and run:
WindowsEvent
| take 10
Additionally, please verify that AMA is successfully communicating with the workspace by running:
Heartbeat
| sort by TimeGenerated desc
If the Event table still does not appear after generating a test event, please share the output of the Heartbeat query and the updated DCR configuration so that we can investigate further.
https://learn.microsoft.com/en-us/azure/azure-monitor/reference/tables/windowsevent
サインインしてコメントする
サインインして回答する