監査ソリューションの概要

Microsoft Purview 監査 (Standard) と監査 (Premium) を使用すると、ユーザーと管理者がさまざまな Microsoft サービスで実行するアクティビティの監査レコードを検索できます。 監査 (Standard) はほとんどの Microsoft 365 組織で既定で有効になっているため、いくつかの手順を完了するだけで、自分やorganization内の他のユーザーが監査ログを検索できるようになります。 監査 (Premium) でのみ利用可能な機能を使用するには、さらにいくつかの構成手順を完了する必要があります。

監査 (Standard) と監査 (Premium) 機能の詳細については、「Microsoft Purview 監査ソリューション」を参照してください。

手順 1: organization サブスクリプションと課金を確認する

監査 (Standard) と監査 (Premium) のライセンスには、監査ログ検索ツールへのアクセスを提供する適切な organization サブスクリプションと、監査レコードのログと保持に必要なユーザーごとのライセンスが必要です。

ユーザーまたは管理者が監査対象アクティビティを実行すると、システムは監査レコードを生成し、organization の監査ログに保存します。 監査 (Standard) と監査 (Premium) では、監査ログに監査レコードを 180 日間保持および検索できます。

重要

監査 (Standard) の既定の保持期間が 90 日から 180 日に変更されました。 2023 年 10 月 17 日より前に生成された監査 (Standard) ログは、90 日間保持されます。 2023 年 10 月 17 日以降に生成される監査 (Standard) ログは、180 日間の新しい既定の保持期間に従います。

これらの監査ソリューションのサブスクリプションとライセンス要件の一覧については、「監査 (Standard) と監査 (Premium) のサブスクリプション要件」を参照してください。

Microsoft の他の生成 AI アプリケーションや接続された外部 AI アプリケーションからの情報を含む、Microsoft 365 以外の AI データに対するユーザーの操作を監査するには、organization の従量課金を有効にする必要があります。 このデータの種類には、Copilot in Microsoft Fabric、Microsoft Security Copilot、Microsoft Copilot Studio、接続された AI アプリケーションやクラウド AI アプリケーションが含まれます。

手順 2: 監査ログを検索するためのアクセス許可を割り当てる

監査ログを検索またはエクスポートするには、Microsoft Purview ポータルで 表示限定の監査ログ または 監査ログ ロールを管理者と調査チームのメンバーに割り当てる必要があります。 既定では、Microsoft Purview ポータルの [役割グループ ] ページで、これらの役割を監査 閲覧 者の役割グループと監査 マネージャー 役割グループに割り当てます。

注:

現在、監査を有効または無効にしたり、監査コマンドレットにアクセスしたりするには、Exchange 管理センターのアクセス許可が必要です。 Exchange 管理センターの既存の 監査ログ の役割と 表示限定の監査ログ の役割を使用して、監査コマンドレットへのアクセス権を付与します。 Exchange 管理センターの既存の 監査ログ の役割を使用して、監査を有効または無効にするためのアクセス権を付与します。

また、 表示限定の監査ログ の役割または監査 ログ の役割をカスタム役割グループに追加することで、監査ログを検索できるカスタム役割グループを作成することもできます。 詳細については、「 Microsoft Purview ポータルのアクセス許可」を参照してください。

注:

監査検索 Graph API にアクセスするには、Microsoft Graph で構成するための追加のアクセス許可が必要です。 詳細については、「Audit Search Graph API のアクセス許可」を参照してください。

監査ログの範囲にアクセス許可を割り当てる

監査ログを検索またはエクスポートするには、Microsoft Purview ポータルで、管理者または調査チームのメンバーを次の監査関連の役割グループの少なくとも 1 つに割り当てる必要があります。

  • Audit Manager: Audit Manager 役割グループに割り当てられたユーザーは、監査ログを検索およびエクスポートし、テナントの監査設定 (監査ログの有効化または無効化など) を管理できます。 この役割グループは、 表示限定の監査ログ の役割と監査 ログ の役割をユーザーに付与します。
  • 監査閲覧者: 監査閲覧 者役割グループに割り当てられているユーザーは、監査ログの検索とエクスポートのみが可能です。 監査ログを有効または無効にすることはできません。 この役割グループは、監査 ログの表示限定 の役割をユーザーに付与します。

手順 3: SearchQueryInitiatedExchange/SearchQueryInitiatedSharePoint イベントを有効/無効にする

ユーザーが Exchange Online で検索を実行するとき、ログ記録に対して SearchQueryInitiatedExchange を明示的に有効にする必要があります。

SearchQueryInitiatedSharePoint は、ユーザーが SharePoint で検索を実行するときのログ記録に対して既定で有効になっています。

Exchange Online および SharePoint イベントをユーザーに対して監査できるようにするには、Exchange Online PowerShell で次のコマンドレットを (ユーザーごとに) 実行します。

Set-Mailbox <user> -AuditOwner @{Add="SearchQueryInitiated"} // For Exchange Online

Set-Mailbox <user> -AuditOwner @{Add="SharepointSearchQueryInitiated"} // For SharePoint. Enabled by default.

複数地域環境では、ユーザーのメールボックスが配置されているフォレストで Set-Mailbox コマンドを実行する必要があります。 ユーザーのメールボックスの場所を特定するには、次のコマンドレットを実行します。

Get-Mailbox <user identity> | FL MailboxLocations

ユーザーのメールボックスが存在するフォレストとは異なるフォレストで検索クエリの監査を有効にするコマンドレットを以前に実行した場合は、ユーザーのメールボックスから SearchQueryInitiated/SharepointSearchQueryInitiated の値を削除します。 値を削除するには、 Set-Mailbox -AuditOwner @{Remove="SearchQueryInitiated"} for Exchange Online and Set-Mailbox -AuditOwner @{Remove="SharepointSearchQueryInitiated"} を実行します。 次に、ユーザーのメールボックスがあるフォレスト内のユーザーのメールボックスに追加します。

注:

これらの PowerShell コマンドレットは、SearchQueryInitiated イベントおよび SharepointSearchQueryInitiated イベントに対してのみ有効であり、監査ログ内の他のイベントには適用されません。

手順 4: ユーザーの監査 (Premium) を設定する

ヒント

Audit (Standard) を使用している組織は、この手順をスキップできます。

インテリジェントな分析情報をログする機能などの監査 (Premium) 機能には、ユーザーに割り当てられた適切な E5 ライセンスが必要です。 さらに、これらのユーザーに対して高度な監査アプリ/サービス プランを有効にする必要があります。

ユーザーに対して高度な監査サービス プランを有効にするには、ユーザーごとに次の手順を実行します。

  1. Microsoft 365 管理センターで、[ユーザー>アクティブ ユーザー] に移動し、ユーザーを選択します。
  2. [ユーザー プロパティ] ポップアップ ページで、[ ライセンスとアプリ] を選択します。
  3. [ ライセンス] セクションで、ユーザーに E5 ライセンスが割り当てられているか、適切なアドオン ライセンスが割り当てられていることを確認します。 監査 (Premium) をサポートするライセンスの一覧については、「 ライセンス要件の監査」を参照してください。
  4. [ アプリ ] セクションを展開し、[ Microsoft 365 高度な監査 ] チェック ボックスをオンにします。
  5. [変更の保存] を選択します。 監査 (Premium) 分析情報のログは 24 時間以内に開始されます。

ユーザー メールボックスまたは共有メールボックスにログオンするメールボックス アクションをカスタマイズした場合、Microsoft によってリリースされた新しい監査 (Premium) イベントは、それらのメールボックスで自動的に監査されません。 サインオンの種類ごとに監査されるメールボックス操作の変更については、「メールボックスの監査を管理する」の「既定でログに記録されるメールボックスの操作を変更または復元する」セクションを参照してください。

手順 5: Audit (Premium) で監査保持ポリシーを設定する

ヒント

Audit (Standard) を使用している組織は、この手順をスキップできます。

Microsoft Entra ID、Exchange、OneDrive、SharePoint の監査記録を 1 年間保持する既定のポリシーに加えて、監査 (Premium) を使用する組織は、組織のセキュリティ運用、IT、コンプライアンス チームの要件を満たすために、organization の監査ログ保持ポリシーを作成できます。

詳細については、「監査ログ保持ポリシーを管理する」を参照してください。

手順 6: 監査対象のイベントを検索する

これで、監査 (Standard) または監査 (Premium) が organization 用に構成されたので、Microsoft Purview ポータルで監査ログを検索する準備が整いました。 詳細なガイダンスについては、「 監査ログの検索」を参照してください。

次の手順

  • Last updated on