みなさん、こんにちは！

はじめに

Azure Entra ID のログを収集する方法は2つあります。

1．Microsoft Graph API を使用してログを直接取得（ポーリング）する方法 [0]
2．まず Entra ID のログを Event Hub に送信し、その後 Event Hub から取得（ポーリング）する方法[1]
方法 1 は設定が容易で、Event Hub のリソースを必要としないため、クラウドコストを抑えることができます。

一方で、ログ量が多い場合や、後で参照できるように Azure Storage Account にログを保存したい場合は、Event Hub を利用する方法を推奨します。

本記事では、1つ目の方法である Microsoft Graph API を使用して Azure Entra ID のログを収集する方法について解説します。

続いて、「Office 365」インテグレーション（データソース）を設定します。

連携概要

・Azure Entra IDの認証および監査ログをMicrosoft Graph APIから取得します。

・Azure Entra IDの認証ログを収集する時に、デフォルトですべてのサインイベントタイプを収集します。また、以下のイベントも収集可能になります。

非対話型ユーザーサインイン
サービスプリンシパルサインイン
AzureリソースのマネージドIDサインイン

注釈:

Cortex XSIAMがMicrosoft Graph APIのベータ版を利用するため、デフォルトで収集されているイベントタイプが変更される可能性があります。
Cortex XSIAMがAzure Entra ログを受信するまでに10分の遅延期間があります。[2]
Microsoft Graph API を使用するには、Microsoft Azure Premium 1 または Premium 2 ライセンスが必要です。