Microsoft Entra ID のログとは？
テナントで行われた操作に関するログが記録されます。
Log Analytics との連携有無によって、違いがあるため それぞれ 説明します。
- Log Analytics を 使わない場合
- Log Analytics と 連携させた場合
1. Log Analytics を使わない場合
1-1. Microsoft Entra ID のログを見る方法
Azure Portal の Microsoft Entra ID のブレードから、サインインログ と 監査ログ、プロビジョニングログ を参照することができます。
サインインログ
監査ログ
プロビジョニングログ
1-2. データ保持期間
ライセンスの有無や MFA の使用状態によって日数が違いますが、Free 版で 7 日、最大で 30 日まで 保持されます。
認証に関するログなのですが、それ以上は保持されないという点が 注意点 です。
ポイント
それ以上の期間、Microsoft Entra ID のログを保持する必要がある場合には、Log Analytics との連携が必要になります。
公開情報：Microsoft Entra のデータ保持
https://learn.microsoft.com/ja-jp/entra/identity/monitoring-health/reference-reports-data-retention
（上記のサイトより抜粋）
2. Log Analytics と 連携させた場合
Microsoft Entra ID と Log Analytics を連携させた場合は、ログの閲覧方法 や データ保持期間は Log Analytics に準じます。
2-1. Log Analytics で サインインログ を参照
KQL で SigninLogs を使って検索します。
注意
Log Analytics でサインインログを取得するためには ライセンスが必要です。
サインインログ 以外の ログの取得には、ライセンスは不要です。
2-2. Log Analytics で 監査ログ を参照
KQL で AuditLogs を使って検索します。
2-3. データ保持期間
Log Analytics 側で設定します。
既定（無料）では、30 日まで。有料にすると 最大で 2 年 まで設定できます。
期間の設定方法は、次章の前提事項で紹介している Azure Log Analytics について の記事を参照してください。
3. Microsoft Entra ID のログを Log Analytics に保存する
3-1. 前提事項
事前に、以下の記事の手順を参照して Log Analytics ワークスペースをデプロイします。
3-2. Microsoft Entra ID の診断設定
続いて、以下の手順を実施します。
-
Microsoft Entra ID のページを開き、左ペインの 監視 を開きます。
続いて、診断設定 を選択します。
- 以下のページで 診断設定を追加する のリンクをクリックします。
- 以下の順に設定を行います。
① 取得するログのカテゴリを決めます（図では、全種類）
② ログの宛先として Log Analytics ワークスペースへの送信 にチェックを入れます。
続いて、出力先のワークスペース名を選択します。
③ 診断設定の名称（任意）を指定します。
④ 保存 ボタンを押します。
- 以下の通り、一覧に追加されれば OK です。
公開情報
診断設定が完了したら、Log Analytics にログが収集されはじめます。
ログの参照方法は、２章で紹介した画面のまま KQL を実行します。
4. Microsoft Entra ID を参照するための KQL
SigninLogs リファレンス
https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables/signinlogs
AuditLogs リファレンス
https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables/auditlogs