Microsoft Entra ID のログとは？

テナントで行われた操作に関するログが記録されます。
Log Analytics との連携有無によって、違いがあるためそれぞれ説明します。

1. Log Analytics を使わない場合

Azure Portal の Microsoft Entra ID のブレードから、サインインログと監査ログ、プロビジョニングログを参照することができます。

サインインログ

監査ログ

プロビジョニングログ

ライセンスの有無や MFA の使用状態によって日数が違いますが、Free 版で 7 日、最大で 30 日まで保持されます。

認証に関するログなのですが、それ以上は保持されないという点が 注意点 です。

ポイント
それ以上の期間、Microsoft Entra ID のログを保持する必要がある場合には、Log Analytics との連携が必要になります。

Microsoft Entra ID と Log Analytics を連携させた場合は、ログの閲覧方法やデータ保持期間は Log Analytics に準じます。

注意
Log Analytics でサインインログを取得するためにはライセンスが必要です。

サインインログ以外のログの取得には、ライセンスは不要です。

KQL で AuditLogs を使って検索します。

Log Analytics 側で設定します。
既定（無料）では、30 日まで。有料にすると最大で 2 年まで設定できます。

事前に、以下の記事の手順を参照して Log Analytics ワークスペースをデプロイします。

続いて、以下の手順を実施します。

公開情報

診断設定が完了したら、Log Analytics にログが収集されはじめます。
ログの参照方法は、２章で紹介した画面のまま KQL を実行します。

クエリ例
https://learn.microsoft.com/ja-jp/azure/active-directory/reports-monitoring/tutorial-configure-log-analytics-workspace?wt.mc_id=MVP_407731#run-queries-in-log-analytics

SigninLogs リファレンス
https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables/signinlogs?wt.mc_id=MVP_407731

AuditLogs リファレンス
https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables/auditlogs?wt.mc_id=MVP_407731