Microsoft Entra ID ログは、Microsoft Entra テナントにアクセスするユーザー、アプリケーション、ネットワークに関する包括的な情報を提供します。 この記事では、Microsoft Entra ID データ コネクタを使用して収集できるログの種類、コネクタがデータをMicrosoft Sentinelに送信できるようにする方法、Microsoft Sentinelでデータを検索する方法について説明します。
前提条件
AADRiskyServicePrincipals ログと AADServicePrincipalRiskEvents ログをMicrosoft Sentinelにストリーミングするには、Microsoft Entra ワークロード ID Premium ライセンスが必要です。
サインイン ログをMicrosoft Sentinelに取り込むには、Microsoft Entra ID P1 または P2 ライセンスが必要です。 他の種類のログを取り込むには、Microsoft Entra ID ライセンス (Free/O365/P1 または P2) で十分です。 Azure Monitor (Log Analytics) とMicrosoft Sentinelには、ギガバイトごとのその他の料金が適用される場合があります。
ユーザーには、ワークスペースのMicrosoft Sentinel共同作成者ロールが割り当てられている必要があります。
ユーザーは、ログをストリーミングするテナントの セキュリティ管理者 ロール、または同等のアクセス許可を持っている必要があります。
接続状態を表示するには、ユーザーがMicrosoft Entra診断設定に対する読み取りおよび書き込みアクセス許可を持っている必要があります。
Microsoft Entra ID データ コネクタのデータ型
次の表に、Microsoft Entra ID データ コネクタを使用してMicrosoft Entra IDからMicrosoft Sentinelに送信できるログの一覧を示します。 Microsoft Sentinelは、Microsoft Sentinel ワークスペースにリンクされている Log Analytics ワークスペースにこれらのログを格納します。
| ログの種類 | 説明 | ログ スキーマ |
|---|---|---|
| 監査ログ | ユーザーとグループの管理、マネージド アプリケーション、ディレクトリ アクティビティに関連するシステム アクティビティ。 | AuditLogs |
| サインイン ログ | ユーザーが認証要素を提供する対話型ユーザー サインイン。 | SigninLogs |
| 非対話型ユーザー サインイン ログ | ユーザーの操作や認証要素なしで、ユーザーの代わりにクライアントによって実行されるサインイン。 | AADNonInteractiveUserSignInLogs |
| サービス プリンシパルのサインイン ログ | ユーザーが関与しないアプリとサービス プリンシパルによるサインイン。 これらのサインインでは、アプリまたはサービスは、リソースを認証またはアクセスするために、独自の代わりに資格情報を提供します。 | AADServicePrincipalSignInLogs |
| マネージド ID サインイン ログ | Azureによって管理されるシークレットを持つAzure リソースによるサインイン。 詳細については、「Azure リソースのマネージド ID とは」を参照してください。 | AADManagedIdentitySignInLogs |
| AD FS サインイン ログ | Active Directory フェデレーション サービス (AD FS) を通じて行われるサインイン。 | ADFSSignInLogs |
| 拡張された Office 365 監査ログ | Microsoft 365 アプリに関連するセキュリティ イベント。 | EnrichedOffice365AuditLogs |
| プロビジョニングログ | Microsoft Entra プロビジョニング サービスによってプロビジョニングされたユーザー、グループ、ロールに関するシステム アクティビティ情報。 | AADProvisioningLogs |
| Microsoft Graph アクティビティ ログ | Microsoft Graph APIを介してテナントのリソースにアクセスする HTTP 要求。 | MicrosoftGraphActivityLogs |
| ネットワーク アクセス トラフィック ログ | ネットワーク アクセス トラフィックとアクティビティ。 | NetworkAccessTraffic |
| リモート ネットワーク正常性ログ | リモート ネットワークの正常性に関する分析情報。 | RemoteNetworkHealthLogs |
| ユーザー リスク イベント | Microsoft Entra ID 保護 によって生成されたユーザー リスク イベント。 | AADUserRiskEvents |
| リスクの高いユーザー | Microsoft Entra ID 保護 によってログに記録された危険なユーザー。 | AADRiskyUsers |
| リスクのあるサービス プリンシパル | Microsoft Entra ID 保護 によって危険としてフラグが設定されたサービス プリンシパルに関する情報。 | AADRiskyServicePrincipals |
| サービス プリンシパルのリスクイベント | Microsoft Entra ID 保護 によってログに記録されたサービス プリンシパルに関連付けられているリスク検出。 | AADServicePrincipalRiskEvents |
重要
使用可能なログの種類の一部は、現在 プレビュー段階にあります。 ベータ版、プレビュー版、または一般公開されていないAzure機能に適用されるその他の法的条件については、「Microsoft Azure プレビューの補足使用条件」を参照してください。
注:
米国政府機関向けクラウドでの機能の可用性の詳細については、米国政府機関のお客様向けのクラウド機能の可用性に関するMicrosoft Sentinelテーブルを参照してください。
Microsoft Entra ID データ コネクタを有効にする
Microsoft Entra ID データコネクタを有効にするには、「Enable a data connector」の手順に従ってください。
Microsoft Entra ID ソリューションをインストールする (省略可能)
Microsoft Sentinel の Content Hub から Microsoft Entra ID 向けのソリューションをインストールすると、事前構築済みのワークブック、分析ルール、プレイブックなどを利用できます。 詳細については、「Microsoft Sentinel のすぐに使えるコンテンツを確認して管理する」を参照してください。
次の手順
Microsoft Sentinelの詳細については、次の記事を参照してください。