統合監査ログが動作しない

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

Microsoft 365 の統合監査ログが動作しない問題について、監査、アクセス許可、検索フィルター、ライセンス、遅延の観点から確認方法を解説します。

Automatically translated with AI from the original post. Read the English original

Microsoft 365 の監査を開いたのに何も表示されない。IT の現場でこれほど焦る場面は多くありません。統合監査ログは、ユーザーと管理者のアクティビティを包括的に把握するためのものです。インシデント対応、コンプライアンス、そして日々の運用に欠かせません。データが欠落している、検索できない、エクスポートボタンが動かないといった状態が続くと、セキュリティプロセス全体が止まりかねません。

このガイドでは、統合監査ログが正しく動作しなくなる主な原因を取り上げます。アクセス許可の不足から、データの遅延、さらには見落とされがちな Microsoft の更新まで、代表的なケースを扱います。問題を解消するための具体的な手順と、今後のトラブルを防ぐためのヒントも紹介します。また、ライセンスの不足、構成の競合、そして本当の障害に見えてしまうバックグラウンド処理の遅延など、ほかではあまり語られない問題にも踏み込みます。このガイドを読み終える頃には、監査の問題をどう直すかだけでなく、毎朝のコーヒーと同じくらい確実にログを信頼できる状態に保つ方法もわかるはずです。

Microsoft 365 アプリ全体で監査ログを有効にする

Exchange Online、SharePoint、OneDrive、Teams で監査ログを有効にすることは、Microsoft 365 から信頼できる統合監査データを得るための最初のステップであり、多くの場合もっとも見落とされやすい手順です。この設定は、ほとんどの組織で Microsoft Purview と名称が変わったコンプライアンス ポータルで行います。

商用テナントの場合は、Microsoft Purview ポータルにアクセスし、「監査」に移動して、監査ログが実際に有効になっているかを確認してください。信じられないかもしれませんが、新しいテナントでも自動的に有効になっているとは限りません。従来のコンプライアンス ポータルを使用している場合や、政府機関向け (GCC または DOD) のテナントの場合は、画面の表示が多少異なることがあります。ただし、設定の場所は「検索」または「監査ログの検索」の下にあり、ほぼ同様です。

統合監査ログを有効にする際は、「既定」が「設定済み」を意味するとは思い込まないでください。新しい Microsoft 365 アプリでは、監査の対象を完全にするために再度有効化が必要になる場合があります。たとえば、基盤となるサービスが後から作成された場合、Teams や新しい SharePoint サイトが完全には対象に含まれないことがあります。新しいサービスを導入した後は、必ず監査ログの状態を確認するのがおすすめです。

環境によっては、完全にするために複数の手順が必要になることを覚えておいてください。Microsoft Purview でユーザー アクティビティを監査する方法では、Audit Standard と Audit Premium のどちらの階層を利用しているか、何が記録されているか、すべてのクラウド ワークロードが対象になっているかをどう確認するかを解説しています。確認を怠ることが、いざというときにログが見つからない最大の原因です。

監査ツールのアクセス許可とコンプライアンス ポータルへのアクセス

監査ログを正しく機能させるには、適切なスイッチを入れるだけでは不十分です。Microsoft 365 の世界でどのような立場にあるかによって大きく左右されます。管理者が監査ログにアクセスして検索するには、Microsoft Purview または Security & Compliance Center で適切なアクセス許可が割り当てられている必要があります。

必要となるロールは通常、Compliance Administrator、Audit Logs、Security Reader のいずれかです。これらは Microsoft Purview ポータルのロール グループを通じて付与されます(場合によっては Entra ID で付与されることもあります)。ログの取得時にエラーが発生したり、操作がグレーアウトして使えなかったりする場合は、アカウントが正しいグループに実際に含まれているかを再確認してください。あわせて、最近の変更が Microsoft 365 のバックエンドに反映されるまで十分な時間が経過しているかも確認してください。

よくある落とし穴は次のとおりです。担当者を誤ったグループに割り当てる(Compliance Administrator の代わりに Global Reader を割り当てるなど)、Entra ID のロールに頼って Purview の設定を省略する、アクセス許可の変更が有効になるまで最大 24 時間かかることを把握していない、などです。ロールの割り当てが一貫していない場合や、手動によるレビューを回避する緊急時用の管理者アカウントを使用している場合も、監査ツールが期待どおりに動作しない原因になります。

監査へのアクセスを適切に管理することは、単に扉を開けておくことではありません。良好なガバナンスを維持し、不要になったユーザーを削除し、定期的にアクセス権を見直すことも含まれます。この点はこちらの Microsoft 365 のデータ アクセスとガバナンスのガイドで詳しく解説しています。アクセス許可を厳格に保つことは、監査の意図しない欠落を防ぐとともに、自社のセキュリティ ポリシーへの準拠を維持するうえで役立ちます。

Microsoft 365 における統合監査ログの障害のトラブルシューティング

統合監査ログが正しく機能していないように見える場合(検索結果が空になる、レコードが欠落する、エクスポート機能が不安定になる、といった状況)、多くは構成、ライセンス、またはバックエンドの遅延といった、より深い部分に原因があります。これらの問題は互いによく似て見えますが、根本原因と解決策は大きく異なることがよくあります。

サポートに問い合わせたりエスカレーションしたりする前に、「正常」な状態がどのようなものかを把握し、イベントが欠落しているのか、表示する時間範囲が誤っているのか、アクセス許可が不足しているのか、それともMicrosoftが設けている上限に達しているのかを特定できるトラブルシューティング手順を知っておくと役立ちます。問題が取り込みの遅延という単純なものである場合もあれば、見落とされがちなライセンスの問題やポリシーの変更が原因の場合もあります。

以降のセクションでは、データの欠落の診断、ログの完全性の確認、PowerShellやエクスポートに関する癖への対処、実際の分析に向けた結果の絞り込みについて、実践的なアドバイスを紹介します。これらの手順を理解しておけば、最も一般的で厄介な監査ログの障害を、より速く見分けて解決できるようになるでしょう。

信頼性と完全性: 欠落している、または不完全な監査レコードへの対処

• 保持ポリシーとライセンスを確認する: 延長保持に対応していないM365ライセンス(E5またはPremiumのみ対応)を使用している場合や、ユーザーのライセンスが最近変更された場合、データに欠落が生じることがよくあります。必要なレコードと期間に対して、適切なライセンスのレベルを使用しているかを必ず確認してください。
• 取り込みの遅延を確認する: 監査ログはリアルタイムではありません。組み込みの遅延として15分から数時間程度が発生することがあり、まれに週末やMicrosoftのサービス障害時には、さらに長くなる場合もあります。この遅れにより、ログが欠落しているように見えることがありますが、実際には単に遅れて届いているだけの場合があります。
• スロットリングとエクスポートの制限を特定する: 大規模なテナントでは、特に監査のエクスポートや検索が大量に実行されている場合にスロットリングが発生することがあります。レート制限やセッションの上限に達していると、一部のアクティビティが欠落したり、遅れて表示されたりすることがあります。
• 誤検知を除外する: ユーザー、日付、またはアクティビティのフィルターが、意図せず厳しすぎたり、誤って構成されていたりしないか確認してください。検索範囲が狭すぎる場合、誤ったユーザーやグループを指定した場合、あるいは「ノイズ」と見なされる無害なイベントを除外した場合、実際以上に問題があるように見えることがあります。
• テナント全体の構成の問題を確認する: 条件付きアクセス、サービスプリンシパルのアクセス許可、さらにはコンプライアンスホールドポリシーといったテナントの設定が、監査イベントの作成を妨げている場合があります。隠れた原因を除外するために、最近の構成変更やセキュリティ更新を確認してください。

Microsoft PowerShellでのSearch-UnifiedAuditLogコマンドレットの使用

PowerShellのSearch-UnifiedAuditLogコマンドレットは、高度なトラブルシューティングに有効なツールです。Webポータルを介さずに、Microsoft 365全体の統合監査ログを直接照会できます。大量のエクスポート、大きなデータ範囲の確認、定期的な調査の自動化に特に役立ちます。

一般的な管理作業には、日付、ユーザー、またはアクティビティによる検索と、詳細な分析のための結果のエクスポートがあります。既知の制限には注意が必要です。たとえば、50,000件のエクスポート上限や、大規模な検索を繰り返し実行した場合のスロットリングなどです。ここで発生するエラーからは、バックエンドの問題なのか、ポータルの問題なのか、あるいはセッションにおけるスケール上の上限に過ぎないのかを判断できます。

自動化の可能性は大きいものの、PowerShellガバナンスの詳細解説のようなリソースは、コンテンツが移動された場合に別の資料へリダイレクトされることがあります。最新のコマンドレットのオプションや注意点については、公式ドキュメントとフォーラムが引き続き非常に有用です。

ログのエクスポート時に日付、ユーザーで絞り込み、詳細を表示する

• 日付範囲で絞り込む: 検索結果を絞り込み、ノイズを減らすために、必ず1週間や数日間といった具体的な期間を指定してください。日付の範囲が広すぎる検索では、イベントを取りこぼしたり、エクスポート機能に負荷がかかったりしがちです。
• ユーザーまたはアクティビティの種類を指定する: ユーザープリンシパル名やアクティビティのキーワードを使い、必要なイベントだけを取得してください。これにより待ち時間を短縮でき、エクスポートのサイズ上限に達する可能性も減らせます。
• エクスポート前にイベントの詳細を確認する: 一括エクスポートの前に個々のログエントリを開いて確認すると、イベントが想定どおりに、正しいメタデータとともに記録されているかを確かめられます。
• 管理しやすい単位に分けてエクスポートする: 大規模な監査では、タイムアウトや一部だけのCSVファイルを避けるため、エクスポートを小さく、かつ重複する期間に分割してください。

監査検索の実行と統合監査データのエクスポート

Microsoft 365 の監査検索を実行するには、Microsoft Purview ポータルにアクセスし、「監査」セクションを選択します。日付の範囲、ユーザー、アクティビティの種類を指定してクエリを作成してください。本当に必要な場合を除き、すべてのユーザーやテナント全体を対象とした検索は避けてください。これらは UI やエクスポート エンジンに過度の負荷をかける可能性があります。

結果が表示されたら、Web ポータルからプレビューしたり、CSV ファイルとしてエクスポートしたりできます。ただし、結果件数が非常に多い場合は失敗やタイムアウトが発生することがあるため、クエリは対象を絞り込んでください。エクスポート時にエラーが発生した場合は、日付の範囲を狭めるか、PowerShell を使用してバッチ単位で監査ログを取得してください。

調査でエクスポートしたファイルを利用する前に、列と期間が揃っているかを必ず確認してください。

統合監査ログの遅延とデータ反映の問題

監査データが「見当たらない」原因として、最も見落とされやすいのが単純な遅延です。監査ログは必ずしもリアルタイムで記録されるわけではありません。Microsoft はアクティビティイベントをバッチで処理するため、ユーザーの操作から実際のログが表示されるまでに長い時間がかかることがあります。

ログが単に遅れているだけなのに、障害と判断して慌ててサポートチケットを起票したり、無駄なトラブルシューティングに時間を費やしたりするケースは少なくありません。通常の取り込みのタイムラインを把握し、正常なログの遅延と、実際のデータ損失やシステムエラーを見分けることが重要です。このセクションでは、これらの遅延の仕組みと、どのイベントが本当に欠落していて、どれが単に遅れているだけなのかを把握する方法を解説します。

監査ログ処理の通常の遅延と異常な遅延の違い

Microsoft 365 の統合監査ログは、通常、ユーザーと管理者の操作を 15 分から 1 時間以内に処理します。ただし、サービスのメンテナンス中、リージョン単位の障害時、または優先度の低い一部のイベントでは、最大 24 時間の遅延が発生することも珍しくありません。

Microsoft の公式 SLA では、通常時のログ提供の上限を 24 時間としています。つまり、それより短い遅延は想定の範囲内です。24 時間を超えて監査イベントが欠落している場合や、複数の種類のアクティビティが通常以上に遅延している場合は、詳しい調査を開始すべきタイミングです。

Teams やサードパーティ アプリのアクティビティは、SharePoint や Exchange とは異なる方法でログをバッチ処理する場合があることにご注意ください。ログの仕組みに全体的な障害があると判断する前に、必ず Microsoft の最新のアドバイザリを確認してください。

ログデータの完全性を継続的に監視し確認する方法

• 想定されるアクティビティの基準を設定する: メールボックスへのサインインやファイルのアップロードなど、既知のユーザー操作を特定し、そのタイムスタンプを記録したうえで、対応する監査イベントが表示されるまでの時間を確認します。
• PowerShell スクリプトを活用する: 最新のログエントリを取得し、タイムスタンプを比較して異常をフラグ付けするスクリプトを定期実行するように自動化します。手作業での確認に頼らずに済みます。
• 数日間にわたって未処理分を追跡する: ログが欠落している場合は、24 時間後と 48 時間後に再度確認してください。遅延が自然に解消されることもあれば、継続的な欠落のパターンからバックエンドのボトルネックが見つかることもあります。
• ユーザーからの報告と照合する: ユーザーが重要な操作が監査されていないと主張する場合は、その操作の日時とエクスポートのタイムスタンプを比較してください。サポートケースを起票する前に、取り込みの欠落ではないことを確認できます。

監査ログの準備状況とコンプライアンス戦略

Microsoft 365 で信頼できる監査ログを確保するには、インシデントが発生するずっと前から準備しておく必要があります。組織には、ライセンス、保持、自動化、コンプライアンス戦略までライフサイクル全体を網羅する計画が必要です。ログの障害の多くは、サブスクリプションの設定漏れ、ロールの未割り当て、ポリシー設定の不一致といった単純なミスが原因です。

このセクションでは、主要な要素を紹介します。ログの保持期間(E3 と E5、政府向けプランによる違いを含む)、セットアップを堅牢にするためのチェックリスト、そして気付かないうちにサービスが停止することを防ぐための実用的なライセンスのヒントです。さらに、Microsoft Purview と、DLP や秘密度ラベル付けといった関連するセキュリティ制御が、より広いコンプライアンスの全体像の中でどのように位置付けられるかも解説します。

クラウドでのコラボレーションでは、監査ログを有効にするだけでは不十分です。定期的なレビュー、戦略的なポリシー、そして技術的な詳細をビジネスと規制上のリスクに合わせることで、真に持続可能な備えができます。より難しい論点であるコンプライアンスとAI主導のコンテンツについては、隠れたコンプライアンスドリフトの解説と、Purviewで Copilot を統制する方法もあわせてご覧ください。安定したダッシュボードは全体像の一部にすぎないことがわかります。

監査ログの保持の基本と実践的なM365監査チェックリスト

• 適切な管理者ロールを割り当てる: Purview と Entra ID の両方で、Compliance Administrator や Audit Logs など、必要な監査・コンプライアンス・セキュリティ関連のロールがすべて割り当てられていることを確認してください。
• ライセンス要件を確認する: 標準の監査保持期間は、ほとんどの E3(商用)テナントで 90 日です。E5 または Audit Premium を使用すると、保持期間の延長(1 年以上)、より高度なシグナル、一部の重要性の高いイベントが利用できます。特にライセンスの変更やグループベースのライセンス展開の後は、監査対象となるすべてのユーザーに正しいライセンスが付与されているかを再確認してください。
• Purview の監査設定を構成する: 監査ログが明示的に有効になっており、Exchange、SharePoint、OneDrive、Teams、その他の重要なアプリなど、主要なサービスがすべて含まれていることを確認してください。新しいサービスのオンボーディングも省略しないでください。
• 保持ポリシーとエクスポートポリシーを確認する: 保持期間は、ビジネス要件と規制要件に沿って設定してください。サービス間で不整合を生じさせるおそれのある、競合する Purview ポリシーや保持の保留にも注意してください。
• カバレッジを定期的にテストしてレビューする: 監査検索のサンプルを実行し、想定される保持期間を文書化し、毎月サンプルログをエクスポートして、必要なときにデータが存在し、アクセスできることを確認してください。
• コンプライアンスの追加対策を検討する: リスクの高い環境では、DLP、秘密度ラベル、定期的なアクセス権限および所有者のレビューによってガバナンスを強化し、監査の欠落を防ぎ、実効性のあるインシデント対応を可能にしてください。

上記のいずれかに不備があること、そして保持期間が無制限ではないことを忘れていることが、調査の段階になって重要なイベントが見つからない最も一般的な根本原因です。チェックリストを自社の正確なリスクと規制上の義務に合わせて調整し、常に備えと対策が整っている状態を保ってください。

統合監査ログの価値を最大限に引き出すためのヒント

Microsoft 365 の統合監査ログを扱う際、表面的な検索だけでは本質を捉えきれません。すべてを確実に把握したい場合は、特に、ユーザーや管理者によるメールボックスの操作を対象に、高度な検索フィルターを活用する必要があります。PowerShell を使うことも躊躇しないでください。Search-UnifiedAuditLog などのコマンドを使えば、ユーザー、日付、アクティビティ別に掘り下げて、的確に絞り込めます。

エクスポート機能も活用してください。監査データを定期的に CSV ファイルへ書き出しておくと、インシデントのタイムラインとログを突き合わせる作業が格段に楽になります。機密ファイルを削除したユーザーや、予期しないメールボックスのアクセス許可を付与したタイミングを特定したい場合、これらのエクスポートされた詳細情報は、監査証跡やインシデントレポートを作成する際に非常に役立ちます。

ログに潜む見えにくい欠落にも注意してください。ライセンスやポリシーに関連するログの失敗を見落とすケースは少なくありません。特にライセンスの変更や大きな更新の後は、監査カバレッジが一貫しているかを確認する習慣をつけてください。ログの不具合だけでなく、遅延や管理ポリシーの変更によって、実際に発生したイベントが欠落している可能性にも注意が必要です。

エスカレーションすべきタイミングを見極めてください。フィルターとライセンス、ポリシーを確認したうえで、それでも原因の分からない監査の欠落が続く場合は、暗中模索を続けるべきではありません。その時点で調査結果を整理し、Microsoft にサポートケースを起票すべきです。ユーザーの操作ミスに見えた問題が、実は Microsoft 側でしか修正できないバックエンドの問題だったということも少なくありません。

併せて聴いていただきたいエピソード

Unified Audit Log が動作しない問題を調べている場合は、以下のエピソードで、ガバナンス、セキュリティ、自動化、信頼性の高い Microsoft 365 運用に関する実践的な背景を確認できます。

• Microsoft Purview – Simply Explained — 保持、コンプライアンス、監査、データガバナンスを結び付けて理解できます。
• Microsoft Teams Governance – Simply Explained — 所有者の管理とライフサイクルのルールが、コラボレーションにおいてなぜ重要なのかを学びます。
• Microsoft Defender XDR – Simply Explained — 運用上のシグナルを、検出と対応にどう結び付けるかを理解します。
• Conditional Access – Simply Explained — 安全なアクセスの背後にある ID とリスク制御の仕組みを理解します。

この記事のテーマを、実際の導入に関する判断へと落とし込む助けとなるエピソードです。