Microsoft 365 の監査ログの検索と保持期間|誰がいつファイルを開いたかを、何日前まで調べられるか

Microsoft 365 の監査ログで、誰がいつファイルを開いたかを調べる手順と、何日前まで遡れるかをまとめました。Business Premium などでは監査が既定でオンでないこと、監査(標準)の180日とプレミアムの1年、検索の条件の入れ方、結果と CSV の読み方を書いています。Microsoft 365 と生成 AI の導入を支援している当社が、公式の説明と検証用の環境の画面で確かめた内容です。

この記事をシェア:
目次 クリックで開く

この記事の要点

  1. Microsoft 365 Business Basic・Standard・Premium でも監査(標準)は使え、記録は180日残ります。ただし中小企業向けのこれらのプランでは、監査は既定でオンになっていません。まず Microsoft Purview の[監査]で、記録が始まっているかを確かめます。
  2. 遡れるのは「監査をオンにした日」より後で、かつ直近180日の分だけです。ライセンスや保持ポリシーを後から変えても、すでに入った記録の期限は変わりません。
  3. 「誰がいつファイルを開いたか」は、[監査]>[検索]で日付・ユーザー・ファイル名を入れて検索ジョブを作り、結果の一覧と詳細で見ます。CSV に書き出すと、細かい情報は AuditData という1つの列にまとめて入る仕様です。
監査ログを遡れる範囲の図。監査をオンにする前は記録なし、オンにした日以降かつ直近180日が検索できる範囲、直近60〜90分はまだ出ないことがある監査ログを遡れる範囲の図。監査をオンにする前は記録なし、オンにした日以降かつ直近180日が検索できる範囲、直近60〜90分はまだ出ないことがある
監査ログで調べられる範囲。帯の長さは目安

退職する社員が共有のファイルを持ち出していないか、ある見積書を誰がいつ開いたか。こうしたことを上から調べるよう頼まれて、Microsoft 365 の「監査ログ」にたどり着いた方に向けた記事です。監査ログは、ユーザーと管理者の操作を Microsoft 365 が記録しておく仕組みで、「統合監査ログ」とも呼ばれます。検索の画面は Microsoft Purview ポータルの[監査]にあります。

調べ始めて最初に分かれ道になるのは、検索の操作より手前の「そもそも記録が残っているか」です。中小企業向けのプランでは監査が既定でオンになっていないため、調べ物を頼まれてから監査ログを開くと、調べたい日の記録が無いことがあります。記録はオンにした日から残り始めるので、調べたい操作が起きる前にオンになっていなければ、その操作の記録はありません。そのため、この記事は、調べ物を頼まれる前に読んでもらうつもりで書いています。何日前まで遡れるか、記録が残っているかの確かめ方、検索の条件の入れ方、結果の一覧と CSV の読み方、記録から言えることと言えないこと、180日より長く残したいときの選択肢を、この順に書きます。

Microsoft 365 と生成 AI の導入を支援している当社が、Microsoft の公式の説明と、当社の検証用の環境の画面で確かめた内容です(確かめ方は末尾にまとめています)。

何日前まで遡れるか:監査(標準)は180日、プレミアムは一部1年

監査には、監査(標準)と監査(プレミアム)の2つがあります。Microsoft のサービスの説明では、Microsoft 365 Business Basic・Standard・Premium、E3 などで使えるのは監査(標準)です(Microsoft Purview サービスの説明)。監査(標準)の記録は180日残り、過去6か月以内の操作を検索できます(Microsoft Purview の監査ソリューションについて)。この180日は2023年10月17日以降の記録の話で、それより前に作られた記録は90日でした。

監査(標準)と監査(プレミアム)の比較の表。使えるライセンス、記録が残る期間、監査ログの保持ポリシー、CSV の書き出しの行数、期間が延びる範囲監査(標準)と監査(プレミアム)の比較の表。使えるライセンス、記録が残る期間、監査ログの保持ポリシー、CSV の書き出しの行数、期間が延びる範囲
監査(標準)と監査(プレミアム)の違い

監査(プレミアム)では、Microsoft Entra ID・Exchange・OneDrive・SharePoint の記録が既定で1年残り、ほかの操作は既定で180日です。監査ログの保持ポリシーを作って、操作の種類や人ごとに残す期間を変えることもできます。ただし1年に延びるのは、E5 や Microsoft Purview スイートなど、対象のライセンスを持つ人の操作だけで、E5 以外の人やゲストの記録は180日のままです(監査ログの保持ポリシーを管理する)。Business Premium の会社がプレミアムを使うなら、サービスの説明にある「Microsoft Purview スイート for Business Premium」などのアドオンが対象で、これは Business Premium を前提に合計300シートまでのアドオンです。

ここで押さえておきたいのは、期間の長さよりも「いつから数えるか」です。記録の期限は、記録が監査ログに入ったときに決まり、ライセンスや保持ポリシーを変えても、すでに入った記録には影響しません(Microsoft Purview の監査ソリューションについて)。10年保持のポリシーも遡らず、作る前の記録は残せません。退職の話が出てからプレミアムを足しても、それより前の記録が1年に延びることはありません。

なお、ここで言う保持ポリシーは「監査ログの記録」を残す期間の設定で、メールやファイルそのものを残す設定とは別です。メールを何年で消すか・アーカイブへ移すか(Exchange の保持タグ)は、Exchange Online のアーカイブと保持ポリシーの記事で扱っています。

検索の前に確かめる3つ:記録はオンか、検索できる役割か、期間の中か

検索の前に確かめる3つ。監査はオンか、検索できる役割か、調べたい日は残っているか、とそれぞれの確かめ方検索の前に確かめる3つ。監査はオンか、検索できる役割か、調べたい日は残っているか、とそれぞれの確かめ方
検索の前に確かめる3つ

1. 監査はオンになっているか

Microsoft 365 の組織では監査ログは既定でオンですが、Business Basic・Business Standard・Business Premium など中小企業向けのライセンスでは既定で有効になっておらず、手動で有効にする必要があります(監査のオンとオフを切り替える)。オンになっていない組織では、Purview の[監査]を開くと「ユーザーと管理者のアクティビティの記録を開始する」という帯が出ます。

当社の検証用の環境で、オンにする前に[監査]を開いたとき(2026年10月25日と29日)は、上にこの帯のボタンがあり、検索の欄はすべて押せない表示でした。帯の上には「申し訳ございません。アクティビティが記録されているかどうかを特定できません。ページをもう一度読み込んでみてください。」という文も出ていて、この文だけを読むと、オンかオフかは分かりません。帯を押してオンにした直後の画面では、帯だけが消えて、この文は残っていました。帯は、その前に組織のセットアップをしたときにもいったん消え、読み込み直すと戻っていたので、帯が消えたことだけではオンになったとは言えません。約2時間45分後に開き直したときは、文も消え、検索の欄が押せるようになっていました。その後の経過から、文が残っていた時点でもオンにする操作そのものは通っていた、と当社は見ています。帯と押せない欄が出ていれば、オンになっていないと読んでよさそうです。

Purview の監査の検索の画面。アクティビティが記録されているかどうかを特定できませんという文と、ユーザーと管理者のアクティビティの記録を開始するの帯、押せない表示の検索の欄
画面監査をオンにする前の[監査]>[検索](2026年10月29日)。記録を始めるボタンの帯が出ていて、検索の欄は押せない。

画面で判断がつかないときは、Exchange Online PowerShell で次のコマンドを実行します。UnifiedAuditLogIngestionEnabled が True ならオン、False ならオフです。同じコマンドは Security & Compliance PowerShell でも動きますが、そちらではオンのときも False と出るので、Exchange Online PowerShell で実行します。

Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled

オフだった場合は、[ユーザーと管理者のアクティビティの記録を開始する]の帯を押すか、Exchange Online PowerShell の Set-AdminAuditLogConfig でオンにします。監査のオンとオフを切り替えるページによれば、有効になるまで最大60分、検索できる記録が出てくるまでには数時間かかることがあります。オン・オフの切り替えには Exchange 管理センターの「監査ログ」の役割が要り(既定では、その[アクセス許可]にあるコンプライアンス管理と組織管理の役割グループが持っています)、切り替えたこと自体も記録され、その記録は Exchange 管理者監査ログで検索できます。

当社の検証用の環境では、この帯を押すと「実行しようとしたコマンドは現在この組織に許可されていません。このコマンドを実行するには、まずコマンド Enable-OrganizationCustomization を実行する必要があります。」という応答が返り、続けて「組織のセットアップを完了する」という、その場でセットアップを実行するかを聞く確認が出ました。この応答のことは、監査のオンとオフを切り替えるページには載っていません。Exchange Online の一部の設定を PowerShell か Exchange 管理センターで初めて変えるときに、このコマンドの実行を促すエラーが出ることがあります(Enable-OrganizationCustomization)。組織で1回だけ実行するコマンドで、2回目を実行するとエラーになります。実行済みかどうかは Get-OrganizationConfig の IsDehydrated で確かめられ、False なら実行済み、True なら未実行です。

同じ応答が出たときは、応答の文のとおり、先に Enable-OrganizationCustomization を実行し、そのあとで帯か Set-AdminAuditLogConfig でオンにし直す順になります。

Enable-OrganizationCustomization

PowerShell で実行するなら、これは Exchange Online の組織で1回だけ実行するコマンドなので、Exchange Online PowerShell で実行します。実行する前にアクセス許可を割り当てておく必要があり、どのアクセス許可が要るかは、上のリンク(Enable-OrganizationCustomization)のページから調べられます。

当社が試したときは、2026年10月29日に、この確認で[はい]を押して画面からセットアップを実行しました。セットアップは約1分で終わりましたが、そのあと帯を押しても、同じ応答が返りました。30分後にやり直しても同じで、このとき確認で[はい]を押すと「この操作は必要ありません。組織は、既にカスタマイズが有効になっています。」と返りました。セットアップは済んでいるのに、監査のオンはまだ通らない状態です。帯でオンにできたのは、セットアップから約1時間50分後でした。このときは確認の画面は出ず、帯が消えただけで、Learn にある「最大60分かかる」という知らせも見ませんでした。セットアップのあと監査のオンが通るまでの時間は、当社が見た公式のページには書かれておらず、この時間は当社の1回の観察です。

オンにしたあとも、すぐには調べられませんでした。オンにしてから約2時間50分後に検索ジョブを作ろうとすると、「指定された入力でエラーが発生しました。(中略)IP アドレス、サイト ID が有効で、検索期間が 6 か月未満であることを確認してください。」という文が出て、ジョブは作られませんでした。入れた条件は1時間の期間とユーザー1人・操作1つで、IP アドレスもサイトも入れていません。条件に無理は無いので、当社は、オンにした設定が検索の側にまだ届いていなかったと見ています。画面の文だけを見ると、条件の入れ方を疑ってしまう表示です。

Purview の監査の検索で、指定された入力でエラーが発生しましたという文が出た画面
画面オンにしてから約2時間50分後に[検索]を押したときの表示。ジョブは作られなかった。

約3時間後にはジョブを作れるようになりましたが、記録が検索に出始めるまでには、さらに時間がかかり、20:50 にファイルを開いた記録はそのあとも出ませんでした(結果は、このあとの検索の節の終わりに書きます)。オンにしたその日のうちに、その日の操作を調べられるとは考えないほうがよい、というのが当社の見方です。

2. 自分に検索できる役割があるか

監査ログを検索・書き出すには、Purview で「表示限定の監査ログ」か「監査ログ」の役割が要ります。役割グループでは、「監査閲覧者」は検索と書き出しだけ、「Audit Manager」は検索と書き出しに加えて監査のオン・オフなどの設定もできます(監査ソリューションの概要)。ただし監査のオン・オフの切り替えには、今は Exchange 管理センターのアクセス許可(1. で触れた Exchange 管理センターの「監査ログ」の役割。Purview の同じ名前の役割とは別)が要ります。退職者の調査を人事や上長と進めるなら、検索する人には監査閲覧者だけを渡し、オン・オフの権限は情シスに残すのが、この役割の分け方に沿った形です。

3. 調べたい日が残っているか

調べたい日が「今日から180日以内」で、かつ「監査をオンにした日より後」なら、記録は残っています(数え方は「何日前まで遡れるか」の節のとおりです)。どちらかを外れていれば、監査ログからは出せません。監査がオフのときは、Purview の検索でも PowerShell の Search-UnifiedAuditLog でも結果が返らず、Office 365 マネージメント アクティビティ API からも監査のデータにアクセスできません(監査のオンとオフを切り替える)。検索の画面も、期間は最大180日までしか選べず、180日以内にオンにした組織は、オンにした日より前を開始日にできません(監査ログの検索)。もう1つ、直近の操作は、まだ出ていないことがあります。Exchange・SharePoint・OneDrive・Teams などは通常60〜90分で検索に出るとされていますが、時間は保証されていません。

「誰が・いつ・どのファイルを」を条件に入れて検索する

検索の手順。監査を開く、条件を入れる、検索ジョブの完了を待つ、結果の一覧と詳細を見る、必要なら書き出す検索の手順。監査を開く、条件を入れる、検索ジョブの完了を待つ、結果の一覧と詳細を見る、必要なら書き出す
[監査]>[検索]での検索の流れ

Purview ポータルで[監査]を開き、[検索]のページで条件を入れて[検索]を押します。押すと、その場で結果が出るのではなく「検索ジョブ」が作られ、下の一覧に状態とともに並びます。ジョブはブラウザを閉じても続き、終わったジョブは30日残ります。1つのアカウントで同時に動かせるジョブは10個までです。

Purview の監査の検索の条件の欄。日付と時刻の範囲を Oct 29 2026 11:30 から 12:30、アクティビティのフレンドリ名をファイルのアクセス、ユーザーを1人入れた画面
画面[検索]の条件の欄に入れた例(2026年10月29日)。日本時間 20:30〜21:30 を UTC で入れ、操作は「ファイルのアクセス」、ユーザーは1人。名前と検索名は塗っている。

画面の欄は、上から「日付と時刻の範囲 (UTC) 開始/終了」・「キーワード検索」・「アクティビティ – フレンドリ名」・「アクティビティ – 操作名」・「レコードの種類」・「ユーザー」・「ObjectId (ファイル、フォルダー、またはサイト)」・「ワークロード」などです。Learn の説明で「ファイル、フォルダー、またはサイト」と書かれている欄は、当社の画面では「ObjectId (ファイル、フォルダー、またはサイト)」という名前で出ていました。この欄の説明には「サフィックス ワイルドカード文字 (*) の使用がサポートされています」とあり、URL の末尾を * で省いて探せます。ファイル名は、一部を入れるだけでも探せます。

「ある人が、あるファイルをいつ開いたか」を調べるときは、次のように入れます。日付と時刻の範囲は、調べたい期間です。既定では過去7日が選ばれます(監査ログの検索)。ただ当社の画面では、監査をオンにしたあとも、前の日の 00:00 から今日の 00:00 まで(Oct 28 2026 00:00 〜 Oct 29 2026 00:00)の1日分が入っていました。今日の操作を調べるなら、終了の日時を、調べたい時刻より後に直します。時刻は30分きざみの一覧から選びます。当社の画面では、欄に時刻を打ち込むと一覧の別の時刻に置き換わったので、一覧から選び直しました。開始を終了より後にした間は、「開始日/終了日を有効な形式にする必要があります。開始日は終了日より前の日付にしてください。」と出ます。この欄は、名前に「(UTC)」と付いているとおり協定世界時で、日本時間より9時間前です。日本時間の 20:30〜21:30 を調べるなら、11:30〜12:30 と入れます。結果の一覧の日付も、列名のとおり UTC です。一方、同じ画面の検索ジョブの一覧の列は「作成日時 (UTC+09:00)」と、日本時間の表記でした(Learn の説明では、この列は「作成時刻」で UTC)。[ユーザー]は、名前の一部を入れると「ユーザーの候補」が出るので、その人を選びます。[ObjectId (ファイル、フォルダー、またはサイト)]にはファイル名の一部かサイトの URL を入れます。アクティビティは、フレンドリ名の一覧から選ぶか、操作名の欄に FileAccessed と入れます。当社の画面のフレンドリ名の一覧では、見出し「ファイルとページのアクティビティ」の下の「ファイルのアクセス」がこれに当たりました(Learn の操作の一覧の表記は「ファイルがアクセスされました」)。操作名は綴りが1文字違うと結果が0件になるので、操作の一覧から写して入れます(監査ログ アクティビティ)。

開いたことに加えて持ち出したかも見たいなら、ダウンロード(FileDownloaded)も一緒に入れます。条件を絞らず、ユーザーを空にすると組織の全員の記録が対象になり、広い範囲の検索は、大きな組織では終わるまで最大48時間かかることがあります。まずは人と期間を絞って1回動かし、足りなければ広げるほうが早く終わります。

[検索]を押すと、条件の欄は元の値に戻り、下の一覧にジョブが1行増えます。当社の画面では、ジョブの状態は「キューに登録済み」「進行中」「完了済み」と移り、進行中の間は進行状況 (%) に途中の割合が出ました。当社が作った5つのジョブは、1時間・1人・1つの操作に絞ったものも、3時間半を絞らずに検索したものも、どれも2〜5分で終わりました(最も長くて4分, 52秒)。当社では、状態は一覧の上の[Refresh]を押して確かめました。ユーザーも操作も絞らない検索は、上の「アクティブな検索」の数に加えて「フィルター処理されていないアクティブな検索」の数にも入ります。

Purview の監査の検索ジョブの一覧。1つは進行中で進行状況77.78%、ほかは完了済みで100%、結果の総数は14のものが1つ、ほかは0
画面検索ジョブの一覧(2026年10月29日 23:24)。枠はジョブの状態・進行状況 (%)・検索時間・結果の総数。検索名と実行者は塗っている。

同じ条件でやり直すときは、一覧でジョブを選んで[この検索をコピーする]を押すと、「検索パラメーターが検索フィルターにコピーされました。」と出て、そのジョブの日付・操作・ユーザーが条件の欄に戻ります。記録がまだ出ていないときに時間をおいて同じ検索をかけ直すのに使えます。

当社の結果は、こうでした。監査をオンにしたのは日本時間 19:29、ファイルを開いたのは 20:50 です。その操作を「ファイルのアクセス」とユーザーで検索したジョブは、22:34・23:08・23:22 と時間をおいて3回作っても、どれも0件でした。オンにした時刻をはさむ3時間半(日本時間 19:00〜22:30)を絞らずに検索したジョブも、22:40 には0件で、23:14(オンから約3時間45分後)に作り直して初めて14件が出ました。その14件は、どれもレコードの種類が「DataInsightsRestApiAudit」、アクティビティが Validate・Search・Authorize の記録で、日本時間 21:50〜22:15 のものでした。ファイルの操作の記録は1件もなく、19:29 から 21:50 までの記録は、操作の種類を問わず出ていません。

Learn は、オンにしてから検索できる記録が出てくるまでに数時間かかることがあり、Exchange・SharePoint などの操作は通常60〜90分で検索に出る(時間は保証しない)としています。20:50 のファイルの記録は、最後に確かめた 23:25(操作から約2時間35分、オンから約4時間)の時点でも出ていませんでした。これが遅れて出てくるのか、その時刻にはまだ記録が始まっておらず残らないのかは、この日の結果からは分かりません。そのため、次の節のうち、ファイルを開いた記録の行と詳細、CSV の中身は当社の画面では見ておらず、公式の説明によります。

結果の一覧・詳細・CSV で、どこを見ればよいか

ジョブが終わったら、一覧のジョブ名を押すと結果のページが開きます。当社の画面では、上に「検索クエリ情報」として期間(GMT)が1行で出て、操作名やユーザーを条件に入れたジョブでは、それらも同じ行に続きました。その下に「結果の合計数: 14 アイテム」のような件数、[エクスポート]のボタン、結果の一覧がありました。一覧の列は日付 (UTC)・IP アドレス・ユーザー・レコードの種類・アクティビティ・アイテム・管理単位・詳細です。Learn の説明で「項目」(ファイル・フォルダー・サイトの名前)と書かれている列は、画面では「アイテム」でした。0件のジョブでは[エクスポート]は押せない表示で、14件のジョブでは押せる表示になっていました。フレンドリ名の「ファイルのアクセス」で作ったジョブは、検索クエリ情報に「fileaccessed」と出ていて、操作名の FileAccessed と同じ条件として扱われていました。

Purview の監査の結果のページ。結果の合計数14アイテム、エクスポートのボタン、レコードの種類がすべて DataInsightsRestApiAudit で、アクティビティが Validate・Search・Authorize の行が並ぶ一覧
画面結果のページ(2026年10月29日、絞らない検索で14件)。枠は件数と、レコードの種類・アクティビティの列。ユーザーの列は塗っている。検索クエリ情報の行の末尾の「{9} {10} {11} {12}」は、画面の表示のまま。

[フィルター]の横の (i) を押すと、「既定では、最大 150 個のアイテムが表示されます。」「フィルターは、現在表示されているアイテムにのみ適用されることに注意してください。」という説明が出ます。記録が多いときは、画面の[フィルター]で絞るより、条件を絞って検索をやり直すか、CSV に書き出して見るほうが、表示されていない記録を見落としません。

一覧の1行を押すと、右に「詳細」のパネルが開きます。当社の画面では、上に一覧と同じ日付 (UTC)・IP アドレス・ユーザー・アクティビティ・アイテムなどが並び、その下に、記録の中身の項目が「CreationTime」「Id」「Operation」「OrganizationId」「RecordType 52」「UserKey」のように、名前と値の組で縦に続いていました。当社が開いた1件は Purview の側の記録(Workload SecurityComplianceCenter)で、IP アドレスとアイテムは空でした。書き出した CSV では、こうした項目は AuditData という1つの列にまとめて入る仕様です。

Purview の監査の結果で1件を開いた詳細のパネル。日付、IP アドレス、ユーザー、アクティビティ Search、その下に CreationTime、Id、Operation、OrganizationId、RecordType 52 などの項目
画面1件の詳細(2026年10月29日)。枠は Operation と RecordType。ユーザーの値は塗り、Id と OrganizationId の値は伏せた表示にしている。写真は RecordType までで、下に続く UserKey などの項目は写していない。

ファイルを開いた記録(FileAccessed)なら、この並びに、ファイルの場所(ObjectId)、操作した端末の IP アドレス(ClientIP)、ブラウザやアプリ(UserAgent)、ファイル名(SourceFileName)などが加わります。調査では、まず Operation でどの操作か、ObjectId でどのファイルかを確かめ、日時は CreationTime(UTC)を日本時間に直して読みます。

書き出すときは、結果のページで[エクスポート]を押します。監査(標準)では1回の検索で書き出せるのは最大50,000行で、それを超えると CSV に入らない記録が出ます。そのときは、期間を短く区切って何回かに分けて検索します(監査ログ レコードをエクスポート、構成、表示する)。

当社が見たのは、14件のジョブで[エクスポート]が押せる表示になるところまでで、CSV は書き出していません。下の表の列の説明は、公式の書き出しのページと詳細なプロパティのページによるものです。

CSV の読み方の表。日付、ユーザー、操作、AuditData の中の ObjectId・ClientIP・UserAgent・SourceFileName などの意味と気をつけることCSV の読み方の表。日付、ユーザー、操作、AuditData の中の ObjectId・ClientIP・UserAgent・SourceFileName などの意味と気をつけること
書き出した CSV で見る列と、気をつけること

AuditData の中身は、Excel の[データ]>[テキスト/CSV から]で読み込み、Power Query エディターで AuditData の列を JSON に変換して展開すると、項目ごとの列に分けられます。ただし、展開で出てくる項目は、CSV の最初の1,000行にあるものだけです。足りない項目があるときは、検索の条件を絞ってやり直して返る件数を減らすか、JSON に変換する前に Operations の列で絞って行を減らします。

記録を報告に使うときは、言えることと言えないことを分ける

監査ログの記録から言えることと言えないことの比較。言えるのは誰のアカウントでいつどのファイルに何の操作があったか、言えないのは画面に何が映ったか・5分以内の開き直しの回数・本人の端末の IP など監査ログの記録から言えることと言えないことの比較。言えるのは誰のアカウントでいつどのファイルに何の操作があったか、言えないのは画面に何が映ったか・5分以内の開き直しの回数・本人の端末の IP など
記録から言えること・言えないこと

監査ログが残すのは「アカウントによる操作」の記録です。ファイルのプレビュー(FilePreviewed)と開いた(FileAccessed)は分けて記録されますが、その区別は利用者の意図を保証するものではありません。また、同じ人が同じファイルを開くと、その後5分間は同じ記録を残しません。1件の「開いた」は、5分のあいだに何度か開いた結果のこともあります。

IP アドレスにも注意が要ります。サービスによっては Office on the web などのアプリの IP アドレスが入り、操作した人の端末の IP ではない場合があります(監査ログの詳細なアクティビティ プロパティ)。ユーザーの欄が app@sharepoint のように人ではない名前になっている記録は、ユーザーや管理者、サービスに代わってアプリが操作した記録です。社内の調査で記録を使うときは、「このアカウントで、この時刻に、このファイルへの操作があった」という言い方にとどめます。誰が端末の前にいたかは、記録に無いからです。当社の考えでは、役割を次のように分けておくと、記録の読みすぎを防げます。検索を任された人(監査閲覧者)は、日時(日本時間に直したもの)・アカウント・ファイル・操作と、記録された IP アドレスを並べた一覧を作るところまでにします。その時刻にそのアカウントを本人が使っていたかは、調査を頼んだ人事や上長が、その一覧を手に本人に聞くなどして、監査ログの外で確かめます。

180日より長く残したいときの2つの方法

監査(標準)のまま180日より前の操作を見られるようにする設定は、Purview の画面にはありません。長く残す方法は、大きく2つです。1つは監査(プレミアム)を使うことで、対象のライセンスを持つ人の操作が既定で1年残り、保持ポリシーで期間を選べます。期間の選択肢は7日・30日・6か月・9か月・1年で、3年・5年・7年・10年を選ぶには10年保持のアドオンが要ります。

監査(プレミアム)の保持ポリシーは、[監査]の左のメニューの[ポリシー]で作ります。ここには「監査保持ポリシーを作成」のボタンと、ポリシー名・優先度・レコードの種類・アクティビティ・ユーザー・期間・最終更新日の列の一覧があります(Learn の手順では「監査アイテム保持ポリシーの作成」と書かれています)。

Purview の監査のポリシーの画面。監査保持ポリシーを作成のボタンと、ポリシー名・優先度・レコードの種類などの列、利用できるカスタム保持ポリシーがありませんという文
画面[監査]>[ポリシー]。作成のボタンに枠。ポリシーは0個。列は「ユーザー」の右の「期間」「最終更新日」まで続くが、写真では切れている。

もう1つは、記録を定期的に外へ出して自社で保管することです。Office 365 マネージメント アクティビティ API を使えば、監査のデータを既定の180日より長く保持したり、SIEM(ログをまとめて監視する仕組み)に取り込んだりできます(Microsoft Purview の監査ソリューションについて)。画面から CSV を定期的に書き出す方法もあります。書き出しなら、その時点で残っている直近180日分までは取り出せます。

書き出しで続けるなら、当社の考えでは、担当と間隔を先に決めておくと抜けにくくなります。たとえば、監査閲覧者を渡した担当者を1人決め、月に1回、前の月の1か月分で検索ジョブを作って CSV に書き出し、決めた保管場所に置きます。検索に出るまでの時間は保証が無く(Exchange・SharePoint などでも通常60〜90分、ほかのサービスはもっと長いことがある)、日付の欄は UTC なので、ジョブは月が替わって数日おいてから作り、区切りの時刻(UTC のままか、日本時間に直した時刻か)も毎月そろえます。1か月分が1回の上限の50,000行を超えるなら、週ごとなどに区切ってジョブを分けます。終わったジョブが残るのは30日なので、結果は CSV にして残します。

この記事の確かめ方

画面は、当社の検証用の環境(Microsoft 365 Business Premium)の Purview ポータルで2026年10月25日と29日に開いて確かめました。29日には、既定でオンになっていなかった監査をオンにし、検索ジョブを作って結果のページを開くところまで試しています。オンにできるまでに2時間近く、オンにしてから検索に初めて記録が出るまでに4時間近くかかりました。ファイルを開いた記録の行と詳細、CSV の中身は画面では見ておらず、Microsoft Learn の説明によります。公式の説明は、同じ29日に Microsoft Learn の日本語版で確かめました。Copilot とのやり取りの監査は、この記事では扱いません。

監査は、調べる日が来る前にオンにして、見る人を決めておく

監査ログで困るのは、検索の操作より、開いたときに調べたい日が残っていないことのほうです。当社が試したときも、監査をオンにできるまでに2時間近くかかり、オンにしてから約4時間後の検索でも、その日に開いたファイルの記録は出ませんでした。この1回で言えば、調べ物を頼まれてからオンにしたのでは、その日のうちには答えられなかったことになります。Business Premium などのプランを使っているなら、今日のうちに[監査]を開いて記録が始まっているかを確かめ、オンにした日を記録しておきます。あわせて、誰に監査閲覧者を渡すかと、180日より長く残す必要があるかを決めておけば、いざ頼まれたときに「何日前まで遡れるか」をすぐ答えられます。

Business Premium で最初に有効にしておく設定はBusiness Premium の最初の設定の記事に、Purview を含む管理の設定の場所はCopilot の管理設定の地図の記事にまとめています。監査の設定や見る人の決め方から一緒に整えたい場合は、Microsoft 365 の導入支援でお手伝いしています。

Purview ポータルの画面は更新が続いているため、作業の前に各ページの最新を確かめてください。

Microsoft 365・Google Workspace の移行と設定のスポット相談

メールの移行、ドメインとDNS、共有アドレスや代理人の権限、新しいOutlookへの切り替え、Copilot・Geminiを使うときの社内ルール。調べた手順で直らないとき、同じことが何人もで起きているときに、いま困っていることを1件から相談できます。

AT
aurant technologies 編集

上場企業からスタートアップまで、数多くのデータ分析基盤構築・AI導入プロジェクトを主導。単なる技術提供にとどまらず、MA/CRM(Salesforce, Hubspot, kintone, LINE)導入によるマーケティング最適化やバックオフィス業務の自動化など、常に「事業数値(売上・利益)」に直結する改善実績多数。

この記事が役に立ったらシェア: