Microsoft Entra ID のログを Log Analytics に保存する

# Microsoft Entra ID のログとは？
テナントで行われた操作に関するログが記録されます。
Log Analytics との連携有無によって、違いがあるため それぞれ 説明します。

1. Log Analytics を 使わない場合
2. Log Analytics と 連携させた場合

# 1. Log Analytics を使わない場合
## 1-1. Microsoft Entra ID のログを見る方法
Azure Portal の Microsoft Entra ID のブレードから、サインインログ と 監査ログ、プロビジョニングログ を参照することができます。

**サインインログ**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/46dcbba5-28b9-a24b-add3-3e79a24cf63a.png)

https://learn.microsoft.com/ja-jp/entra/identity/monitoring-health/concept-sign-ins

**監査ログ**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/f9e63f53-429b-2181-4706-60f3154367fc.png)

https://learn.microsoft.com/ja-jp/entra/identity/monitoring-health/concept-audit-logs

**プロビジョニングログ**
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ff977444-5f18-ff83-d162-202a54cf622e.png)

https://learn.microsoft.com/ja-jp/entra/identity/monitoring-health/concept-provisioning-logs

## 1-2.  データ保持期間
ライセンスの有無や MFA の使用状態によって日数が違いますが、Free 版で 7 日、最大で 30 日まで 保持されます。

認証に関するログなのですが、それ以上は保持されないという点が **注意点** です。

:::note info
**ポイント**
それ以上の期間、Microsoft Entra ID のログを保持する必要がある場合には、Log Analytics との連携が必要になります。
:::

**公開情報：Microsoft Entra のデータ保持**
https://learn.microsoft.com/ja-jp/entra/identity/monitoring-health/reference-reports-data-retention
（上記のサイトより抜粋）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/8a47ac51-5acf-9d3a-3437-74d4381ef658.png)

# 2. Log Analytics と 連携させた場合
Microsoft Entra ID と Log Analytics を連携させた場合は、ログの閲覧方法 や データ保持期間は Log Analytics に準じます。

## 2-1. Log Analytics で サインインログ を参照
KQL で **SigninLogs** を使って検索します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/c4ac084a-8e93-66e5-ec34-db685b2275de.png)

:::note warn
**注意**
Log Analytics でサインインログを取得するためには ライセンスが必要です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b10c5862-2674-87dc-cf79-efc42a64b4e3.png)
サインインログ 以外の ログの取得には、ライセンスは不要です。
:::

## 2-2. Log Analytics で 監査ログ を参照
KQL で **AuditLogs** を使って検索します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b4b76759-2959-3785-71b2-73fed2ee66a1.png)

## 2-3. データ保持期間
Log Analytics 側で設定します。
既定（無料）では、30 日まで。有料にすると 最大で 2 年 まで設定できます。

期間の設定方法は、次章の前提事項で紹介している [Azure Log Analytics について](https://qiita.com/carol0226/items/eb07275fe8b3eda4a703) の記事を参照してください。

# 3. Microsoft Entra ID のログを Log Analytics に保存する
## 3-1. 前提事項
事前に、以下の記事の手順を参照して Log Analytics ワークスペースをデプロイします。

https://qiita.com/carol0226/items/eb07275fe8b3eda4a703

## 3-2. Microsoft Entra ID の診断設定
続いて、以下の手順を実施します。

0. **Microsoft Entra ID** のページを開き、左ペインの **監視** を開きます。
続いて、**診断設定** を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/5a5379c6-1463-cc1f-6fe7-25ed825ac980.png)
　<br>
0. 以下のページで **診断設定を追加する** のリンクをクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/b808d7c6-87c3-4ebe-36af-1106f3f686ab.png)
　<br>
0. 以下の順に設定を行います。
① 取得するログのカテゴリを決めます（図では、全種類）
② ログの宛先として **Log Analytics ワークスペースへの送信** にチェックを入れます。
　続いて、出力先のワークスペース名を選択します。
③ 診断設定の名称（任意）を指定します。
④ **保存** ボタンを押します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/ad60b3bb-2eec-30a0-4aae-141dec2d93d9.png)
　<br>
0. 以下の通り、一覧に追加されれば OK です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1619637/81a54c1c-aecc-5445-c5ac-159bd5ee4c9e.png)

**公開情報**

https://learn.microsoft.com/ja-jp/entra/identity/monitoring-health/tutorial-configure-log-analytics-workspace

:::note info
診断設定が完了したら、Log Analytics にログが収集されはじめます。
ログの参照方法は、２章で紹介した画面のまま KQL を実行します。
:::

# 4. Microsoft Entra ID を参照するための KQL

**クエリ例**
https://learn.microsoft.com/ja-jp/azure/active-directory/reports-monitoring/tutorial-configure-log-analytics-workspace#run-queries-in-log-analytics

**SigninLogs リファレンス**
https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables/signinlogs

**AuditLogs リファレンス**
https://learn.microsoft.com/ja-jp/azure/azure-monitor/reference/tables/auditlogs