Microsoft Entra ID のサインインログや監査ログを Microsoft Sentinel に取り込むと、不審なサインインやアカウントの変更を、ほかのログと合わせて検知・調査できるようになります。この記事では、Sentinel のコンテンツハブから Microsoft Entra ID ソリューションをインストールし、データコネクタを設定してログを取り込み、中身を確認するまでの手順を確認します。
この記事でわかること
コンテンツハブで Microsoft Entra ID ソリューションをインストールする手順
データコネクタで取り込むログの種類を選び、接続する手順（必要なライセンスと権限）
接続状態の確認と、SigninLogs・AuditLogs テーブルでのログの確認方法
取り込みの全体像 Microsoft Entra ID のデータコネクタで取り込むログの種類を選ぶと、Entra ID の診断設定が作られ、ログが Sentinel のワークスペースに送られるようになります。ログはワークスペースのテーブルに保存され、サインインログは SigninLogs、監査ログは AuditLogs に入ります。
Microsoft Entra ID サインインログ 監査ログ 診断設定 データコネクタの 「変更の適用」で作成 Log Analytics ワークスペース Sentinel SigninLogs AuditLogs Microsoft Sentinel 分析ルール ブック・ハンティング 設定の流れ ① コンテンツハブで Microsoft Entra ID ソリューションをインストール ② データコネクタで取り込むログの種類を選び、「変更の適用」をクリック 図1 Entra ID のログが Microsoft Sentinel に届くまで
準備するもの 内容
ライセンス サインインログを取り込むには Microsoft Entra ID P1 または P2 が必要。監査ログなど、ほかの種類は Free を含むどのライセンスでも取り込める Sentinel 側の権限 ワークスペースに対する Microsoft Sentinel 共同作成者（コンテンツハブでのインストールにも必要） Entra ID 側の権限 ログを送るテナントのセキュリティ管理者（または同等の権限）。接続状態を見るには、Entra ID の診断設定の読み取り・書き込みの権限も必要 費用 取り込んだログは、Log Analytics と Microsoft Sentinel のデータ量に応じた料金の対象になる
データコネクタの接続（コンテンツハブ） ソリューションのインストール Azure ポータルで Microsoft Sentinel のワークスペースを開き、左側のメニューから コンテンツ管理 ›› コンテンツ ハブ を選択します。検索に「Entra」と入力し、一覧の「Microsoft Entra ID」を選択すると、右側にソリューションの概要が表示されます。「インストール」をクリックすると、インストールが始まります。
画面イメージについて
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
Microsoft Sentinel（コンテンツ ハブ） 画面イメージ
Microsoft Sentinel ›› コンテンツ ハブ
コンテンツのタイトル 状態 コンテンツの種類
☐ Log4j Vulnerability Dete…（おすすめ） Solution ☑ Microsoft Entra ID （おすすめ）Solution ☐ Attacker Tools Threat Protection Ess… Solution
Microsoft Entra ID（右側の概要）
プロバイダー／サポート Microsoft ／ Microsoft バージョン 3.2.8 2 コンテンツの種類分析ルール 63 ／ データ コネクタ 1 ／ プレイブック 11 ／ ブック 2
3 インストール詳細の表示
図2 コンテンツ ハブで Microsoft Entra ID を選択した画面（実際の画面ではなく、操作のポイントを示したイメージです）
No. 項目 内容
1 検索 「Entra」と入力し、一覧の Microsoft Entra ID を選択する 2 コンテンツの種類 データコネクタのほかに、分析ルール、プレイブック、ブック（ワークブック）がまとめて入っている 3 インストール クリックするとインストールが始まる
しばらくすると「インストールに成功しました」と通知が表示されます。一覧で Microsoft Entra ID の状態が「インストール済み」（緑のチェック）になったことを確認し、右側の概要の下にある「管理」をクリックします。
データコネクタのページを開く 「管理」をクリックすると、ソリューションに含まれるデータコネクタと分析ルールの一覧が表示されます。データコネクタの「Microsoft Entra ID」を選択し、右側の「コネクタ ページを開く」をクリックします。
Microsoft Sentinel（ソリューションの管理） 画面イメージ
コンテンツ名 コンテンツの種類
1 ☑ Microsoft Entra ID データ コネクタ ☐ Password spray attack against ADFSSignInLogs 分析ルール ☐ Account created or deleted by non-approved user 分析ルール ☐ Password spray attack against Microsoft Entra ID application 分析ルール ⋮ （中略）
Microsoft Entra ID（右側の概要）
2 StatusDisconnected Last Log Received — Version 1.0.0
3 コネクタ ページを開く
図3 ソリューションの管理画面（実際の画面ではなく、操作のポイントを示したイメージです）
No. 表示・操作 意味
1 Microsoft Entra ID（データ コネクタ） ログを取り込むためのデータコネクタ。オレンジの警告マークは、まだ構成が必要なことを表す（分析ルールも同じ） 2 Status：Disconnected まだ接続していない（ログを受信していない）状態 3 コネクタ ページを開く データコネクタの設定ページを開く
取り込むログの種類を選ぶ コネクタ ページの手順で、取り込む Microsoft Entra ID のログの種類を選択します。今回は、サインインログ（Sign-In Logs）と監査ログを選択し、画面下の「変更の適用」をクリックします。
Microsoft Entra ID（コネクタ ページ） 画面イメージ
Microsoft Entra ID ログを Microsoft Sentinel に接続する （Microsoft Entra ID のログの種類を選択します）
1 Sign-In Logs☑ In order to export Sign-in data, your organization needs Microsoft Entra ID P1 or P2 license. 2 監査ログ☑ Non-Interactive User Sign-In Log (プレビュー) ☐ Service Principal Sign-In Logs (プレビュー) ☐ ⋮ （中略） Service Principal Risk Events (プレビュー) ☐ Microsoft Graph Activity Logs (プレビュー) ☑（グレーで表示） Enriched Office365 Audit Logs (プレビュー) ☐ Remote Network Health Logs (プレビュー) ☐
3 変更の適用
図4 取り込むログの種類の選択（実際の画面ではなく、設定項目のポイントを示したイメージです）
No. 項目 設定内容
1 Sign-In Logs チェックを入れる。対話型のユーザーサインインのログ（SigninLogs テーブル）。注意書きのとおり、Entra ID P1 または P2 のライセンスが必要 2 監査ログ チェックを入れる。ユーザーやグループの管理、アプリ、ディレクトリの操作のログ（AuditLogs テーブル） 3 変更の適用 選択したログの種類を送る設定（Entra ID の診断設定）が作られる
補足
非対話型のユーザーサインイン（ユーザーの操作なしにクライアントが行うサインイン）や、サービスプリンシパルのサインインなども、別のテーブルに取り込めます。ログの種類を増やすほど取り込むデータ量が増え、料金も増えるので、必要な種類を選んで取り込みます。
Entra IDログ取り込み確認 私の環境では、「変更の適用」から約 2 時間ほどで、ログの取り込みが始まりました。
コンテンツ管理 ›› コンテンツ ハブ で Microsoft Entra ID を選択し、右側の概要の「管理」をクリックします。データコネクタの Microsoft Entra ID に「使用中」と表示されているので、チェックを入れると、右側に概要が表示されます。「コネクタ ページを開く」をクリックすると、コネクタ ページでも状態を確認できます。
Microsoft Sentinel（ソリューションの管理／コネクタ ページ） 画面イメージ
コンテンツ名 コンテンツの種類 バージョン
☑ Microsoft Entra ID 使用中 データ コネクタ 1.0.0
Microsoft Entra ID（右側の概要）
1 StatusLast Log Received 56 分前
コネクタ ページ
2 状態接続済み 最後に受信したログ 1 時間 前 関連コンテンツ ブック 7 ／ クエリ 2 ／ 分析ルールのテンプレート 63 3 受信したデータの合計SigninLogs 2 ／ AuditLogs 1
図5 接続後のデータコネクタの状態（実際の画面ではなく、表示のポイントを示したイメージです）
No. 表示 意味
1 Status：Connected（緑） データコネクタが接続済みで、ログを受信している。概要の左端の色の帯も緑になる 2 状態：接続済み コネクタ ページでも同じ状態が日本語で表示される 3 受信したデータの合計 テーブルごとの受信件数。サインインログ（SigninLogs）が 2 件、監査ログ（AuditLogs）が 1 件取り込まれている
Entra IDログ出力確認 Sentinel に取り込まれたサインインログと監査ログの中身を表示します。メニューの 全般 ›› ログ をクリックすると、クエリを実行する画面が開きます。
サインインログの確認 テーブルの一覧の LogManagement ›› SigninLogs をダブルクリックすると、クエリ欄に SigninLogs が入力されます。「実行」をクリックすると、「結果」タブにサインインログが表示されます。
Microsoft Sentinel（ログ） 画面イメージ
1 クエリSigninLogs 時間の範囲：過去 24 時間
▷ 実行
結果
TimeGenerated [UTC] ResourceId OperationName OperationVersion
2 2024/8/12 0:50:48.756/tenants/… Sign-in activity 1.0 2024/8/11 18:09:00.274 /tenants/… Sign-in activity 1.0
図6 SigninLogs テーブルの検索結果（実際の画面ではなく、表示内容のポイントを示したイメージです）
No. 表示 意味
1 SigninLogsテーブル名だけのクエリ。指定した時間の範囲（過去 24 時間）のサインインログをすべて表示する 2 結果の各行 1 行が 1 回のサインイン（OperationName は Sign-in activity）。TimeGenerated は UTC で表示されている
監査ログの確認 同じように、LogManagement ›› AuditLogs をダブルクリックし、クエリ欄に AuditLogs が入力されたら「実行」をクリックします。「結果」タブに監査ログが表示されます。
Microsoft Sentinel（ログ） 画面イメージ
1 クエリAuditLogs 時間の範囲：過去 24 時間
▷ 実行
結果
TimeGenerated [UTC] ResourceId OperationName OperationVersion
2 2024/8/11 16:07:19.368/tenants/… Update user 1.0
図7 AuditLogs テーブルの検索結果（実際の画面ではなく、表示内容のポイントを示したイメージです）
No. 表示 意味
1 AuditLogs監査ログのテーブルを表示するクエリ 2 Update userユーザー情報の更新が記録されている。監査ログには、こうしたディレクトリの変更操作が記録される
補足
KQL で条件を付けると、必要なログだけを絞り込めます。たとえば、サインインに失敗したログ（ResultType が 0 以外）を新しい順に表示するには、次のようにします。
SigninLogs | where ResultType != "0" | sort by TimeGenerated desc
うまくいかないとき
状態 よくある原因 確認すること
コンテンツハブでインストールできない Microsoft Sentinel 共同作成者の権限がない ワークスペース（リソースグループ）に対するロールの割り当て 「変更の適用」でエラーになる、接続状態が表示されない Entra ID のセキュリティ管理者の権限や、診断設定の読み取り・書き込みの権限がない サインインしているアカウントの Entra ID のロール 監査ログは入るが、サインインログが入らない Entra ID P1／P2 のライセンスがない テナントのライセンス しばらく待っても Disconnected のまま 取り込みが始まるまで時間がかかっている、対象のログがまだ発生していない 時間をおいて再確認する。Microsoft Entra 管理センターの診断設定（監視と正常性 ›› 診断設定）に、送信先のワークスペースが設定されているか
まとめ
手順 やること ポイント
STEP 1 コンテンツハブで Microsoft Entra ID ソリューションをインストール データコネクタ、分析ルール、プレイブック、ブックがまとめて入る STEP 2 管理画面から Microsoft Entra ID データコネクタのページを開く この時点では Disconnected STEP 3 取り込むログの種類を選び、「変更の適用」をクリック サインインログには P1／P2 が必要。Entra ID 側にセキュリティ管理者の権限が必要 確認 接続状態と、SigninLogs・AuditLogs テーブル 検証では約 2 時間で取り込みが始まった
関連記事：Microsoft Sentinel 初期セットアップ手順 ／MS SentinelにAzure Activityログを取り込む(コンテンツハブ）
コメント