Microsoft Entra プロビジョニング ログをダウンロードして分析する方法

Microsoft Entra プロビジョニング ログには、テナントで発生するプロビジョニング イベントに関する詳細が示されます。 プロビジョニング ログにキャプチャされた情報を使用して、プロビジョニングされているユーザーに関する問題のトラブルシューティングに役立てることができます。

この記事では、Microsoft Entra 管理センターからプロビジョニング ログをダウンロードするためのオプションとログを分析する方法について説明します。 エラー コードと特別な考慮事項も含まれています。

前提条件

プロビジョニング ログを表示するには、テナントに Microsoft Entra ID P1 または P2 ライセンスが関連付けられている必要があります。 Microsoft Entra エディションをアップグレードする場合は、「Microsoft Entra ID P1 または P2 の概要」を参照してください。

アプリケーション所有者は所有するアプリケーションのログを確認できます。 プロビジョニング ログを表示するには、次のロールが必要です。

• レポート閲覧者
• セキュリティ閲覧者
• セキュリティ オペレーター
• セキュリティ管理者
• アプリケーション管理者
• クラウド アプリケーション管理者
• provisioningLogs アクセス許可を持つカスタム ロールのユーザー

プロビジョニング ログの表示方法

プロビジョニング ログを表示または分析するには、いくつかの方法があります。

• Azure portal で表示する。
• [診断設定] を使用して、Azure Monitor にログをストリーミングする。
• ブック テンプレートを使用して、ログを分析する。
• Microsoft Graph API を使用して、プログラムでログにアクセスする。
• CSV または JSON ファイルとしてログをダウンロードする。

Azure portal でログにアクセスするには:

1. Microsoft Entra 管理センターにレポート閲覧者以上でサインインしてください。
2. [ID]>[監視と正常性]>[プロビジョニング ログ] の順に移動します。

プロビジョニング ログをダウンロードする方法

Azure portal のログに移動して [ダウンロード] を選択することで、プロビジョニング ログを後で使用するためにダウンロードできます。 結果は、選択したフィルター条件に基づいてフィルター処理されます。 ダウンロードのサイズと時間を削減するために、フィルターはできるだけ具体的に指定してください。

CSV 形式

CSV のダウンロードには、次の 3 つのファイルが含まれます。

• ProvisioningLogs:プロビジョニングの手順と変更されたプロパティを除く、すべてのログをダウンロードします。
• ProvisioningLogs_ProvisioningSteps:プロビジョニングの手順と変更 ID を含みます。 変更 ID を使用すると、イベントを他の 2 つのファイルと結合できます。
• ProvisioningLogs_ModifiedProperties:変更された属性と変更 ID を含みます。 変更 ID を使用すると、イベントを他の 2 つのファイルと結合できます。

JSON 形式

JSON ファイルを開くには、Microsoft Visual Studio Code などのテキスト エディターを使用します。 Visual Studio Code では構文の強調表示があるため、ファイルが読み取りやすくなります。 Microsoft Edge などのブラウザーを使用して、編集不可の形式で JSON ファイルを開くこともできます。

JSON ファイルを読みやすくする

JSON ファイルは、ダウンロードのサイズを削減するための形式でダウンロードされます。 この形式では、ペイロードが読みにくくなる場合があります。 ファイルを読みやすくするための 2 つの方法を確認してください。

• Visual Studio Code を使用して JSON を書式設定する。

• PowerShell を使用して JSON を書式設定する。 このスクリプトでは、タブとスペースを含む形式で JSON が出力されます。

  $JSONContent = Get-Content -Path "<PATH TO THE PROVISIONING LOGS FILE>" | ConvertFrom-JSON

  $JSONContent | ConvertTo-Json > <PATH TO OUTPUT THE JSON FILE>

JSON ファイルを解析する

使い慣れた任意のプログラミング言語を使用できます。 PowerShell の例を以下に示します。

• JSON ファイルを読み取る:

  $JSONContent = Get-Content -Path "<PATH TO THE PROVISIONING LOGS FILE>" | ConvertFrom-JSON

これで、自分のシナリオに従ってデータを解析できます。 いくつかの例を次に示します。

• JSON ファイル内のすべてのジョブ ID を出力します。

  foreach ($provitem in $JSONContent) { $provitem.jobId }

• アクションが "create" であったイベントのすべての変更 ID を出力します。

  foreach ($provitem in $JSONContent) { if ($provItem.action -eq 'Create') { $provitem.changeId } }

知っておくべきこと

プロビジョニング ログを分析するためのいくつかのヒントと考慮事項を以下に示します。

• 報告されたプロビジョニング データは、Premium Edition の場合は 30 日間、Free Edition の場合は 7 日間、Azure portal に保存されます。 30 日を超える保持のために、プロビジョニング ログを Azure Monitor ログにルーティングすることができます。

• 変更 ID 属性を一意の識別子として使用できるので、製品サポートとやり取りするときに役立ちます。

• スコープに含まれていないユーザーの場合、スキップされたイベントが表示されることがあります。

  • 例 1: スコープを all users and groups に設定し、範囲フィルタをセットアップしている場合、範囲抽出条件を満たしていないユーザーのスキップされたログが表示されることがあります。
  • 例 2: スコープを assigned users and groups に設定している場合、ユーザーがアプリケーションに割り当てられていない場合でも、ログ内のユーザーがスキップ済みとして表示され続ける可能性があります。 これは、プロビジョニング サービスがディレクトリから変更を受け取る方法が原因です。

• プロビジョニング ログには、ロールのインポートは表示されません (AWS、Salesforce、Zendesk に適用されます)。 ロールのインポートのログは、監査ログで確認できます。

エラー コード

次の表を利用して、プロビジョニング ログに記録されているエラーの解決方法をより深く理解してください。

テナント間同期のエラー コード

次の表を利用して、テナント間同期のプロビジョニング ログに記録されているエラーの解決方法をより深く理解してください。

次のステップ

• ユーザー プロビジョニングの状態を確認する
• Microsoft Entra ギャラリー アプリケーションへのユーザー プロビジョニングの構成に関する問題
• プロビジョニング ログの Graph API