Microsoft Entra プロビジョニング ログをダウンロードして分析する方法

Microsoft Entra プロビジョニング ログには、テナントで発生するプロビジョニング イベントに関する詳細が示されます。 プロビジョニング ログにキャプチャされた情報を使用して、プロビジョニングされているユーザーに関する問題のトラブルシューティングに役立てることができます。

この記事では、Microsoft Entra 管理センターからプロビジョニング ログをダウンロードするためのオプションと、ログを分析する方法について説明します。 エラー コードと特別な考慮事項も含まれています。

Prerequisites

• Microsoft Entra ID P1 または P2 ライセンスが関連付けられている動作中の Microsoft Entra テナント。
• レポート閲覧者 は、プロビジョニング ログにアクセスするために必要な最小限の特権ロールです。
• アプリケーション所有者は、自分が所有するログ アプリケーションを表示することもできます。
  • タスクごとの最小特権ロールについては、ロールの完全な一覧を参照してください。

プロビジョニング ログの表示方法

プロビジョニング ログを表示または分析するには、いくつかの方法があります。

• Microsoft Entra 管理センターで表示します。
• 診断設定を使用して Azure Monitor にログをストリーミングします。
• ワークブック テンプレートを使用してログを分析します。
• Microsoft Graph API を使用してプログラムでログにアクセスします。
• ログを CSV または JSON ファイルとしてダウンロードします。

Microsoft Entra 管理センターでログにアクセスするには:

1. Microsoft Entra 管理センターに、少なくともレポート閲覧者としてサインインします。
2. Entra ID>監視& 正常性>プロビジョニング ログを参照します。

プロビジョニング ログをダウンロードする方法

プロビジョニング ログをダウンロードするには、[プロビジョニング ログ] ページから [ダウンロード] を選択します。 ダウンロードのサイズと時間を削減するために、フィルターはできるだけ具体的に設定してください。

CSV format

CSV のダウンロードには、次の 3 つのファイルが含まれます。

• ProvisioningLogs: プロビジョニング手順と変更されたプロパティを除くすべてのログをダウンロードします。
• ProvisioningLogs_ProvisioningSteps: プロビジョニング手順と変更 ID が含まれています。 変更 ID を使用すると、イベントを他の 2 つのファイルと結合できます。
• ProvisioningLogs_ModifiedProperties: 変更された属性と変更 ID が含まれます。 変更 ID を使用すると、イベントを他の 2 つのファイルと結合できます。

JSON format

JSON ファイルを開くには、 Microsoft Visual Studio Code などのテキスト エディターを使用します。 Visual Studio Code では構文の強調表示があるため、ファイルが読み取りやすくなります。 また、Microsoft Edge などの編集できない形式のブラウザーを使用して JSON ファイルを開くこともできます。

JSON ファイルを読みやすくする

JSON ファイルは、ダウンロードのサイズを削減するための形式でダウンロードされます。 この形式では、ペイロードが読みにくくなる場合があります。 ファイルを準備するには、次の 2 つのオプションがあります:

• Visual Studio Code を使用して JSON を書式設定します。

• PowerShell を使用して JSON を書式設定する。 このスクリプトによって、JSON はタブとスペースを含む形式で出力されます。

  $JSONContent = Get-Content -Path "<PATH TO THE PROVISIONING LOGS FILE>" | ConvertFrom-JSON

  $JSONContent | ConvertTo-Json > <PATH TO OUTPUT THE JSON FILE>

JSON ファイルを解析する

使い慣れた任意のプログラミング言語を使用できます。 PowerShell の例を以下に示します。

• JSON ファイルを読み取る:

  $JSONContent = Get-Content -Path "<PATH TO THE PROVISIONING LOGS FILE>" | ConvertFrom-JSON

これで、自分のシナリオに従ってデータを解析できます。 いくつかの例を次に示します。

• JSON ファイル内のすべてのジョブ ID を出力します。

  foreach ($provitem in $JSONContent) { $provitem.jobId }

• アクションが "create" であったイベントのすべての変更 ID を出力します。

  foreach ($provitem in $JSONContent) {
     if ($provItem.action -eq 'Create') {
         $provitem.changeId
     }
  }
  

知っておくべきこと

プロビジョニング ログを分析するためのいくつかのヒントと考慮事項を以下に示します:

• 報告されたプロビジョニング データは、Premium Edition の場合は 30 日間、Free Edition の場合は 7 日間、Microsoft Entra 管理センターに保存されます。 プロビジョニング ログは、30 日を超えて保持するために Azure Monitor ログ にルーティングできます。

• 変更 ID 属性を一意の識別子として使用できるので、製品サポートとやり取りするときに役立ちます。

• スコープに含まれていないユーザーの場合、スキップされたイベントが表示されることがあります。

  • 例 1: スコープを all users and groups に設定し、スコープ フィルタをセットアップしている場合、スコープ抽出条件を満たしていないユーザーのスキップされたログが表示されることがあります。
  • 例 2: スコープを assigned users and groups に設定している場合、ユーザーがアプリケーションに割り当てられていなくても、ログ内のユーザーがスキップ済みとして表示され続ける可能性があります。 プロビジョニング サービスがディレクトリから変更を受け取る方法により、これらのユーザーが表示されます。

• プロビジョニング ログには、ロールのインポートは表示されません (アマゾン ウェブ サービス、Salesforce、Zendesk に適用されます)。 ロールのインポートのログは、監査ログで確認できます。

• 一部のエラー コードには、名前に AzureActiveDirectory が含まれています。 これらのエラー コードは Microsoft Entra ID を参照していますが、Azure Active Directory からブランドを変更できませんでした。

Error codes

次の表を利用して、プロビジョニング ログに記録されているエラーの解決方法をより深く理解してください。

テナント間同期のエラー コード

次の表を使用して、 テナント間同期のプロビジョニング ログで見つけたエラーを解決する方法を理解します。 一部のエラー コードは複数の原因にマップされるため、同じエラー コードに対して複数の行があります。

Related content

• ユーザー プロビジョニングの状態を確認する
• Microsoft Entra Gallery アプリケーションへのユーザー プロビジョニングの構成に関する問題
• ログをプロビジョニングするための Graph API