Microsoft 365 Logs

備考

プレビュー

Lakewatchはプライベートプレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。

Lakewatchは、Microsoft 365から監査ログを取り込むためのAPIコネクターを提供します。この記事では、前提条件、構成手順、コネクターのスキーマ、Lakewatchのパーサーの可観測項目について説明します。

前提条件

コネクターには以下が必要です：

Serverless Lakeflow Spark Declarative Pipelinesがワークスペースで有効になっています。
Unity Catalogと、Unity Catalog接続を作成または使用する権限。接続の権限を参照してください。
組織で有効になっているOffice 365統一監査。
Microsoft Entra IDでアプリケーションを登録する権限。
Office 365 Management APIsに対するテナント全体の管理者同意を付与する権限。

既知の制限事項

Microsoft 365監査Logsは追加のみであるため、SCDタイプ2はサポートされていません。
Microsoft 365管理APIのドキュメントによると、監査ログは、コンテンツBLOBを取得するための サブスクリプション が作成およびアクティブ化された後にのみ取得できます。コネクタは、取り込みの起動時にサブスクリプションを作成およびアクティブ化しようとします。そのため、サブスクリプションがまだ有効になっていない場合、コネクタはサブスクリプションがアクティブになった後に生成された監査レコードのみを取り込みます。また、データの損失を防ぐために、途中で サブスクリプションを無効にしないこと を強く推奨します。
Microsoft 365管理APIは、サブスクリプションの作成から 過去7日間 の監査ログにしかアクセスできません。したがって、2つの連続するパイプライン実行の間隔が7日を超える場合、コネクタは過去1週間分に相当するLogsのみを取り込みます。データ損失を防ぐため、7日よりはるかに短い間隔でパイプラインを実行するようにスケジュールしてください。
過去のルックバックは、Microsoft 365が監査ログを保持する7日間を超えることはできません。どれだけ過去まで取り込むかを選択するを参照してください。

取り込み用のMicrosoft 365を構成する

このステップでは、Azureポータルでアプリケーションを登録して、Databricksからの認証を有効にします。

アプリケーションを登録する

Azureポータルに移動し、 Microsoft Entra ID を検索します。
左側のウィンドウで、 [管理] > [アプリの登録] に移動し、 [新規登録] をクリックします。
アプリケーションを登録する ページで、次の操作を行います。
1. アプリケーションのユーザー向け表示名を入力します。
2. サポートされているアカウントの種類 で、 単一テナントのみ - <your tenant name> を選択します。
3. Redirect URI は空のままにします。
4. 登録をクリックします。

クライアントシークレットの作成

登録済みアプリケーションページの左側のペインで、 「管理」>「証明書とシークレット」 に移動し、 「新しいクライアントシークレット」 をクリックします。
開いたペインでシークレットの説明を入力し、 有効期限 で 24か月 を選択し、追加をクリックします。
資格情報の値をメモしてください。 シークレット ID ではありません。この値は次のステップで使用します。

APIアクセス許可の設定

委任された権限を追加する:
1. 左ペインの「 管理 > API権限 」に移動し、「 権限の追加 」をクリックします。
2. [API アクセス許可の要求 ] ウィンドウで、[ Office 365 Management APIs ] をクリックします。
3. [ 委任された権限 ]をクリックします。
4. ActivityFeed.Read、ActivityFeed.ReadDlp、ServiceHealth.Readを選択します。
5. [ 権限を追加 ] をクリックします。
アプリケーションのアクセス許可についても、アクセス許可のステップを繰り返します。
1. [ 権限を追加 ] をクリックします。
2. [API アクセス許可の要求 ] ウィンドウで、[ Office 365 Management APIs ] をクリックします。
3. アプリケーションのアクセス許可 をクリックします。
4. ActivityFeed.Read、ActivityFeed.ReadDlp、ServiceHealth.Readを選択します。
5. [ 権限を追加 ] をクリックします。
[API権限] ページで、[ <your organization> に管理者の同意を付与する] を[権限の追加] の横にクリックし、確認ポップアップで[はい] をクリックします。

アプリケーションIDのコピー

左側のペインで、 「概要」 に移動します。
アプリケーション（クライアント）ID と ディレクトリ（テナント）ID をメモしてください。これらは次のステップで使用します。

ヒント

Lakewatchユーザーインターフェースから接続を作成する場合は、上記で取得した クライアント ID 、 クライアントシークレット 、および テナント ID が必要です。

次のステップ

上記の設定を完了したら、Lakewatch UIでMicrosoft 365コネクタを使用してデータソースを作成します。手順については、APIコネクターをご覧ください。

コネクタおよびLakewatchスキーマ

Microsoft 365監査Logsコネクタは、defaultソーススキーマ内の5つのソーステーブルをサポートしています。Microsoftは、これらのペイロードにフィールドとイベントタイプを追加する場合があります。フィールド定義については、Microsoft 365管理アクティビティAPIスキーマを参照してください。

ソーステーブル	Microsoftコンテンツタイプ	組み込みのLakewatchパーサー
`audit_azure_active_directory`	`Audit.AzureActiveDirectory`	`microsoft365_audit_azure_active_directory`
`audit_exchange`	`Audit.Exchange`	`microsoft365_audit_exchange`
`audit_sharepoint`	`Audit.SharePoint`	`microsoft365_audit_sharepoint`
`audit_general`	`Audit.General`	`microsoft365_audit_general`
`dlp_all`	`DLP.All`	`microsoft365_dlp_all`

ソーステーブル	Microsoftコンテンツタイプ	組み込みのLakewatchパーサー
`audit_azure_active_directory`	`Audit.AzureActiveDirectory`	`microsoft365_audit_azure_active_directory`
`audit_exchange`	`Audit.Exchange`	`microsoft365_audit_exchange`
`audit_sharepoint`	`Audit.SharePoint`	`microsoft365_audit_sharepoint`
`audit_general`	`Audit.General`	`microsoft365_audit_general`
`dlp_all`	`DLP.All`	`microsoft365_dlp_all`

コネクターは、選択した各ソーステーブルをデータソースの未加工宛先に書き込みます。各ソーステーブルには登録済みの組み込みパーサーがあり、データソースの設定時に解析済み宛先を設定しない限り、パーサーの名前を持つ個別の解析済みテーブルに書き込みます。

Lakewatch管理列

コネクタは、各生のソース行に次の列を追加します。

lw_id: Lakewatchが主キーとして使用するNULL以外の文字列。コネクターは、Microsoft CreationTime および Id フィールドから安定した時間で並べ替え可能なIDを導出します。IDは、増分同期全体にわたる重複排除をサポートします。
time: CreationTimeから解析された非nullのUTC Timestamp。コネクターはtimeを増分取り込みのカーソルフィールドとして使用します。

解析されたテーブルはlw_idを保持します。パーサーは、解析されたtimeカラムも割り当て、以下を追加します。

lw_meta：標準的なLakewatch処理メタデータ。
lw_observables：パーサーでセキュリティ観測可能としてマークされたフィールドから抽出された値。

情報については、パーサーリファレンスを参照してください。

未処理コネクタテーブルスキーマ

以下のスキーマは、Microsoft 365イベントフィールドとlw_idおよびtimeを組み合わせたものです。

audit_azure_active_directory

ユーザーのサインイン、アプリのアクセス、ディレクトリの変更など、Azure Active Directoryの監査イベントをキャプチャします。スキーマの情報については、Microsoft 365管理APIドキュメントを参照してください。

スキーマ

フィールド	データ型
lw_id	string
Time	timestamp
ID	string
レコードタイプ	整数
作成時間	timestamp
オペレーション	string
OrganizationId	string
ユーザーの種類	整数
UserKey	string
Workload	string
バージョン	整数
結果ステータス	string
ObjectId	string
userId	string
クライアントIP	string
スコープ	string
AppAccessContext	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.ClientAppName	string
AppAccessContext.CorrelationId	string
AzureActiveDirectoryEventType	整数
ExtendedProperties	array<struct>
ExtendedProperties.Name	string
ExtendedProperties.Value	string
ModifiedProperties	array<map<文字列, variant>>
DeviceProperties	array<struct>
DeviceProperties.Name	string
DeviceProperties.Value	string
アプリケーション	string
クライアント	string
ログインステータス	整数
ユーザーDomain	string
Actor	array<struct>
Actor.ID	string
Actor.Type	整数
ActorContextId	string
ActorIpAddress	string
InterSystemsId	string
システム内ID	string
SupportTicketId	string
ターゲット	array<struct>
Target.ID	string
Target.Type	整数
TargetContextId	string
ApplicationId	string
ErrorNumber	string
ログオンエラー	string

フィールド	データ型
lw_id	string
Time	timestamp
ID	string
レコードタイプ	整数
作成時間	timestamp
オペレーション	string
OrganizationId	string
ユーザーの種類	整数
UserKey	string
Workload	string
バージョン	整数
結果ステータス	string
ObjectId	string
userId	string
クライアントIP	string
スコープ	string
AppAccessContext	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.ClientAppName	string
AppAccessContext.CorrelationId	string
AzureActiveDirectoryEventType	整数
ExtendedProperties	array<struct>
ExtendedProperties.Name	string
ExtendedProperties.Value	string
ModifiedProperties	array<map<文字列, variant>>
DeviceProperties	array<struct>
DeviceProperties.Name	string
DeviceProperties.Value	string
アプリケーション	string
クライアント	string
ログインステータス	整数
ユーザーDomain	string
Actor	array<struct>
Actor.ID	string
Actor.Type	整数
ActorContextId	string
ActorIpAddress	string
InterSystemsId	string
システム内ID	string
SupportTicketId	string
ターゲット	array<struct>
Target.ID	string
Target.Type	整数
TargetContextId	string
ApplicationId	string
ErrorNumber	string
ログオンエラー	string

audit_exchange

Eメールアクセス、フォルダー操作、アイテムの移動など、Exchangeメールボックスの監査イベントを取り込みます。スキーマの情報については、Microsoft 365管理APIのドキュメントを参照してください。

スキーマ

フィールド	データ型
lw_id	string
Time	timestamp
ID	string
レコードタイプ	整数
作成時間	timestamp
オペレーション	string
OrganizationId	string
ユーザーの種類	整数
UserKey	string
Workload	string
バージョン	整数
結果ステータス	string
ObjectId	string
userId	string
クライアントIP	string
スコープ	string
AppAccessContext	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.ClientAppName	string
AppAccessContext.CorrelationId	string
ModifiedObjectResolvedName	string
パラメータ	array<struct>
パラメーター.Name	string
パラメーター.値	string
ModifiedProperties	array<map<文字列, variant>>
ExternalAccess	boolean
OriginatingServer	string
組織名	string
LogonType	整数
InternalLogonType	整数
MailboxGuid	string
MailboxOwnerUPN	string
MailboxOwnerSid	string
メールボックス所有者マスターアカウントSid	string
LogonUserSid	string
ログオンユーザー表示名	string
クライアント情報文字列	string
クライアント IP アドレス	string
ClientMachineName	string
クライアントプロセス名	string
ClientVersion	string
フォルダ	struct
フォルダー ID	string
フォルダー.パス	string
フォルダー.フォルダーアイテム	array<struct>
Folder.FolderItems.Id	string
Folder.FolderItems.ImmutableId	string
Folder.FolderItems.InternetMessageId	string
フォルダー.フォルダーアイテム.作成日時	timestamp
フォルダー.フォルダーアイテム.件名	string
Folder.FolderItems.SizeInBytes	long
Folder.FolderItems.Sensitivity	string
Folder.FolderItems.ClientRequestId	string
フォルダー.フォルダーアイテム.チーム	バリアント
クロスメールボックス操作	boolean
宛先メールボックスID	string
宛先メールボックス所有者のUPN	string
DestMailboxOwnerSid	string
DestMailboxOwnerMasterAccountSid	string
送信先フォルダ	struct
DestFolder.Id	string
DestFolder.Path	string
DestFolder.FolderItems	array<struct>
DestFolder.FolderItems.Id	string
DestFolder.FolderItems.ImmutableId	string
宛先フォルダー。フォルダーアイテム。インターネットメッセージID	string
DestFolder.FolderItems.CreationTime	timestamp
DestFolder.FolderItems.Subject	string
DestFolder.FolderItems.SizeInBytes	long
宛先フォルダ.フォルダアイテム.機密性	string
宛先フォルダーのフォルダーアイテムのクライアントリクエスト ID	string
DestFolder.FolderItems.Teams	バリアント
フォルダ	array<struct>
Folders.Id	string
フォルダー.パス	string
フォルダー.フォルダーアイテム	array<struct>
フォルダー。フォルダーアイテム。ID	string
Folders.FolderItems.ImmutableId	string
Folders.FolderItems.InternetMessageId	string
Folders.FolderItems.CreationTime	timestamp
フォルダ.FolderItems.Subject	string
Folders.FolderItems.SizeInBytes	long
Folders.FolderItems.Sensitivity	string
フォルダ.フォルダアイテム.クライアント要求ID	string
Folders.FolderItems.Teams	バリアント
AffectedItems	array<struct>
AffectedItems.Id	string
AffectedItems.Subject	string
影響を受けるアイテムの親フォルダー	struct
AffectedItems.ParentFolder.Id	string
AffectedItems.ParentFolder.Path	string
AffectedItems.ParentFolder.FolderItems	array<struct>
影響を受けるアイテム.親フォルダー.フォルダーアイテム.Id	string
AffectedItems.ParentFolder.FolderItems.ImmutableId	string
AffectedItems.ParentFolder.FolderItems.InternetMessageId	string
AffectedItems.ParentFolder.FolderItems.CreationTime	timestamp
影響を受けたアイテム.親フォルダー.フォルダーアイテム.件名	string
AffectedItems.ParentFolder.FolderItems.SizeInBytes	long
AffectedItems.ParentFolder.FolderItems.Sensitivity	string
AffectedItems.ParentFolder.FolderItems.ClientRequestId	string
AffectedItems.ParentFolder.FolderItems.Teams	バリアント
AffectedItems.Attachments	string
項目	struct
Item.Id	string
件名	string
Item.ParentFolder	struct
Item.ParentFolder.Id	string
Item.ParentFolder.Path	string
アイテム.親フォルダー.フォルダーアイテム	array<struct>
Item.ParentFolder.FolderItems.Id	string
アイテム.親フォルダ.フォルダアイテム.不変ID	string
アイテム.親フォルダ.フォルダアイテム.インターネットメッセージID	string
Item.ParentFolder.FolderItems.CreationTime	timestamp
Item.ParentFolder.FolderItems.Subject	string
Item.ParentFolder.FolderItems.SizeInBytes	long
Item.ParentFolder.FolderItems.Sensitivity	string
Item.ParentFolder.FolderItems.ClientRequestId	string
Item.ParentFolder.FolderItems.Teams	バリアント
アイテム.添付ファイル	string
SendAsUserSmtp	string
ユーザーメールボックスGUIDとして送信	string
ユーザーSMTPの代理として送信	string
代理送信ユーザーメールボックスのGUID	string

フィールド	データ型
lw_id	string
Time	timestamp
ID	string
レコードタイプ	整数
作成時間	timestamp
オペレーション	string
OrganizationId	string
ユーザーの種類	整数
UserKey	string
Workload	string
バージョン	整数
結果ステータス	string
ObjectId	string
userId	string
クライアントIP	string
スコープ	string
AppAccessContext	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.ClientAppName	string
AppAccessContext.CorrelationId	string
ModifiedObjectResolvedName	string
パラメータ	array<struct>
パラメーター.Name	string
パラメーター.値	string
ModifiedProperties	array<map<文字列, variant>>
ExternalAccess	boolean
OriginatingServer	string
組織名	string
LogonType	整数
InternalLogonType	整数
MailboxGuid	string
MailboxOwnerUPN	string
MailboxOwnerSid	string
メールボックス所有者マスターアカウントSid	string
LogonUserSid	string
ログオンユーザー表示名	string
クライアント情報文字列	string
クライアント IP アドレス	string
ClientMachineName	string
クライアントプロセス名	string
ClientVersion	string
フォルダ	struct
フォルダー ID	string
フォルダー.パス	string
フォルダー.フォルダーアイテム	array<struct>
Folder.FolderItems.Id	string
Folder.FolderItems.ImmutableId	string
Folder.FolderItems.InternetMessageId	string
フォルダー.フォルダーアイテム.作成日時	timestamp
フォルダー.フォルダーアイテム.件名	string
Folder.FolderItems.SizeInBytes	long
Folder.FolderItems.Sensitivity	string
Folder.FolderItems.ClientRequestId	string
フォルダー.フォルダーアイテム.チーム	バリアント
クロスメールボックス操作	boolean
宛先メールボックスID	string
宛先メールボックス所有者のUPN	string
DestMailboxOwnerSid	string
DestMailboxOwnerMasterAccountSid	string
送信先フォルダ	struct
DestFolder.Id	string
DestFolder.Path	string
DestFolder.FolderItems	array<struct>
DestFolder.FolderItems.Id	string
DestFolder.FolderItems.ImmutableId	string
宛先フォルダー。フォルダーアイテム。インターネットメッセージID	string
DestFolder.FolderItems.CreationTime	timestamp
DestFolder.FolderItems.Subject	string
DestFolder.FolderItems.SizeInBytes	long
宛先フォルダ.フォルダアイテム.機密性	string
宛先フォルダーのフォルダーアイテムのクライアントリクエスト ID	string
DestFolder.FolderItems.Teams	バリアント
フォルダ	array<struct>
Folders.Id	string
フォルダー.パス	string
フォルダー.フォルダーアイテム	array<struct>
フォルダー。フォルダーアイテム。ID	string
Folders.FolderItems.ImmutableId	string
Folders.FolderItems.InternetMessageId	string
Folders.FolderItems.CreationTime	timestamp
フォルダ.FolderItems.Subject	string
Folders.FolderItems.SizeInBytes	long
Folders.FolderItems.Sensitivity	string
フォルダ.フォルダアイテム.クライアント要求ID	string
Folders.FolderItems.Teams	バリアント
AffectedItems	array<struct>
AffectedItems.Id	string
AffectedItems.Subject	string
影響を受けるアイテムの親フォルダー	struct
AffectedItems.ParentFolder.Id	string
AffectedItems.ParentFolder.Path	string
AffectedItems.ParentFolder.FolderItems	array<struct>
影響を受けるアイテム.親フォルダー.フォルダーアイテム.Id	string
AffectedItems.ParentFolder.FolderItems.ImmutableId	string
AffectedItems.ParentFolder.FolderItems.InternetMessageId	string
AffectedItems.ParentFolder.FolderItems.CreationTime	timestamp
影響を受けたアイテム.親フォルダー.フォルダーアイテム.件名	string
AffectedItems.ParentFolder.FolderItems.SizeInBytes	long
AffectedItems.ParentFolder.FolderItems.Sensitivity	string
AffectedItems.ParentFolder.FolderItems.ClientRequestId	string
AffectedItems.ParentFolder.FolderItems.Teams	バリアント
AffectedItems.Attachments	string
項目	struct
Item.Id	string
件名	string
Item.ParentFolder	struct
Item.ParentFolder.Id	string
Item.ParentFolder.Path	string
アイテム.親フォルダー.フォルダーアイテム	array<struct>
Item.ParentFolder.FolderItems.Id	string
アイテム.親フォルダ.フォルダアイテム.不変ID	string
アイテム.親フォルダ.フォルダアイテム.インターネットメッセージID	string
Item.ParentFolder.FolderItems.CreationTime	timestamp
Item.ParentFolder.FolderItems.Subject	string
Item.ParentFolder.FolderItems.SizeInBytes	long
Item.ParentFolder.FolderItems.Sensitivity	string
Item.ParentFolder.FolderItems.ClientRequestId	string
Item.ParentFolder.FolderItems.Teams	バリアント
アイテム.添付ファイル	string
SendAsUserSmtp	string
ユーザーメールボックスGUIDとして送信	string
ユーザーSMTPの代理として送信	string
代理送信ユーザーメールボックスのGUID	string

audit_sharepoint

ファイルアクセス、リスト操作、共有アクティビティなど、SharePoint監査イベントをキャプチャします。スキーマの情報については、 Microsoft 365 APIドキュメントを参照してください。

スキーマ

フィールド	データ型
lw_id	string
Time	timestamp
ID	string
レコードタイプ	整数
作成時間	timestamp
オペレーション	string
OrganizationId	string
ユーザーの種類	整数
UserKey	string
Workload	string
バージョン	整数
結果ステータス	string
ObjectId	string
userId	string
クライアントIP	string
スコープ	string
AppAccessContext	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.ClientAppName	string
AppAccessContext.CorrelationId	string
サイト	string
アイテムタイプ	string
EventSource	string
SourceName	string
ユーザーエージェント	string
MachineDomainInfo	string
MachineId	string
リスト項目の固有ID	string
リストID	string
ApplicationId	string
アプリ表示名	string
IsWorkflow	boolean
SiteUrl	string
ソース相対 URL	string
ソースファイル名	string
ソースファイルの拡張子	string
宛先相対Url	string
宛先ファイル名	string
DestinationFileExtension	string
UserSharedWith	string
共有タイプ	string
ソースラベル	string
DestinationLabel	string
SensitivityLabelOwnerEmail	string
SensitivityLabelId	string
リストタイトル	string
リスト名	string
ListUrl	string
ListBaseType	string
ListBaseTemplateType	string
IsHiddenList	boolean
IsDocLib	boolean
TargetUserOrGroupName	string
TargetUserOrGroupType	string
UniqueSharingId	string
カスタムイベント	string
EventData	string
ModifiedProperties	array<map<文字列, variant>>

フィールド	データ型
lw_id	string
Time	timestamp
ID	string
レコードタイプ	整数
作成時間	timestamp
オペレーション	string
OrganizationId	string
ユーザーの種類	整数
UserKey	string
Workload	string
バージョン	整数
結果ステータス	string
ObjectId	string
userId	string
クライアントIP	string
スコープ	string
AppAccessContext	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.ClientAppName	string
AppAccessContext.CorrelationId	string
サイト	string
アイテムタイプ	string
EventSource	string
SourceName	string
ユーザーエージェント	string
MachineDomainInfo	string
MachineId	string
リスト項目の固有ID	string
リストID	string
ApplicationId	string
アプリ表示名	string
IsWorkflow	boolean
SiteUrl	string
ソース相対 URL	string
ソースファイル名	string
ソースファイルの拡張子	string
宛先相対Url	string
宛先ファイル名	string
DestinationFileExtension	string
UserSharedWith	string
共有タイプ	string
ソースラベル	string
DestinationLabel	string
SensitivityLabelOwnerEmail	string
SensitivityLabelId	string
リストタイトル	string
リスト名	string
ListUrl	string
ListBaseType	string
ListBaseTemplateType	string
IsHiddenList	boolean
IsDocLib	boolean
TargetUserOrGroupName	string
TargetUserOrGroupType	string
UniqueSharingId	string
カスタムイベント	string
EventData	string
ModifiedProperties	array<map<文字列, variant>>

audit_general

他のワークロード固有のスキーマでカバーされていない様々なM365監査イベントをキャプチャし、柔軟なバリアントペイロードをサポートします。スキーマの情報については、 Microsoft 365 Management APIのドキュメントを参照してください。

スキーマ

フィールド	データ型
lw_id	string
Time	timestamp
ID	string
レコードタイプ	整数
作成時間	timestamp
オペレーション	string
OrganizationId	string
ユーザーの種類	整数
UserKey	string
Workload	string
バージョン	整数
結果ステータス	string
ObjectId	string
userId	string
クライアントIP	string
スコープ	string
AppAccessContext	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.ClientAppName	string
AppAccessContext.CorrelationId	string
ペイロード	バリアント

フィールド	データ型
lw_id	string
Time	timestamp
ID	string
レコードタイプ	整数
作成時間	timestamp
オペレーション	string
OrganizationId	string
ユーザーの種類	整数
UserKey	string
Workload	string
バージョン	整数
結果ステータス	string
ObjectId	string
userId	string
クライアントIP	string
スコープ	string
AppAccessContext	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.ClientAppName	string
AppAccessContext.CorrelationId	string
ペイロード	バリアント

dlp_all

Exchange、SharePoint、およびEndpointのワークロード全体にわたるデータ損失防止（DLP）ポリシーの一致イベントをキャプチャします。スキーマの情報については、Microsoft 365 Management APIのドキュメントを参照してください。

スキーマ

フィールド	データ型
lw_id	string
Time	timestamp
ID	string
レコードタイプ	整数
作成時間	timestamp
オペレーション	string
OrganizationId	string
ユーザーの種類	整数
UserKey	string
Workload	string
バージョン	整数
結果ステータス	string
ObjectId	string
userId	string
クライアントIP	string
スコープ	string
AppAccessContext	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.ClientAppName	string
AppAccessContext.CorrelationId	string
SharePointMetaData	struct
SharePointMetaData.From	string
SharePointメタデータのアイテム作成時刻	timestamp
SharePointMetaData.SiteCollectionGuid	string
SharePointMetaData.SiteCollectionUrl	string
SharePointMetaData.FileName	string
SharePointMetaData.FileOwner	string
SharePointMetaData.FilePathUrl	string
SharePointMetaData.DocumentLastModifier	string
SharePointMetaData.DocumentSharer	string
SharePointメタデータのユニークID	string
SharePointメタデータ。最終更新時刻	timestamp
SharePointMetaData.IsViewableByExternalUsers	boolean
ExchangeMetaData	struct
ExchangeMetaData.MessageID	string
Exchangeメタデータ.送信者	string
ExchangeMetaData.To	array<string>
ExchangeMetaData.CC	array<string>
ExchangeMetaData.BCC	array<string>
ExchangeMetaData.Subject	string
Exchangeメタデータ.送信済み	timestamp
ExchangeMetaData.RecipientCount	整数
EndPointMetaData	struct
EndPointMetaData.SensitiveInformation	array<struct>
EndPointMetaData.SensitiveInformation.Confidence	整数
EndPointMetaData.SensitiveInformation.Count	整数
EndPointMetaData.SensitiveInformation.Location	string
エンドポイントメタデータの機密情報。機密タイプ	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections	struct
エンドポイントメタデータ.機密情報.機密情報の検出.検出された値	array<struct>
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Name	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Value	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.ResultsTruncated	boolean
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes	array<struct>
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Confidence	整数
エンドポイントメタデータ.機密情報.機密情報詳細分類属性.カウント	整数
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.IsMatch	boolean
EndPointMetaData.SensitiveInformation.SensitiveInformationTypeName	string
EndPointMetaData.SensitiveInformation.UniqueCount	整数
EndPointMetaData.EnforcementMode	string
EndPointMetaData.FileExtension	string
EndPointMetaData.FileType	string
EndPointMetaData.DeviceName	string
例外情報	string
PolicyDetails	array<struct>
PolicyDetails.PolicyId	string
PolicyDetails.PolicyName	string
PolicyDetails.Rules	array<struct>
ポリシー詳細.ルール.ルールId	string
PolicyDetails.Rules.RuleName	string
ポリシー詳細.ルール.アクション	array<string>
PolicyDetails.Rules.OverriddenActions	array<string>
ポリシー詳細.ルール.重大度	string
PolicyDetails.Rules.RuleMode	string
PolicyDetails.Rules.ConditionsMatched	struct
ポリシーの詳細.ルール.条件の一致.機密情報	array<struct>
ポリシー詳細.ルール.条件一致.機密情報.信頼度	整数
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Count	整数
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Location	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveType	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections	struct
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues	array<struct>
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Name	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Value	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.ResultsTruncated	boolean
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes	array<struct>
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Confidence	整数
ポリシー詳細.ルール.一致した条件.機密情報.機密情報の詳細分類属性.数	整数
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.IsMatch	boolean
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationTypeName	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.UniqueCount	整数
ポリシー詳細.ルール.条件一致.ドキュメントプロパティ	array<struct>
PolicyDetails.Rules.ConditionsMatched.DocumentProperties.Name	string
PolicyDetails.Rules.ConditionsMatched.DocumentProperties.Value	string
他の条件	array<struct>
PolicyDetails.Rules.ConditionsMatched.OtherConditions.Name	string
PolicyDetails.Rules.ConditionsMatched.OtherConditions.Value	string
機密情報検出が含まれています	boolean

フィールド	データ型
lw_id	string
Time	timestamp
ID	string
レコードタイプ	整数
作成時間	timestamp
オペレーション	string
OrganizationId	string
ユーザーの種類	整数
UserKey	string
Workload	string
バージョン	整数
結果ステータス	string
ObjectId	string
userId	string
クライアントIP	string
スコープ	string
AppAccessContext	struct
AppAccessContext.AADSessionId	string
AppAccessContext.APIId	string
AppAccessContext.ClientAppId	string
AppAccessContext.ClientAppName	string
AppAccessContext.CorrelationId	string
SharePointMetaData	struct
SharePointMetaData.From	string
SharePointメタデータのアイテム作成時刻	timestamp
SharePointMetaData.SiteCollectionGuid	string
SharePointMetaData.SiteCollectionUrl	string
SharePointMetaData.FileName	string
SharePointMetaData.FileOwner	string
SharePointMetaData.FilePathUrl	string
SharePointMetaData.DocumentLastModifier	string
SharePointMetaData.DocumentSharer	string
SharePointメタデータのユニークID	string
SharePointメタデータ。最終更新時刻	timestamp
SharePointMetaData.IsViewableByExternalUsers	boolean
ExchangeMetaData	struct
ExchangeMetaData.MessageID	string
Exchangeメタデータ.送信者	string
ExchangeMetaData.To	array<string>
ExchangeMetaData.CC	array<string>
ExchangeMetaData.BCC	array<string>
ExchangeMetaData.Subject	string
Exchangeメタデータ.送信済み	timestamp
ExchangeMetaData.RecipientCount	整数
EndPointMetaData	struct
EndPointMetaData.SensitiveInformation	array<struct>
EndPointMetaData.SensitiveInformation.Confidence	整数
EndPointMetaData.SensitiveInformation.Count	整数
EndPointMetaData.SensitiveInformation.Location	string
エンドポイントメタデータの機密情報。機密タイプ	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections	struct
エンドポイントメタデータ.機密情報.機密情報の検出.検出された値	array<struct>
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Name	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Value	string
EndPointMetaData.SensitiveInformation.SensitiveInformationDetections.ResultsTruncated	boolean
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes	array<struct>
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Confidence	整数
エンドポイントメタデータ.機密情報.機密情報詳細分類属性.カウント	整数
EndPointMetaData.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.IsMatch	boolean
EndPointMetaData.SensitiveInformation.SensitiveInformationTypeName	string
EndPointMetaData.SensitiveInformation.UniqueCount	整数
EndPointMetaData.EnforcementMode	string
EndPointMetaData.FileExtension	string
EndPointMetaData.FileType	string
EndPointMetaData.DeviceName	string
例外情報	string
PolicyDetails	array<struct>
PolicyDetails.PolicyId	string
PolicyDetails.PolicyName	string
PolicyDetails.Rules	array<struct>
ポリシー詳細.ルール.ルールId	string
PolicyDetails.Rules.RuleName	string
ポリシー詳細.ルール.アクション	array<string>
PolicyDetails.Rules.OverriddenActions	array<string>
ポリシー詳細.ルール.重大度	string
PolicyDetails.Rules.RuleMode	string
PolicyDetails.Rules.ConditionsMatched	struct
ポリシーの詳細.ルール.条件の一致.機密情報	array<struct>
ポリシー詳細.ルール.条件一致.機密情報.信頼度	整数
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Count	整数
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.Location	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveType	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections	struct
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues	array<struct>
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Name	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.DetectedValues.Value	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetections.ResultsTruncated	boolean
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes	array<struct>
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.Confidence	整数
ポリシー詳細.ルール.一致した条件.機密情報.機密情報の詳細分類属性.数	整数
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationDetailedClassificationAttributes.IsMatch	boolean
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.SensitiveInformationTypeName	string
PolicyDetails.Rules.ConditionsMatched.SensitiveInformation.UniqueCount	整数
ポリシー詳細.ルール.条件一致.ドキュメントプロパティ	array<struct>
PolicyDetails.Rules.ConditionsMatched.DocumentProperties.Name	string
PolicyDetails.Rules.ConditionsMatched.DocumentProperties.Value	string
他の条件	array<struct>
PolicyDetails.Rules.ConditionsMatched.OtherConditions.Name	string
PolicyDetails.Rules.ConditionsMatched.OtherConditions.Value	string
機密情報検出が含まれています	boolean

パーサーの観測対象

各組み込みパーサーは、以下にリストされているフィールドをlw_observablesに抽出します。

`microsoft365_audit_azure_active_directory`

可観測項目

フィールド	Observable
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`Actor[].ID`	`username`
`ActorIpAddress`	`ip`
`Target[].ID`	`username`

`microsoft365_audit_exchange`

可観測項目

フィールド	Observable
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`MailboxOwnerUPN`	`username`
`MailboxOwnerUPN`	`email`
`MailboxOwnerSid`	`actor_id`
`MailboxOwnerMasterAccountSid`	`actor_id`
`LogonUserSid`	`actor_id`
`ClientIPAddress`	`ip`
`ClientIPAddress`	`net_addr`
`ClientMachineName`	`hostname`
`DestMailboxOwnerUPN`	`username`
`DestMailboxOwnerUPN`	`email`
`DestMailboxOwnerSid`	`actor_id`
`DestMailboxOwnerMasterAccountSid`	`actor_id`
`SendAsUserSmtp`	`email`
`SendOnBehalfOfUserSmtp`	`email`

フィールド	Observable
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`MailboxOwnerUPN`	`username`
`MailboxOwnerUPN`	`email`
`MailboxOwnerSid`	`actor_id`
`MailboxOwnerMasterAccountSid`	`actor_id`
`LogonUserSid`	`actor_id`
`ClientIPAddress`	`ip`
`ClientIPAddress`	`net_addr`
`ClientMachineName`	`hostname`
`DestMailboxOwnerUPN`	`username`
`DestMailboxOwnerUPN`	`email`
`DestMailboxOwnerSid`	`actor_id`
`DestMailboxOwnerMasterAccountSid`	`actor_id`
`SendAsUserSmtp`	`email`
`SendOnBehalfOfUserSmtp`	`email`

`microsoft365_audit_sharepoint`

可観測項目

フィールド	Observable
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`SiteUrl`	`url`
`SourceRelativeUrl`	`url`
`DestinationRelativeUrl`	`url`
`UserSharedWith`	`username`
`SensitivityLabelOwnerEmail`	`email`
`ListUrl`	`url`
`TargetUserOrGroupName`	`email`

フィールド	Observable
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`SiteUrl`	`url`
`SourceRelativeUrl`	`url`
`DestinationRelativeUrl`	`url`
`UserSharedWith`	`username`
`SensitivityLabelOwnerEmail`	`email`
`ListUrl`	`url`
`TargetUserOrGroupName`	`email`

`microsoft365_audit_general`

可観測項目

フィールド	Observable
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`

Audit.Generalペイロードは、共通スキーマに列がないイベントキーを保持しているため、その形状はワークロードによって異なります。パーサーはpayloadフィールドをスキャンし、サブフィールド名に一致させることで、ip、domain、hostname、url、email、username、actor_id、およびtrace_idの値をlw_observablesに抽出します。

`microsoft365_dlp_all`

可観測項目

フィールド	Observable
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`SharePointMetaData.From`	`username`
`SharePointMetaData.From`	`email`
`SharePointMetaData.SiteCollectionUrl`	`url`
`SharePointMetaData.FileOwner`	`username`
`SharePointMetaData.FileOwner`	`email`
`SharePointMetaData.FilePathUrl`	`url`
`SharePointMetaData.DocumentLastModifier`	`username`
`SharePointMetaData.DocumentLastModifier`	`email`
`SharePointMetaData.DocumentSharer`	`username`
`SharePointMetaData.DocumentSharer`	`email`
`ExchangeMetaData.From`	`username`
`ExchangeMetaData.From`	`email`
`ExchangeMetaData.To[]`	`email`
`ExchangeMetaData.CC[]`	`email`
`ExchangeMetaData.BCC[]`	`email`
`EndPointMetaData.DeviceName`	`hostname`

フィールド	Observable
`UserKey`	`username`
`UserId`	`username`
`ClientIP`	`ip`
`ClientIP`	`net_addr`
`AppAccessContext.CorrelationId`	`trace_id`
`SharePointMetaData.From`	`username`
`SharePointMetaData.From`	`email`
`SharePointMetaData.SiteCollectionUrl`	`url`
`SharePointMetaData.FileOwner`	`username`
`SharePointMetaData.FileOwner`	`email`
`SharePointMetaData.FilePathUrl`	`url`
`SharePointMetaData.DocumentLastModifier`	`username`
`SharePointMetaData.DocumentLastModifier`	`email`
`SharePointMetaData.DocumentSharer`	`username`
`SharePointMetaData.DocumentSharer`	`email`
`ExchangeMetaData.From`	`username`
`ExchangeMetaData.From`	`email`
`ExchangeMetaData.To[]`	`email`
`ExchangeMetaData.CC[]`	`email`
`ExchangeMetaData.BCC[]`	`email`
`EndPointMetaData.DeviceName`	`hostname`

よくある質問

UC接続を行う際に使用するサブスクリプションプランが見つかりません

サブスクリプションプランが使用できない場合は、https://tenantidlookup.com/などのテナントID検索Webサイトを使用して、テナントIDを入力してください。 テナントリージョンサブスコープ フィールドを確認します。空の場合は、エンタープライズプランです。それ以外の場合は、プランが表示されます。

トラブルシューティング

最初の同期で取り込まれたレコードが表示されません

Microsoft 365管理APIのドキュメントによると、サブスクリプションの作成後、最初のコンテンツBLOBが利用可能になるまで最大12時間かかる場合があります。そのため、サブスクリプションが以前に有効になっていなかった場合、監査ログデータを取り込みに使用できるようになるまでに最大12時間の遅延が発生する可能性があります。

前提条件​

既知の制限事項​

取り込み用のMicrosoft 365を構成する​

アプリケーションを登録する​

クライアントシークレットの作成​

APIアクセス許可の設定​

アプリケーションIDのコピー​

次のステップ​

コネクタおよびLakewatchスキーマ​

Lakewatch管理列​

未処理コネクタテーブルスキーマ​

audit_azure_active_directory​

audit_exchange​

audit_sharepoint​

audit_general​

dlp_all​

パーサーの観測対象​

microsoft365_audit_azure_active_directory​

microsoft365_audit_exchange​

microsoft365_audit_sharepoint​

microsoft365_audit_general​

microsoft365_dlp_all​

よくある質問​

トラブルシューティング​

前提条件

既知の制限事項

取り込み用のMicrosoft 365を構成する

アプリケーションを登録する

クライアントシークレットの作成

APIアクセス許可の設定

アプリケーションIDのコピー

次のステップ

コネクタおよびLakewatchスキーマ

Lakewatch管理列

未処理コネクタテーブルスキーマ

audit_azure_active_directory

audit_exchange

audit_sharepoint

audit_general

dlp_all

パーサーの観測対象

`microsoft365_audit_azure_active_directory`

`microsoft365_audit_exchange`

`microsoft365_audit_sharepoint`

`microsoft365_audit_general`

`microsoft365_dlp_all`

よくある質問

トラブルシューティング