サインイン イベントを一覧表示
対象ユーザーのサインイン イベントを取得して分析
説明
Microsoft Graph の beta エンドポイントから対象ユーザーの Entra ID サインイン ログを取得して分析します。各サインインのアプリケーション、タイムスタンプ、状態（該当する場合はエラー コードと失敗理由）、クライアント アプリ、デバイス、場所情報が表示され、アプリケーションごとの失敗サマリーにより、サポート チームはどのアプリケーションで問題が発生しているかを特定し、根本原因を診断できます。失敗したサインインのビューでは IP アドレスが表示され、エクスポートされたレポート ファイルには Conditional Access の詳細が含まれます。この runbook は、必要に応じて完全なデータ セットを CSV および XLSX ファイルにエクスポートし、メールまたは期限付きダウンロード リンク、あるいはその両方で配信できます。
必要なライセンスとアクセス許可
Microsoft Graph API 経由でサインイン ログを読み取るには、 Entra ID P1 または P2 ライセンス がテナントに必要です。これがないテナントでは、すべての Graph アクセス許可が付与されていても、サインイン ログ クエリで 403 エラーが返されます。P1/P2 がある場合、サインイン ログは最大 30 日間保持されます。無料枠の 7 日間保持は Entra ポータルに適用されるもので、この runbook には適用されません。
サインイン ログ クエリが 403 を返す場合でも、 AuditLog.Read.All が付与され、テナントにライセンスがあるにもかかわらず、一部のテナントではさらに Directory.Read.All が Entra レポート API で必要になります。これを付与することが既知の回避策です。既定では宣言されていません。これはすべてのディレクトリ オブジェクトへの読み取りアクセスを付与するためです。
レポート配信
レポート ファイルは、 レポート配信 オプション（メールおよび/またはダウンロード リンク）によって配信方法が選択された場合にのみ生成されます。 レポートなし が選択されている場合、サインイン分析は RealmJoin ポータルの出力で直接読み取られます。メール配信とダウンロード リンク生成は独立しており、組み合わせることができます。
ダウンロード リンクの場合、レポート ファイルは RJReport.StorageAccount.* テナント設定で構成された Azure のストレージ アカウントにアップロードされ、期限付きの SAS ダウンロード リンクが返されます。ストレージへのアップロードは Automation アカウントのマネージド ID で認証され、この ID には Storage Account Contributor RBAC ロールが必要です（これは Azure RBAC の割り当てであり、Graph のアプリケーション権限ではありません）。
メール送信に関するセットアップ
メール レポートの送信は任意であり、 メール レポート 配信オプションが選択されます。受信者（EmailTo）が必要です。送信者アドレスは次から取得されます。 RJReport.EmailSender テナント設定から取得されます。
この runbook は Microsoft Graph API を使用してメールを送信します。Graph API 経由でメールを送信するには、runbook のカスタマイズで既存のメールアドレスを構成する必要があります。
以下を参照してください RealmJoin レポート設定ドキュメント 利用可能なすべての設定の詳細について。
メールのブランド設定
レポートメールは、任意の RJReport.Branding.* テナント設定に従います:
ヘッダーおよびフッター画像 – 公開 HTTPS URL、PNG/JPEG/GIF、各最大 200 KB
フッターリンク – フッター画像のリンク先
アクセント色とテキスト色 – 6 桁の 16 進数値、例:
#0052cc
これらの設定が構成されていない場合、既定の RealmJoin のグラフィックと色が使用されます。ダウンロードまたは検証できない画像や無効な色の値が、レポートメールを妨げることはありません。代わりに対応する既定値が使用されます。
セットアップ手順と画像要件: メールのブランド設定.
結果の解釈
Entra では一部のサインイン中断をエラーとして扱います（たとえば 50140 "Keep me signed in"、50058、50076）。そのため、これらは失敗として表示され、アプリケーションごとの失敗率に含まれます。高い失敗率を本当の問題として扱う前に、失敗理由を確認してください。エラー コードは Entra ID のサインイン エラー コードです。以下で確認できます。 https://login.microsoftonline.com/error.
サインイン ログ データは通常約 15 分遅延しますが、一部のレコードでは最大 2 時間かかることがあります。ごく最近のサインインはまだ表示されない場合があります。すべてのタイムスタンプは UTC で表示されます。
場所
ユーザー → セキュリティ → サインイン イベントの一覧
完全な runbook 名
rjgit-user_security_list-signin-events
詳細
バージョン
1.0.0
必要なモジュール
RealmJoin.RunbookHelper (>= 0.8.9) Microsoft.Graph.Authentication (>= 2.39.0) Az.Accounts (>= 5.5.2)
スケジュール可能
いいえ
注記
一般的な使用例:
特定のユーザーに対してどのアプリケーションがサインイン失敗を発生させているのか、そしてその理由を（エラー コードごとにグループ化して）調査します。
ユーザーからアクセスの問題が報告された場合は、ApplicationName（部分一致）または FailedSignInsOnly で結果を絞り込みます。
イベント数が多すぎてポータルで読み取れない場合に、さらに分析するためにサインイン データを CSV/XLSX にエクスポートします。
動作:
サインイン イベントの種類フィルタリングと非対話型サインインの取得には beta 専用プロパティ（signInEventTypes、authenticationRequirement）が必要なため、サインイン ログ データは Microsoft Graph beta エンドポイントから取得されます。
非対話型サインインは対話型サインインを大幅に上回ります。コンソールの詳細テーブルは最新 50 件に制限されますが、エクスポートされたレポート ファイルには常に完全な結果セットが含まれます。
アクセス許可
アプリケーションのアクセス許可
種類: Microsoft Graph
AuditLog.Read.All
監査ログ/auditLogs/signIns (beta) から対象ユーザーの Entra ID サインイン イベントを読み取り、レポートを作成します
User.Read.All
対象ユーザーを解決して id、userPrincipalName、displayName を取得します
Mail.Send (オプション — 機能: メール レポート)
メール配信が選択されている場合、Send-RjReportEmail を使用して CSV/XLSX 添付付きのサインイン レポート メールを送信します
Organization.Read.All (オプション — 機能: メール レポート)
/organization を読み取り、テナント名をレポート メールのフッターに入れます
パラメーター
UserName
対象ユーザーのユーザー プリンシパル名。
必須
はい
既定値
種類
文字列
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
日数
サインイン ログを取得する日数（1～30 日）。既定は 7 日です。
必須
いいえ
既定値
7
種類
Int32
ポータル表示名
参照期間（日数）
SignInType
サインイン イベントを種類でフィルタリングします: 対話型のみ、非対話型のみ、または両方。
必須
いいえ
既定値
対話型のみ
種類
文字列
ポータル表示名
サインインの種類
FailedSignInsOnly
true に設定すると、失敗したサインイン試行のみが表示されます。false の場合、すべてのサインイン イベントが表示されます。
必須
いいえ
既定値
False
種類
ブール値
ポータル表示名
失敗したサインインのみ表示
ApplicationName
特定のアプリケーションのサインインのみを表示するための任意のフィルター（部分一致）。すべてのアプリケーションを含めるには空欄のままにします。
必須
いいえ
既定値
種類
文字列
ポータル表示名
アプリケーション名でフィルター（任意）
EmailFrom
送信者のメール アドレス。RJReport.EmailSender テナント設定から取得されます。これは runbook のカスタマイズで構成する必要があります。
必須
いいえ
既定値
種類
文字列
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
BrandingHeaderImageUrl
レポートメール用のカスタムヘッダー画像（PNG/JPEG/GIF、最大 200 KB）の任意の公開 HTTPS URL。RJReport.Branding.HeaderImageUrl テナント設定から取得されます。空の場合は既定の RealmJoin ヘッダー画像が使用されます。
必須
いいえ
既定値
種類
文字列
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
BrandingFooterImageUrl
レポートメール用のカスタムフッター画像（PNG/JPEG/GIF、最大 200 KB）の任意の公開 HTTPS URL。RJReport.Branding.FooterImageUrl テナント設定から取得されます。空の場合は既定の RealmJoin フッター画像が使用されます。
必須
いいえ
既定値
種類
文字列
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
BrandingFooterLink
フッター画像がリンクする任意の URL。RJReport.Branding.FooterLink テナント設定から取得されます。空の場合は既定のリンク（https://www.realmjoin.com）が使用されます。
必須
いいえ
既定値
種類
文字列
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
BrandingAccentColor
レポートメール テンプレート用の任意のアクセント色の上書き（6 桁の 16 進数、例: '#0052cc'）。RJReport.Branding.AccentColor テナント設定から取得されます。空または無効な場合は、既定の RealmJoin アクセント色が使用されます。
必須
いいえ
既定値
種類
文字列
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
BrandingTextColor
レポートメール テンプレート用の任意のテキスト色の上書き（6 桁の 16 進数）。RJReport.Branding.TextColor テナント設定から取得されます。空または無効な場合は、既定の RealmJoin テキスト色が使用されます。
必須
いいえ
既定値
種類
文字列
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
SendEmailReport
true に設定すると、サインイン レポートはメールで送信されます。false の場合、メールは送信されません。
必須
いいえ
既定値
False
種類
ブール値
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
EmailTo
レポートの受信者メール アドレス。1 つのアドレスでも、カンマ区切りの複数アドレスでもかまいません。メールは各受信者に個別に送信されます。
必須
いいえ
既定値
種類
文字列
ポータル表示名
受信者のメールアドレス
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
ReportFileFormat
レポート ファイル形式を選択します: CSV & XLSX（両方のファイル）、CSV のみ、または XLSX のみ。配信方法（メールまたはダウンロード リンク）が選択されている場合にのみ使用されます。
必須
いいえ
既定値
CSV と XLSX
種類
文字列
ポータル表示名
レポートファイル形式
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
ポータル オプション
CSV と XLSX
CSV のみ
XLSX のみ
CreateDownloadLink
true に設定すると、レポート ファイルは Azure Storage にアップロードされ、期限付きダウンロード リンクが生成されます。false の場合、アップロードは行われません。
必須
いいえ
既定値
False
種類
ブール値
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
ContainerName
アップロードに使用するストレージ コンテナー名。runbook ごとに構成されます（グローバルな RJReport 設定ではありません）。
必須
いいえ
既定値
user-signin-events
種類
文字列
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
ResourceGroupName
Storage Account を含むリソース グループ。RJReport のテナント設定から取得されます。
必須
いいえ
既定値
種類
文字列
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
StorageAccountName
アップロードに使用する Storage Account 名。RJReport のテナント設定から取得されます。
必須
いいえ
既定値
種類
文字列
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
LinkExpiryDays
生成されたダウンロード リンクの有効期限までの日数（1～3650 日）。RJReport のテナント設定から取得されます。既定は 6 日です。
必須
いいえ
既定値
6
種類
Int32
ポータルでは非表示
はい（runbook のカスタマイズで事前設定）
最終更新
役に立ちましたか？