Microsoft Entra IDの制約

No

制約

制約機能

ID

ログ

1

アクティブなロールのみ同期されます。

〇

-

2

Microsoft Entra ID のログ保持期間は30日です。それ以前のログは収集する事が出来ません。

-

〇

3

Microsoft Entra ID のログには、ログアウト情報が含まれません。
そのため、特権IDの利用点検レポート、および、アクセス履歴レポートでは、ログアウト日時は"ログアウト情報なし"と表示されます。

-

〇

4

iDoperationはMicrosoft Entra ID のターゲットをIPアドレスではなく、ドメインで識別します。
そのため、レポートのターゲットIPアドレスの項目は、ドメインが表示されます。

-

〇

5

Microsoft Entra ID の仕様により、ログは最大2時間取得する事が出来ません。
そのため、ログ収集時刻から2時間前までの情報は、レポートに反映されません。

-

〇

6

Microsoft Entra ID の仕様により、一度のアクセスで複数のアクセスログが出力される場合があります。
その場合は、レポートに複数回のアクセスとして出力されます。

-

〇

7

1度のアクセスで複数のアクセスログが出力される(No.6の制約)ため、複数のアクセスログのうちオートログイン実行後の最初のアクセスログのみオートログインと突合します。
それ以外のアクセスログについては、パスワード参照と同様に申請とアクセスログのみを突合し、レポートに出力します。

-

〇

8

Microsoft Entra ID の以下のアプリケーションについては、Microsoft Entra ID の内部動作で大量にログインを行います。そのままレポートを出力すると大量のアクセス情報がレポートに反映されるため、レポートの対象外としログを収集しません。

• Graph explorer
• Office365 Shell WCSS-Client

-

〇

9

Microsoft Entra ID の仕様により、下記の場合にログイン失敗のログは出力されません。
そのため、ログイン失敗履歴レポートにそのログイン失敗は表示されません。

• アカウント誤り（存在しないアカウントへのログイン）でのログイン失敗
• 複数のディレクトリへアクセス可能なアカウントでのログイン失敗

※複数のディレクトリにアクセス可能なアカウントは、ログイン先のディレクトリがAzureのログイン時に自動で決定されるため、申請したターゲットと異なるディレクトリにログインすることがあり、ログイン先のディレクトリにログイン失敗ログが出力される場合があります。

-

〇

10

複数のディレクトリにアクセス可能なアカウントは、ログイン先のディレクトリがAzureのログイン時に自動で決定されるため、オートログインでログインしたディレクトリと申請したターゲットのディレクトリが異なる場合があります。
その場合は、申請したターゲットにログインログが出力されないため特権IDの利用点検レポートで、アクセスログを突合できません。
また、ログイン後にユーザが手動にてディレクトリを切り替えることで、その切り替え先のディレクトリにログインログが出力されますが、オートログインした時刻とログインログの出力時刻の差が大きいとアクセスログが突合できない場合があります。

※ログイン先のディレクトリは、Azureの「ホーム＞ユーザー-サインイン」の設定画面にて、「規定のディレクトリの設定」として「最後にアクセスしたディレクトリにサインインする」か、特定のディレクトリを設定するかを選択します。（2019年10月時点）

-

〇

11

ログイン日時がオートログインした時刻と異なる（本表No10の制約）と、オートログインしてもオートログイン情報とアクセスログの突合が不正確であるため、アクセスログを収集している場合は、オートログイン情報と突合せず、パスワード参照時と同様に申請とアクセスログのみを突合し、レポートに出力します。
そのためアクセスした「アプリ」と「オートログイン実行日時」は、一律レポートに表示されません。

-

〇

12

Microsoft Entra ID のターゲット同期で大量のアカウントを同期する場合、タイムアウトして同期できない場合があります。
その場合は、一部のロールを持つアカウントに絞った部分同期となります。
部分同期の設定方法についてはターゲット登録時に「ターゲット接続情報」画面の「ターゲット同期設定」で同期対象とするアカウントの所属ロールのdisplayNameを指定します。
設定箇所については『各種管理をする』-『ターゲットを管理する』-『ターゲットの追加』の手順5を参照してください。

〇

-