Audit Explorer［ベータ版］

Audit Explorer は、Foundry の audit.3 監査ログを検索してレビューするためのデータガバナンスアプリケーションです。監査ログをユーザー、イベント、リソース、時間で絞り込み、時系列のアクティビティをグラフで確認できます。Audit Explorer は、セキュリティ調査、コンプライアンスレビュー、Foundry でのデータ利用の監督を支援します。

プライバシーに関するベストプラクティスは、明確に定められた監督またはコンプライアンスの目的に限って監査ログを検索し、その目的のためにアクセスが必要な人だけにアクセスを制限することです。監査ログには名前やメールアドレスなどの個人を特定できる情報が含まれる場合があるため、各検索の範囲は、答える必要のある問いに見合うものにしてください。Audit Explorer はすべての検索を記録し、レビュー担当者が監査データの利用方法について説明責任を果たせるようにします。目的の限定、アクセスガバナンス、説明責任に関するガイダンスについては、プライバシーと市民的自由の実践をご覧ください。Audit Explorer の利用はすべて、Palantir の利用規定 ↗に従う必要があります。

すべてのスクリーンショットは架空のデータを使用しています。

Audit Explorer の仕組み

Audit Explorer は監査テーブルからログを読み込みます。監査テーブルは、audit.3 の監査エクスポートが書き込みを行う Iceberg テーブルです。エクスポートを作成するには、組織の監査エクスポートを作成する権限が必要です。組織管理者ロールには、デフォルトでこの権限が付与されています。監査テーブルを作成する方法の詳しくはこちら。

Audit Explorer を使用する際は、次の点に注意してください。

• サポートされるテーブル： Audit Explorer で開けるのは、audit.3 スキーマを持つテーブルのみです。
• ご自身の権限： Audit Explorer はご自身の権限でクエリを実行し、追加のアクセス権を付与しません。テーブルの読み取り権限が必要であり、そのテーブルのマーキングの要件を満たす必要があります。テーブルの読み取り権限がない場合、Audit Explorer はスキーマが正しくないテーブルの場合と同じエラーを表示します。権限とスキーマのどちらがエラーの原因かを確認するには、エラーの詳細をご覧ください。
• 監査テーブル内のログのみ： Audit Explorer は監査テーブルに到達したログのみを表示するため、最近のアクティビティはまだ表示されない場合があります。最近の期間について結果が空であっても、アクティビティが発生しなかったとは限りません。データの鮮度を確認する方法の詳しくはこちら。

主な機能

• 検索と絞り込み： サイドバーで検索を組み立てます。時間、ユーザー、イベントの種類、カテゴリー、リソース、オントロジーリソースで絞り込み、フリーテキストの語句を追加します。推奨イベントを厳選したリストからイベントの種類を選択します。監査ログを検索して絞り込む方法の詳しくはこちら。
• グラフ： 条件に一致するイベントがいつ発生したか、どの種類のイベントが最も頻繁に発生しているかを確認します。グラフの詳しくはこちら。
• ログテーブル： 列の表示と非表示を切り替えられます。また、ほとんどの値は右クリックして、その値のみを含める、その値を除く、または新しい検索にピボットできます。時間の値を右クリックすると、そのログの前後に時間範囲を拡大できます。ログテーブルの詳しくはこちら。
• ログの詳細： 誰が、何を、いつ、どこから行ったかを確認します。オントロジーのアクションや関数の実行などのイベントについて、わかりやすい概要を確認できます。監査ログの詳細を表示する方法の詳しくはこちら。
• セッション： セッションを一覧表示してユーザーのアクティビティの流れを追い、Checkpoints の理由を確認します。ユーザーセッションを探索する方法の詳しくはこちら。

Audit Explorer にアクセスする

ワークスペースのナビゲーションサイドバーにあるアプリケーションポータルから Audit Explorer を開きます。名前で検索するか、セキュリティとガバナンス内で探します。

Audit Explorer が表示されない場合は、プラットフォーム管理者に連絡し、Control Panel でアプリケーションへのアクセスを変更してもらってください。プラットフォーム管理者は、アプリケーションへのアクセスを使用して、Audit Explorer を必要とするグループだけに利用を制限することもできます。アプリケーションへのアクセスで制御されるのは、Audit Explorer を開けるユーザーのみです。他のアプリケーションでは、監査テーブル自体の権限とマーキングによって、そのテーブルへのアクセスが制御されます。

Audit Explorer を初めて開く際は、利用ガイダンスを了承する必要があります。

検索の記録

Audit Explorer は検索を実行するたびに監査ログを書き込み、監査データの利用自体を監査可能にします。各ログは dataSearch カテゴリーを使用し、次の情報を記録します。

• 検索した監査テーブル
• フィルターとフリーテキストの語句
• 選択した時間範囲と、Audit Explorer が検索を記録した時点でその範囲が対象としていた時間ウィンドウ

ログには、SQL クエリ、結果、閲覧または開いたログ、検索が完了したかどうかは記録されません。各ログの結果は SUCCESS ですが、これは検索が記録されたことを意味し、結果が返されたことを意味するものではありません。

Audit Explorer は、次のいずれかを行うと検索を記録します。

• テーブルを開く
• タブを開く、またはタブに切り替える
• フィルターの変更を適用する
• フィルターをリセットする
• 最近の検索を適用する
• 時間範囲を変更する
• 更新を選択する

フィルターの編集中は、適用を選択するまで Audit Explorer は何も記録しません。例外は、新しいフィルターを追加メニューのフリーテキスト検索で、選択するとすぐに検索が実行され、記録されます。Audit Explorer は、スクロール、並べ替え、列の変更、フィルター値の候補の読み込み、イベントの種類を選択ダイアログの閲覧、フィルターの並べ替え、ログの詳細を開く操作を、個別の検索として記録しません。

レビュー担当者は、イベントの種類を選択ダイアログのアクセスと管理で Audit Explorer クエリを送信を選択すると、これらのログを確認できます。この操作では、イベント名 AUDIT_EXPLORER.QUERY_SUBMIT で絞り込みます。dataSearch カテゴリーのみで絞り込むと、他のアプリケーションでの検索にも一致します。1個の監査テーブルに対する検索をレビューするには、そのテーブルのリソース識別子 (RID) を指定したリソースフィルターも追加します。監査ログの検索の詳しくはこちら。

検索ログは、他の audit.3 ログと同様に、組織の監査エクスポートに到達します。エクスポートされたログでは、フィルターは、説明が auditExplorerQueryFilters である requestFields.dataSearchContext エントリー内の JSON 値として格納され、検索対象のテーブルは resultFields.dataSearchResults に格納されます。JSON 値の形式は変更される場合があります。

ベストプラクティスと制限事項

検索では Foundry のコンピューティングリソースを消費し、一部の結果は慎重に解釈する必要があります。

検索範囲を絞る

コンピューティングリソースの使用を抑えるには、次の方法に従います。

• 調べたい内容に答えられる最短の時間範囲を使用します。
• 大規模なテーブルでは、時間範囲を空にしないでください。空にすると、全期間と表示されます。Audit Explorer は、フィルター値の候補の範囲を時間範囲だけで絞り込み、ほかのフィルターは適用しません。全期間の場合、サービスなどのフィルターで値の候補を開くと、テーブル全体にわたってその列を読み込みます。イベントタイプの選択ダイアログですべてのイベントタイプを選択した場合も同様です。また、ログ頻度グラフには棒が表示されず、結果の件数にはそれまでに読み込まれた行だけが表示されます。
• 時間の新しい順というデフォルトの並べ替えを維持します。ほかの並べ替えでは、時間範囲内でフィルターに一致するすべての行を読み込みます。
• 作業が終わったら Audit Explorer を閉じます。検索タブが開いている間、Audit Explorer は60秒ごと、およびブラウザーのウィンドウに戻るたびに、テーブルの最新のログを確認します。検索していないときも、この確認を行います。

タイムゾーン

Audit Explorer にはタイムゾーンの設定がありません。時刻は次のように処理されます。

• ログテーブル、ログ詳細パネル、グラフ、および時間範囲コントロールでは、ブラウザーのローカルタイムゾーンで書式設定された時刻が、タイムゾーンの略称なしで表示されます。時刻の入力にもローカル時刻を使用します。時間列で生の値を表示を選択すると、協定世界時 (UTC) で保存された値が表示されます。
• ログ頻度の棒は、UTC の午前0時など、UTC の区切りから始まります。ブラウザーのタイムゾーンが UTC でない場合、棒のラベルには午前0時以外のローカル時刻や、暦上の前日または翌日が表示されることがあります。
• 時間セルのメニューにある Timestamp をコピーは、時刻を UTC でコピーします。例：2026-10-12T14:03:00.000Z。

件数には重複行が含まれる

Foundry への監査ログの配送によって重複行が作成されることがあり、件数にはそれらも含まれます。そのため、結果の件数、グラフ、およびセッションのイベント件数は、一意のイベント数よりもわずかに多くなることがあります。ログエントリーIDが同じ行は重複です。正確な件数を取得するには、logEntryId で重複排除します。

制限

次のステップ

• 監査テーブルを選択または作成するには、Audit Explorer を設定します。
• 監査ログ、監査ログのカテゴリー、および監査ログを監視する方法について、詳しくはこちらをご覧ください。