注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
監査ログを検索して絞り込む
Audit Explorer では、結果の左側にあるサイドバーのフィルターで検索条件を設定します。検索は時間範囲とフィルターを組み合わせたもので、各フィルターはサイドバーにカードとして表示されます。検索を実行した後は、監査ログの結果を確認できます。
すべてのスクリーンショットでは架空のデータを使用しています。
サイドバー
各検索タブには独自のサイドバーがあり、上から下へ次の内容が表示されます。
- 選択した監査テーブル、更新、テーブル内の最新ログの経過時間を表示するカード。データの鮮度を確認する方法について詳しくはこちら。
- 時間カード。時間範囲の設定に使用します。
- フィルターカード。新しい検索タブには、空のユーザーカードとイベントの種類カードが表示されます。
- 新しいフィルターを追加とフィルターをリセット。フィルターをリセットは、すべてのフィルターを外し、時間範囲を過去7日に戻して、空のユーザーカードとイベントの種類カードを復元します。
結果の表示領域を広げるには、サイドバーの上部にある概要を折りたたむを選択します。折りたたまれたサイドバーには、サイドバーを展開するボタン、フィルターを表示するボタン、検索を更新するボタンが表示されます。
Audit Explorer は、実行したすべての検索を dataSearch カテゴリーの監査ログとして記録します。検索のログ記録の仕組みについて詳しくはこちら。
フィルターを追加する
フィルターには、フィールド、演算子、およびほとんどの演算子で1個以上の値を指定します。フィルターを追加するには、次のステップに沿って進めます。
- サイドバーで新しいフィルターを追加を選択するか、サイドバーとそのフィルターセクションを展開した状態で
Cmd+K（macOS）またはCtrl+K（Windows）を押します。メニューのフィルターの下に、利用可能なフィールドが一覧表示されます。 - フィールドを選択します。一覧にないフィールドを探すには、名前の一部を入力するか、すべて表示を選択します。ほかのカードの下に新しいカードが表示され、編集できる状態になります。新規タブのユーザーやイベントの種類のように、そのフィールドのカードがすでにある場合は、代わりにそのカードが編集用に開きます。
- 必要に応じて、別の演算子を選択します。新しいカードの初期演算子はいずれかに等しいで、カテゴリーやリソースなどのリストフィールドではは次のいずれかを含む: です。ブールフィールドでは次に等しい:、マップ、
struct、バイナリのフィールドでは空であるが初期演算子になります。 - 候補から1個以上の値を追加します。テキストフィールドでは、任意の値を入力し、候補リストの末尾でその値を選択することもできます。
- 適用を選択します。
フィールドのデータ型別の演算子
| フィールドのデータ型 | 演算子 |
|---|---|
| テキスト | 次に等しい:、次と等しくない:、いずれかに等しい、いずれにも等しくない、を含む、含まない、いずれかを含む、いずれも含まない |
| 数値、日付、タイムスタンプ | 次に等しい:、次と等しくない:、いずれかに等しい、いずれにも等しくない |
| ブール値 | 次に等しい:、次と等しくない: |
| カテゴリーやリソースなどのリスト | 次を含む：、が次を含まない、は次のいずれかを含む:、は次のすべてを含む:、いずれも含まない |
マップ、struct、バイナリ | 列に空の値を格納できる場合に限り、空である、空でない |
空であると空でないの演算子は、空の値を格納できるすべてのフィールドでも利用可能です。
カード内では、下記のいずれかを条件とする演算子は、いずれかの値が一致すればログに一致します。いずれにも該当しないを条件とする演算子は、どの値も一致しない場合にのみ一致します。は次のすべてを含む: 演算子は、リストにすべての値が含まれているログに一致します。編集モードでは、次に等しい: などの値を1個だけ指定する演算子で別の値を選択すると、現在の値が置き換えられます。編集中でないカードでは、値を1個指定すると、演算子が次に等しい: または次を含む： になります。別の値を選択すると、その値が追加され、演算子がいずれかに等しいなどの複数の値を指定する形式に変わります。
を含むの演算子は、値の中のどの位置にあるテキストにも一致し、大文字と小文字を区別します。ワイルドカードには対応していないため、% や _ などの文字はその文字自体に一致します。
値の候補
候補はフィールドによって異なります。
- ユーザー： 名前の一部を入力してユーザーディレクトリを検索します。最大20件の一致が表示されるため、探しているユーザーが表示されない場合は、名前をさらに入力します。名前で見つからないユーザーで絞り込むには、ログテーブルのユーザー列でそのユーザーを右クリックし、これのみ含めるを選択します。
- 組織： 候補とフィルターの値には、名前ではなく組織IDが表示されます。
- リソース： 名前を入力して Foundry リソースを検索するか、完全なリソース識別子 (RID) を貼り付けます。最大20件の一致が表示されます。
- カテゴリー：****データエクスポートなどの表示ラベル、または
dataExportなどのカテゴリー名で検索します。監査ログのカテゴリーをご覧ください。 - その他すべてのフィールド： 選択した時間範囲で最も頻繁に出現する値の中から、最大1,000件を候補として選択できます。このリストはほかのフィルターでは絞り込まれず、入力してもリストにない値は見つかりません。値が見つからない場合は、時間範囲を狭めます。
大きなテーブルで値を選択するときは、全期間を避けてください。全期間を選択すると、Audit Explorer は候補を作成するためにテーブル内のすべてのログを読み込みます。検索範囲を狭く保つ方法について詳しくはこちら。
フィルターを編集または外す
カードは次の2つの方法で変更できます。
- クイック変更： 編集中でないカードでは、値を選択する、値を外す、または × アイコンですべての値をクリアすると、変更がすぐに適用されます。
- 編集モード： 演算子を変更するか、複数の変更を一度に行うには、カードの鉛筆アイコンを選択します。変更は、適用を選択したときにのみ反映されます。変更を破棄するには、キャンセルを選択するか、カードの値フィールドで
Escを押します。
フィルターを外すには、そのカードのゴミ箱アイコンを選択します。カードを並べ替えるには、カードを編集モードで開き、ハンドルをドラッグします。タブを切り替えたり、サイドバーまたはそのフィルターセクションを折りたたんだり、フィルターをリセットを選択したりすると、Audit Explorer は未適用の変更を破棄します。
Audit Explorer がフィルターを適用できない場合は、「このフィルターには値が必要です。」などの理由がカードに赤色で表示されます。フィルターを修正するか外すまで、検索結果は返されません。保存済みタブや最近の検索に含まれるフィルターなど、存在しなくなった列のフィルターは、外すことしかできないカードとして表示されます。
フィルターを組み合わせる
ログは、すべてのフィルターと時間範囲に一致する必要があります。複数のユーザーなど、1個のフィールドのいずれかの値に一致させるには、同じフィルターカードに値を追加します。異なるフィールドのフィルターを OR で組み合わせることはできません。たとえば、ユーザーが特定の人物であるか、またはカテゴリーに dataExport が含まれるログを検索することはできません。異なるフィールドの代替条件を確認するには、それぞれ別の検索タブを使用します。
イベントの種類で絞り込む
イベントの種類カードでは、各ログのイベント名で絞り込みます。カードのイベントの種類を追加… を選択すると、イベントの種類を選択ダイアログが開き、次の2つの方法でイベントの種類が一覧表示されます。
- 推奨： ログイン、データセットを CSV としてエクスポート、アクションを適用など、一般的な監督上の確認事項に対応するように厳選されたイベントの種類です。ダイアログでは、これらがオントロジー、アプリケーション、データセット、アクセスと管理に分類されます。すべて表示するには、すべての推奨項目を選択します。推奨されるイベントの種類の中には、複数のイベント名を対象とするものもあります。
- すべてのイベントの種類： 選択した期間で最も頻度の高いイベント名を最大1,000件表示します。
説明が利用可能な場合は、各イベントの種類に説明が表示されます。情報アイコンにカーソルを合わせると、その種類が対象とするイベント名が表示されます。一覧はタイトル、説明、またはイベント名で検索できます。グループを切り替えたり検索したりしても、Audit Explorer は選択を保持します。選択を確定するには、選択済み（N） を選択します。N は選択したイベント名の数です。カードが編集モードの場合は、カードの適用も選択します。最初からやり直すには、選択をクリアを選択します。
オントロジーリソースで絞り込む
監査テーブルにエンティティ列がある場合、監査ログが参照するオントロジーリソースで絞り込めます。オントロジーリソースで絞り込むには、次のステップに沿って進めます。
- 新しいフィルターを追加を選択し、オブジェクトタイプ、オブジェクト、アクション、または関数を選択します。
- 新しいカードで、オブジェクトタイプを追加…、オブジェクトを追加…、アクションを追加…、または関数を追加… を選択します。ダイアログが開きます。
- リソースを選択し、適用（N） または選択を確定を選択します。オブジェクトを選択ダイアログでは、オブジェクトを選択する前にオブジェクトタイプを選択する必要があります。オブジェクトタイプを変更しても、Audit Explorer はそれまでの選択を保持します。
- カードの適用を選択します。
リソースの種類ごとに個別のカードが作成されます。別々のカードの条件はすべて一致する必要があるため、オブジェクトタイプカードとアクションカードを使用すると、両方を参照するログのみが返されます。1枚のカード内で複数の項目を選択した場合は、そのいずれかを参照するログが一致します。関数フィルターは、選択した各関数のすべてのバージョンに一致します。
データセットやフォルダーなど、ほかのリソースで絞り込むには、リソースフィルターを追加し、リソース名を入力するか RID を貼り付けます。
フリーテキストで検索する
フリーテキスト検索は、各ログに保存されたイベント名のみに一致します。大文字と小文字を区別し、名前のどの位置にあるテキストにも一致します。イベントの種類列には読みやすいラベルが表示されますが、保存された名前は ACTIONS_SERVICE_APPLY_ACTION_V2 のように、アンダースコアを含む大文字の形式です。apply action を検索してもこのイベントには一致しませんが、APPLY_ACTION は一致します。保存された名前を確認するには、イベントの種類列のヘッダーメニューで生の値を表示を選択するか、代わりにイベントの種類フィルターを使用します。
フリーテキストで検索するには、次のステップに沿って進めます。
- 新しいフィルターを追加を選択し、テキストを入力して、フリーテキスト検索：「入力したテキスト」 を選択します。タブにフリーテキスト検索カードがない場合、Audit Explorer はカードを追加し、すぐに検索を実行します。カードがすでにある場合は、Audit Explorer が既存のカードにテキストを追加し、編集モードにします。
- 必要に応じて、語句を追加します。カードに各語句を入力し、
Enterを押します。 - カードが編集モードの場合は、適用を選択するか、
Cmd+Enter(macOS) またはCtrl+Enter(Windows) を押します。
カードの演算子によって、語句の組み合わせ方が決まります。は次のいずれかを含む:、は次のすべてを含む:、または次のいずれも含まないです。
入力したテキストが service などのフィルター名と完全に一致する場合、メニューにはフリーテキスト検索ではなく、そのフィルターが表示されます。その場合は、既存のフリーテキスト検索カードにテキストを入力します。
期間を設定する
サイドバーのフィルターの下に最初に表示される時刻カードで、検索の期間を設定します。新しい検索タブは過去7日で開始します。新しい検索にピボットまたはタブを複製するで作成したタブは、現在のタブの期間で開始します。セッションエクスプローラーのタブから開いたタブは、そのセッションの期間で開始します。期間を変更するには、時刻カードの期間ボタンを選択し、次のいずれかを行います。
- クイック範囲で期間を選択します。期間はすぐに適用されます。
- 期間で開始と終了を入力し、期間を適用を選択します。
カスタム期間には、ブラウザーのローカルタイムゾーンが使用されます。終了時刻までのすべてのログを検索するには開始項目をクリアし、開始時刻以降のすべてのログを検索するには終了項目をクリアします。両方の項目をクリアすると全期間を検索します。この場合、テーブル全体を読み取るため、時間がかかることがあります。
検索を再実行するには、サイドバー上部の更新を選択します。Audit Explorer は、ほかの検索と同様に、更新のたびにログを記録します。クイック範囲を使用している場合、より新しいログがテーブルに到着するまで更新は利用できず、到着すると青色になります。更新すると、クイック範囲も現在時刻に合わせて先に進みます。
結果から検索を絞り込む
ログテーブルの絞り込み可能な列、ログ詳細パネル、またはイベントの種類グラフで値を右クリックし、選択肢を選びます。
- この値のみを含める： そのフィールドのフィルターを、この値のフィルターに置き換えます。エンティティの場合は、リソースフィルターとオントロジーリソースフィルターも置き換えます。
- 除外： この値を除外するフィルターを追加するか、そのフィールドの既存の除外条件にこの値を追加します。
- 新しい検索にピボット： このフィルターと現在の期間のみを使用して、新しい検索タブを開きます。
この値のみを含めると除外はすぐに適用され、サイドバーのカードが追加または更新されます。新しい検索にピボットでは、現在のタブは変更されません。期間を絞り込むには、時刻列の値を右クリックし、ズーム先で選択肢を選びます。ログの頻度グラフでは、棒を右クリックしてこの期間にズームを選択します。セル操作の詳しくはこちらをご覧ください。
検索タブを使用する
検索タブを使用すると、同じ監査テーブルで独立した検索を複数開いておけます。各タブには、個別のフィルター、期間、並べ替え設定があります。
- 新規タブを開く： タブの横にある新規タブ（+ アイコン）を選択し、新規検索を選択します。セッションエクスプローラーを選択して、セッションエクスプローラーのタブを開くこともできます。
- タブの名前を変更、複製、またはアーカイブする： タブの山形アイコンを選択して、タブのオプションを開きます。タブを複製するでは、同じフィルター、期間、並べ替え設定、カスタム名を持つ新しいタブが開きます。タブをアーカイブでは、確認なしでタブが閉じられ、そのフィルターと期間が最近の検索に追加されます。
最近の検索を再利用する
Audit Explorer は、フィルターまたは期間の変更を適用するたびに、およびタブをアーカイブしたときに、最近の検索を保存します。監査テーブルごとに、直近の8件の検索を保持します。再利用するには、新しいフィルターを追加を選択し、最近の検索を開いて項目を選択します。Audit Explorer は、現在のタブのフィルターと期間を、最近の検索のフィルターと期間に置き換えます。タブの名前と並べ替え設定は保持されます。