ユーザーセッションを探索する

Audit Explorer のセッションエクスプローラータブには、個々の監査ログではなくセッションが一覧表示されます。セッションは、audit.3 スキーマの sid フィールドに記録された同じセッションIDを持つ監査ログの集まりです。セッションエクスプローラータブを使うと、各セッションの開始時刻と終了時刻、含まれる監査ログの件数、どのユーザーのセッションかを確認できます。その後、セッションの監査ログを検索タブで開くことができます。

すべてのスクリーンショットは架空のデータを使用しています。

セッションエクスプローラータブを開く

1. Audit Explorer で監査テーブルを選択します。
2. タブバーで、新規タブ（+ アイコン）を選択します。
3. セッションエクスプローラーを選択します。

新しいタブには過去7日のセッションが表示され、タブ独自のフィルターが保持されます。検索タブと同様に、名前の変更、複製、アーカイブができます。セッションエクスプローラータブをアーカイブすると、その期間とユーザーフィルターが通常の検索として最近の検索に保存されるため、セッションエクスプローラータブとして復元することはできません。アーカイブでは、Checkpoint があるセッションのみの設定は保存されません。

セッションを絞り込む

セッション内のいずれかの監査ログが次のフィルターに一致すると、そのセッションが一覧に表示されます。

• 期間： 検索タブの期間コントロールと同様に機能します。
• ユーザーで絞り込み： 1人以上のユーザーを選択します。各セッションの開始時間、完了時間、イベントの値には、選択したユーザーの監査ログのみが反映されます。このフィルターは、監査テーブルに絞り込み可能な uid 列がある場合にのみ表示されます。
• Checkpoint があるセッションのみ： Checkpoint インタラクションにリンクされたセッションのみを表示します。このフィルターには、Checkpoint インタラクションデータが必要です。

Audit Explorer は、検索をログに記録するのと同じ方法で、期間またはユーザーフィルターを変更するたび、およびセッションを更新を選択するたびにログを記録します。ログには、その検索がセッションエクスプローラータブから実行されたことは示されません。また、Audit Explorer はCheckpoint があるセッションのみの変更をログに記録しません。

セッションテーブルを確認する

セッションパネルには、最大1,000件のセッションが新しい順に一覧表示されます。テーブルがこの上限に達すると、ヘッダーに「最新の1,000件のセッション」と表示されます。古いセッションを確認するには、期間を狭めるか、ユーザーで絞り込みます。

テーブルには次の列が含まれます。

• セッション： セッションIDです。
• 開始時間と完了時間： セッション内で条件に一致する最初と最後の監査ログの時刻です。ローカルタイムゾーンで表示されます。
• 実行時間：****開始時間から完了時間までの時間を、最も近い分に丸めた値です。
• イベント： 期間とユーザーフィルターに一致する、セッション内の監査ログの件数です。件数には重複行が含まれる場合があります。
• ユーザー： セッションに関連付けられたユーザーです。名前を選択すると、ユーザーのプロフィールが開きます。
• Checkpoint インタラクション： セッションにリンクされた Checkpoint インタラクション、または「なし」です。Checkpoints アプリケーションが利用可能な場合は、ID を選択してインタラクションを開くことができます。

テーブルを読む際は、次の点を考慮してください。

• セッションが期間の境界をまたぐ場合、テーブルには期間内の部分のみが含まれるため、セッションが短く表示され、イベント数も少なくなります。
• セッションに複数のユーザーや Checkpoint インタラクションが含まれていても、各行にはユーザーと Checkpoint インタラクションがそれぞれ1つだけ表示されます。すべてを確認するには、セッションのログを開きます。
• セッションIDのない監査ログは、セッションエクスプローラータブには表示されません。それらを確認するには、検索タブを使用します。

クエリを再実行するには、パネルヘッダーでセッションを更新（更新アイコン）を選択します。実行中のクエリを停止するには、キャンセルを選択します。テーブルには、セッションの代わりに次のいずれかのメッセージが表示される場合があります。

• 「セッションが見つかりません」：条件に一致する監査ログのいずれにもセッションIDがありません。
• 「読み込みが停止されました」：セッションが読み込まれる前にキャンセルを選択しました。再試行するには、セッションを更新を選択します。
• 「このテーブルではセッションを利用できません」：監査テーブルに、データ型が string の sid 列、time 列、またはその両方がありません。

クエリが失敗すると、テーブルにエラーメッセージが表示されます。

セッションの詳細を表示する

1. セッションテーブルでセッションの行を選択して、セッションパネルを開きます。ユーザー名または Checkpoint インタラクションID以外の、行内の任意の場所を選択します。
2. 概要の項目と、Checkpoint の理由があればそれらを確認します。
3. 個々の監査ログを確認するには、このセッションのログを表示を選択します。

Audit Explorer は、セッションの後にセッションIDが続く名前の新しい検索タブを開きます。そのサイドバーにはセッションIDフィルターがあり、期間はセッションの開始時間と完了時間に設定されます。ユーザーで絞り込んでいた場合、タブには同じセッション内のほかのユーザーの監査ログも含まれることがあり、その件数がイベントと異なる場合があります。期間にはセッション内の条件に一致した部分のみが含まれるため、セッション全体を確認するには期間を広げます。

Checkpoint の理由を確認する

組織で Checkpoints を使用している場合、Audit Explorer は、ユーザーが Checkpoint を送信したときに提示した理由を表示できます。これには、監査ログを Checkpoint インタラクションにリンクする checkpoint_interaction_rid 列が必要です。audit.3 スキーマではこの列が定義されていないため、カスタムトランスフォームを使用してテーブルに追加する必要があります。この列がある場合、Audit Explorer は次の要素を追加します。

• Checkpoint があるセッションのみフィルター
• セッションテーブルの Checkpoint インタラクション列
• セッションパネルの Checkpoint の理由セクション
• 検索タブのログ詳細パネルのセッションタブ

最初の3つでは、この列のデータ型が文字列である必要があります。セッションタブは、この列が存在すれば表示されます。

Checkpoint の理由セクションとセッションタブには、次の内容が表示されます。

• Checkpoint の種類、送信したユーザー、日時です。Checkpoint レコードに代理ユーザーが指定されている場合、そのユーザーが理由を示したユーザーの後に表示されます。Checkpoints アプリケーションが利用可能な場合は、Checkpoints アプリで表示を選択してインタラクションを開くことができます。
• リソース、マーキング、ユーザー、グループ、スコープ付きセッションなど、Checkpoint が適用された項目です。スコープ付きセッションの項目は、監査ログのセッションではなく、アクセス設定を指します。閲覧できないマーキングは、たとえば「+2個の不明なマーキング」のように、数のみが表示されます。
• 各 Checkpoint プロンプトと、それに続くユーザーの回答、ユーザーの選択、またはユーザーの確認の下に表示されるユーザーの回答です。Audit Explorer は、ユーザーが回答した順ではなく、アルファベット順にプロンプトを一覧表示します。

Audit Explorer が理由を表示できない場合、次のいずれかのメッセージが表示されます。

• 「このイベントの Checkpoint の理由はありません」：セッションまたは監査ログが Checkpoint インタラクションにリンクされていません。
• 「Checkpoints は利用できません」：お使いのエンロールメントでは Checkpoints アプリケーションを利用できません。
• 「理由を読み込めませんでした」：Checkpoint レコードを閲覧する権限がない可能性があります。Checkpoint レコードを閲覧するための権限を確認してください。
• 「理由が見つかりません」：Audit Explorer は、その Checkpoint インタラクションに対応する Checkpoint レコードを見つけられませんでした。