注: 以下の翻訳の正確性は検証されていません。AIPを利用して英語版の原文から機械的に翻訳されたものです。
Audit Explorer をセットアップする
Audit Explorer は、監査テーブルから audit.3 監査ログを読み取ります。監査テーブルは、audit.3 監査エクスポートの書き込み先となる Iceberg テーブルです。エクスポートは Audit Explorer から作成できます。監査テーブルがすでにある場合は、監査テーブルを選択するに進みます。
すべてのスクリーンショットは架空のデータを使用しています。
前提条件
Audit Explorer をセットアップするには、次のものが必要です。
- アプリケーションへのアクセス： Audit Explorer はベータ版であり、お使いのエンロールメントでは利用できない場合があります。Audit Explorer にアクセスする方法を確認してください。
- Foundry Iceberg： お使いのエンロールメントで Iceberg が有効になっている必要があります。Iceberg が有効になっていることを確認する方法を確認してください。監査テーブルのフォルダーは、Foundry 管理の Iceberg ストレージを使用するプロジェクト内にある必要があります。デフォルトですべてのプロジェクトへの Iceberg テーブルの書き込みを許可がオフの場合、プロジェクトに Iceberg のオーバーライドが必要になる場合があります。
権限
Audit Explorer は、既存の Foundry 権限を使用します。タスクごとに、それぞれの権限が必要です。
- 監査エクスポートの作成権限： ログをエクスポートする組織に対する
audit-export:orchestrate-v3操作権限が必要です。デフォルトでは、組織管理者ロールにこの操作権限が付与されています。詳細は、エクスポート権限を確認してください。 - Iceberg テーブルの作成権限： 監査テーブルのフォルダー内にリソースを作成する権限が必要です。
- Iceberg テーブルの読み取り権限： 監査テーブルに対する
table:read操作権限が必要であり、テーブルのマーキングの要件をすべて満たす必要があります。詳細は、Iceberg テーブルの権限を確認してください。 - エクスポート設定の権限： エクスポート設定を開くには、エクスポート対象の組織の組織管理者である必要があります。また、設定ごとに、監査テーブルに対するそれぞれの操作権限が必要です。
- エクスポートの一時停止または再開：
audit-export:update-export-state - ビルドのクールダウンの変更：
audit-export:update-minimum-build-cooldown - 保持期間の変更：
iceberg:write-maintenance-tasksおよびiceberg:write-sql-maintenance-tasks
- エクスポートの一時停止または再開：
利用ガイダンスを了承する
Audit Explorer を初めて開くと、Audit Explorer へようこそダイアログが表示されます。理解しましたを選択するまで、Audit Explorer には監査データが表示されません。ダイアログには、次のガイダンスが記載されています。
- 監督およびコンプライアンスのための利用： Audit Explorer は、許可されたシステム監督およびコンプライアンスの用途にのみ使用してください。
- 監査ログを機密情報として扱う： 監査ログには、氏名、メールアドレス、その他の機密性の高い利用データなど、個人を特定できる情報が含まれる場合があります。必要なセキュリティ資格を持つユーザーのみが閲覧するべきです。
- 検索はログに記録されます： Audit Explorer でのすべての検索は監査ログになります。
続行するには、理解しましたを選択します。先に詳しい情報を読むには、監査ログについて学ぶを選択して、監査ログのドキュメントを開きます。
ガイダンスを再度読むには、アプリケーションのヘッダーで利用ガイダンスを選択します。
Iceberg 監査エクスポートを作成する
はじめにダイアログでは、新しい Iceberg テーブルに直接書き込む audit.3 監査エクスポートを作成します。このテーブルが監査テーブルになります。エクスポートには、Control Panel でのエクスポートのセットアップと同じ設定が使用されます。ビルド間の待機時間なしで、新しいログが継続的に追加されます。
エクスポートを作成するには、次のステップに沿って進めます。
- Audit Explorer を開きます。監査テーブルが選択されていませんページで、はじめにを選択します。はじめにが表示されない場合は、お使いのエンロールメントで監査エクスポートを作成できません。代わりに既存の監査テーブルを選択するか、プラットフォーム管理者にお問い合わせください。
- Iceberg テーブルを作成で、ログをエクスポートする組織を選択します。リストには、監査エクスポートを作成できる組織のみが表示されます。ご自身の組織の監査エクスポートを作成できる場合は、その組織がデフォルトで選択されます。
- テーブル名を入力するか、デフォルトの名前「監査ログ」をそのまま使用します。次に、保存先フォルダーを選択します。
- ログのエクスポート開始日で、エクスポートする最も古い日付を UTC で選択します。デフォルトは90日前です。まだ利用可能なログのみをエクスポートできます。
- 保持期間（日） で、ログを保持する期間を1〜730日で入力します。デフォルトは90日です。テーブルのメンテナンスによって、
dateが保持期間より古いログが毎日削除されます。開始日が保持期間より前の場合、最初の日次メンテナンスで、その期間より古いログが削除されます。 - アクセスマーキングで、マーキングを1つ以上選択し、アクセスが必要で適切な資格を持つレビュー担当者のみがテーブルにアクセスできるように制限します。監査ログには、個人を特定できる情報や検索クエリが含まれる場合があります。Audit Explorer は、組織のマーキングも適用します。
- Iceberg エクスポートを作成を選択します。Audit Explorer がエクスポートを作成している間は、ダイアログを閉じることはできません。
- 「Iceberg テーブルが作成されました」と表示されたら、このテーブルのログを探索を選択します。ログは最初のビルドが完了すると表示されます。完了までに数分かかる場合があります。
エクスポート設定を変更する
組織管理者は、Audit Explorer から Iceberg 監査エクスポートの設定を変更できます。サイドバー上部のテーブル名の横、またはセッションエクスプローラータブのテーブル名の横にあるエクスポート設定（歯車アイコン）を選択します。エクスポート設定は、監査エクスポートの書き込み先となっているテーブルにのみ表示されます。
エクスポート設定ダイアログには、次の設定があります。
- エクスポートのステータス： エクスポートが実行中、一時停止中、停止済みのいずれであるかを表示します。現在のビルドが完了した後に新しいビルドを停止するには、エクスポートを一時停止を選択します。既存のログは引き続き利用可能で、保持期間も引き続き適用されます。ビルドを再開するには、エクスポートを再開を選択します。停止済みのエクスポートは再開できません。追加のログを収集するには、新しいエクスポートを作成します。
- ビルドのクールダウン： エクスポートがビルド間に待機する時間です。新しいデータが利用可能になったらすぐにビルドから1日まで設定できます。プリセットを選択するか、カスタム… を選択して最大1,440分を入力し、クールダウンを保存を選択します。Audit Explorer で作成されたエクスポートは、クールダウンなしで開始されます。クールダウンを変更しても、一時停止中のエクスポートは再開されません。
- 保持： ログを保持する期間です。1 週間から2年まで設定できます。プリセットを選択するか、カスタム… を選択して1〜730日を入力し、保持期間を保存を選択して確認します。変更は、次回のスケジュール済みメンテナンスで適用されます。テーブルの保持タスクが Audit Explorer の外部で変更された場合は、代わりにテーブルのメンテナンスページで保持期間を管理します。
保持期間を短縮すると、次回のスケジュール済みメンテナンスで、新しい期間より古いログが完全に削除されます。
設定を変更する権限がない場合、ダイアログに「この設定を変更する権限がありません。」と表示されます。Control Panel でエクスポートを一時停止および再開することもできます。エクスポートデータセットを更新または無効化する方法について、詳しくはこちら。
監査テーブルを選択する
監査テーブルを開くには、次のステップに沿って進めます。
- 監査テーブルが選択されていませんページで、監査テーブルを選択を選択します。または、はじめにダイアログで既存のテーブルを選択… を選択します。
- 監査テーブルを選択ダイアログで、監査テーブルを探して選択します。選択できるのは Iceberg テーブルのみです。
テーブルに必須の列がない場合は、ログの代わりにエラーが表示されます。
Audit Explorer は、次回アクセスしたときに、最後に選択したテーブルを開きます。そのテーブルが列のチェックに失敗していた場合も同様です。テーブルを切り替えるには、検索タブのサイドバー上部にあるテーブル名の横のテーブルを変更（鉛筆アイコン）を選択します。
テーブルを共有するには、ブラウザーのアドレスバーから URL をコピーします。このリンクを開くとテーブルが開きますが、検索フィルターは反映されません。また、受信者にテーブルへのアクセス権を付与することはありません。
データの鮮度を確認する
検索タブでは、サイドバー上部のカードに選択したテーブルの名前が表示されます。更新の横には、5m ago のように、テーブル内の最新の監査ログからの経過時間が表示されます。この経過時間には検索フィルターは反映されません。自動的に更新されるほか、更新を選択するたびに更新されます。経過時間にカーソルを合わせると、正確な時刻を確認できます。テーブルが空の場合、Audit Explorer が最新のログを取得できない場合、サイドバーが折りたたまれている場合、またはセッションエクスプローラータブでは、経過時間は表示されません。
ログが監査テーブルに届くまでには時間がかかります。配信の遅延については、audit.3 ログを確認してください。エクスポートが一時停止されている場合や、ビルドのクールダウン期間が長い場合は、新しいログの到着が遅くなります。テーブルのエクスポート設定を確認してください。
トラブルシューティング
| メッセージまたは問題 | 解決方法 |
|---|---|
| はじめにが表示されない | お使いのエンロールメントでは監査エクスポートを利用できません。既存の監査テーブルを選択するか、プラットフォーム管理者にお問い合わせください。 |
| 組織リストを利用できない | どの組織についても監査エクスポートを作成できません。組織管理者に監査エクスポートの作成権限を依頼するか、既存の監査テーブルを選択してください。 |
Could not load organizations, permissions, and markings. | 再試行を選択します。 |
Could not create the audit export | Audit Explorer がエクスポートを作成できませんでした。再試行する前に、保存先フォルダーを確認し、このリクエストによってテーブルが作成されていないかを確認してください。問題が続く場合は、Palantir サポートにお問い合わせの際にエラーインスタンスの ID を含めてください。 |
Table created, but setup is incomplete | Audit Explorer はテーブルを作成しましたが、ビルドのクールダウンを無効にできませんでした。再試行するには、このテーブルのセットアップを完了を選択します。再試行しても、別のテーブルは作成されません。 |
| エクスポート設定が表示されない | テーブルに書き込む監査エクスポートがないか、エクスポート元の組織の組織管理者ではありません。 |
テーブルが期待されるスキーマと一致しない
テーブルに必須の列がない場合、または Audit Explorer がテーブルを読み込めない場合、Audit Explorer は The selected table does not match the expected audit log table schema. を表示します。たとえば、テーブルを閲覧する権限がない、テーブルのマーキングの条件を満たしていない、または誰かがテーブルを削除した可能性があります。
テーブルを開くと、Audit Explorer は次の6列があることを確認します。
time：timestampまたはdateデータ型logEntryId：stringやlongなどのスカラーデータ型（map、array、structではない）uidnamecategoriesservice
原因を特定するには、エラーの詳細を確認します。必要な列がない場合やデータ型が正しくない場合はその詳細が表示され、テーブルの読み込み時に Foundry がエラーを返した場合はそのエラーが表示されます。これをコピーして、管理者や Palantir サポートと共有できます。別のテーブルを開くには、別のテーブルを選択を選択します。