Microsoft 365 を使っている会社では、社員のアカウントが実際にどこから使われているかの記録が、Entra ID（旧Azure AD）に残っています。社内のPCと違い、クラウドのアカウントは世界中のどこからでもアクセスされうるため、この記録の意味は大きくなります。この記事では、確認手順と、見るべき項目を実際の並び順にそって整理します。
確認手順
- entra.microsoft.com にサインインする（グローバル管理者またはセキュリティ閲覧者の権限が必要）
- 左メニューの ID → 監視と正常性 → サインイン ログ を開く
- 上部の期間を指定し、必要に応じて「フィルターの追加」で絞り込む
Microsoft 365 管理センターからは 管理センター → Identity の経路でも到達できます。メニューの名称は変更されることがあるため、見当たらない場合は画面上部の検索窓に「サインイン ログ」と入力するのが確実です。
1ユーザーだけを見たい場合は、ユーザーの詳細画面を開き、そこから「サインイン ログ」を選ぶ方が速く済みます。
見るべき項目
一覧には多くの列がありますが、実務で判断に使うのは次の5つです。
| 項目 | 何を見るか |
|---|---|
| 状態 | 成功・失敗・中断。失敗が続いているアカウントを探す |
| 場所 | 国・都市。業務と関係のない国からのアクセス |
| IPアドレス | 同一IPから多数のアカウントへの試行 |
| クライアント アプリ | レガシ認証が使われていないか |
| 多要素認証の結果 | 実際に2段階目が要求されたか |
「場所」を過信しない
海外からのアクセスは目を引きますが、これだけで判断してはいけません。VPNや携帯回線を経由すると、実際の所在地とは異なる国が記録されることがあります。逆に、攻撃者が国内のサーバーを経由すれば「日本」と表示されます。
場所は入口として使い、その前後の記録と合わせて判断してください。不審なログインの見分け方は 不審なログインの確認方法で扱っています。
「クライアント アプリ」でレガシ認証を探す
フィルターで「クライアント アプリ」を選び、レガシ認証クライアントに絞ってください。ここに記録が残っている場合、多要素認証を回避できる経路が生きています。
古いメールソフトなどが使う認証方式は、その仕組み上、追加の認証を求められません。多要素認証を有効にしたつもりでも、この経路が残っていれば意味がなくなります。該当がゼロであることを確認するのが、設定直後の重要な作業です。詳細は Microsoft 365で多要素認証を必須にする手順にまとめています。
「多要素認証の結果」で実効性を確かめる
イベントを開き、「認証の詳細」タブを見ます。ここに、パスワードのみで通ったのか、2段階目が要求されたのかが記録されています。
設定したはずの多要素認証が実際には適用されていない、という状態はよく起こります。対象から除外されたアカウントが残っている、条件付きアクセスの条件に当てはまっていない、といった理由です。設定画面ではなく、この記録で確認してください。多要素認証の限界そのものは 多要素認証が突破される場合で扱っています。
保存期間はライセンスで変わる
サインインログは無期限には残りません。ここを知らずに、必要になってから見に行って「記録がない」となる例が多くあります。
| ライセンス | 保存期間の目安 |
|---|---|
| Microsoft Entra ID Free | 7日間 |
| Microsoft Entra ID P1 / P2 | 30日間 |
いずれも短期間です。個人情報の漏えいが疑われる事態では、報告までに調査が必要になりますが、7日前の記録が消えていれば範囲を確定できません。報告義務の期限は 個人情報漏えいの報告義務と期限で整理しています。
長く残す必要がある場合は、「診断設定」からログの出力先を追加します。Entra ID の監視メニューにある診断設定で、ストレージアカウントやLog Analyticsへ転送する構成にすると、保存期間を自社で決められます。この設定は、必要になってからでは間に合いません。先に入れておく類のものです。
CSVで書き出す
画面上部の 「ダウンロード」 からCSVまたはJSON形式で出力できます。監査への提出や、社内での共有にはこちらが向きます。
ダウンロードは表示中のフィルター条件が反映されます。期間や対象を絞ってから実行してください。全期間・全ユーザーのまま出すと、扱いにくい大きさになります。
不審なサインインを見つけたら
判断に迷う記録が見つかった場合、まず行うのは「そのアカウントを止めること」ではなく「セッションを切ること」です。パスワードを変えただけでは、すでに発行されている接続がそのまま生きている場合があります。
- 該当ユーザーの詳細画面で パスワードのリセット
- 同じ画面の 「セッションを取り消す」 を実行
- そのアカウントに追加されている認証方法（電話番号・アプリ）に見覚えのない登録がないかを確認
3つ目は見落とされがちですが重要です。攻撃者が自分の連絡先を認証方法として追加していれば、パスワードを変えても入り直せます。
一連の対処の流れは Microsoft 365で不審なサインインを検知したときの対処で扱っています。
よくある質問
サインインログはどこから見られますか
entra.microsoft.com にサインインし、ID → 監視と正常性 → サインイン ログ です。グローバル管理者またはセキュリティ閲覧者の権限が必要です。
サインインログは何日分残りますか
ライセンスによって異なり、Free では7日間、P1・P2 では30日間が目安です。それ以上必要な場合は、診断設定で外部のストレージやLog Analyticsへ転送する必要があります。
海外からのサインインがありますが問題ですか
場所だけでは判断できません。VPNや携帯回線で実際と異なる国が記録されることがあり、逆に攻撃者が国内経由で接続することもあります。認証の詳細、IPアドレス、その前後の記録と合わせて判断してください。
いまの運用を棚卸ししてみる
サインインログの確認は、クラウド利用における基本的な備えです。ただし記録を見られることと、侵入を防げることは別です。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。Microsoft のクラウドサービスは画面構成・メニュー名称・ライセンス体系が変更されることがあります。保存期間などの条件は、実際の管理画面と公式ドキュメントでご確認ください。