SAML ログイベント

SAML アプリケーションへのログイン イベントを確認する

Google Workspace のエディションによっては、より高度な機能を備えたセキュリティ調査ツールを利用できる場合があります。たとえば、特権管理者がセキュリティとプライバシーに関する問題を特定し、優先順位を付けて対処することなどが可能になります。詳細

組織の管理者は、SAML のログイベントを検索して対応できます。たとえば、アクションの記録を表示して、ユーザーが SAML アプリケーションへのログインに成功したか失敗したかを追跡できます。通常、ユーザーの操作は 1 時間以内にログに記録されます。

ログイベントのデータを Google Cloud に転送する

ログイベントのデータが Google Cloud と共有されるように設定できます。この共有を有効にした場合、データが Cloud Logging に転送され、そこからログに対してクエリを実行したり、ログを閲覧したり、ログのルーティングと保存を制御したりできます。

ログイベントの検索を実行する

検索を行えるかどうかは、ご利用の Google Workspace エディション、ご自身の管理者権限、データソースによって異なります。ユーザーに対する検索は、ユーザーが使用している Google Workspace のエディションに関係なく、全ユーザーを対象に行えます。

監査と調査のツール

ログイベントの検索を実行するには、まずデータソースを選択します。次に、検索のためのフィルタを 1 つ以上選択します。

  1. Google 管理コンソールログインします。

    管理者アカウント(末尾が @gmail.com でないもの)でログインします。

  2. 管理コンソールで、メニュー アイコン 次に [レポート]次に[監査と調査]次に[SAML のログイベント] にアクセスします。
  3. [フィルタを追加] をクリックし、属性を選択します。
  4. ポップアップ ウィンドウで演算子を選択 次に 値を選択 次に [適用] をクリックします。
    • (省略可)検索に複数のフィルタを作成するには、この手順を繰り返します。
    • (省略可)検索演算子を追加するには、[フィルタを追加] の上で [AND] または [OR] を選択します。
    • (省略可)検索に複数のフィルタを作成するには、この手順を繰り返します。
    • (省略可)検索演算子を追加するには、[フィルタを追加] の上に表示される [AND] または [OR] を選択します。
  5. [検索] をクリックします。
  6. 注: [Filter] タブでは、シンプルなパラメータと値のペアを含めて、検索結果をフィルタリングできます。[条件作成ツール] タブを使用することもできます。このタブでは、フィルタは AND/OR 演算子を使って条件として表されます。

セキュリティ調査ツール
この機能に対応しているエディション: Frontline Standard、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus、Enterprise Essentials Plus、Cloud Identity Premium。 エディションの比較

セキュリティ調査ツールで検索を実行するには、まずデータソースを選択します。次に、検索のための条件を 1 つ以上選択します。その後、検索条件ごとにそれぞれ属性、演算子、値を選択します。

  1. Google 管理コンソールログインします。

    管理者アカウント(末尾が @gmail.com でないもの)でログインします。

  2. 管理コンソールで、メニュー アイコン  次に  [セキュリティ] 次に [セキュリティ センター] 次に [調査ツール] にアクセスします。
  3. [データソース] をクリックし、[SAML のログイベント] を選択します。
  4. [条件を追加] をクリックします。
    ヒント: 検索で 1 つ以上の条件を指定するか、ネストされたクエリで検索をカスタマイズできます。詳しくは、ネストされたクエリを使って検索をカスタマイズするをご覧ください。
  5. [属性] をクリック 次に オプションを選択します。
    属性の一覧については、以下の属性の説明をご覧ください。
  6. 演算子を選択します。
  7. 値を入力するか、プルダウン リストから値を選択します。
  8. (省略可)検索条件を追加するには、手順 4〜7 を繰り返します。
  9. [検索] をクリックします。
    調査ツールの検索結果は、ページ下部の表に示されます。
  10. (省略可)調査を保存するには、保存アイコン をクリック 次に タイトルと説明を入力 次に [保存] をクリックします。

注:

  • [条件作成ツール] タブでは、フィルタ条件を AND/OR 演算子で表します。[フィルタ] タブを使用して、シンプルなパラメータと値のペアを含め、検索結果をフィルタリングすることもできます。
  • ユーザーの名前を変更すると、以前の名前のクエリ結果が表示されなくなります。たとえば、名前を OldName@example.com から NewName@example.com に変更した場合、OldName@example.com に関連するイベントの結果は表示されません。

属性の説明

このデータソースでは、ログイベント データの検索時に次の属性を使用できます。

属性 説明
設定者 操作を行ったユーザーのメールアドレス
アクター グループ名

アクター グループの名前。詳しくは、Google グループで結果をフィルタするをご覧ください。

フィルタ グループの許可リストにグループを追加するには:

  1. [アクター グループ名] を選択します。
  2. [フィルタ グループ] をクリックします。
    [フィルタ グループ] ページが表示されます。
  3. [グループの追加] をクリックします。
  4. グループ名またはメールアドレスの最初の数文字を入力してグループを検索します。目的のグループが表示されたら、そのグループを選択します。
  5. (省略可)別のグループを追加するには、グループを検索して選択します。
  6. グループの選択が完了したら、[追加] をクリックします。
  7. (省略可)グループを削除するには、 をクリックします。
  8. [保存] をクリックします。
アクターの組織部門 アクターの組織部門
アプリケーション名 イベントを開始した SAML アプリケーション
日付 イベントが発生した日時(使用しているブラウザのデフォルトのタイムゾーンで表示されます)
イベント 2 種類のイベント([ログイン成功] と [ログイン失敗])のいずれか
失敗の種類 ログインに失敗した場合は、失敗の種類が表示されます。詳しくは、後述の失敗の種類と解決策をご覧ください。
開始 イベントを開始したプロバイダ。ID プロバイダとサービス プロバイダのいずれかです。
IP アドレス ユーザーが SAML アプリケーションにログインするのに使用したインターネット プロトコル(IP)アドレス。ユーザーのいる物理的な場所を表していることもありますが、プロキシ サーバーや仮想プライベート ネットワーク(VPN)のアドレスの場合もあります。
セカンドレベル ステータスのレスポンス SAML リクエストのステータス情報(成功または失敗)。ステータス コードの詳細については、SAML v2.0 Core の 3.2.2.2 項をご覧ください。
レスポンスのステータス SAML リクエストのステータス情報(成功または失敗)。ステータス コードの詳細については、SAML v2.0 Core の 3.2.2.2 項をご覧ください。

失敗の種類でデータをフィルタする

  1. 上述の説明に沿って、ログイベントを開きます。
  2. 上記のログイベントの検索を実行するの手順に沿って、[フィルタを追加] 次に [失敗の種類] をクリックします。
  3. プルダウン リストからオプションを選択します。
  4. [適用] をクリックします。

失敗の種類と解決策

ログイベントには、次の種類の失敗が記録されます。

失敗の種類 解決策
アプリケーションが未設定です 管理コンソールでサービス プロバイダの設定(エンティティ ID を含む)が正しいことを確認します。
ユーザーのアプリケーションが有効になっていません 管理コンソールのアプリ設定ページの [ユーザー アクセス] で、そのユーザーが属する組織でアプリケーションが有効になっていることを確認します。
不正なリクエスト リクエストの形式が正しくなかったか、リクエストの ACS URL が管理コンソールで設定されているものと一致しませんでした。サービス プロバイダ向けに設定されている ACS URL が正しいことを確認してください。
名前 ID のマッピングが無効です アプリケーションの NAMEID パラメータと、管理コンソールでアプリケーションに設定されている NAMEID パラメータが一致していません。スキーマが引き続き存在することを確認し、アプリケーションの名前 ID のマッピングを再設定してください。
サービス プロバイダ ID が無効です サービス プロバイダ側の設定が、管理コンソールで設定されたアプリケーション ID 欄のものと一致していることを確認します。リクエスト URL で渡される SP ID が [アプリケーション ID] と同じであることを確認します。
名前 ID のマッピングを利用できません 名前 ID マッピングでマッピングされた属性が見つかりませんでした。管理者は、スキーマが引き続き存在することを確認し、アプリケーションの名前 ID のマッピングを再設定してください。
パッシブ認証が失敗しました ユーザーは ID プロバイダ(IdP)にログインできませんでした。管理者のブラウザから IdP に再びログインしてください。
不明 原因不明のログインエラー
認証されていないユーザーです そのユーザーが属する組織またはグループに対してアプリケーションが有効になっていることを確認します。

ログイベント データを管理する

検索結果の列データを管理する

検索結果に表示するデータ列を設定できます。

  1. 検索結果の表の右上にある、列を管理アイコン をクリックします。
  2. (省略可)現在の列を削除するには、削除アイコン をクリックします。
  3. (省略可)列を追加するには、[新しい列を追加] の横にある下矢印アイコン をクリックしてデータ列を選択します。
    以上の手順を必要なだけ繰り返してください。
  4. (省略可)列の順序を変更するには、目的のデータ列名をドラッグします。
  5. [保存] をクリックします。

検索結果データをエクスポートする

検索結果は、Google スプレッドシートまたは CSV ファイルにエクスポートできます。

  1. 検索結果の表の上部にあるすべてエクスポート アイコンをクリックします。
  2. 名前を入力し 次に [エクスポート] をクリックします。
    書き出しの結果は、検索結果の表の下にある [「エクスポート」操作の結果] に表示されます。
  3. データを表示するには、エクスポートの名前をクリックします。
    書き出したデータが Google スプレッドシートで開きます。

エクスポートの制限は次のとおりです。

  • 書き出せる結果の合計は 10 万行(ただし、Gmail のメール検索は 10,000 行)までに制限されています。
  • この機能に対応しているエディション: Frontline Standard、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus、Enterprise Essentials Plus、Cloud Identity Premium。 エディションの比較

    セキュリティ調査ツールをご利用の場合、書き出せる結果は合計 3,000 万行までに制限されています(ただし、Gmail のメール検索の上限は 10,000 行です)。

詳しくは、検索結果をエクスポートするをご覧ください。

データを利用できる期間

検索結果に基づいて対応する

アクティビティ ルールを作成し、アラートを設定する
  • レポートルールを使用して、ログイベント データに基づいてアラートを設定できます。手順については、レポートルールの作成と管理をご覧ください。
  • この機能に対応しているエディション: Frontline Standard、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus、Enterprise Essentials Plus、Cloud Identity Premium。 エディションの比較

    アクティビティ ルールを作成すると、セキュリティ調査ツールのアクションを自動化してセキュリティの問題を効率的に防止、検出、修正することができます。ルールを設定するには、ルールの条件と、その条件が満たされたときに実行する操作を指定します。詳細と設定手順については、アクティビティ ルールを作成、管理するをご確認ください。

検索結果に基づいて対応する

この機能に対応しているエディション: Frontline Standard、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus、Enterprise Essentials Plus、Cloud Identity Premium。 エディションの比較

セキュリティ調査ツールでの検索後、その結果に基づいて対応方法を選ぶことができます。たとえば、Gmail のログイベントに基づいて検索した後、セキュリティ調査ツールを使用して特定のメールを削除したり、メールを検疫に送ったり、ユーザーの受信ボックスにメールを送信したりできます。詳しくは、検索結果に基づいて対応するをご覧ください。

調査を管理する

この機能に対応しているエディション: Frontline Standard、Enterprise Standard、Enterprise Plus、Education Standard、Education Plus、Enterprise Essentials Plus、Cloud Identity Premium。 エディションの比較

調査のリストを表示する

自分がオーナーとなっている調査と、自分に共有されている調査のリストを表示するには、調査を表示アイコン をクリックします。調査のリストには、調査の名前、説明、オーナー、最終更新日が含まれます。

このリストでは、調査を削除するなど、自分がオーナーとなっているすべての調査に対して操作を行うことができます。調査のチェックボックスをオンにして、[操作] をクリックします。

注: 調査のリストのすぐ上にある [クイック アクセス] では、最近保存した調査を確認できます。

調査の設定を行う

特権管理者は、設定アイコン をクリックして、次の操作を行うことができます。

  • 調査のタイムゾーンを変更する。このタイムゾーンは検索条件と結果に適用されます。
  • [要審査] をオンまたはオフにする。詳しくは、一括操作には審査担当者の設定を必須とするをご確認ください。
  • [コンテンツを表示] をオンまたはオフにする。この設定により、適切な権限を持つ管理者がコンテンツを閲覧できるようになります。
  • [操作を実行する理由] をオンまたはオフにする。

手順と詳細については、調査の設定を行うをご確認ください。

調査を共有、削除、複製する

検索条件を保存したり他のユーザーと共有したりする場合は、調査を作成して保存した後に、共有、複製、削除を行います。

詳しくは、調査を保存、共有、削除したり、調査のコピーを作成したりするをご確認ください。

この情報は役に立ちましたか?

改善できる点がありましたらお聞かせください。
true
14 日間の無料試用を今すぐ開始してください

ビジネス向けのメール、オンライン ストレージ、共有カレンダー、ビデオ会議、その他多数の機能を搭載。G Suite の無料試用を今すぐ開始してください。

検索
検索をクリア
検索を終了
Google アプリ
メインメニュー