Microsoft Entra 管理センターで特定ユーザーの「サインイン ログ（サインイン履歴）」をダウンロードしようとすると、グローバル管理者ではないために権限不足で止まることがあります。結論から言うと、グローバル管理者にする必要はありません。最小権限でダウンロードを可能にするロールと、付与手順・つまずきポイント・代替案までをまとめます。
起きている現象：サインイン ログのダウンロードが権限不足になる
Microsoft Entra 管理センター（旧 Azure AD）でサインイン ログを開けても、ダウンロード操作だけができない／そもそもログ画面に入れない、といった相談はよくあります。現場で多い症状は次の通りです。
- 「ダウンロード」ボタンがグレーアウトして押せない
- ダウンロードを実行すると「Insufficient privileges」「権限がありません」などのエラーになる
- サインイン ログ自体がメニューに出てこない、または開くとアクセス拒否になる
サインイン ログは、ユーザーのIPや端末情報、認証方式、条件付きアクセスの結果など、セキュリティ上重要な情報がまとまっているため、既定では「誰でも見られる」設計になっていません。ここで必要なのは“管理作業の権限”ではなく、“監査・レポートの閲覧権限”です。
結論：グローバル管理者は不要。必要なのは閲覧系ロール
「ログを見て、必要な範囲をエクスポートしたい」だけであれば、グローバル管理者（Global Administrator）を付与するのは過剰です。代わりに、Entra ID の組み込みロール（Built-in roles）のうち、ログ閲覧に必要なロールを割り当てます。最小権限での第一候補はレポート閲覧者（Reports Reader）です。
| ロール | サインイン ログ | 監査ログ | 利用状況レポート | セキュリティ情報（リスク等） | 設定変更 | 向いている人／チーム |
|---|---|---|---|---|---|---|
| レポート閲覧者 （Reports Reader） | 閲覧・ダウンロード | 閲覧・ダウンロード | 閲覧 | 限定的 | 不可 | 監査、情報システム、内部統制、ヘルプデスク（ログ提出対応） |
| セキュリティ閲覧者 （Security Reader） | 閲覧・ダウンロード | 閲覧・ダウンロード | 一部 | 広い（リスク検知などを参照） | 不可 | SOC、CSIRT、セキュリティ担当（リスクとログを横断して見たい） |
| グローバル閲覧者 （Global Reader） | 閲覧・ダウンロード | 閲覧・ダウンロード | 閲覧 | 参照範囲が広い | 不可 | 運用監査、複数領域を“参照のみ”で確認する管理者（変更権限は不要） |
運用の安全性（最小権限）を優先するなら、まずはレポート閲覧者を付与し、足りない場合に限って Security Reader / Global Reader に拡張するのが定石です。特に「サインイン ログを落としたいだけ」の用途なら、Reports Reader が最も権限が軽く、監査用途に寄せた設計になっています。
最小権限の推奨：レポート閲覧者（Reports Reader）でできること
レポート閲覧者は、“設定は触れないが、監査・レポート系は参照できる” というバランスの良いロールです。サインイン ログに関しては、次のような作業が現実的にできます。
- ユーザーを指定してサインイン ログを検索し、結果を絞り込む（日時、アプリ、状態、クライアントアプリなど）
- 絞り込み結果をダウンロードして、監査証跡として保管／関係者に共有する
- サインインの詳細（失敗理由、条件付きアクセス、MFA有無、トークン種別など）を確認して切り分けする
ポイントは、「閲覧できる＝ダウンロードもできる」ではないことがある点です。UI上は表示できても、エクスポート機能はより強い権限（＝閲覧系ロールの付与）を要求する構成になることがあります。最小権限でダウンロードまで到達したい場合、Reports Reader を素直に割り当てるのが近道です。
Security Reader / Global Reader を検討すべき場面
セキュリティ閲覧者（Security Reader）が向くケース
セキュリティ閲覧者は、サインイン ログの調査と合わせて、セキュリティ側のシグナル（リスク検知やアラート、関連するセキュリティ情報）も追いたいチームに向きます。例えば次のような場面です。
- 不審なサインインを検知した後、同一ユーザーのリスク検知やアラート状況も同時に確認したい
- セキュリティ担当が、設定変更はできないが状況把握はできる状態を作りたい
- 問い合わせ一次対応（ヘルプデスク）より、より深い分析をSOCが担当する運用
グローバル閲覧者（Global Reader）が向くケース
グローバル閲覧者は「Entra 全体を参照のみで広く見たい」場合の選択肢です。サインイン ログの目的だけならオーバーになりがちですが、次のような用途では便利です。
- 監査担当が、ユーザー・グループ・アプリ登録・条件付きアクセスなど、複数領域の“状態”をまとめて確認したい
- 運用の二重チェックで、変更はしないが設定の棚卸しをしたい
ただし、参照範囲が広いぶん「見えてはいけない情報」まで見えてしまう組織もあります。最初から Global Reader を配るより、まず Reports Reader で不足を確認してから拡張する方がトラブルになりにくいです。
サインイン ログと監査ログの違い（混同しやすいポイント）
「ログが欲しい」と言われたとき、実は必要なのがサインイン ログではなく監査ログ（Audit logs）というケースもあります。違いを整理しておくと、余計な調査を減らせます。
| ログの種類 | 何が分かるか | よくある用途 | 質問例 |
|---|---|---|---|
| サインイン ログ | 誰が、いつ、どこから、どのアプリに、どう認証して入ったか（成功/失敗、MFA、CAの結果など） | 不正アクセス調査、サインイン失敗の原因切り分け、MFA適用確認 | 「海外からのログインがあった？」「失敗の理由は？」 |
| 監査ログ | ディレクトリ上で“何が変更されたか”（ユーザー作成/削除、ロール付与、設定変更など） | 設定変更の証跡、誤変更の追跡、権限付与の監査 | 「誰がユーザーを削除した？」「いつロールが付いた？」 |
「ログインできないからログが欲しい」はサインイン ログ、「いつ誰が設定を変えたか」は監査ログ、という切り分けが基本です。依頼元に目的を確認すると、ダウンロード範囲を最小化できます。
重要ポイント：ロールは“読み取りっぽい設定”ではなく「割り当て」が必要
つまずきやすいのが、「読み取り専用にすれば見られるはず」「ライセンスを付ければ見られるはず」といった発想です。サインイン ログのダウンロード可否は、基本的にユーザーに割り当てられているディレクトリ ロールで決まります。
- 画面上で何かをONにしても、ロールが付いていなければ権限は増えない
- 逆に、ロールが付けば設定変更権限を与えずにログ閲覧だけを実現できる
ロールを割り当てできるのは誰？（グローバル管理者でなくてもよい）
「ダウンロードする人」はグローバル管理者である必要はありませんが、ロールを割り当てる人には相応の権限が必要です。一般的には次のいずれかが担当します。
- グローバル管理者（Global Administrator）
- 特権ロール管理者（Privileged Role Administrator）
- （組織の設計によっては）ユーザー管理者（User Administrator）などが許可されている場合
組織のルールとして「ロール付与はグローバル管理者のみ」と定めていることも多いため、運用設計に合わせて依頼しましょう。重要なのは、ダウンロード目的なら“閲覧系ロールだけ”を付ければよいという点です。
手順：Reports Reader を付与してサインイン ログをダウンロードできるようにする
ここでは、最小権限の例として「レポート閲覧者（Reports Reader）」を対象ユーザーに割り当てる流れを整理します。画面名称はアップデートで変わることがありますが、骨子は同じです。
1) ロール割り当て（管理者側の作業）
- 管理者（グローバル管理者等）で Microsoft Entra 管理センターにサインインする
- 左メニューから Microsoft Entra ID を開く
- ロールと管理者（Roles and administrators） を開く
- 検索で レポート閲覧者（Reports Reader） を探して選択する
- 割り当ての追加（Add assignments） から対象ユーザーを選び、割り当てる
可能なら、割り当て方式は「有効（Active）」で付与してまず動作確認するのが手堅いです。組織で PIM（特権ID管理）を使っている場合、ユーザーに「Eligible（資格あり）」で付与しても、ユーザー側でロールのアクティブ化をしない限り権限が発動しません。運用ポリシーがある場合はそれに従い、手順が不明なら管理者に確認してください。
2) 反映を待つ／トークン更新（利用者側の作業）
ロール付与後、すぐに反映されることもありますが、認証トークンの更新タイミング次第で「付与したのに直らない」ように見えることがあります。さらに、テナント側の反映には環境差があり、数分で効くこともあれば、数時間かかることもあります。次を順に試すと切り分けが早いです。
- Entra 管理センターからサインアウト→サインインし直す
- ブラウザの InPrivate / シークレットウィンドウで開き直す
- 時間を置いて再実施（反映遅延の可能性）
「直らないからロールを追加する」の前に、まずはトークン更新と時間差を疑う方が安全です。
手順：サインイン ログをダウンロードする（利用者側）
ロールが反映されたら、実際のダウンロード手順は次の通りです。
- Microsoft Entra 管理センターで Microsoft Entra ID を開く
- 監視と正常性（Monitoring & health） から サインイン ログ（Sign-in logs） を開く
- 対象ユーザー、期間、アプリ、状態（成功/失敗）などでフィルターする
- 画面上部の ダウンロード を実行し、ファイルとして保存する
実務では、最初にフィルターを丁寧にかけて「必要な期間・必要な条件」だけに絞ってからエクスポートするのがコツです。無駄に広い期間で落とすと、取得量が増えて処理が重くなったり、必要な行を探しづらくなります。監査依頼で「このユーザーのこの日だけ」と条件が決まっているなら、先に条件を固めてからダウンロードしましょう。
現場でよく使うフィルター例（調査が速くなる）
| 目的 | フィルターの例 | 見るべきポイント |
|---|---|---|
| 「ログインできない」の切り分け | 対象ユーザー＋状態=失敗＋期間=直近1日 | 失敗理由、要求された認証（MFA/CA）、クライアントアプリ |
| 海外からのアクセス疑い | 対象ユーザー＋場所（国/地域）＋期間=直近7日 | IP、場所、デバイス情報、同時刻の成功/失敗の流れ |
| 特定アプリへのアクセスだけ確認 | アプリ名（アプリケーション）＋対象ユーザー＋期間 | どのアプリに、どの認証で入っているか（レガシー認証の有無など） |
| 条件付きアクセスの影響確認 | 状態=失敗（または成功）＋CA結果で絞る | どのポリシーが適用され、ブロック/許可/要求がどうなったか |
よくある勘違い：Directory Readers では足りないことが多い
「読み取り専用なら Directory Readers（ディレクトリ閲覧者）で良いのでは？」という発想になりがちですが、Directory Readers は“ディレクトリ情報（ユーザーやグループ等）の参照”が中心で、監査ログやサインイン ログの参照・エクスポート目的には不足しがちです。ログ目的なら、素直に Reports Reader / Security Reader を使う方が、安全で明確です。
それでもダウンロードできないときのチェックリスト
ロール付与後も解決しない場合、原因は「ロールそのもの」ではなく、周辺の運用設計やUI上の制約であることがあります。切り分けに使えるチェック表を用意しました。
| 症状 | よくある原因 | 対処の方向性 |
|---|---|---|
| ロールを付けたのに権限不足のまま | サインアウトしておらずトークンが更新されていない／反映待ち | サインアウト→サインイン、シークレットで再確認、時間を置く |
| 「Eligible」で付与されているが効かない | PIM 運用でロールのアクティブ化が必要 | ロールをアクティブ化してから再試行（必要に応じてMFA） |
| 特定ユーザーのログだけ見えない | 管理単位（Administrative Unit）でロールがスコープされている | 対象ユーザーがスコープ内か確認。必要ならスコープ調整 |
| ダウンロードが途中で失敗する／やたら時間がかかる | 対象期間が広すぎる、取得件数が多い | 期間・条件を絞る。大量取得は Log Analytics / Graph を検討 |
| メニューにサインイン ログが出ない | そもそも適切なロールが付いていない／別ポータルを見ている | Entra ID のロール割り当てを再確認。URL/テナントを確認 |
| ゲストユーザーで同じ操作をさせたい | B2Bゲストに管理ロールを付与する運用が禁止されている | 原則は内部アカウントで実施。必要なら運用ポリシー見直し |
ダウンロードしたログの扱いで気を付けたいこと（監査・個人情報の観点）
サインイン ログには、IPアドレスや場所情報、端末情報など、個人情報・機微情報に該当し得るデータが含まれます。権限を最小化しても、ファイルの扱いを誤ると事故になります。最低限、次をルール化すると安全です。
- 保存先は「アクセス制御された共有」または監査用ストレージに限定する（個人PCのダウンロードフォルダ放置を避ける）
- メール添付で送らない（どうしても必要なら暗号化・期限付き共有を徹底）
- 提出後の保管期限と削除手順を決める（“保存しっぱなし”を防ぐ）
- ファイルを加工して共有するときは、必要最小限の列だけにする（IP等の不用意な拡散を避ける）
運用の現実解：ダウンロード作業を“人手”に寄せない方法
「毎回ログを落として提出する」運用は、担当者の手間だけでなく、ファイルの取り扱い（保存場所、共有方法、削除）という別のリスクも生みます。ログ提出が定常化している組織では、次のような方法も検討すると効果的です。
方法A：診断設定で Log Analytics に送って、閲覧権限を Azure 側で委任する
Entra のサインイン ログを Azure Monitor / Log Analytics に転送しておくと、検索や可視化、長期保管がしやすくなります。さらに、閲覧担当には Entra のロールではなく、Log Analytics ワークスペースの「閲覧者」系権限を付与する設計も可能です。
- 大量ログの検索や期間指定が速くなる（KQLで検索できる）
- ワークスペース側でアクセス制御・監査・保管を統一できる
- 「誰がいつログを見たか」も追いやすい
注意点として、Azure 側のコスト（データ取り込み・保管）や運用設計が必要になります。ただ、監査やセキュリティ運用が成熟してくると、ポータルからの都度ダウンロードより安全で再現性のある仕組みになりやすいです。
方法B：Microsoft Graph で自動取得し、監査基盤に集約する
定期的な取得が必要なら、Microsoft Graph を使ってサインイン ログをプログラムで取得し、SIEMや監査用ストレージに集約する設計もあります。例えば、アプリ登録を作り、必要最小限のアプリ権限を付けて、バッチで差分取得するイメージです。
ただし、Graph の権限設計（アプリ権限の同意）や、保管データの取り扱いルールを整備しないと“別のリスク”を作ることになります。まずは Reports Reader で手作業の負担を減らし、要件が固まったら自動化に進むのが現実的です。
管理者に依頼するときの文面テンプレ（最小権限で伝える）
社内で「グローバル管理者にしてほしい」と頼むと警戒されやすいので、最初から“最小権限のロール”を指定して依頼すると通りやすくなります。例としてテンプレを載せます。
目的：特定ユーザーのサインイン ログを監査目的でダウンロードしたい
希望：グローバル管理者ではなく、レポート閲覧者（Reports Reader）ロールを付与してほしい
期間：必要なときだけ（可能ならPIMでEligible付与でも可、ただしアクティブ化手順が必要）
備考：設定変更は不要。ログ閲覧・ダウンロードのみ実施します最小権限で進めるための実務的な提案
最後に、現場でトラブルになりにくい進め方を、手順としてまとめます。
- まずはレポート閲覧者（Reports Reader）を付与して、サインイン ログの閲覧・ダウンロードができるか確認する
- 「リスク検知まで見たい」「セキュリティ側の情報も必要」など要件が増えたら、セキュリティ閲覧者（Security Reader）を検討する
- 監査で Entra 全体の状態確認が必要になったら、グローバル閲覧者（Global Reader）を検討する
- ログ提出が頻繁なら、ダウンロード運用をやめて Log Analytics / SIEM / Graph に寄せる
「困っているからとりあえずグローバル管理者にする」は、後で権限棚卸しが破綻しやすいパターンです。まずは Reports Reader でスッと解決し、必要な範囲だけを段階的に追加する方が、セキュリティと運用の両立がしやすくなります。
まとめ：サインイン ログを落としたいだけなら Reports Reader が最短ルート
- サインイン ログのダウンロードには、グローバル管理者は不要
- 最小権限の第一候補はレポート閲覧者（Reports Reader）
- 必要に応じて Security Reader / Global Reader を検討する
- ロール付与後はサインアウトや反映時間（数分〜数時間）を考慮して再試行する
この流れで進めれば、「ログが必要だから管理者権限を盛る」ではなく、「必要なログだけを、安全に、必要な人へ」提供する運用に寄せられます。
コメント