Microsoft Entra ID の Conditional Access で「Insights and Reporting（インサイトとレポート）」が表示されない場合、原因は“権限”だけとは限りません。P1/P2 ライセンス、Log Analytics ワークスペース、診断設定、ワークスペース RBAC のどこが欠けても画面が出ない・クエリが失敗します。現場で確実に直す手順をまとめます。
よくある症状：Conditional Access の「Insights and Reporting」が見えない／開けない
Conditional Access ポリシーの管理画面で、「Insights and Reporting（インサイトとレポート）」が表示されない、または表示されても「アクセス権がない」「Log Analytics が有効化されていない」といったエラーで開けないケースがあります。特に次の状況で発生しがちです。
- Microsoft Entra のディレクトリ ロール（Global Admin など）を持っているのにタブが出ない
- PIM（Privileged Identity Management）でロールを有効化しているが、操作できる画面とできない画面が混在する
- 同じテナントでも、ある管理者は見えるのに別の管理者は見えない
結論から言うと、Insights and Reporting は「Conditional Access の機能」ではあるものの、実体はLog Analytics のサインイン ログを使う Workbook（可視化テンプレート）です。そのため、ディレクトリ ロールだけでなく、ログの送信設定とワークスペース権限まで揃わないと表示・閲覧ができません。
まず押さえるべき前提：ロールだけでは足りない理由
Global Administrator（グローバル管理者）などの Microsoft Entra ロールを付与しても、Insights and Reporting が見えないことがあります。理由はシンプルで、Insights and Reporting が参照するのはAzure リソース（Log Analytics ワークスペース）であり、ここにはAzure RBAC（ロールベースのアクセス制御）が効くからです。Microsoft Learn の Q&A でも「Global Admin でもワークスペースへのアクセスは別途必要」と明記されています。
| 分類 | 権限の世界 | 代表例 | 不足すると起きること |
|---|---|---|---|
| ディレクトリ ロール | Microsoft Entra（旧 Azure AD） | Security Reader / Conditional Access Administrator / Global Administrator など | Conditional Access の画面やポリシー、サインイン ログの閲覧ができない |
| ワークスペース権限 | Azure（Log Analytics） | Log Analytics Reader / Log Analytics Contributor / Monitoring Reader など | Insights and Reporting のクエリが権限エラーになる、Log Analytics が開けない |
| ログ送信（診断設定） | Microsoft Entra → Azure Monitor | SignInLogs / AuditLogs などをワークスペースへ送る | タブが出ない、出てもデータがゼロ、ポリシー一覧が空 |
最短で切り分けるチェックリスト
最初に以下を順番に確認すると、ムダな権限付与や遠回りを避けられます。
- テナントに Microsoft Entra ID P1（または P2）があるか
- Log Analytics ワークスペースが存在し、対象の管理者がアクセスできるか
- Entra の診断設定で Sign-in / Audit などのログをワークスペースへ送っているか
- サインイン ログが実際に流れており、SigninLogs クエリが返ってくるか
- Workbook に複数ワークスペースが紐づいていないか（誤ったワークスペース参照の対策）
前提ライセンス：Microsoft Entra ID P1/P2（Conditional Access を使うための必須条件）
Insights and Reporting は Conditional Access を前提とするため、テナント側にMicrosoft Entra ID P1 ライセンス（または P2）が必要です。Microsoft Learn の公式ドキュメントでも、Insights and Reporting を有効化する前提として「Conditional Access を利用するために Entra ID P1 が必要」とされています。
ここで注意したいのは、現場でありがちな次のパターンです。
- 契約として P1/P2 はあるが、対象ユーザーに割り当てていない
- 試用版の期限切れに気づかず、いつの間にか P1 が失効している
- 複数のサブスクリプション／テナントを跨いでいて、別テナントの P1 を見ていた
確認ポイント（例）
- Microsoft 365 管理センターの「課金」「ライセンス」
- Microsoft Entra 管理センターの「ライセンス」関連メニュー
Log Analytics ワークスペースの準備とアクセス権（ここで詰まりやすい）
Insights and Reporting を表示するには、まずLog Analytics ワークスペースが存在することが前提です。公式ドキュメントでも「サインイン ログを保持する Log Analytics ワークスペース」と、そのワークスペースへのアクセスが必要とされています。
ワークスペースが必要な理由
Insights and Reporting はワークスペース上のテーブル（例：SigninLogs）を KQL で集計して、Workbook として可視化します。つまり、ワークスペースがなければデータの置き場がなく、結果としてタブ自体が出なかったり、開けても空になったりします。
「Global Admin なのに見えない」最大の原因：ワークスペース RBAC
ワークスペースは Azure リソースなので、Azure ポータル側の「アクセス制御 (IAM)」でロールを付与しないと、クエリ実行や閲覧ができません。Microsoft Q&A でも、Global Admin であってもワークスペース権限を別途付与すべきと回答されています。
よく使うロールの目安は次の通りです（最小権限から順）。
| 目的 | おすすめの Azure ロール | 備考 |
|---|---|---|
| 閲覧・クエリ実行だけ | Log Analytics Reader / Monitoring Reader | 運用担当者に向く。まずはここから始めると安全 |
| Workbook の編集・保存もしたい | Log Analytics Contributor / Monitoring Contributor | カスタム Workbook を作る場合に必要になることが多い |
| 権限付与や管理を全部したい | Owner / Contributor（サブスクリプション or RG） | 本番では付与範囲を絞るのが推奨 |
Azure Monitor 側のロール例（Monitoring Reader / Log Analytics Reader / Monitoring Contributor / Log Analytics Contributor）と、Entra 側のロール例（Reports Reader / Security Reader / Global Reader / Security Administrator）は Microsoft Learn のチュートリアルにも整理されています。
RBAC 付与の具体手順（Azure ポータル）
- Azure ポータルで「Log Analytics workspaces」を開き、対象のワークスペースを選択
- 左メニューの「アクセス制御 (IAM)」を開く
- 「ロールの割り当ての追加」から、上記のロール（例：Log Analytics Reader）を選択
- ユーザーまたはグループを指定して割り当て
ポイントは、ロールの付与範囲です。ワークスペース単体に付与すれば影響範囲を最小化できます。反対に、サブスクリプション全体に付与すると「見える情報が増えすぎる」ことがあるため注意してください。
診断ログの設定：Entra のログを Log Analytics に送る（必須）
ワークスペースがあっても、ログを送っていなければ Workbook は空になります。Microsoft Learn の手順でも、Entra ID の診断設定でログを Log Analytics に送る流れが明確に示されています。
診断設定の画面パス
Microsoft Entra 管理センター → Entra ID → 監視と正常性 → 診断設定
既存の設定があれば編集し、なければ「診断設定の追加」で新規作成します。
最低限オンにしたいログ カテゴリ
Conditional Access の Insights and Reporting が主に使うのはサインイン系のログです。まずは次を優先してください。
| ログカテゴリ | 重要度 | 用途 |
|---|---|---|
| SigninLogs | 必須 | Conditional Access の評価結果（success/failure など）の集計元。Workbook の主データ |
| AuditLogs | 推奨 | ポリシー変更・ロール付与などの追跡。運用監査や原因調査で効く |
| RiskySignIns | 必要なら | ID Protection のリスク サインインを扱う場合に有用 |
| ServicePrincipalSignInLogs | 必要なら | アプリ（サービス プリンシパル）側のサインイン分析もしたい場合 |
公式チュートリアルでは診断設定で AuditLogs と SigninLogs を選択し、送信先に Log Analytics ワークスペースを指定する手順が示されています。
また、Microsoft Q&A では、Insights and Reporting が見えない場合の確認項目として、SignInLogs / AuditLogs / RiskySignIns / ConditionalAccess などのカテゴリを有効化するよう案内されています。テナントや機能の有効化状況により表示されるカテゴリは変わるため、画面に表示される範囲で必要なものを選択してください。
反映に時間がかかる点に注意
診断設定を保存しても、ログがすぐに見えるとは限りません。チュートリアルでは「最大 15 分程度かかる」旨が案内されており、一般的には数分〜十数分待つことが多いです。
一方で、診断設定の解説ページでは「ログが出始めるまで最大 3 日かかることがある」とも説明されています。テナントの状況によっては時間がかかる前提で、まずは SigninLogs が入ってきているかを確認しましょう。
必要なディレクトリ ロール（Entra ロール）：どれを付ければよい？
Insights and Reporting にアクセスするための最小権限は、公式ドキュメント上はSecurity Readerです（これに加えてワークスペース権限が必要）。
実務的には次の考え方がおすすめです。
- 閲覧だけ：Security Reader（＋ワークスペースは Reader 系）
- ポリシーの作成・変更もする：Conditional Access Administrator か Security Administrator（＋ワークスペースは Contributor 系）
- 緊急対応・全体管理：Global Administrator（ただし最小権限運用の観点では常用は避ける）
カスタム Workbook の作成・更新まで行う場合、Microsoft Learn のチュートリアルでは「最小権限は Security Administrator」とされています。運用で編集が必要なら、閲覧者と編集者を分ける設計にすると事故が減ります。
表示できる状態までの手順（これだけやれば大抵直る）
- Entra ID P1/P2 を確認（Conditional Access が利用可能な状態にする）
- Log Analytics ワークスペースを用意（既存でも可）
- 診断設定を作成し、SigninLogs（＋必要に応じて AuditLogs など）をワークスペースに送信
- 対象ユーザーに Security Reader（またはそれ以上）を付与
- Azure 側でワークスペース RBAC（Log Analytics Reader/Contributor など）を付与
- Entra 管理センターでEntra ID → Conditional Access → Insights and reportingを開く
なお、Insights and Reporting は4 時間〜 90 日の範囲で集計でき、ログ連携前の期間を選ぶと当然ながら表示されません。まずは「4 時間」など短い時間で動作確認すると切り分けが楽です。
それでもうまくいかない時のトラブルシューティング
設定が揃っているはずなのに表示されない場合は、症状から原因を当てるのが近道です。
| 症状 | ありがちな原因 | 対処 |
|---|---|---|
| タブが出ない／「Log Analytics が有効化されていない」 | 診断設定が未構成、または送信先ワークスペースが違う | 診断設定で送信先を確認。SigninLogs を有効化して保存 |
| クエリが権限エラーで失敗する | ワークスペース RBAC が不足 | IAM で Log Analytics Reader/Contributor を付与。検証として Log Analytics 画面で「SigninLogs」を実行 |
| ポリシー一覧が空 | 最近のサインインがない／連携直後でまだ生成されていない | 数分待って再読み込み。まずは短い期間で確認 |
| 結果がゼロ／読み込みが遅い | 期間が長すぎる・テナント規模が大きくクエリが重い | 時間範囲を 4 時間に短縮。必要なら Azure Monitor の変換（Transformation）で取り込みデータを最適化 |
| 突然、昨日まで見えていたのに見えなくなった | ワークスペース権限の変更、診断設定の変更・削除 | IAM と診断設定を再確認（「いつの間にか外れていた」が多い） |
Workbook のワークスペース紐づけミス
公式ドキュメントでは、誤った（または複数の）ワークスペースが Workbook に関連付いているとクエリが失敗することがある、とされています。編集画面の設定（歯車）から不要なワークスペースを外し、正しい 1 つのワークスペースだけに揃えると改善する場合があります。
まずは Log Analytics で「SigninLogs」が取れるか確認する
Insights and Reporting がダメなときでも、Log Analytics でクエリが返ってくれば「ログは入っている」ことがわかります。Microsoft Learn でも、権限や構成を確認するために Log Analytics 画面で SigninLogs を実行して確かめる手順が紹介されています。
SigninLogs | take 10PIM（Privileged Identity Management）利用時の注意点
PIM を使っている環境では、「ロールを持っているはずなのに操作できない」が起きがちです。ポイントは“割り当て（Eligible）”と“有効化（Active）”は別ということです。
- Entra ロール（例：Global Administrator / Security Administrator / Conditional Access Administrator）は、PIM でアクティブ化して初めて有効
- Azure RBAC 側（例：Log Analytics Contributor、Subscription Owner）も PIM 管理している場合、こちらもアクティブ化が必要
「ロールの割り当てを追加」ボタンが見えない、IAM の追加ができない場合は、ロールがアクティブでないか、付与できる管理者が別にいる可能性があります。
運用で差が出るベストプラクティス
最小権限で役割分担する
Insights and Reporting を見るだけなら、まずはSecurity Reader（Entra）＋ Log Analytics Reader（Azure）の組み合わせから始めるのが安全です。編集が必要な担当だけ Contributor 系を付与し、閲覧者は Reader に留めると、ワークスペース経由で見えるログ情報の漏えいリスクを下げられます。
診断設定の変更履歴を残す
「急に見えなくなった」ケースの多くは、診断設定や IAM が変更されています。AuditLogs も送っておけば、後から変更点を追いやすくなります。
コストとパフォーマンスを意識する
SigninLogs はテナント規模によっては膨大になり、Workbook の読み込みが遅くなることがあります。公式ドキュメントでは、Workbook のパフォーマンス改善のために Azure Monitor の変換（Transformation）を作成し、取り込むデータを調整する方法も紹介されています。必要になったら「期間を短くする → 変換を検討」の順で段階的に対応すると現実的です。
まとめ：表示できない問題を解決する“3本柱”
- ライセンス：Microsoft Entra ID P1/P2 が有効（Conditional Access 利用条件）
- ログ基盤：Log Analytics ワークスペース＋診断設定（SigninLogs などを送信）
- 権限：Entra の Security Reader 以上＋Azure 側のワークスペース RBAC
上記が揃えば、Conditional Access の「Insights and Reporting」でサインイン状況やポリシー評価結果を横断的に確認できるようになり、レポート専用（Report-only）ポリシーの影響把握や、ブロック要因の特定が一気に楽になります。
コメント