Intune の監査ログは約30日で消える — 「誰が・いつ・何を変えたか」を残す方法
最終更新：2026-07-22
「先月あたりから一部の端末で挙動が変わった気がする。誰か設定を変えた？」——Intune の運用でこの問いに答える一次情報が監査ログです。ポリシーの作成・変更・削除・割り当てが「誰が・いつ・何を」の形で記録されており、変更起因のトラブル調査でも監査対応でも、まずここを見ることになります。ただし監査ログには保持期間があり、Microsoft 側で保持されるのは約30日です。この記事では、30日の壁が実務のどこで効いてくるのか、そして証跡を30日より長く残すための現実的な選択肢を整理します。
1. 監査ログには何が記録されるか
Intune の監査ログ（管理センターの「テナント管理 ＞ 監査ログ」）には、管理者による構成変更の操作が記録されます。具体的には、ポリシー・プロファイル・アプリなどの作成／変更／削除、割り当ての変更、ロールの操作などです。各レコードには操作した管理者（UPN）、日時、対象オブジェクト、操作種別が含まれます。
つまり監査ログは「構成が今どうなっているか」ではなく「構成がどう変えられてきたか」の記録です。現在の構成は管理センターを見ればわかりますが、変更の経緯と実行者はこのログにしか残りません。
2. 約30日という壁
この監査ログが Microsoft 側で保持されるのは約30日です。それより古い操作の記録は、管理センターからもたどれなくなります。事前に手を打っていなければ、消えたログを後から取り戻す方法はありません。
30日という期間は、日常のトラブルシューティングには十分でも、次のような場面では足りません。
- 四半期・年次の監査：「この1年の設定変更の記録を示してください」と言われても、直近約30日分しか出せない。
- 気づくのが遅れた変更の調査：影響が顕在化するまでに時間がかかった設定変更は、調べようとした時点でログが消えていることがある。
- 退職・異動した管理者の作業の後追い：本人に聞けなくなってから「何をどこまで変えていたか」を確かめたくても、記録が残っていない。
- SIer・MSP の説明責任：顧客テナントの変更履歴を求められたとき、受託者として30日より前を示せない。
「後から必要になったときには、もう残っていない」というのがこの問題の性質です。対策はログが消える前＝平時に仕込んでおく必要があります。
3. 証跡を残す4つの方法
30日を超えて証跡を残す方法は、大きく4つあります。それぞれに向き不向きがあります。
| 方法 | 概要 | 向いているケース・注意点 |
|---|---|---|
| 手動エクスポート | 管理センターから定期的に監査ログをエクスポートして保管する。 | 追加コストなしで今日から始められる。ただし「定期的に人がやる」運用は途切れやすく、エクスポート漏れの期間は埋められない。 |
| Graph API で自前収集 | スクリプトで監査ログを定期取得し、自組織のストレージに蓄積する。 | 柔軟だが、スクリプトの開発・実行基盤・API 変更への追従を自前で維持する必要がある。作った人への属人化にも注意。 |
| Azure のログ基盤へ転送 | Intune の診断設定から Azure Monitor（Log Analytics）等へ監査ログを送り、長期保持する。 | 組織に Azure のログ運用基盤が既にあるなら有力。保持期間・データ量に応じた Azure 側の費用と、基盤を運用できる体制が前提。 |
| ツールで自動蓄積 | 構成管理ツールに監査ログの蓄積を組み込み、取得のたびに自動で溜める。 | 仕込んだ後は運用の手間がない。構成のスナップショット・差分と突き合わせて使えるのが利点。ツールの選定・費用が前提。 |
どの方法でも共通して重要なのは、「収集が自動で続く」ことと「集めたログを実際に使える形で引き出せる」ことです。溜めてはいるが誰も見ない・見られない状態では、監査の場面で結局役に立ちません。
4. ログだけでは足りない — 構成のスナップショットと組み合わせる
もう1つ、実務で効いてくる論点があります。監査ログは「変更の操作」の記録であり、「変更前後の構成の全体像」ではないという点です。ログから「◯◯さんがこのポリシーを変更した」ことはわかっても、変更の前後でテナント全体がどういう状態だったかを復元するのは困難です。
そのため、監査や調査への備えとしては、監査ログの保全と並行して、構成そのもののスナップショットを定期的に取っておくのが理想形です。「いつ時点の構成」と「その間の変更操作」の両方が揃って初めて、過去のある時点について完全な説明ができます。
5. TenantSnap のアプローチ
当社の TenantSnap は、この「スナップショット＋監査ログ」の組み合わせを1つのアプリで自動化します。
- 取得のたびにテナント構成のスナップショットを保存し、前回との差分を監査ログと突合して、変更者（UPN）付きの変更履歴として設計書・差分レポートに記録します。
- 監査ログを蓄積（アーカイブ）する設定をオンにすれば、取得のたびに監査ログを圧縮して手元に溜め、30日を超えた過去の変更についても「誰が・いつ」を差分レポートに残せます。
- 週次などの定期実行（Windows タスクスケジューラ連携）と組み合わせると、約30日で消える証跡が自動で蓄積され続けます。
- 蓄積したログ・スナップショットはすべてお使いの端末（またはお客様が指定した保存先）に置かれ、外部に送信されません。
差分の変更者情報は、比較する2時点の間隔が監査ログの保持期間（約30日）を超えると一部表示できなくなります。アーカイブ設定を使わない場合は、週1回以内の間隔での実行をおすすめします。
変更者付きの差分レポートが実際にどう見えるかは、検証環境のサンプルで確認できます。
6. まとめ
- Intune の監査ログは Microsoft 側で約30日しか保持されず、消えた後から取り戻す方法はない。
- 四半期・年次の監査や、気づくのが遅れた変更の調査では、30日では足りない。
- 対策は平時に仕込む。手動エクスポート／Graph API／Azure のログ基盤／ツールでの自動蓄積、いずれでも「自動で続く」ことが肝心。
- ログ（変更の記録）とスナップショット（構成の全体像）を組み合わせると、過去のある時点を完全に説明できるようになる。
本記事の製品仕様に関する記述は、TenantSnap の現行バージョンの実装に基づきます。監査ログの保持期間・Intune の機能は Microsoft により変更されることがあります。最新の正確な情報は Microsoft の公式ドキュメントをご確認ください。