Claude監査ログの見方 — Enterprise組織の変更履歴を追跡する

Claude監査ログとは何か

監査ログとは、組織内でメンバーが行った操作やシステムイベントを記録した証跡データです。Enterpriseプラン限定の機能で、Organization OwnerとPrimary Ownerだけがエクスポートできます。取得できる範囲は過去180日分で、それより古いイベントは含まれません。

エクスポートは「Organization settings > Data and Privacy」の「Export logs」ボタンから実行します。ボタンを押すと組織内の直近180日分の監査ログが集約され、依頼したOwner宛てにダウンロードリンク付きのメールが届きます。リンクの有効期限は24時間です。ログの集約には時間がかかるため、ボタンを押してからメールが届くまでにタイムラグがある点は事前に見込んでおく必要があります。

組織が顧客管理暗号鍵(CMEK)をEnterpriseプランで使っている場合、「Export logs」ボタンではデータを取得できません。この場合の監査ログイベントはCompliance API経由でのみ取得できます。

Adminロールやカスタムロールのメンバーには、組織のモデルアクセス制限のような「Identity & Access」権限で委譲できる設定がありますが、監査ログのエクスポート権限には同様の委譲先が用意されていません。情報システム部門やセキュリティ担当が定期的に取得・保管する運用にする場合は、担当者をOwnerロールに含めるか、Ownerが定期的に代理でエクスポートする運用を決めておく必要があります。

監査ログをエクスポートする手順

1. 「Organization settings > Data and Privacy」を開く(Organization OwnerまたはPrimary Ownerでログイン)
2. 「Export logs」ボタンをクリックする
3. 過去180日分のログが集約されるまで待つ(即時ではない)
4. エクスポートを依頼したOwner宛てに、ダウンロードリンクを含むメールが届く
5. 24時間以内にリンクからログをダウンロードする

CMEKを使う組織はこの手順が使えないため、Compliance API経由での取得に切り替えます。ロールベースの権限設計・グループ管理の全体像はClaude CoworkのRBAC運用で扱っており、監査ログの運用はその権限設計とセットで検討すると抜け漏れが減ります。

監査ログに含まれる項目とログの構造

監査ログの各行は、次の列で構成されます。

エンティティ情報(entity_info)は、操作対象の種類(type)・一意のUUID(uuid)・名前(name、取得できる場合)・付随メタデータ(metadata)という共通構造を持ちます。対象となるエンティティの種類は、ユーザーアカウント・組織への招待・プロジェクト・プロジェクト内のドキュメント・チャットの会話・アップロードされたファイル・SSO接続の7種類です。SSO接続のエンティティには接続タイプ・接続状態・関連ドメインがメタデータとして付きます。

event_infoの中身はイベントの種類ごとに変わります。たとえばuser_name_changedなら変更前の名前(old_name)と変更後の名前(new_name)、project_visibility_changedなら変更後の公開範囲(updated_privacy)、org_sso_toggledならSSOを必須化したかどうか(sso_enforced)、org_jit_toggledならJITプロビジョニングを有効にしたかどうか(jit_provisioning_enabled)が入ります。何が起きたかをeventの種類だけで判断せず、event_infoの中身まで見て確認する習慣をつけておくと、調査の精度が上がります。

記録される主なイベントカテゴリー

イベントは目的別に次の5カテゴリーで捉えると探しやすくなります。

SSOの導入・切断のトラブルシューティングでは、SSO・JIT・ドメイン設定カテゴリーのイベントを時系列で追うと、いつ誰が接続を切り替えたかを特定しやすくなります。組織からユーザーが離脱した経緯を追う場合は、認証カテゴリーと組織メンバー管理カテゴリーを組み合わせて確認します。

記録されるイベントの全一覧(カテゴリー別)

認証・サインイン

イベント	内容
user_signed_in_sso	内容SSO経由でサインイン
user_signed_in_google	内容Googleアカウントでサインイン
user_signed_in_apple	内容Appleアカウントでサインイン
user_signed_out	内容サインアウト
user_sent_phone_code	内容電話番号確認コードを送信
user_verified_phone_code	内容送信された電話番号確認コードで認証
user_requested_magic_link	内容マジックリンクをリクエスト
user_attempted_magic_link_verification	内容マジックリンクでの認証を試行
user_name_changed	内容アカウント名を変更

組織メンバー・招待管理

イベント	内容
org_user_invite_sent	内容組織への招待を送信
org_user_invite_re_sent	内容招待を再送信
org_user_invite_accepted	内容招待が承認された
org_user_invite_rejected	内容招待が拒否された
org_user_invite_deleted	内容送信済みの招待を削除
org_user_deleted	内容組織からユーザーを削除

SSO・JIT・ドメイン設定

イベント	内容
org_sso_toggled	内容SSOの強制設定を切り替え
org_sso_add_initiated	内容SSO接続の追加を開始
org_sso_connection_activated	内容SSO接続を有効化
org_sso_connection_deactivated	内容SSO接続を無効化
org_sso_connection_deleted	内容SSO接続を削除
org_jit_toggled	内容JITプロビジョニングを切り替え
org_domain_add_initiated	内容ドメイン検証を開始
org_domain_verified	内容ドメイン検証が完了

データエクスポート

イベント	内容
org_data_export_started	内容組織データのエクスポートを開始(Anthropic起点か組織起点かをinitiated_by_anthropicで区別)
org_data_export_completed	内容組織データのエクスポートが完了

プロジェクト・会話・ファイル

イベント	内容
project_created	内容プロジェクトを作成
project_renamed	内容プロジェクト名を変更
project_visibility_changed	内容プロジェクトの公開範囲を変更
project_deleted	内容プロジェクトを削除
project_document_created	内容プロジェクトのドキュメントを追加
project_document_deleted	内容プロジェクトのドキュメントを削除
conversation_created	内容会話を作成
conversation_renamed	内容会話名を変更
conversation_deleted	内容会話を削除
file_uploaded	内容ファイルをアップロード

監査ログをどんな用途で使うか

セキュリティインシデントの調査では、ip_address・device_id・user_agentの3列が起点になります。見慣れないIPアドレスやデバイスからのサインインが無いかをuser_signed_in_ssoやuser_signed_in_googleなどの認証イベントで確認し、不審な操作が見つかればactor_infoから関係するアカウントを特定します。

退職者のアクセスが確実に止まっているかを確認する場面では、org_user_deletedイベントと、それ以降に該当アカウントでのサインインイベントが記録されていないことを突き合わせます。IDプロバイダー側のアカウント削除と監査ログ上の記録にずれがないかを確かめるクロスチェックとして使えます。

IDプロバイダーの切り替えやSSO設定の変更作業では、org_sso_connection_deactivated・org_sso_connection_activated・org_domain_verifiedといったイベントを時系列で並べることで、切り替え作業がいつ完了したか、途中で失敗した形跡がないかを確認できます。

内部統制やセキュリティ監査の証跡としては、180日分のエクスポートをそのまま定期的に取得・保管しておく運用が一般的です。より高い頻度や自動化した継続監視が必要な場合は、次節で扱うCompliance API側での取得を検討します。

監査ログとCompliance APIの使い分け

監査ログは、Ownerが手動でボタンを押して180日分をまとめて取得する仕組みです。チャットやプロジェクトの本文までプログラム的に、あるいはより高い頻度で取得したい場合は、Compliance APIを使う設計になっています。監査ログとCompliance APIは取得できる情報の粒度が異なる別物です。Compliance APIの対応範囲・チャット内容の取得可否など、より踏み込んだ使い分けはClaudeのビジネスデータ共有チェックリストにまとめています。

よくあるつまずき

• チャットの中身は監査ログに出ない: 「誰が何を話したか」を監査ログだけで追おうとすると、会話IDは分かっても内容が分からず行き詰まります。内容の調査が必要な場合は、最初からデータエクスポートかCompliance APIを使う前提で計画します
• CMEK採用組織はボタンが使えない: この構成の組織はCompliance API経由の取得を前提に運用を組む必要があります。監査の依頼が来てから気づくと間に合わないため、CMEKを有効にする段階でログの取得経路も決めておきます
• エクスポートは即時ではない: ボタンを押した直後にメールが届くとは限りません。ログの集約に時間がかかるため、インシデント対応ですぐに証跡が欲しい場面では、待ち時間を見込んだ上で早めに依頼する運用が安全です
• ダウンロードリンクは24時間で失効する: 依頼から時間が経ってからダウンロードしようとすると、リンクが切れていることがあります。メールが届いたら早めに保存する運用にしておくと安全です
• eventの種類だけでは足りないことがある: 同じeventでもevent_infoの中身次第で意味が変わる項目があります。「何が起きたか」をevent列だけで判断せず、付随情報まで開いて確認する前提で調査を組み立てます

よくある質問

監査ログはリアルタイムで確認できますか

できません。監査ログは「Export logs」ボタンを押すたびに過去180日分をまとめて集約するバッチ処理で、常時更新されるダッシュボードのようなものではありません。より即時性の高い取得や継続的な監視が必要な場合は、Compliance API側での連携を検討します。

削除されたプロジェクトや会話のイベントも記録されますか

記録されます。project_deletedやconversation_deletedのように、削除そのものを記録するイベント種別が用意されています。誰がいつ削除したかを、削除後でも監査ログから追跡できます。

SSO接続の変更も監査ログで追えますか

追えます。SSO接続の有効化・無効化・削除、SSOの強制設定の切り替え、JITプロビジョニングの切り替え、ドメインの検証といったイベントがそれぞれ個別に記録されます。IDプロバイダー側の設定変更に伴う問い合わせがあったときの一次情報として使えます。

まとめ

Claudeの監査ログは、EnterpriseプランでOrganization OwnerまたはPrimary Ownerが「Organization settings > Data and Privacy」からエクスポートする、過去180日分の操作履歴です。列構造とエンティティの型を把握しておけば、認証・組織メンバー管理・SSO設定・データエクスポート・プロジェクト操作という5つの切り口で目的のイベントを絞り込めます。チャットやプロジェクトの本文は対象外である点と、顧客管理暗号鍵を使う組織はCompliance API側に頼る必要がある点は、運用を組む前に押さえておきたい制約です。セキュリティ監査やSSOのトラブルシューティングで証跡が必要になったタイミングで、早めにエクスポートを依頼する運用が向いています。