Google Workspace の監査ログをエクスポートする方法

Google Workspace の管理コンソールには、「監査ログ」の閲覧機能が備わっています。

監査ログとは、「ユーザーと管理者のアクティビティの記録」であり、管理者がセキュリティを確保するために利用するログになります。

監査ログは大別すると、３つのログ種別が存在し、管理者はこれらのログを監視しながら、 Google Workspace の運用を行うことができます。

ところで、情報システムの担当者や Google Workspace の管理者は、これらの監査ログを分析したい場合、どのような手順を踏めば良いでしょうか。

基本的には、 Google Workspace の管理コンソール上にあるフィルタリング機能（※1）を利用して、ログの解析を行うことができますが、データを外部にエクスポートして、分析したい場合もあると思います。

例えば、SQLに慣れている管理者であれば、データベースにログをエクスポートして分析したいと考えるはずです。

というわけで、今回は Google Workspace のログを外部にエクスポートする方法について説明を行います。

※1 ユーザー、アクテビティの種類、組織、日付等によるログの絞り込み機能

監査ログの制約について理解しよう

Google Workspace の監査ログには制約が存在します。ログのエクスポート方法について説明する前に、まずは監査ログの制約について理解を深めていきましょう。

監査ログの保持期間には期限がある

Google Workspace の監査ログは、データの保持期間に期限が存在します。

各ログの保持期間は以下の通りです。基本的には6ヶ月間が一つの目安になりますが、ログの種類によっては、30日しか保管されないログや15ヶ月という長期間保持されるログも存在します。

監査ログの保持期間の制約を理解しないで Google Workspace の運用を行う場合、「気付いたらログがなくなっていた」という事態が起きかねないので注意が必要です。

ログに反映されるまでのタイムラグ

ログの種類によっては、監査ログにデータが反映されるまでに数日のタイムラグが発生します。

基本的には1~3日でデータは反映されますが、ログの種類によってはリアルタイムにログが反映されるものも存在します。

例えば、以下表のログはほぼリアルタイムでログを参照することが可能です。

Google はこれらのログを参照するためのAPIを提供しているため、リアルタイムにログを検知し、通知を行う機能を利用者自身が実装することも可能です。

監査ログをエクスポートするための３つの方法

監査ログをエクスポートする目的として「データ解析を行いたい」というニーズがあると思いますが、ここまで説明してきた監査ログの制約を考えると、「ログをバックアップしたい」という需要もありそうです。

しかし、ログのエクスポートについても、方法によっては制約が存在します。

一体どのような制約があるのか・・・ここからは監査ログのエクスポート方法について説明を行います。

スプレッドシート、もしくはCSVに出力する

Google Workspace の管理コンソールにはログをエクスポートする機能が存在します。

例えば、ドライブの監査ログをダウンロードする場合、管理コンソールの左メニューから[レポート]-[監査]-[ドライブ]を選択し、ドライブの監査ログ画面に遷移します。

画面右上にあるダウンロードアイコンを押下すると、以下のようなダイアログが表示されるので、「出力対象のデータ列」と「ダウンロード形式（スプレッドシート、またはCSV）」を指定して、ログデータのダウンロードを実行します。

ただし、一度にダウンロード可能なレコード数には100,000行という制限が存在するため注意が必要です。さらに多くのログを一度にエクスポートしたい場合は、別の手段を検討します。

APIによってログをエクスポートする

Google は監査ログを参照するためのAPIを提供しています。

このAPIを利用すれば、各種ログをエクスポートするプログラムを実装することができます。

また、 Google は開発向けのライブラリも提供しているため、利用者は開発言語に合わせたクライアントライブラリを利用すると良いでしょう。

APIの詳細についてはコチラが参考になりますが、監査ログの仕様は幅広いため、理解には時間がかかるかもしれません。

APIでログを出力する方法は、専門的な知識が要求されるため、非常に難易度の高い対応方法になるので注意が必要です。

BigQueryにログをエクスポートする

監査ログのエクスポートで最も簡易で手間がかからない方法は  BigQuery (※2) へのエクスポートです。

ただし、 BigQuery へのエクスポート機能を利用するためには、 Google Workspace のEnterpriseエディション、もしくはEducation Standard/Plusエディションの契約が必要になります。

それ以外のエディションでは、この機能を利用することができません。 BigQuery にログをエクスポートする場合、管理者は以下のようなデータ解析を行うことが可能です。

ただし、 BigQuery を利用する場合 Google Workspace とは別に Google Cloud Platform の契約が必要になります。

BigQuery について詳しく知りたい場合はこちらをご参考ください。

詳しいエクスポート手順については、今後のコラム記事で紹介しようと思います。

※2 BigQuery は Google が提供するビッグデータ解析サービスで、数ペタバイトのデータでさえもSQLを使って数秒から数十秒で処理することができます。

まとめ

監査ログは非常に強力な機能ではありますが、データの保持期間に制約が存在することがわかりました。だからこそ、ログのエクスポート機能の重要性は高いと言えます。

ログデータをエクスポートする最も簡易な方法は BigQuery へのエクスポート機能であると説明しましたが、この方法を選択する場合、 Google Workspace のエディションをアップグレードしなければならない可能性があります。

しかし、データ解析によって得られる、全体最適に繋がるメリットを考えると、エディションのアップグレードにかかるコストは高いとは言い切れません。

Google Workspace をさらに高度に使いこなすために、 BigQuery へのエクスポート機能は今後さらに需要が高まっていくことが考えられます。