エンタープライズの監査ログの検索

エンタープライズの監査ログの検索について

[フィルター] ドロップダウンを使用するか、検索クエリを入力して、ユーザー インターフェイスからエンタープライズの監査ログを直接検索できます。

エンタープライズの監査ログを表示する方法については、「企業の監査ログにアクセスする」を参照してください。

API を使用して監査ログ イベントを取得することもできます。 詳しくは、「エンタープライズの監査ログ API を使う」をご覧ください。

テキストを使用してエントリを検索することはできません。 ただし、さまざまなフィルターを使用すれば検索クエリを作成できます。 ログのクエリ時に使用される多くの演算子 (-、>、< など) は、GitHub 全体で検索するものと同じ形式です。 詳しくは、「GitHubでの検索について」をご覧ください。

検索クエリ フィルター

Assert	説明
Yesterday's activity	過去 1 日に作成されたすべてのアクション。
Enterprise account management
business カテゴリ内のすべてのアクション。
Organization membership	新しいユーザーが組織に参加するように招待されたときのすべてのアクション。
Team management	チーム管理に関連するすべてのアクション。 - ユーザー アカウントまたはリポジトリがチームに追加またはチームから削除されたとき - チームの保守担当者が昇格または降格されたとき - チームが削除された場合
Repository management	リポジトリ管理のすべてのアクション。 - リポジトリが作成または削除されたとき - リポジトリの可視性が変更されたとき - チームがリポジトリに追加または削除された場合
これらのステップを実行してください：
Billing updates	企業が GitHub に対して支払う方法および請求 E メール アドレスが変更された場合を考慮するすべてのアクション。
Hook activity	Webhook と pre-receive フックのすべてのアクション。
Security management	SSH キー、デプロイ キー、セキュリティ キー、2FA、SAML シングル サインオン資格情報の承認、リポジトリの脆弱性アラートに関するすべてのアクション。

検索クエリ構文

1 つ以上の key:value ペアから検索クエリを作成できます。 たとえば、2017 年の初めからリポジトリ octocat/Spoon-Knife に影響を与えたすべてのアクションを確認するには、次のようにします。

repo:"octocat/Spoon-Knife" created:>=2017-01-01

検索クエリで使用できる key:value ペアは次のとおりです。

Key	値
action	監査対象のアクションの名前。
actor	アクションを開始したアカウントの名前。
created	アクションが発生した時刻。
ip	実行者の IP アドレス。
operation	アクションに対応する操作の種類。 操作の種類は、create、access、modify、remove、authentication、transfer、および restore です。
これらのステップを実行してください：
repository	アクションが発生したリポジトリの所有者の名前 (octocat/octo-repo など)。
user	アクションによって影響を受けたユーザーの名前。 アクションがエージェントによって実行された場合、このフィールドにはエージェントが操作したユーザーの名前が含まれます。

カテゴリ別にグループ化されたアクションを表示するには、アクション修飾子を key:value ペアとして使用することもできます。 詳細については、「実行されたアクションに基づく検索」を参照してください。

Enterprise 監査ログのアクションの完全な一覧については、「企業向け監査ログイベント」を参照してください。

Audit log を検索する

操作に基づく検索

operation 修飾子は、アクションを特定の操作の種類に限定するときに使ってください。 たとえば次のような点です。

• operation:access は、リソースがアクセスされたすべてのイベントを検索します。
• operation:authentication は、認証イベントが実行されたすべてのイベントを検索します。
• operation:create は、リソースが作成されたすべてのイベントを検索します。
• operation:modify は、既存のリソースが変更されたすべてのイベントを検索します。
• operation:remove は、既存のリソースが削除されたすべてのイベントを検索します。
• operation:restore は、既存のリソースが復元されたすべてのイベントを検索します。
• operation:transfer は、既存のリソースが移動されたすべてのイベントを検索します。

リポジトリに基づく検索

repo 修飾子は、アクションを特定のリポジトリに限定するときに使ってください。 次に例を示します。

• repo:my-org/our-repo は、my-org 組織内の our-repo リポジトリで発生したすべてのイベントを検索します。
• repo:my-org/our-repo repo:my-org/another-repo は、my-org組織内の our-repo および another-repo リポジトリで発生したすべてのイベントを検索します。
• -repo:my-org/not-this-repo は、my-org 組織内の not-this-repo リポジトリで発生したすべてのイベントを除外します。

repo 修飾子内にアカウント名を含める必要があります。repo:our-repo を検索するだけでは作動しません。

アクターに基づく検索

actor修飾子は、アクションを実行したユーザーまたはエージェントに基づいてイベントのスコープを設定できます。 たとえば次のような点です。

• actor:octocat は octocat によって実行されたすべてのイベントを検索します。
• actor:octocat actor:Copilot を使うと、octocat または Copilot によって実行されたすべてのイベントを検索できます。
• -actor:Copilot は Copilot によって実行されたすべてのイベントを除外します。

使用できるのは GitHub のユーザー名のみであり、個人の実名ではないことに注意してください。

実行されたアクションに基づく検索

特定のイベントを検索するには、クエリで action 修飾子を使用します。 次に例を示します。

• action:team は、チーム カテゴリ内でグループ化されたすべてのイベントを検索します。
• -action:hook は、Webhook カテゴリのすべてのイベントを除外します。

各カテゴリには、フィルタできる一連の関連アクションがあります。 次に例を示します。

• action:team.create は、チームが作成されたすべてのイベントを検索します。
• -action:hook.events_changed は、Webhook 上のイベントが変更されたすべてのイベントを除外します。

エンタープライズの監査ログで検出できるアクションは、次のカテゴリにグループ化されます。

カテゴリ名	説明
account	Organization アカウントに関連するアクティビティが含まれます。
advisory_credit
GitHub Advisory Databaseのセキュリティ アドバイザリの共同作成者への与信に関連するアクティビティが含まれています。 詳しくは、「リポジトリ セキュリティ アドバイザリ」をご覧ください。
artifact	ワークフロー実行成果物 GitHub Actions 関連するアクティビティが含まれています。
audit_log_streaming	エンタープライズ アカウント内の組織向けストリーミング監査ログに関するアクティビティが含まれます。
billing	組織の請求に関連するアクティビティが含まれます。
business	Enterprise のビジネス設定に関連するアクティビティを含みます。
business_advanced_security	企業内の Advanced Security に関連するアクティビティが含まれています。
business_secret_scanning	企業内の secret scanning に関連するアクティビティが含まれています。
business_secret_scanning_automatic_validity_checks	企業での secret scanning の自動有効性チェックの有効化または無効化に関連するアクティビティが含まれています。
business_secret_scanning_custom_pattern	企業内の secret scanning のカスタム パターンに関連するアクティビティが含まれています。
business_secret_scanning_custom_pattern_push_protection	企業内の secret scanning のカスタム パターンのプッシュ保護に関連するアクティビティが含まれています。 詳しくは、「シークレット スキャンのカスタム パターンの定義」をご覧ください。
business_secret_scanning_push_protection	企業内の secret scanning のプッシュ保護機能に関連するアクティビティが含まれています。
business_secret_scanning_push_protection_custom_message	Enterprise 内でプッシュ保護がトリガーされたときに表示されるカスタム メッセージに関連するアクティビティが含まれます。
checks	チェック スイートと実行に関連するアクティビティが含まれます。
codespaces	組織の Codespaces に関するアクティビティが含まれます。
commit_comment	コミット コメントの更新または削除に関連するアクティビティが含まれます。
dependabot_alerts	既存のリポジトリ内の Dependabot alerts の組織レベルの構成アクティビティが含まれています。 詳しくは、「Dependabot アラート」をご覧ください。
dependabot_alerts_new_repos	組織で作成された新しいリポジトリの Dependabot alerts の組織レベルの構成アクティビティが含まれています。
dependabot_repository_access
Dependabot が組織内のどのプライベート リポジトリへのアクセスを許可されているかに関連するアクティビティが含まれます。
dependabot_security_updates	既存のリポジトリ内の Dependabot security updates の組織レベルの構成アクティビティが含まれています。 詳しくは、「Dependabot セキュリティの更新の構成」をご覧ください。
dependabot_security_updates_new_repos	組織で作成された新しいリポジトリの Dependabot security updates の組織レベルの構成アクティビティが含まれています。
dependency_graph	リポジトリの依存関係グラフ用組織レベルの構成アクティビティが含まれます。 詳しくは、「依存関係グラフ」をご覧ください。
dependency_graph_new_repos	Organization 内に作成された新しいリポジトリの Organization レベルの構成アクティビティが含まれます。
dotcom_connection
GitHub Connectに関連するアクティビティが含まれます。
enterprise	Enterprise 設定に関連するアクティビティが含まれます。
enterprise_domain	検証済み Enterprise ドメインに関連するアクティビティが含まれます。
enterprise_installation
GitHub Appsエンタープライズ接続に関連付けられているGitHub Connectに関連するアクティビティが含まれます。
environment
GitHub Actions環境に関連するアクティビティが含まれています。
hook	Webhook に関連するアクティビティが含まれます。
integration	アカウント内の統合に関連するアクティビティが含まれます。
integration_installation	アカウント内にインストールされた統合に関連するアクティビティが含まれます。
integration_installation_request	組織内で使用するインテグレーションの承認をオーナーに求める、組織のメンバーからのリクエストに関するアクティビティが含まれます。
ip_allow_list	Organization の IP 許可リストの有効化または無効化に関連するアクティビティが含まれます。
ip_allow_list_entry	Organization の IP 許可リスト エントリの作成、削除、編集に関連するアクティビティが含まれます。
issue	リポジトリ内の issue のピン留め、転送、または削除に関連するアクティビティが含まれます。
issue_comment	issueのコメントのピン留め、転送、または削除に関するアクティビティが含まれます。
issues	組織の Issue 作成の有効化または無効化に関するアクティビティが含まれます。
marketplace_agreement_signature
GitHub Marketplace開発者契約の署名に関連するアクティビティが含まれています。
marketplace_listing
GitHub Marketplaceでのアプリの一覧表示に関連するアクティビティが含まれています。
members_can_create_pages	組織内のリポジトリの GitHub Pages サイトの発行の管理に関連するアクティビティが含まれています。 詳しくは、「Organization の GitHub Pages サイトの公開を管理する」をご覧ください。
members_can_create_private_pages	組織内のリポジトリのプライベート GitHub Pages サイトの発行の管理に関連するアクティビティが含まれています。
members_can_create_public_pages	組織内のリポジトリのパブリック GitHub Pages サイトの発行の管理に関連するアクティビティが含まれています。
members_can_delete_repos	Organization のリポジトリ作成の有効化または無効化に関連するアクティビティが含まれます。
members_can_view_dependency_insights	Organization メンバーが依存関係の分析情報を表示できるようにする Organization レベルの構成アクティビティが含まれます。
migration
_ソース_の場所 (GitHub.com組織やGitHub Enterprise Server インスタンスなど) から_ターゲット_GitHub Enterprise Server インスタンスへのデータ転送に関連するアクティビティが含まれます。
oauth_access	OAuth アクセス トークンに関連するアクティビティが含まれます。
oauth_application
OAuth appsに関連するアクティビティが含まれます。
oauth_authorization
OAuth appsの承認に関連するアクティビティが含まれています。
org	組織への所属に関連するアクティビティが含まれます。
org_credential_authorization	SAML シングル サインオンで使用する資格情報の認可に関連するアクティビティが含まれます。
org_secret_scanning_automatic_validity_checks	組織内の secret scanning の自動有効性チェックの有効化または無効化に関連するアクティビティが含まれています。 詳しくは、「カスタム セキュリティ構成を作成する」をご覧ください。
org_secret_scanning_custom_pattern	組織内の secret scanning のカスタム パターンに関連するアクティビティが含まれています。 詳しくは、「シークレット スキャンのカスタム パターンの定義」をご覧ください。
organization_default_label	Organization のリポジトリのデフォルト ラベルに関連するアクティビティが含まれます。
organization_domain	検証済み Organization ドメインに関連するアクティビティが含まれます。
organization_projects_change	企業内の組織全体の プロジェクト に関連するアクティビティが含まれています。
pages_protected_domain
GitHub Pagesの検証済みカスタム ドメインに関連するアクティビティが含まれています。
payment_method
GitHubに対する組織の支払い方法に関連するアクティビティが含まれます。
prebuild_configuration
GitHub Codespacesのビルド前の構成に関連するアクティビティが含まれています。
private_repository_forking	リポジトリ、組織、またはエンタープライズにおける、プライベートリポジトリおよび内部リポジトリのフォークを許可することに関連するアクティビティが含まれます。
profile_picture	組織のプロフィール画像に関連するアクティビティが含まれます。
project	プロジェクトに関連するアクティビティが含まれます。
project_field	プロジェクトでのフィールドの作成と削除に関連するアクティビティが含まれます。
project_view	プロジェクトでのビューの作成と削除に関連するアクティビティが含まれます。
protected_branch	保護されたブランチに関連するアクティビティが含まれます。
public_key	SSH キーとデプロイ キーに関連するアクティビティが含まれます。
pull_request	pull request に関連するアクティビティが含まれます。
pull_request_review	プルリクエストのレビューに関連したアクティビティが含まれます。
pull_request_review_comment	プルリクエストのレビューコメントに関するアクティビティが含まれます。
repo	Organization が所有するリポジトリに関連するアクティビティが含まれます。
repository_advisory
GitHub Advisory Databaseのセキュリティ アドバイザリに関連するリポジトリ レベルのアクティビティが含まれています。 詳しくは、「リポジトリ セキュリティ アドバイザリ」をご覧ください。
repository_content_analysis	プライベート リポジトリのデータ使用の有効化または無効化に関連するアクティビティが含まれます。 詳しくは、「リポジトリのセキュリティと分析設定を管理する」をご覧ください。
repository_dependency_graph	プライベート リポジトリの依存関係グラフの有効化または無効化に関連するリポジトリレベルのアクティビティが含まれます。 詳しくは、「依存関係グラフ」をご覧ください。
repository_image	リポジトリの画像に関連するアクティビティが含まれます。
repository_invitation	リポジトリに参加するための招待に関連するアクティビティが含まれます。
repository_projects_change	リポジトリ、または組織内のすべてのリポジトリに対して、プロジェクトを有効にすることに関するアクティビティが含まれます。
repository_secret_scanning
secret scanningに関連するリポジトリ レベルのアクティビティが含まれています。 詳しくは、「シークレット スキャン」をご覧ください。
repository_secret_scanning_automatic_validity_checks	リポジトリ内の secret scanning の自動有効性チェックの有効化または無効化に関連するアクティビティが含まれています。 詳しくは、「リポジトリのシークレット スキャンの有効化」をご覧ください。
repository_secret_scanning_custom_pattern	リポジトリ内のカスタム パターン secret scanning 関連するアクティビティが含まれています。 詳しくは、「シークレット スキャンのカスタム パターンの定義」をご覧ください。
repository_secret_scanning_custom_pattern_push_protection	リポジトリ内の secret scanning のカスタム パターンのプッシュ保護に関連するアクティビティが含まれています。 詳しくは、「シークレット スキャンのカスタム パターンの定義」をご覧ください。
repository_secret_scanning_push_protection	リポジトリ内の secret scanning のプッシュ保護機能に関連するアクティビティが含まれています。 詳しくは、「プッシュプロテクション」をご覧ください。
repository_visibility_change	組織メンバーが組織のリポジトリの可視性を変更できるようにすることに関連するアクティビティが含まれます。
repository_vulnerability_alert
[
Dependabot alerts
](/code-security/concepts/supply-chain-security/dependabot-alerts)に関連するアクティビティが含まれます。
repository_vulnerability_alerts
Dependabot alertsのリポジトリ レベルの構成アクティビティが含まれています。
required_status_check	保護ブランチの必須ステータスチェックに関するアクティビティが含まれます。
restrict_notification_delivery	Enterprise の承認済みドメインまたは検証済みドメインへの電子メールによる通知の制限に関連するアクティビティが含まれます。
role
カスタム リポジトリ ロールに関連するアクティビティが含まれます。
secret_scanning	既存のリポジトリ内の secret scanning の組織レベルの構成アクティビティが含まれています。 詳しくは、「シークレット スキャン」をご覧ください。
secret_scanning_new_repos	組織で作成された新しいリポジトリの secret scanning の組織レベルの構成アクティビティが含まれています。
security_key	セキュリティ キーの登録と削除に関連するアクティビティが含まれます。
sponsors	スポンサー ボタンに関連するイベントが含まれます (「リポジトリにスポンサーボタンを表示する」を参照してください)。
ssh_certificate_authority	Organization または Enterprise の SSH 証明機関に関連するアクティビティが含まれます。
ssh_certificate_requirement	メンバーが SSH 証明書を使用して Organaization リソースにアクセスすることを要求することに関連するアクティビティが含まれます。
sso_redirect	ユーザーをサインインに自動的にリダイレクトすることに関連するアクティビティが含まれます (「Enterprise でセキュリティ設定のポリシーを適用する」を参照してください)。
staff	アクションを実行しているサイト管理者に関連するアクティビティが含まれます。
team	Organization 内のチームに関連するアクティビティが含まれます。
team_sync_tenant	企業または組織向けの IdP とのチーム同期に関するアクティビティが含まれます。
user	Enterprise または Organization 内のユーザーに関連するアクティビティが含まれます。
user_license
ライセンスを使用しており、エンタープライズのメンバーであるユーザーに関するアクティビティが含まれます。
workflows
GitHub Actions ワークフローに関連するアクティビティが含まれています。

アクション時間に基づく検索

created 修飾子を使用して、発生した日時に基づいて監査ログ内のイベントをフィルター処理します。

日付の書式設定は、ISO8601 標準の YYYY-MM-DD (年-月-日) に従う必要があります。 日付の後にオプションの時刻情報 THH:MM:SS+00:00 を追加して、時間、分、秒で検索することもできます。 これは、T の後に HH:MM:SS (時-分-秒)、UTC オフセット (+00:00) が続きます。

日付に対して検索を行う場合、結果をさらにフィルタリングするためにより大きい、より小さい、範囲の修飾子を利用できます。 詳しくは、「検索構文を理解する」をご覧ください。

次に例を示します。

• created:2014-07-08 は、2014 年 7 月 8 日に発生したすべてのイベントを検索します。
• created:>=2014-07-08 は、2014 年 7 月 8 日またはそれ以降に発生したすべてのイベントを検索します。
• created:<=2014-07-08 は、2014 年 7 月 8 日またはそれより前に発生したすべてのイベントを検索します。
• created:2014-07-01..2014-07-31 は、2014 年 7 月の月に発生したすべてのイベントを検索します。

場所に基づく検索

修飾子 country を使用すると、発信元の国に基づいて監査ログ内のイベントをフィルター処理できます。 国の 2 文字の短いコードまたはフル ネームを使用できます。 名前に空白がある国は引用符で囲む必要があります。 次に例を示します。

• country:de は、ドイツで発生したすべてのイベントを検索します。
• country:Mexico は、メキシコで発生したすべてのイベントを検索します。
• country:"United States"はアメリカ合衆国で発生したイベントをすべて検出します。

アクションを実行したトークンに基づいて検索する

hashed_token 修飾子を使用して、アクションを実行したトークンに基づいて検索します。 トークンを検索する前に、SHA-256 ハッシュを生成する必要があります。 詳しくは、「アクセス トークンによって実行される監査ログ イベントの識別」をご覧ください。