Microsoft 365 の監査ログは、既定で有効で、標準のライセンス（E5 以外）では180日分が残ります。 事故が起きてから調べ始めると、半年より前の記録は残っていません。2026年11月時点の公式資料にもとづいて、保持期間、確認方法、調べ方を整理します。
この記事は、個人による非公式の解説です。仕様やライセンスは変わる可能性があるため、作業の前に、末尾の「参考」の公式資料を確認してください。
監査ログとは
Microsoft Purview の統合監査ログは、Microsoft 365 の多くのサービスで、利用者と管理者の操作を記録します。たとえば、誰が、いつ、どのファイルを共有したか、どの管理設定を変えたか、といった記録です。事故の調査（誰の操作か、いつ起きたか）に欠かせない情報です。
何日残るのか
保持期間は、そのユーザーに割り当てられたライセンスの種類で変わります。
| ユーザーのライセンス | 保持期間 |
|---|---|
| Office 365 E5、Microsoft 365 E5 など（Audit (Premium) の対象） | Microsoft Entra ID、Exchange、SharePoint の記録は、既定で1年。ほかのサービスは180日（保持ポリシーで延ばせる） |
| そのほかの Office 365、Microsoft 365 のライセンス（Audit (Standard)） | 180日 |
標準の保持期間は、2023年10月17日に、90日から180日へ変更されました。2023年10月16日までに生成された記録は90日、2023年10月17日以降に生成された記録は180日です。
保持期間を延ばす方法もあります。Audit (Premium) では、保持ポリシーを作って、最長1年、さらに別のアドオンライセンスで最長10年まで、記録を残せます。また、記録を Office 365 Management Activity API で取り出して、別の場所に保管する方法も、公式資料に示されています。
手順1：監査ログが有効かを確認する
監査ログの検索は、Microsoft 365 と Office 365 のエンタープライズ組織では、既定でオンです。念のため、Exchange Online PowerShell で、次のコマンドを実行して確認できます。
Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled
値が True なら、監査ログの検索がオンです。このコマンドは、Exchange Online PowerShell で実行してください。 Security & Compliance PowerShell で実行すると、オンでも、この値が常に False と表示されます。
手順2：必要な権限を確認する
監査ログを検索するには、Microsoft Purview ポータルで、「Audit Logs」または「View-Only Audit Logs」のロールが割り当てられている必要があります。Exchange 管理センターで、監査のコマンドを使う場合も、同じ名前のロールが必要です。
手順3：検索する
- Microsoft Purview ポータルにサインインする
- 「Audit」のカードを開く
- 日時の範囲（UTC）、ユーザー、アクティビティ、ファイルやサイトなどを指定して、検索を実行する
検索の仕様として、次の点に注意してください。
- 指定できる日付の範囲は、最大180日
- 日時は、UTC（協定世界時）で表示される。日本時間とは9時間ずれる
- 操作が起きてから、記録が検索できるようになるまで、Exchange、SharePoint、OneDrive、Teams などの主要なサービスでは、通常60〜90分かかる。Microsoft は、特定の時間を保証していない
- 大きなテナントで、範囲を広げた検索は、完了まで最大48時間かかることがある
- 結果の書き出し（CSV）は、Audit (Standard) では50,000行、Audit (Premium) では1,000,000行まで
PowerShell で検索する場合は、Exchange Online PowerShell の Search-UnifiedAuditLog コマンドを使います。
注意したい点
- 監査ログの取り込みは、コマンドでオフにできます。意図せずオフにされていないかを、定期的に確認してください
- 利用者のメールボックスの監査イベントが、検索で見つからないことがあります。公式資料に、メールボックス監査の注意点があります
- ライセンスや保持ポリシーが変わると、記録の保持期間（有効期限）も変わります。すでに保存された記録には影響しません
- 監査ログは、「あとから調べる」ための記録です。事故の疑いがあるときに、すぐ検索できるよう、権限と手順を決めておきます
まとめ
監査ログは、既定で有効で、標準では180日残ります。まず、Exchange Online PowerShell で、監査ログが有効かを確認してください。 そして、自社のライセンスで、何日分が残るかを確認します。180日で足りない業務（取引先への報告義務など）がある場合は、保持を延ばす方法を検討してください。
自社の設定の全体を確認したい場合は、M365・社内IT 自己点検（16問・約3分・無料）も使えます。「監査ログを、必要なときに調べられますか」という設問が含まれています。
参考
2026年11月時点で確認した公式資料です。
- Learn about auditing solutions in Microsoft Purview：https://learn.microsoft.com/en-us/purview/audit-solutions-overview
- Search the audit log：https://learn.microsoft.com/en-us/purview/audit-search
- Turn audit log search on or off：https://learn.microsoft.com/en-us/purview/audit-log-enable-disable
- Manage audit log retention policies：https://learn.microsoft.com/en-us/purview/audit-log-retention-policies