# ネットワーク監査ログ

ネットワーク監査ログは、Treasure AI Studio のエージェントが試みたすべての外向き接続と、[ネットワークポリシー](/ja/products/ai-studio/security/network-policy)がそれをどう扱ったかを記録した管理者向けの台帳です。エージェントが予期しない動作をした後に生じる疑問（どのホストに接続したのか、どのユーザーのチャットが原因なのか、リクエストは許可されたのかブロックされたのか）に答えます。ポリシー変更が反映されたことの確認、エージェントの想定外の挙動に関する報告の調査、エージェントの通信が承認済みの宛先に留まっていたことを示す定期レビューに使用します。

## 目的

組織全体の Treasure AI Studio エージェントの外向きネットワークアクティビティを検索し、任意の接続をその発生元となったユーザーとチャットまで追跡します。

## 前提条件

- Treasure AI Studio にサインイン済み（[はじめに](/ja/products/ai-studio/getting-started)）
- **アカウント管理者**ロール（一般ユーザーには設定の**組織**セクションが表示されません）


## ネットワーク監査ログを開く

1. **設定**を開きます（サイドバーのフッターにあるユーザーアバターをクリック）。
2. 左側のナビゲーションで、**組織**配下の**ネットワーク監査ログ**をクリックします。


ページは直近 24 時間のアクティビティを新しい順に表示した状態で開きます。

管理者専用です
ネットワーク監査ログはアカウント管理者にのみ表示されます。一般ユーザーには設定の**組織**セクションが表示されず、背後にある検索 API も管理者以外のリクエストを拒否します。

## ログに記録される内容

ネットワーク監査ログは各接続の**宛先ホスト**を記録します。リクエストの内容は記録しません。各レコードには以下のフィールドが含まれます。

| カラム  | 内容 |
|  --- | --- |
| **タイムスタンプ** | 接続が評価された時刻。お使いのタイムゾーンで表示されます。 |
| **チャット** | リクエストを行ったエージェントのチャット。短縮されたチャット ID で表示されます。クリックするとそのチャットでログを絞り込めます。 |
| **ユーザー** | リクエストを行ったセッションのユーザーのメールアドレス。クリックするとそのユーザーでログを絞り込めます。メールアドレスが取得できない場合（削除済みユーザーなど）は短縮されたユーザー ID が表示されます。 |
| **アクション** | ネットワークポリシーの判定結果。`allow`（緑）、`block`（赤）、`rewrite`（グレー）のいずれかです。 |
| **ドメイン** | 宛先のホスト名。接続の SNI、`CONNECT` の宛先、または `Host` ヘッダーから取得されます。 |
| **IP** | 名前解決された宛先の IP アドレス。 |
| **ポート** | 宛先のポート。 |
| **プロトコル** | 接続のトランスポートプロトコル。 |


**アクション**列が記録するのはポリシーの判定であり、その後リクエストが成功したかどうかではありません。許可された後に失敗したリクエスト（名前解決の失敗、TLS エラー、接続拒否、接続先から返されたエラーなど）も `allow` または `rewrite` として表示されます。ログはエージェントが到達を許された先を確認するためのもので、応答を得られたことの確認には使えません。

記録されるのは URL ではなくドメインです
ログは各接続のホスト名を記録します。リクエストのパス、クエリパラメータ、リクエストボディ、レスポンスボディは記録**されません**。したがってログはエージェントがあるホストに接続した事実を示しますが、何を送受信したかは示しません。チャットの内容はチャット側に保存され、[チャットデータ保持](/ja/products/ai-studio/security/data-retention)の管理対象です。

### `rewrite` アクションの意味

`rewrite` アクションは、そのリクエストが許可され**かつ**コネクタに一致したため、Treasure AI Studio がエージェントのサンドボックスが保持するプレースホルダーの代わりに実際のアクセストークンを差し替えたことを意味します。コネクタのホストに対して `rewrite` が表示されるのは、[コネクション](/ja/products/ai-studio/connections)の正常な状態です。警告ではなく、設計どおりに認証情報の差し替えが機能していることを示します。差し替えの仕組みは[認証情報はサンドボックスに入らない](/ja/products/ai-studio/security#%E8%AA%8D%E8%A8%BC%E6%83%85%E5%A0%B1%E3%81%AF%E3%82%B5%E3%83%B3%E3%83%89%E3%83%9C%E3%83%83%E3%82%AF%E3%82%B9%E3%81%AB%E5%85%A5%E3%82%89%E3%81%AA%E3%81%84)を参照してください。

## ログを絞り込む

以下のフィールドを任意に組み合わせて設定し、**[適用]** をクリックします。フィルターはページの URL に保持されるため、絞り込んだ表示をブックマークしたり他の管理者と共有したりできます。ブラウザの戻る／進むで検索履歴を移動できます。

| フィルター  | 指定できる値 |
|  --- | --- |
| **期間** | `1h`、`6h`、`24h`、`3d`、`7d`、`14d`、`30d`。デフォルトは直近 24 時間です。 |
| **終了** | 検索範囲の新しい側の終端となる日時。空欄のままにすると現在から遡って検索します。**期間**と組み合わせることで、過去の任意の時間帯を調査できます。 |
| **アクション** | **すべて**、`allow`、`block`。 |
| **ドメイン** | 宛先ホスト名の一部。入力した値は部分一致で照合されるため、`github` と入れると `github.com`・`api.github.com`・`raw.githubusercontent.com` がいずれも返ります。使用できるのは英数字、ドット、ハイフンのみです。ワイルドカードは自分で入力しません。入力した値の前後に検索側が付けます。 |
| **IP** | 宛先の IP アドレス。 |
| **ポート** | 1 から 65535 までのポート番号。 |
| **ユーザーID** | ユーザーの UUID。**ユーザー**のセルをクリックすると自動入力されます。 |
| **チャットID** | チャットの UUID。**チャット**のセルをクリックすると自動入力されます。 |


一致するものがない場合は「選択した期間に監査レコードはありません。」と表示されます。

設定 > 組織 配下のネットワーク監査ログページ。Domain フィルタに github を入れて絞り込んだ結果、github.com への許可された接続がタイムスタンプ・チャット・ユーザー・アクション・ドメイン・IP・ポート・プロトコルの各列とともに表示されている
`rewrite` レコードはアクションで絞り込めません
**アクション**フィルターが受け付けるのは `allow` と `block` のみです。`rewrite` アクションのレコードはフィルターしない検索結果には表示されますが、絞り込むにはコネクタの**ドメイン**でフィルタリングしてください。

## 既知の制限

ネットワーク監査ログには、検索結果の読み方に影響する 3 つの制限があります。

- **1 回の検索で最大 100 件、新しい順。** 検索は一致するレコードのうち最新の 100 件を返し、それより先は返しません。古い順に並べ替えることもできません。**期間**を広げても上限は変わらず、同じ 100 件がより長い期間に散らばるだけです。それより古いアクティビティを見るには、**終了**をより前の時点に設定してウィンドウ自体を過去へ動かし、あわせて**ドメイン**・**ユーザーID**・**チャットID**で絞り込んで、目的のレコードが 100 件の枠に収まるようにしてください。
- **レコードの保持期間は約 4 週間です。** 監査レコードは順次期限切れになるため、最も広い範囲である `30d` を選んでも 30 日分すべてが返るとは限りません。より長いコンプライアンス期間が必要なデータは、範囲内にあるうちに書き出すか記録してください。
- **エクスポートボタンはありません。** 必要な値はテーブルからコピーするか、絞り込んだ URL を調査結果とあわせて保存してください。


結果が空であることはアクティビティが無かった証明にはなりません
何も返らない検索が意味するのは、そのフィルターに一致する*保持されている*レコードが無いということだけです。保持期間より古いレコードは既に存在せず、100 件の上限に達した検索結果は同じウィンドウ内のそれより古いものを黙って隠しています。テーブルには打ち切られた旨の表示が出ないため、ちょうど 100 行あることだけが「全部は見えていない」という唯一の手がかりです。エージェントがあるホストに接続していないと結論づける前に、検索範囲と行数を確認してください。

## 確認事項

- [ ] **設定 → 組織**の**ネットワーク監査ログ**ページで直近 24 時間のレコードが読み込まれる
- [ ] 既知の**ドメイン**でフィルタリングすると、想定どおりの `allow` または `block` のレコードが返る
- [ ] **チャット**または**ユーザー**のセルをクリックすると、そのチャットまたはユーザーでログが絞り込まれる
- [ ] [ネットワークポリシー](/ja/products/ai-studio/security/network-policy)でブロックしたドメインが、エージェントが試行した後に `block` アクションで表示される


## トラブルシューティング

| 問題  | 解決策 |
|  --- | --- |
| 監査ログにエントリが表示されない | 期間が対象のアクティビティを含んでいるか、いずれかのフィルターで絞り込みすぎていないかを確認してください。**ドメイン**以外のフィルターはすべて完全一致なので、**チャットID**や**ポート**を打ち間違えると何も返りません。ページ自体が見つからない場合、監査ログへのアクセスにはアカウント管理者ロールが必要です。 |
| 想定した接続のレコードが見つからない | サンドボックスから外へ出なかったリクエストはレコードを生成しません。エージェントが実際にツール呼び出しまで到達したか、そのアクティビティが保持期間内かを確認してください。 |
| コネクタのホストが `allow` ではなく `rewrite` と表示される | これは正常です。`rewrite` は、許可されたリクエストに対してプラットフォームがサンドボックスのプレースホルダートークンを実際の認証情報へ差し替えたことを意味します。 |
| 「監査レコードの読み込みに失敗しました。」と表示される | 検索バックエンドに到達できませんでした。検索を再実行してください。繰り返す場合は Treasure AI サポートにお問い合わせください。 |
| 30 日より前の履歴が必要 | ログの保持期間は約 4 週間で固定です。必要なレコードは範囲内にあるうちに取得して長期保管してください。 |


## 次のステップ

- [ネットワークポリシー](/ja/products/ai-studio/security/network-policy) — ログに記録される許可／ブロックの判定を変更する
- [セキュリティ概要](/ja/products/ai-studio/security) — サンドボックスの分離、暗号化、データレジデンシー
- [チャットデータ保持](/ja/products/ai-studio/security/data-retention) — チャット本体の保持期間
- [クレジット利用状況](/ja/products/ai-studio/credits/credit-usage) — 設定にあるもう 1 つの管理者向けダッシュボード