ネットワーク監査ログは、Treasure AI Studio のエージェントのために行われたすべての外向き接続と、ネットワークポリシーがそれをどう扱ったかを記録した管理者向けの台帳です。（サンドボックスの外でリクエストを実行するコネクタもここに記録されますが、ポリシーは適用されません。ポリシーの管理対象外となるコネクタを参照してください。これらのレコードのアクションが allow なのは、ルールが一致したからではなく、何もブロックしなかったためです。）エージェントが予期しない動作をした後に生じる疑問（どのホストに接続したのか、どのユーザーのチャットが原因なのか、リクエストは許可されたのかブロックされたのか）に答えます。ポリシー変更が反映されたことの確認、エージェントの想定外の挙動に関する報告の調査、エージェントの通信が承認済みの宛先に留まっていたことを示す定期レビューに使用します。
組織全体の Treasure AI Studio エージェントの外向きネットワークアクティビティを検索し、任意の接続をその発生元となったユーザーとチャットまで追跡します。
- Treasure AI Studio にサインイン済み（はじめに）
- アカウント管理者ロール（一般ユーザーには設定の組織セクションが表示されません）
- 設定を開きます（サイドバーのフッターにあるユーザーアバターをクリック）。
- 左側のナビゲーションで、組織配下のネットワーク監査ログをクリックします。
ページは直近 24 時間のアクティビティを新しい順に表示した状態で開きます。
ネットワーク監査ログはアカウント管理者にのみ表示されます。一般ユーザーには設定の組織セクションが表示されず、背後にある検索 API も管理者以外のリクエストを拒否します。
ネットワーク監査ログは各接続の宛先ホストを記録します。リクエストの内容は記録しません。各レコードには以下のフィールドが含まれます。
| カラム | 内容 |
|---|---|
| タイムスタンプ | 接続が評価された時刻。お使いのタイムゾーンで表示されます。 |
| チャット | リクエストを行ったエージェントのチャット。短縮されたチャット ID で表示されます。クリックするとそのチャットでログを絞り込めます。 |
| ユーザー | リクエストを行ったセッションのユーザーのメールアドレス。クリックするとそのユーザーでログを絞り込めます。メールアドレスが取得できない場合（削除済みユーザーなど）は短縮されたユーザー ID が表示されます。 |
| アクション | ネットワークポリシーの判定結果。allow（緑）、block（赤）、rewrite（グレー）のいずれかです。 |
| ドメイン | 宛先のホスト名。接続の SNI、CONNECT の宛先、または Host ヘッダーから取得されます。 |
| IP | 名前解決された宛先の IP アドレス。 |
| ポート | 宛先のポート。 |
| プロトコル | 接続のトランスポートプロトコル。 |
アクション列が記録するのはポリシーの判定であり、その後リクエストが成功したかどうかではありません。許可された後に失敗したリクエスト（名前解決の失敗、TLS エラー、接続拒否、接続先から返されたエラーなど）も allow または rewrite として表示されます。ログはエージェントが到達を許された先を確認するためのもので、応答を得られたことの確認には使えません。
ログは各接続のホスト名を記録します。リクエストのパス、クエリパラメータ、リクエストボディ、レスポンスボディは記録されません。したがってログはエージェントがあるホストに接続した事実を示しますが、何を送受信したかは示しません。チャットの内容はチャット側に保存され、チャットデータ保持の管理対象です。
rewrite アクションは、そのリクエストが許可されかつコネクタに一致したため、Treasure AI Studio がエージェントのサンドボックスが保持するプレースホルダーの代わりに実際のアクセストークンを差し替えたことを意味します。コネクタのホストに対して rewrite が表示されるのは、コネクションの正常な状態です。警告ではなく、設計どおりに認証情報の差し替えが機能していることを示します。差し替えの仕組みは認証情報はサンドボックスに入らないを参照してください。
以下のフィールドを任意に組み合わせて設定し、[適用] をクリックします。フィルターはページの URL に保持されるため、絞り込んだ表示をブックマークしたり他の管理者と共有したりできます。ブラウザの戻る／進むで検索履歴を移動できます。
| フィルター | 指定できる値 |
|---|---|
| 期間 | 1h、6h、24h、3d、7d、14d、30d。デフォルトは直近 24 時間です。 |
| 終了 | 検索範囲の新しい側の終端となる日時。空欄のままにすると現在から遡って検索します。期間と組み合わせることで、過去の任意の時間帯を調査できます。 |
| アクション | すべて、allow、block。 |
| ドメイン | 宛先ホスト名の一部。入力した値は部分一致で照合されるため、github と入れると github.com・api.github.com・raw.githubusercontent.com がいずれも返ります。使用できるのは英数字、ドット、ハイフンのみです。ワイルドカードは自分で入力しません。入力した値の前後に検索側が付けます。 |
| IP | 宛先の IP アドレス。 |
| ポート | 1 から 65535 までのポート番号。 |
| ユーザーID | ユーザーの UUID。ユーザーのセルをクリックすると自動入力されます。 |
| チャットID | チャットの UUID。チャットのセルをクリックすると自動入力されます。 |
一致するものがない場合は「選択した期間に監査レコードはありません。」と表示されます。
アクションフィルターが受け付けるのは allow と block のみです。rewrite アクションのレコードはフィルターしない検索結果には表示されますが、絞り込むにはコネクタのドメインでフィルタリングしてください。
ネットワーク監査ログには、検索結果の読み方に影響する 3 つの制限があります。
- 1 回の検索で最大 100 件、新しい順。 検索は一致するレコードのうち最新の 100 件を返し、それより先は返しません。古い順に並べ替えることもできません。期間を広げても上限は変わらず、同じ 100 件がより長い期間に散らばるだけです。それより古いアクティビティを見るには、終了をより前の時点に設定してウィンドウ自体を過去へ動かし、あわせてドメイン・ユーザーID・チャットIDで絞り込んで、目的のレコードが 100 件の枠に収まるようにしてください。
- レコードの保持期間は約 4 週間です。 監査レコードは順次期限切れになるため、最も広い範囲である
30dを選んでも 30 日分すべてが返るとは限りません。より長いコンプライアンス期間が必要なデータは、範囲内にあるうちに書き出すか記録してください。 - エクスポートボタンはありません。 必要な値はテーブルからコピーするか、絞り込んだ URL を調査結果とあわせて保存してください。
何も返らない検索が意味するのは、そのフィルターに一致する保持されているレコードが無いということだけです。保持期間より古いレコードは既に存在せず、100 件の上限に達した検索結果は同じウィンドウ内のそれより古いものを黙って隠しています。テーブルには打ち切られた旨の表示が出ないため、ちょうど 100 行あることだけが「全部は見えていない」という唯一の手がかりです。エージェントがあるホストに接続していないと結論づける前に、検索範囲と行数を確認してください。
- 設定 → 組織のネットワーク監査ログページで直近 24 時間のレコードが読み込まれる
- 既知のドメインでフィルタリングすると、想定どおりの
allowまたはblockのレコードが返る - チャットまたはユーザーのセルをクリックすると、そのチャットまたはユーザーでログが絞り込まれる
- ネットワークポリシーでブロックしたドメインが、エージェントが試行した後に
blockアクションで表示される
| 問題 | 解決策 |
|---|---|
| 監査ログにエントリが表示されない | 期間が対象のアクティビティを含んでいるか、いずれかのフィルターで絞り込みすぎていないかを確認してください。ドメイン以外のフィルターはすべて完全一致なので、チャットIDやポートを打ち間違えると何も返りません。ページ自体が見つからない場合、監査ログへのアクセスにはアカウント管理者ロールが必要です。 |
| 想定した接続のレコードが見つからない | サンドボックスから外へ出なかったリクエストはレコードを生成しません。エージェントが実際にツール呼び出しまで到達したか、そのアクティビティが保持期間内かを確認してください。 |
コネクタのホストが allow ではなく rewrite と表示される | これは正常です。rewrite は、許可されたリクエストに対してプラットフォームがサンドボックスのプレースホルダートークンを実際の認証情報へ差し替えたことを意味します。 |
| 「監査レコードの読み込みに失敗しました。」と表示される | 検索バックエンドに到達できませんでした。検索を再実行してください。繰り返す場合は Treasure AI サポートにお問い合わせください。 |
| 30 日より前の履歴が必要 | ログの保持期間は約 4 週間で固定です。必要なレコードは範囲内にあるうちに取得して長期保管してください。 |
- ネットワークポリシー — ログに記録される許可／ブロックの判定を変更する
- セキュリティ概要 — サンドボックスの分離、暗号化、データレジデンシー
- チャットデータ保持 — チャット本体の保持期間
- クレジット利用状況 — 設定にあるもう 1 つの管理者向けダッシュボード