【Power Automate】監査ログが想定外に繰り返される時のDLPポリシーとライセンスの見直し

Power Automateの監査ログが想定外に大量に出力されるトラブルは、企業の管理者やフロー作成者を悩ませる問題です。多くの場合、データ損失防止(DLP)ポリシーによるフローブロックやライセンス不足が原因で、フローが無限に再試行を繰り返し、そのたびに監査ログが記録されます。本記事では、監査ログの繰り返しを引き起こす原因を具体的に切り分け、DLPポリシーとライセンスの見直し手順を解説します。

監査ログが繰り返される主な原因

Power Automateの監査ログが想定外に繰り返される原因として、以下の3つが代表的です。それぞれのメカニズムを理解することで、効率的な切り分けが可能になります。

原因1:DLPポリシーによるフローブロックと無限リトライ

DLPポリシーは、組織のデータを保護するためにPower Automateで使用できるコネクタやアクションを制限します。例えば、ビジネスデータとコンシューマーサービスのコネクタを同じフロー内で使用することを禁止する「データグループ」の設定があります。このポリシーに違反するフローは実行時にエラーとなり、Power Automateのデフォルトの動作として再試行が行われます。再試行が成功しない限りフローは繰り返し実行され、そのたびに監査ログが記録されます。特にトリガー型フローでは、トリガー条件を満たすたびにフローが起動し、毎回DLPエラーで失敗するため、大量の監査ログが発生します。

原因2:ライセンス不足によるフロー実行エラーと再試行

Power Automateには無料の「Office 365プラン」と有料の「Power Automateプラン」があります。無料プランでは実行回数やプレミアムコネクタの利用に制限があります。ライセンスが不足しているユーザーがプレミアムコネクタを使用するフローを実行しようとすると、「ライセンスが必要です」というエラーが発生します。このエラーもPower Automateの再試行メカニズムにより繰り返し失敗し、監査ログが蓄積されます。特に複数のユーザーが同じフローを共有している場合、ライセンスを持たないユーザーがトリガーを実行すると問題が起こりやすいです。

原因3:コネクタの認証期限切れや権限変更

Power Automateで使用する各コネクタ(SharePoint、Outlook、Teamsなど)には認証情報が保存されています。この認証が期限切れになったり、パスワード変更や多要素認証の追加などにより権限が失効すると、フロー実行時に認証エラーが発生します。エラーが再試行可能な場合、フローは一定間隔で再試行を続け、そのたびに監査ログに失敗イベントが記録されます。特に、古いコネクタの更新を忘れていると長期間にわたって繰り返しが続くことがあります。

DLPポリシーの確認と見直し手順

監査ログの繰り返しがDLPポリシーに関係しているかを確認するには、Power Platform管理センターで設定を確認します。以下の手順でDLPポリシーを確認し、必要に応じて修正してください。

1. グローバル管理者またはPower Platform管理者のアカウントでPower Platform管理センターにサインインします。
2. 左側のメニューから「データポリシー」を選択します。ここに組織で設定されているDLPポリシーの一覧が表示されます。
3. 疑わしいフローが属する環境に関連するポリシーをクリックして開きます。ポリシーの詳細では「データグループ」のタブで、ビジネスデータグループとコンシューマーサービスグループの割り当てを確認します。
4. フローで使用しているコネクタが正しいグループに分類されているか確認します。例えば、SharePoint(ビジネス)とTwitter(コンシューマー)を同一フローで使用する場合、両方のコネクタが同じグループに属していなければなりません。異なるグループに属しているとエラーになります。
5. 必要に応じてポリシーを編集します。コネクタを移動するには、該当するコネクタをドラッグするか、グループを変更します。保存すると、次回のフロー実行から新しいポリシーが適用されます。
6. 変更後、影響を受けるフローの実行履歴を確認します。Power Automateポータルで該当フローの「28日間の実行履歴」を見て、エラーが解消されたか確認します。同時に監査ログの増加が止まったかも確認してください。

DLPポリシーの変更は全テナントに影響するため、事前に影響範囲を評価し、関係者と共有してから実施することをおすすめします。

ライセンスの確認と割り当て手順

ライセンス不足が原因で監査ログが繰り返される場合、ユーザーに適切なPower Automateライセンスを割り当てる必要があります。まずは現在のライセンス状況を確認しましょう。

1. Microsoft 365管理センター(admin.microsoft.com)にグローバル管理者または課金管理者でサインインします。
2. 左メニューから「ユーザー」→「アクティブなユーザー」を選択し、問題が発生しているユーザーをクリックします。
3. ユーザーのプロファイル画面で「ライセンスとアプリ」タブを開きます。ここに割り当てられているライセンスの一覧が表示されます。
4. Power Automateに関連するライセンスを確認します。一般的なのは「Power Automate (Office 365)」または「Power Automate 無料」、有償の「Power Automate per user with attended RPA」などです。フローでプレミアムコネクタ(例:SQL Server、Azure AD、HTTP with Azure ADなど)を使用している場合、「Power Automate per user」などの有償プランが必要です。
5. 必要なライセンスが不足している場合は、「ライセンスとアプリ」タブで該当するライセンスのチェックをオンにして保存します。複数ユーザーにまとめて割り当てるには、左メニュー「課金」→「ライセンス」から製品を選択し、「ライセンスの割り当て」を実行します。
6. ライセンス割り当て後、ユーザーがフローを所有している場合は、フローを再保存するか、一度無効にして再有効化すると、新しいライセンス状態が反映されます。実行履歴でエラーが解消されたことを確認します。

ライセンスの割り当ては即座に反映されますが、Power Automate内でのキャッシュにより最大1時間程度の遅延が生じることがあります。それでも改善しない場合は、ユーザーがサインアウト/サインインすることで強制的にリフレッシュできます。

監査ログの詳細を確認する方法

実際にどのような理由で監査ログが繰り返されているかを確認するには、Microsoft 365 Purviewコンプライアンスポータルの監査ログ検索を利用します。以下の手順で該当イベントを抽出してください。

1. コンプライアンス管理者の権限でMicrosoft 365 Purviewコンプライアンスポータルにサインインします。
2. 左メニューから「監査」を選択します。上部の検索バーで活動を絞り込みます。「活動」のドロップダウンから「Power Automate」関連のイベント(例:「フローの実行」「フローのエラー」)を選択します。
3. 日付範囲を問題発生期間に設定し、検索を実行します。結果に表示される各レコードの「詳細」をクリックすると、エラーコードやエラーメッセージを含むJSONが表示されます。
4. エラーメッセージに「DLP」「DataPolicy」「LicenseRequired」などのキーワードが含まれていないか確認します。例えば、「This flow uses connectors that are blocked by your organization’s data policy」というメッセージはDLP違反を示します。「The user does not have a license for this connector」はライセンス不足を示します。
5. 該当するイベントの「ユーザー」列から、どのユーザーがフローを実行したか特定します。フローIDも確認できるので、Power Automateポータルで該当フローを特定し、エラーの詳細を突き合わせます。

監査ログは最大90日間保持されます。繰り返しが大量に発生している場合、ログの保存容量やパフォーマンスに影響する可能性があるため、早期に対処してください。

状況別の原因特定と対策の比較表

監査ログの繰り返しパターンから原因を推測できる場合があります。以下の表で主なパターンと推奨対策をまとめました。

監査ログのパターン	考えられる原因	最初に試す対策
特定のユーザーのフローのみ繰り返し失敗	ライセンス不足、またはコネクタの認証がそのユーザーで切れている	ユーザーに有償ライセンスを割り当てるか、コネクタを更新する
複数フローで同時多発的にエラー	DLPポリシーの変更が原因(ポリシーが厳しくなったなど)	Power Platform管理センターでDLPポリシーを確認し、緩和する
特定のコネクタを使用するフローでのみ発生	コネクタがDLPでブロックされている、またはそのコネクタに有償ライセンスが必要	該当コネクタを適切なデータグループに移動するか、ライセンスを確認
エラーが不定期に発生し、再試行後に成功することもある	一時的な認証エラーやサービス障害	しばらく様子を見る。再発するならコネクタの再接続を試みる

失敗パターンと管理者への確認事項

実際の現場でよく見られる失敗パターンと、管理者に確認すべきポイントをまとめます。

よくある失敗パターン

• DLPポリシーを無効にすることで解決しようとする:DLPポリシーを無効にするとセキュリティリスクが生じます。代わりに、必要なコネクタのみを許可するポリシーに変更するべきです。
• ライセンスを全ユーザーに一律で割り当てる:コスト増につながります。まずは問題が起きているユーザーだけに割り当て、その後必要に応じて拡大してください。
• 監査ログの検索で「すべての活動」を選択してしまう:大量のログが表示され、原因の特定が難しくなります。活動を「Power Automate」に絞り込みましょう。
• フローを削除して再作成する:根本原因を解決しないまま削除すると、同じ問題が再発します。必ず原因を特定してから対処してください。

管理者に確認すべき情報

• 組織に適用されているDLPポリシーの一覧と、各ポリシーのデータグループ設定
• 現在のPower Automateライセンスの保有数と空き数、ライセンスの種類
• 問題のフローが属する環境(既定環境か個別環境か)と、その環境に適用されているポリシー
• 最近行われたDLPポリシーやライセンスの変更履歴(コンプライアンスポータルの監査ログで確認可能)

よくある質問(FAQ)

以下は、監査ログの繰り返しに関してよく寄せられる質問と回答です。

Q. DLPポリシーを変更したのに、監査ログの繰り返しが止まりません。なぜですか?
A. ポリシーの反映に時間がかかる場合があります(最大1時間程度)。また、フローがすでにキューに残っている再試行を実行している可能性もあります。フローを一度無効にしてから再度有効にすることで、新たなポリシーが強制的に適用されます。

Q. フロー実行エラーの監査ログが1日に数万件出力されています。対処しないとどうなりますか?
A. 監査ログの保存容量やライセンスによっては上限に達し、新しいログが記録されなくなる可能性があります。また、大量のログはコンプライアンスポータルの検索パフォーマンス低下を招きます。早急に原因を特定し、フローを停止するか修正してください。

Q. ユーザーにPower Automate無料ライセンスしかありませんが、プレミアムコネクタを使うフローを実行できません。ライセンスを購入せずに回避する方法はありますか?
A. プレミアムコネクタを使用しないようにフローを修正するか、無料ライセンスでも利用可能な標準コネクタに置き換えてください。どうしてもプレミアムコネクタが必要な場合は、管理者に依頼して有償ライセンスを購入・割り当ててもらう必要があります。

Q. 監査ログの検索で「Power Automate」活動が表示されません。権限が足りないのでしょうか?
A. 監査ログを検索するには、「監査ログ」の役割(View-Only Audit LogsまたはAudit Logs)が必要です。グローバル管理者またはコンプライアンス管理者に連絡して権限を付与してもらってください。

まとめ

Power Automateの監査ログが想定外に繰り返される場合、最初にDLPポリシーとライセンスの2点を重点的に確認してください。Power Platform管理センターでポリシー設定を、Microsoft 365管理センターでライセンス割り当てをチェックし、問題があれば適切に修正します。監査ログの詳細検索でエラーメッセージを特定することで、原因の切り分けがより確実になります。根本原因を解決せずに対症療法を繰り返すと再発リスクが高いため、必ず設定を見直した上でフローを再実行するようにしてください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。