構成監査ログ

tailnet内における変更アクションの記録

最終検証日：2026年1月5日
翻訳: 竹洞 陽一郎

構成監査ログを使用すると、tailnet内で誰が、何を、いつ行ったかを特定できます。
構成監査ログは、tailnetの構成を変更するアクションを記録します。
これには、アクションの種類、実行者（アクター）、対象リソース（ターゲット）、および時刻が含まれます。

ログをエクスポートして、長期保存やセキュリティ分析、脅威検出、インシデント調査に活用できます。
また、ログをセキュリティ情報・イベント管理（SIEM）システムにストリーミングすることも可能です。

tailnetポリシーファイルの変更については、変更前と変更後のファイルの完全なdiff（差分）がログに含まれます。

構成監査ログは、すべてのプランでご利用いただけます。

管理コンソールにアクセスできるすべてのユーザは、管理コンソールのログページで構成監査ログを確認でき、フィルタリングして特定のイベントを検索できます。

構成監査ログはすべてのtailnetでデフォルトで有効化されており、直近90日間のログが利用可能です。

ログの構造

ログには以下のコンポーネントが含まれます。

タイムスタンプ（Timestamp）

イベントが発生した時刻。
ブラウザのローカルタイムで表示されます。

アクション（Action）

実行されたアクション。
例: デバイスの承認、tailnetポリシーファイルの変更。

アクター（Actor）

アクションを実行したユーザまたはプロセス。
ユーザによるアクションの場合、この値はユーザの名前になります。
APIから返されるイベントでは、ユーザのメールアドレスまたはGitHubユーザ名、および名前が利用可能です。
Tailscaleコントロールプレーンによるアクションの場合、この値は「Tailscale service」となります。
コントロールプレーンによるアクションの一覧については、後述の「サービスイベント」をご参照ください。

ターゲット（Target）

アクションが適用されたリソース。
例: ユーザのロールを変更するアクションの場合、ターゲットはそのユーザです。
デバイスを承認するアクションの場合、ターゲットはそのデバイスです。
tailnet全体の構成変更の場合、ターゲットはtailnetです。

差分（Diff）

変更前と変更後の値（該当する場合）。
例: ノードのマシン名を変更した場合や、タグのリストを更新した場合、変更前と変更後の両方の値が表示されます。
アクセス制御ポリシーの変更では、コメントなどの実質的でない変更も含めた、変更前と変更後のバージョンの完全なdiffが表示されます。
ノードの再認証では、古いノードキーの有効期限と新しいキーの有効期限が表示されます。

構成監査ログの有効化

構成監査ログはすべてのtailnetで常に有効化されており、無効にすることはできません。

構成監査ログは、Tailscaleがプライバシーポリシーに基づいてサービスを提供するために使用するログのサブセットです。

構成監査ログへのアクセス

構成監査ログには、管理コンソールのログページ、またはAPIを使用してアクセスできます。

管理コンソールでの構成監査ログの表示

管理コンソールにアクセスできるすべてのユーザは、管理コンソールのログページで構成監査ログにアクセスし、フィルタリングして特定のイベントを検索できます。

ログは、イベントが発生した順序で表示され、最新のものが先頭になります。

構成監査ログのフィルタリング

管理コンソールのログページでは、特定の条件に一致するイベントをより簡単に見つけるためにフィルタリングできます。

フィルタは、時間、アクション、アクターに対して使用できます。
複数のフィルタを同時に適用して、すべてのフィルタ条件に一致するイベントを検索できます。

時間

「Timeframe」フィルタを使用して、指定した2つの日付の間のログのみを表示します。

アクションの種類

「Action」フィルタを使用して、選択したアクションに一致するログのみを表示します。
例えば、tailnetポリシーファイルの更新を含むすべてのイベントを確認できます。

アクター

「Actor」フィルタを使用して、選択したユーザによるアクションのみを表示します。

Tailscale APIによる構成監査ログへのアクセス

構成監査ログは、Tailscale APIからエクスポートできます。
構成監査ログにアクセスするには、logs:configuration:readスコープを持つAPIアクセストークンが必要です。

ログAPIコールのレスポンスは、TailnetLogsResponse構造体の形式です。

type TailnetLogsResponse struct {
	Version string        `json:"version"`
	Tailnet dbx.TailnetID `json:"tailnetId"`

	Logs []Log `json:"logs"` // 時系列順
}

APIでは、以下のクエリパラメータを使用できます。

start

必須。
取得するログの期間の開始日時。
RFC3339タイムスタンプ形式。
例: 2022-07-20T00:00:00Z

end

必須。
取得するログの期間の終了日時。
RFC3339タイムスタンプ形式。
例: 2022-07-21T00:00:00Z

startとendの時刻は、ナノ秒精度で包含的（inclusive）です。

以下の例では、APIコールに使用する以下の変数が設定されていることを前提としています。

$ACCESS_TOKEN

Tailscale APIを呼び出す際に使用するAPIアクセストークン。
管理コンソールのKeysページでAPIアクセストークンを作成できます。

$TAILNET_ID

tailnet ID。
管理コンソールのGeneralページで確認できます。

$START

取得するログの期間の開始日時。

$END

取得するログの期間の終了日時。

export ACCESS_TOKEN=tskey-api-k123456CNTRL-0123456789abcdef
export TAILNET_ID=example.com
export START=2022-07-20T00:00:00Z
export END=2022-07-21T00:00:00Z

curl -u  $ACCESS_TOKEN:  -X GET \
  "https://api.tailscale.com/api/v2/tailnet/{$TAILNET_ID}/logging/configuration?start={$START}&end={$END}"

オプションとして、json_ppを使用してJSON出力を整形できます。

curl -u  $ACCESS_TOKEN: -X GET \
  "https://api.tailscale.com/api/v2/tailnet/{$TAILNET_ID}/logging/configuration?start={$START}&end={$END}" \
  | json_pp

出力は以下のようになります。

{
	"logs": [
		{
			"action": "UPDATE",
			"actor": {
				"displayName": "Alice Architect",
				"id": "123456CNTRL",
				"loginName": "alice@example.com",
				"type": "USER"
			},
			"deferredAt": "0001-01-01T00:00:00Z",
			"eventGroupID": "12345",
			"eventTime": "2022-07-20T20:13:30.136022207Z",
			"new": "2023-01-14T20:13:30.134350003Z",
			"old": "0001-01-01T00:00:00Z",
			"origin": "NODE",
			"target": {
				"id": "654321CNTRL",
				"name": "node1.yak-bebop.ts.net",
				"property": "KEY_EXPIRY_TIME",
				"type": "NODE"
			},
			"type": "CONFIG"
		},
		{
			"action": "CREATE",
			"actor": {
				"displayName": "Alice Architect",
				"id": "123456CNTRL",
				"loginName": "alice@example.com",
				"type": "USER"
			},
			"deferredAt": "0001-01-01T00:00:00Z",
			"eventGroupID": "23456",
			"eventTime": "2022-07-20T18:40:58.838529518Z",
			"new": {
				"capabilities": ["CONTROL_API_SCOPE_ALL_READ", "CONTROL_API_SCOPE_ALL"],
				"expires": "2022-10-18 18:40:58.653877012 +0000 UTC"
			},
			"origin": "ADMIN_UI",
			"target": {
				"id": "789123CNTRL",
				"name": "Control API key",
				"type": "API_KEY"
			},
			"type": "CONFIG"
		},
		{
			"action": "UPDATE",
			"actor": {
				"displayName": "Bob Builder",
				"id": "987654CNTRL",
				"loginName": "bob@example.com",
				"type": "USER"
			},
			"deferredAt": "0001-01-01T00:00:00Z",
			"eventGroupID": "34567",
			"eventTime": "2022-07-20T22:35:19.590021877Z",
			"new": ["...", "...", "10.0.0.0/24", "10.0.1.0/24"],
			"old": ["...", "..."],
			"origin": "ADMIN_UI",
			"target": {
				"id": "876543CNTRL",
				"name": "bob-workstation.yak-bebop.ts.net",
				"property": "ALLOWED_IPS",
				"type": "NODE"
			},
			"type": "CONFIG"
		}
	],
	"tailnetId": "example.com",
	"version": "1.1"
}

現在、APIにはページネーションのサポートはなく、最大ページサイズもありません。指定された期間内のすべてのイベントが返されます。

単一の操作で複数のイベントが発生した場合、それらのアクションは同じeventGroupIDの値を持ちます。

監査ログからのアクセス制御ポリシーの復元

このオプションは、GitOps for Tailscaleを使用している場合はご利用いただけません。

監査ログからtailnetポリシーファイルを復元するには、tailnetのOwner、Admin、またはIT adminである必要があります。

過去の日時のtailnetポリシーファイルに復元できます。

1. 管理コンソールの構成ログページを開きます。
2. 復元したいポリシーファイルの変更を含むログエントリを見つけて展開し、「Revert to previous version」を選択します。確認ダイアログで「Revert」を選択します。
3. 管理コンソールのAccess controlsページを開き、ポリシーファイルが期待通りの変更で復元されたことを確認します。

イベント

構成監査ログには、管理コンソールまたはTailscale APIを使用してユーザが行うことができる、tailnetの構成を変更する書き込みアクションが含まれます。

正常に完了したイベントは、対応するログエントリを生成します。

構成監査ログに含まれるイベントは以下の通りです。

Tailnet

課金

ユーザ

グループ

ノード

管理コンソール

login.tailscale.com

招待

共有

API

APIキー

認証キー

ログインの失敗はTailscaleのイベントに含まれません。
これらはTailscaleのログではなく、お使いのIDプロバイダのログで確認してください。

単一操作に対する複数イベント

同一の操作の一部として発生する複数のイベントは、個別にログに記録されます。
例えば、ユーザが削除された場合、そのユーザの各ノードの削除、各APIアクセストークンの削除、およびユーザ自体の削除のログエントリが生成されます。
ノードがtailnetに追加された場合、ノード名の更新、ノードの作成、ノードのキー有効期限の更新、ノードへのログイン、および該当する場合はノードの承認のログエントリが生成されます。

操作とイベントの対応

共有ノードのイベント

共有ノードを使用する場合、一部のイベントは共有元と共有先の両方のtailnetでログに記録されます。
招待に関連するイベントは共有元tailnetのみでログに記録され、共有ノードに関連するイベントは共有元と共有先の両方でログに記録されます。

サービスイベント

ログには、ユーザが直接実行したのではなく、Tailscaleサービスによって実行されたアクションであるサービスイベントが含まれます。 サービスイベントには以下が含まれます。

含まれないイベント

Tailscaleのサポートチームへのリクエストにより開始されたtailnetの変更は、現在含まれていません。これには以下が含まれます。

• IDプロバイダの更新
• OktaまたはOneLoginのIDプロバイダ設定の完了
• tailnet IDの更新
• カスタムHTTPSドメインの更新
• tailnetの削除
• アルファ機能のtailnet許可リスト登録

ユーザが実行していれば含まれていたはずの変更で、サポートリクエストにより開始されたものも含まれません。

• tailnet IDの更新
• ユーザのロールの更新
• ユーザの削除
• tailnetの課金サブスクリプションの作成
• tailnetの課金サブスクリプションの更新
• tailnetの課金サブスクリプションのキャンセル
• tailnetの課金先住所の更新
• tailnetの課金メールの更新
• tailnetの課金支払い情報の更新
• ノードのキー有効期限の更新
• tailnetのデバイス承認の有効化
• tailnetのデバイス承認の無効化

構成監査ログのストリーミング

ログストリーミングを使用すると、ネットワークフローログをセキュリティ情報・イベント管理（SIEM）システムにストリーミングできます。 詳細については、ログストリーミングをご参照ください。

制限事項

• 構成監査ログには、tailnetの構成を変更するアクションのみが含まれます。ユーザが管理コンソールを閲覧するなどの読み取り専用アクションは含まれません。
• Tailscaleのサポートチームにより開始されたtailnetの変更は、現在含まれていません。
• 構成監査ログには、tailnetの構成変更のみが含まれます。tailnet内の接続に関する情報（データプレーン監査ログ）、例えばネットワークフローログは構成ログには含まれません。tailnet内の接続に関する情報を記録するには、ネットワークフローログを使用できます。
• 構成監査ログは、管理コンソールの一部として、APIを使用したエクスポート、およびSIEMシステムへのストリーミングソースとして利用可能です。
• イベントが発生してから監査ログに含まれるまでの最大遅延の保証は、現在ありません。実際には、数秒以内に行われます。
• 構成ログが保存される期間は設定できません。構成ログは90日間保存されます。
• 同じノードキーを持つデバイスは、ログ内で同じノードターゲットとして表示されます。
• ユーザが停止された場合、そのユーザのノード、APIアクセストークン、認証キーの停止はログに記録されません。
• ユーザが削除された場合、そのユーザのAPIアクセストークンと認証キーの削除はログに記録されません。