Google Workspaceの監査ログをエクスポートする方法

Google管理コンソールで、 レポート → 監査と調査 ログ（ログイン、管理者、ドライブ、OAuthなど）を保持していて、そこからエクスポートが可能です。JSONの場合は、Admin SDK レポート API の activities.list メソッドを使用します。一度限りの場合、コードは不要です。APIリファレンスページには、「このメソッドを試す」というパネルがあり、あなたの代わりにコールを実行します。ほとんどのWorkspace監査データは6か月間保存されます。

Workspace監査ログは、どこから誰がサインインしたか、どのサードパーティアプリがメールやファイルにアクセスしたか、どのドキュメントが急に外部と共有されたかを示しています。プライムコアにはGoogle Workspaceデータのための{N}の検出ルールがあり、{M}のMITRE ATT&CK技法にマッピングされています。その中には、クラウドアカウントの悪用（T1078.004）、悪意のあるOAuth承認（T1528）、外部アドレスへのメール転送（T1114.003）が含まれます。

無料で始める

開始する前に

権限。 レポート権限を持つスーパ管理者、または管理者ロール。

適切なログを選択します。 APIでは、各ログは applicationName です: login, admin, drive, token (OAuth承認), user_accounts, saml, groups その他。GmailメッセージログはこのAPIの一部ではありません。それらは管理コンソール内のEmail Log Search、またはあなたのエディションがあるならBigQueryエクスポートを使用してください。

保持期間と遅延時間。 ほとんどの監査ログは約6か月前までさかのぼります。新しいイベントが表示されるまでには、ログによって数分から数時間かかることがあります。

短いPythonスクリプト

リピート可能なエクスポートには、ドメイン全体の委任で管理者をパフォーマンスするサービスアカウントが必要です。それはgoogle-api-python-clientとgoogle-authが必要です:

import json

from google.oauth2 import service_account

from googleapiclient.discovery import build


creds = service_account.Credentials.from_service_account_file(

    "sa.json",

    scopes=["https://www.googleapis.com/auth/admin.reports.audit.readonly"],

    subject="admin@example.com",

)

svc = build("admin", "reports_v1", credentials=creds)


with open("workspace_login_1019.jsonl", "w") as out:

    req = svc.activities().list(

        userKey="all", applicationName="login",

        startTime="2026-10-19T00:00:00Z", endTime="2026-10-20T00:00:00Z",

        maxResults=1000,

    )

    while req is not None:

        resp = req.execute()

        for item in resp.get("items", []):

            out.write(json.dumps(item) + "n")

        req = svc.activities().list_next(req, resp)

ドメイン全体の委任は強力です。この読み取り専用スコープのみを付与し、キー ファイルを共有ドライブから外し、作業が完了したら委任を削除してください。必要な各applicationNameごとに1回スクリプトを実行します。

何を探すべきか

LogTotalでのアップロード、消毒、レビュー

1. アップロード。 オープン logtotal.com を開き、.jsonlファイルをドロップしてください。
2. 消毒。 
3. レビュー。 

問題が発生した場合