Databricks Audit Logsで実現する監査・追跡・コンプライアンス実務

「誰が、いつ、どのデータに、どのような操作をしたか」——この問いに即座に答えられなければ、 セキュリティインシデント発生時の原因究明もコンプライアンス監査への対応もできません。 DatabricksのAudit Logs（監査ログ）は、ワークスペース内のすべての操作を自動記録し、system.access.auditテーブル（System Tables）経由でSQLクエリによる分析を可能にします。

この記事では、監査ログの構造と主要イベント一覧、実務で使えるSQLクエリ例、 ログ配信設定（AWS S3 / Azure Event Hubs / GCS）、SOC 2 / ISO 27001対応のポイント、 そしてDatabricks認定試験で出題されるパターンを整理します。

監査ログの概要（system.access.audit）

Databricksの監査ログはSystem Tablesの一部として提供されます。 System Tablesはsystemカタログ配下のスキーマで、Databricksが自動的にデータを収集・更新する 読み取り専用のDelta Tableです。監査ログはsystem.access.auditに格納されます。

-- 監査ログテーブルの構造確認
DESCRIBE TABLE system.access.audit;

-- 主要カラム
-- event_time        TIMESTAMP   イベント発生時刻
-- event_date        DATE        イベント日付（パーティションキー）
-- workspace_id      BIGINT      ワークスペースID
-- action_name       STRING      操作の種類（例: createCluster, getTable）
-- user_identity     STRUCT      操作を行ったユーザー/SP情報
-- service_name      STRING      サービス名（例: clusters, unityCatalog, jobs）
-- request_params    MAP         リクエストパラメータ（操作対象の詳細）
-- response          STRUCT      レスポンス情報（ステータスコード、エラーメッセージ）
-- source_ip_address STRING      リクエスト元IPアドレス
-- audit_level       STRING      ログレベル（ACCOUNT_LEVEL / WORKSPACE_LEVEL）

主要イベント一覧表

実務で使えるSQLクエリ例

不正アクセスの検知（ログイン失敗の監視）

SELECT
  event_time,
  user_identity.email AS user_email,
  source_ip_address,
  response.status_code,
  response.error_message
FROM system.access.audit
WHERE action_name = 'login'
  AND response.status_code != 200
  AND event_date >= current_date() - INTERVAL 7 DAYS
ORDER BY event_time DESC;

Unity Catalogテーブルへのアクセス監査

SELECT
  event_date,
  user_identity.email AS user_email,
  action_name,
  request_params['full_name_arg'] AS table_name,
  COUNT(*) AS access_count
FROM system.access.audit
WHERE service_name = 'unityCatalog'
  AND action_name IN ('getTable', 'createTable', 'deleteTable')
  AND event_date >= current_date() - INTERVAL 30 DAYS
GROUP BY event_date, user_identity.email, action_name,
         request_params['full_name_arg']
ORDER BY event_date DESC, access_count DESC;

ジョブ実行履歴と失敗分析

SELECT
  event_time,
  user_identity.email AS triggered_by,
  request_params['jobId'] AS job_id,
  request_params['runId'] AS run_id,
  action_name,
  CASE
    WHEN action_name = 'runSucceeded' THEN 'SUCCESS'
    WHEN action_name = 'runFailed' THEN 'FAILED'
    ELSE action_name
  END AS status
FROM system.access.audit
WHERE service_name = 'jobs'
  AND action_name IN ('runSucceeded', 'runFailed', 'runNow')
  AND event_date >= current_date() - INTERVAL 14 DAYS
ORDER BY event_time DESC;

権限変更の追跡（GRANT/REVOKE）

SELECT
  event_time,
  user_identity.email AS granted_by,
  action_name,
  request_params['securable_type'] AS object_type,
  request_params['full_name_arg'] AS object_name,
  request_params['principal'] AS granted_to,
  request_params['privileges'] AS privileges
FROM system.access.audit
WHERE service_name = 'unityCatalog'
  AND action_name IN ('grantPermission', 'revokePermission', 'updatePermissions')
  AND event_date >= current_date() - INTERVAL 90 DAYS
ORDER BY event_time DESC;

クラスタコスト関連の監査

SELECT
  event_date,
  user_identity.email AS creator,
  request_params['cluster_name'] AS cluster_name,
  request_params['node_type_id'] AS instance_type,
  request_params['num_workers'] AS num_workers,
  request_params['autotermination_minutes'] AS auto_terminate_min
FROM system.access.audit
WHERE service_name = 'clusters'
  AND action_name = 'create'
  AND event_date >= current_date() - INTERVAL 30 DAYS
ORDER BY event_date DESC;

ログ配信設定

System Tables経由でのSQL分析に加えて、監査ログを外部ストレージやSIEMツールに配信できます。 ログ配信はAccount Console（またはAccount API）から設定し、アカウントレベルで有効化します。

# AWS: Account APIでログ配信を設定
curl -X POST "https://accounts.cloud.databricks.com/api/2.0/accounts/<account_id>/log-delivery" \
  -H "Authorization: Bearer <admin_token>" \
  -H "Content-Type: application/json" \
  -d '{
    "log_type": "AUDIT_LOGS",
    "output_format": "JSON",
    "credentials_id": "<credential_config_id>",
    "storage_configuration_id": "<storage_config_id>",
    "delivery_path_prefix": "databricks/audit-logs"
  }'

System Tables vs ログ配信 比較

コンプライアンス対応

Databricksの監査ログは、主要なコンプライアンスフレームワークへの対応に活用できます。

コンプライアンス対応のベストプラクティスとして、以下を推奨します。

• System Tablesで日常監視 + ログ配信で長期アーカイブの二重構成
• 権限変更イベント（grantPermission / revokePermission）のアラート設定
• ログイン失敗の閾値超過検知（ブルートフォース攻撃の早期検知）
• 四半期ごとの監査ログレビューと権限棚卸し
• ログ配信先のS3/ADLSに暗号化・アクセス制御・バージョニングを適用

試験で問われるポイント

Audit LogsはData Engineer Associate / Professional、およびAdministration関連の出題範囲に含まれます。

• 「監査ログを格納するSystem Tablesのテーブル名」→ system.access.audit
• 「誰がどのテーブルにアクセスしたか確認するには」→ system.access.auditをservice_name='unityCatalog'でフィルタ
• 「監査ログをDatabricks外のSIEMツールに連携するには」→ ログ配信を設定
• 「System Tablesのデータは何形式か」→ Delta Table（SQLで直接クエリ可能）
• 「監査ログの保持期間を延長するには」→ ログ配信で外部ストレージにアーカイブ

問題で確認

よくある質問