Compartir a través de

Creación de auditLogQuery

  • Artículo

Espacio de nombres: microsoft.graph.security

Cree un nuevo objeto auditLogQuery .

Esta API está disponible en las siguientes implementaciones nacionales de nube.

Servicio global Gobierno de EE. UU. L4 Us Government L5 (DOD) China operada por 21Vianet
✅ ❌ ❌ ❌

Permissions

Se puede acceder a los datos de auditoría a través de Auditoría de Microsoft Purview Search API mediante los siguientes permisos, que se clasifican en un nivel de servicio de Microsoft 365. Para obtener más información, incluido cómo elegir permisos, vea Permisos.

Tipo de permiso Permisos con privilegios mínimos Permisos con privilegios más altos
Delegado (cuenta profesional o educativa) AuditLogsQuery-Entra.Read.All AuditLogsQuery-CRM.Read.All, AuditLogsQuery-Endpoint.Read.All, AuditLogsQuery-Exchange.Read.All, AuditLogsQuery-OneDrive.Read.All, AuditLogsQuery-SharePoint.Read.All, AuditLogsQuery.Read.All
Delegado (cuenta personal de Microsoft) No admitida. No admitida.
Aplicación AuditLogsQuery-Entra.Read.All AuditLogsQuery-CRM.Read.All, AuditLogsQuery-Endpoint.Read.All, AuditLogsQuery-Exchange.Read.All, AuditLogsQuery-OneDrive.Read.All, AuditLogsQuery-SharePoint.Read.All, AuditLogsQuery.Read.All

Solicitud HTTP

POST /security/auditLog/queries

Encabezados de solicitud

Nombre Descripción
Authorization {token} de portador. Obligatorio. Obtenga más información sobre la autenticación y la autorización.
Content-Type application/json. Obligatorio.

Cuerpo de la solicitud

En el cuerpo de la solicitud, proporcione una representación JSON del objeto auditLogQuery .

Puede especificar las siguientes propiedades al crear una auditLogQuery.

Propiedad Tipo Descripción
displayName Cadena Nombre para mostrar de la consulta de registro de auditoría guardada. Opcional.
filterStartDateTime DateTimeOffset Fecha de inicio del intervalo de fechas de la consulta. Opcional.
filterEndDateTime DateTimeOffset Fecha de finalización del intervalo de fechas de la consulta. Opcional.
recordTypeFilters Collection(string) de microsoft.graph.security.auditLogRecordType Tipo de operación o tipos indicados por el registro. Los valores posibles son: exchangeAdmin, exchangeItem, , sharePoint, syntheticProbecampaignexchangeItemGroupsharePointFileOperationoneDriveazureActiveDirectoryazureActiveDirectoryAccountLogondataCenterSecurityCmdletcomplianceDLPSharePointswaycomplianceDLPExchangesharePointSharingOperationazureActiveDirectoryStsLogonskypeForBusinessPSTNUsageskypeForBusinessUsersBlockedsecurityComplianceCenterEOPCmdletexchangeAggregatedOperationpowerBIAuditcrmyammerskypeForBusinessCmdletsdiscoverymicrosoftTeamsthreatIntelligencemailSubmissionmicrosoftFlowaeDmicrosoftStreamcomplianceDLPSharePointClassificationthreatFinderprojectsharePointListOperationsharePointCommentOperationdataGovernancekaizalasecurityComplianceAlertsthreatIntelligenceUrlsecurityComplianceInsightsmipLabelworkplaceAnalyticspowerAppsApppowerAppsPlanthreatIntelligenceAtpContentlabelContentExplorerteamsHealthcareexchangeItemAggregatedhygieneEventdataInsightsRestApiAuditinformationBarrierPolicyApplicationsharePointListItemOperationsharePointContentTypeOperationsharePointFieldOperationmicrosoftTeamsAdminhrSignalmicrosoftTeamsDevicemicrosoftTeamsAnalyticsinformationWorkerProtectiondlpEndpoint, airInvestigation, quarantine, microsoftForms, applicationAudit, complianceSupervisionExchange, customerKeyServiceEncryption, , officeNative, mipAutoLabelSharePointItem, microsoftTeamsShiftsexchangeSearchcortanaBriefingsearchwdatpAlertsmipAutoLabelExchangeItempowerPlatformAdminEnvironmentpowerPlatformAdminDlpmdatpAuditsensitivityLabelPolicyMatchsensitivityLabelActionsensitivityLabeledFileActionattackSimsecureScoresecurityComplianceRBACairManualInvestigationuserTrainingairAdminActionInvestigationmsticphysicalBadgingSignalteamsEasyApprovalsmipAutoLabelSharePointPolicyLocationprivacyDataMinimizationsharePointSearchonPremisesSharePointScannerDlponPremisesFileShareScannerDlplabelAnalyticsAggregatemcasAlertsaipHeartBeataipFileDeletedmyAnalyticsSettingsaipProtectionActionaipSensitivityLabelActionaipDiscoversecurityComplianceUserChangecomplianceDLPExchangeClassificationms365DCustomDetectionmsdeIndicatorsSettingsmsdeRolesSettingsmsdeGeneralSettingsmapgAlertsmsdeResponseActionsmapgPolicymapgRemediationmipExactDataMatchcomplianceDLPEndpointprivacyDigestEmailmipAutoLabelSimulationProgressprivacyRemediationActionmipAutoLabelSimulationCompletiony , mipAutoLabelProgressFeedbackdlpSensitiveInformationType, mipAutoLabelSimulationStatistics, largeContentMetadata, microsoft365Group, cdpMlInferencingResult, filteringMailMetadata, cdpClassificationMailItem, , cdpClassificationDocument, officeScriptsRunAction, cdpUnifiedFeedbackfilteringRuleHitsconsumptionResourcehealthcareSignaldlpImportResultcdpCompliancePolicyExecutionmultiStageDispositionprivacyDataMatchtenantAllowBlockListfilteringEmailFeaturesfilteringDocMetadatapowerBIDlpfilteringUrlInfofilteringAttachmentInfocoreReportingSettingscomplianceConnectorfilteringPostMailDeliveryActionfilteringEntityEventmipLabelAnalyticsAuditRecordfilteringUrlClickcmImprovementActionChangefilteringMailSubmissionomePortalwebpageActivityEndpointcdpCompliancePolicyUserFeedbacklabelExplorercdpPredictiveCodingLabelpowerPlatformLockboxResourceCommandpowerPlatformLockboxResourceAccessRequestmicrosoftManagedServicePlatformpowerPlatformServiceActivityincidentStatusalertIncidentcasealertStatuscaseInvestigationalertrecordsManagementprivacyRemediationfilteringTimeTravelDocMetadatascorePlatformGenericAuditRecordcdpDlpSensitiveehrConnectordataShareOperationfilteringMailGradingResult, , publicFolderprivacyTenantAuditHistoryRecord, aipScannerDiscoverEvent, eduDataLakeDownloadOperation, m365ComplianceConnector, microsoftGraphDataConnectOperation, microsoftPurview, filteringEmailContentFeatures, , powerPagesSite, powerAppsResource, plannerCopyPlanmdcSecurityConnectorsplannerRosterplannerPlanListplannerTaskListplannerTenantSettingsprojectForTheWebProjectprojectForTheWebTaskplannerTaskprojectForTheWebRoadmapItemprojectForTheWebRoadmapprojectForTheWebProjectSettingsprojectForTheWebRoadmapSettingsquarantineMetadatamicrosoftTodoAudittimeTravelFilteringDocMetadataplannerPlanmdcRegulatoryComplianceAssessmentsmdcRegulatoryComplianceControlsmdcRegulatoryComplianceStandardsmdcAssessmentsmdaDataSecuritySignalfilteringTeamsPostDeliveryActionfilteringTeamsUrlInfofilteringTeamsMetadatavivaGoalsmicrosoftTeamsSensitivityLabelActionsharePointAppPermissionOperationteamsQuarantineMetadatafilteringRuntimeInfoattackSimAdminunifiedSimulationSummaryunifiedSimulationMatchedItemupdateQuarantineMetadatamanagedTenantsms365DSuppressionRuleprivacyPortalpurviewDataMapOperationfilteringUrlPostClickActionfilteringAtpDetonationInfomicrosoftGraphDataConnectConsentteamsUpdatesplannerRosterSensitivityLabelirmUserDefinedDetectionSignalms365DIncident, , filteringDelistingMetadatacomplianceDLPSharePointClassificationExtended, microsoftDefenderForIdentityAudit, supervisoryReviewDayXInsight, defenderExpertsforXDRAdmin, cdpEdgeBlockedMessage, hostedRpa, cdpContentExplorerAggregateRecord, , cdpHygieneAttachmentInfo, cdpHygieneSummary, cdpPostMailDeliveryAction, cdpEmailFeatures, , cdpHygieneUrlInfo, cdpUrlClick, cdpPackageManagerHygieneEvent, filteringDocScan, timeTravelFilteringDocScan, mapgOnboard, unknownFutureValue. Opcional.
keywordFilter Cadena Campo de texto libre para buscar propiedades no indexadas del registro de auditoría. Opcional.
serviceFilter Cadena Hace referencia a la propiedad workload en el registro de auditoría. Este es el servicio de Microsoft donde se produjo la actividad. Opcional.
operationFilters Colección string El nombre de la actividad de usuario o administrador. Para obtener una descripción de las operaciones o actividades más comunes, vea Buscar en el registro de auditoría del Centro de seguridad y cumplimiento de Office 365. Opcional.
userPrincipalNameFilters Colección string UPN (nombre principal de usuario) del usuario que realizó la acción (especificada en la propiedad operation) que provocó que se registrara el registro; por ejemplo, my_name@my_domain_name. Opcional.
ipAddressFilters Colección string La dirección IP del dispositivo que se ha usado cuando la actividad se ha registrado. Opcional.
objectIdFilters Colección string Para la actividad de SharePoint y OneDrive para la Empresa, el nombre de la ruta de acceso completo del archivo o carpeta al que obtuvo acceso el usuario. Para el registro de auditoría de Exchange, el nombre del objeto modificado por el cmdlet. Opcional.
administrativeUnitIdFilters Colección string Unidades administrativas etiquetadas en un registro de auditoría. Opcional.
status microsoft.graph.security.auditLogQueryStatus Estado actual de la consulta. Los valores posibles son: notStarted, running, succeeded, failed, cancelled, unknownFutureValue. Opcional.

Respuesta

Si se ejecuta correctamente, este método devuelve un 201 Created código de respuesta y un objeto auditLogQuery en el cuerpo de la respuesta.

Ejemplos

Solicitud

En el ejemplo siguiente se muestra la solicitud.

POST https://graph.microsoft.com/v1.0/security/auditLog/queries
Content-Type: application/json

{
  "@odata.type": "#microsoft.graph.security.auditLogQuery",
  "displayName": "String",
  "filterStartDateTime": "String (timestamp)",
  "filterEndDateTime": "String (timestamp)",
  "recordTypeFilters": [
    "String"
  ],
  "keywordFilter": "String",
  "serviceFilter": "String",
  "operationFilters": [
    "String"
  ],
  "userPrincipalNameFilters": [
    "String"
  ],
  "ipAddressFilters": [
    "String"
  ],
  "objectIdFilters": [
    "String"
  ],
  "administrativeUnitIdFilters": [
    "String"
  ],
  "status": "String"
}

Respuesta

En el ejemplo siguiente se muestra la respuesta.

Nota: Se puede acortar el objeto de respuesta que se muestra aquí para mejorar la legibilidad.

HTTP/1.1 201 Created
Content-Type: application/json

{
  "@odata.type": "#microsoft.graph.security.auditLogQuery",
  "id": "168ec429-084b-a489-90d8-504a87846305",
  "displayName": "String",
  "filterStartDateTime": "String (timestamp)",
  "filterEndDateTime": "String (timestamp)",
  "recordTypeFilters": [
    "String"
  ],
  "keywordFilter": "String",
  "serviceFilter": "String",
  "operationFilters": [
    "String"
  ],
  "userPrincipalNameFilters": [
    "String"
  ],
  "ipAddressFilters": [
    "String"
  ],
  "objectIdFilters": [
    "String"
  ],
  "administrativeUnitIdFilters": [
    "String"
  ],
  "status": "String"
}