Поделиться через

Настройка и фильтрация журналов действий удостоверений

  • Статья

Журналы регистрации входа часто используются для устранения проблем с доступом пользователей и анализа рискованной активности при входе. Журналы аудита собирают все зарегистрированные события в идентификаторе Microsoft Entra и могут использоваться для изучения изменений в вашей среде. Существует более 30 столбцов, которые можно выбрать для настройки представления журналов входа в Центре администрирования Microsoft Entra. Журналы аудита и журналы подготовки также можно настроить и отфильтровать для ваших потребностей.

В этой статье показано, как настроить столбцы, а затем отфильтровать журналы, чтобы найти нужную информацию более эффективно.

Предварительные условия

Доступ к журналам действий в Центре администрирования Microsoft Entra

Вы всегда можете получить доступ к журналу входа в системе на https://mysignins.microsoft.com. Вы также можете получить доступ к журналам входа из Пользователи и Корпоративные приложения в Microsoft Entra ID.

  1. Войдите в административный центр Microsoft Entra как минимум в роли читателя отчетов.
  2. Перейдите к Идентификация>Мониторинг и здоровье>Журналы аудита/Журналы входа/Журналы подготовки.

Используя сведения в журналах аудита Microsoft Entra, вы можете получить доступ ко всем записям системных действий в целях соответствия требованиям. Журналы аудита можно получить из раздела "Мониторинг и работоспособность " идентификатора Microsoft Entra, где можно сортировать и фильтровать по каждой категории и действиям. Вы также можете получить доступ к журналам аудита в области центра администрирования для исследуемой службы.

Снимок экрана: параметр журналов аудита в боковом меню.

Например, если вы изучаете изменения в группах Microsoft Entra, вы можете получить доступ к журналам аудита из Microsoft Entra ID>Groups. При доступе к журналам аудита из службы фильтр автоматически настраивается в соответствии со службой.

Снимок экрана: параметр журналов аудита в меню

Настройка макета журналов аудита

Столбцы в журналах аудита можно настроить, чтобы просмотреть только необходимые сведения. Столбцы службы, категории и действия связаны друг с другом, поэтому эти столбцы всегда должны быть видимыми.

Скриншот кнопки

Фильтрация журналов аудита

При фильтрации журналов по службе сведения о категории и действиях автоматически изменяются. В некоторых случаях может быть только одна категория или действие. Подробную таблицу всех возможных сочетаний этих сведений см. в разделе "Действия аудита".

Снимок экрана: фильтр журнала аудита с условным доступом в качестве службы.

  • Служба: по умолчанию для всех доступных служб, но вы можете отфильтровать список до одного или нескольких, выбрав параметр из раскрывающегося списка.

  • Категория: по умолчанию для всех категорий, но можно отфильтровать для просмотра категории действий, таких как изменение политики или активация соответствующей роли Microsoft Entra.

  • Действие: На основе выбора категории и типа ресурса действия, который вы делаете. Вы можете выбрать определенное действие или просмотреть все.

    Список всех действий аудита можно получить с помощью API Microsoft Graph: https://graph.windows.net/<tenantdomain>/activities/auditActivityTypesV2?api-version=beta

  • Состояние: позволяет просмотреть результат на основе того, было ли действие успешно или неудачно.

  • Цель: позволяет искать цель или получателей действия. Выполните поиск по первым нескольким буквам имени или имени участника-пользователя (UPN). Имя целевое и универсальное имя пользователя чувствительны к регистру.

  • Инициировано: позволяет искать по инициатору действия, используя первые несколько букв имени или UPN. Имя и основное имя пользователя чувствительны к регистру.

  • Диапазон дат: позволяет определить интервал времени для возвращаемых данных. Вы можете искать последние 7 дней, 24 часа или настраиваемый диапазон. При выборе пользовательского интервала времени можно настроить время начала и окончания.

Связанный контент