Создание auditLogQuery
Пространство имен: microsoft.graph.security
Важно!
API версии /beta
в Microsoft Graph могут быть изменены. Использование этих API в производственных приложениях не поддерживается. Чтобы определить, доступен ли API в версии 1.0, используйте селектор версий.
Создайте объект auditLogQuery .
Этот API доступен в следующих национальных облачных развертываниях.
Глобальная служба | Правительство США L4 | Правительство США L5 (DOD) | Китай управляется 21Vianet |
---|---|---|---|
✅ | ❌ | ❌ | ❌ |
Разрешения
Доступ к данным аудита можно получить через API поиска Аудит Microsoft Purview с помощью следующих разрешений, которые классифицируются на уровне службы Microsoft 365. Дополнительные сведения, включая сведения о том, как выбрать разрешения, см. в статье Разрешения.
Служба Microsoft 365 | Делегированные (рабочая или учебная учетная запись) | Делегированное (личная учетная запись Майкрософт) | Приложение |
---|---|---|---|
Microsoft OneDrive | AuditLogsQuery-OneDrive.Read.All | Не поддерживается | AuditLogsQuery-OneDrive.Read.All |
Microsoft Exchange | AuditLogsQuery-Exchange.Read.All | Не поддерживается | AuditLogsQuery-Exchange.Read.All |
Microsoft SharePoint | AuditLogsQuery-SharePoint.Read.All | Не поддерживается | AuditLogsQuery-SharePoint.Read.All |
Защита от потери данных для конечной точки | AuditLogsQuery-Endpoint.Read.All | Не поддерживается | AuditLogsQuery-Endpoint.Read.All |
Microsoft Dynamics CRM | AuditLogsQuery-CRM.Read.All | Не поддерживается | AuditLogsQuery-CRM.Read.All |
Microsoft Entra | AuditLogsQuery-Entra.Read.All | Не поддерживается | AuditLogsQuery-Entra.Read.All |
Все журналы аудита | AuditLogsQuery.Read.All | Не поддерживается | AuditLogsQuery.Read.All |
HTTP-запрос
POST /security/auditLog/queries
Заголовки запросов
Имя | Описание |
---|---|
Авторизация | Bearer {token}. Обязательно. Дополнительные сведения о проверке подлинности и авторизации. |
Content-Type | application/json. Обязательно. |
Текст запроса
В тексте запроса укажите представление объекта auditLogQuery в формате JSON.
При создании auditLogQuery можно указать следующие свойства.
Свойство | Тип | Описание |
---|---|---|
displayName | String | Отображаемое имя для сохраненного запроса журнала аудита. Необязательный параметр. |
filterStartDateTime | DateTimeOffset | Начальная дата диапазона дат в запросе. Необязательный параметр. |
filterEndDateTime | DateTimeOffset | Дата окончания диапазона дат в запросе. Необязательный параметр. |
recordTypeFilters | Collection(string) объекта microsoft.graph.security.auditLogRecordType | Тип операции или типы, указанные записью. Возможные значения: exchangeAdmin , , exchangeItem exchangeItemGroup , sharePoint , , syntheticProbe sharePointFileOperation oneDrive azureActiveDirectory azureActiveDirectoryAccountLogon dataCenterSecurityCmdlet complianceDLPSharePoint sway complianceDLPExchange sharePointSharingOperation azureActiveDirectoryStsLogon skypeForBusinessPSTNUsage skypeForBusinessUsersBlocked securityComplianceCenterEOPCmdlet exchangeAggregatedOperation powerBIAudit crm yammer skypeForBusinessCmdlets discovery microsoftTeams threatIntelligence mailSubmission microsoftFlow aeD microsoftStream complianceDLPSharePointClassification threatFinder project sharePointListOperation sharePointCommentOperation dataGovernance kaizala securityComplianceAlerts threatIntelligenceUrl securityComplianceInsights mipLabel workplaceAnalytics powerAppsApp powerAppsPlan threatIntelligenceAtpContent labelContentExplorer teamsHealthcare exchangeItemAggregated hygieneEvent dataInsightsRestApiAudit informationBarrierPolicyApplication sharePointListItemOperation sharePointContentTypeOperation sharePointFieldOperation microsoftTeamsAdmin hrSignal microsoftTeamsDevice microsoftTeamsAnalytics informationWorkerProtection campaign dlpEndpoint , , quarantine airInvestigation , microsoftForms , applicationAudit , complianceSupervisionExchange , customerKeyServiceEncryption , officeNative , mipAutoLabelSharePointItem , mipAutoLabelSharePointPolicyLocation , , secureScore microsoftTeamsShifts mipAutoLabelExchangeItem cortanaBriefing search wdatpAlerts powerPlatformAdminDlp powerPlatformAdminEnvironment mdatpAudit sensitivityLabelPolicyMatch sensitivityLabelAction sensitivityLabeledFileAction attackSim airManualInvestigation securityComplianceRBAC userTraining airAdminActionInvestigation mstic physicalBadgingSignal teamsEasyApprovals aipDiscover aipSensitivityLabelAction aipProtectionAction aipFileDeleted aipHeartBeat mcasAlerts onPremisesFileShareScannerDlp onPremisesSharePointScannerDlp exchangeSearch sharePointSearch privacyDataMinimization labelAnalyticsAggregate myAnalyticsSettings securityComplianceUserChange complianceDLPExchangeClassification complianceDLPEndpoint mipExactDataMatch msdeResponseActions msdeGeneralSettings msdeIndicatorsSettings ms365DCustomDetection msdeRolesSettings mapgAlerts mapgPolicy mapgRemediation privacyRemediationAction privacyDigestEmail mipAutoLabelSimulationProgress mipAutoLabelSimulationCompletion mipAutoLabelProgressFeedback dlpSensitiveInformationType , , largeContentMetadata mipAutoLabelSimulationStatistics , microsoft365Group , cdpMlInferencingResult , filteringMailMetadata , cdpClassificationMailItem , cdpClassificationDocument , officeScriptsRunAction , , , tenantAllowBlockList filteringMailSubmission filteringEmailFeatures powerBIDlp filteringUrlInfo filteringAttachmentInfo coreReportingSettings filteringDocMetadata powerPlatformLockboxResourceAccessRequest complianceConnector powerPlatformLockboxResourceCommand cdpPredictiveCodingLabel cdpCompliancePolicyUserFeedback webpageActivityEndpoint omePortal privacyDataMatch filteringUrlClick cmImprovementActionChange alert filteringTimeTravelDocMetadata alertStatus scorePlatformGenericAuditRecord powerPlatformServiceActivity microsoftManagedServicePlatform alertIncident labelExplorer filteringRuleHits filteringEntityEvent incidentStatus mipLabelAnalyticsAuditRecord multiStageDisposition case dataShareOperation privacyRemediation cdpDlpSensitive recordsManagement ehrConnector filteringMailGradingResult cdpUnifiedFeedback healthcareSignal publicFolder consumptionResource dlpImportResult cdpCompliancePolicyExecution caseInvestigation filteringPostMailDeliveryAction privacyTenantAuditHistoryRecord , , eduDataLakeDownloadOperation aipScannerDiscoverEvent , m365ComplianceConnector , microsoftGraphDataConnectOperation , microsoftPurview , filteringEmailContentFeatures , powerPagesSite , powerAppsResource , , , plannerTask mdaDataSecuritySignal projectForTheWebRoadmapItem projectForTheWebProjectSettings projectForTheWebRoadmapSettings quarantineMetadata microsoftTodoAudit projectForTheWebRoadmap teamsQuarantineMetadata timeTravelFilteringDocMetadata sharePointAppPermissionOperation microsoftTeamsSensitivityLabelAction filteringTeamsMetadata filteringTeamsUrlInfo filteringTeamsPostDeliveryAction projectForTheWebTask mdcRegulatoryComplianceStandards mdcAssessments privacyPortal filteringAtpDetonationInfo managedTenants microsoftGraphDataConnectConsent attackSimAdmin filteringRuntimeInfo unifiedSimulationMatchedItem vivaGoals mdcSecurityConnectors mdcRegulatoryComplianceAssessments unifiedSimulationSummary mdcRegulatoryComplianceControls projectForTheWebProject updateQuarantineMetadata irmUserDefinedDetectionSignal filteringUrlPostClickAction teamsUpdates purviewDataMapOperation plannerRosterSensitivityLabel ms365DIncident plannerCopyPlan plannerPlanList filteringDelistingMetadata plannerRoster plannerTaskList plannerTenantSettings ms365DSuppressionRule plannerPlan complianceDLPSharePointClassificationExtended , , supervisoryReviewDayXInsight microsoftDefenderForIdentityAudit , defenderExpertsforXDRAdmin , cdpEdgeBlockedMessage , hostedRpa , cdpContentExplorerAggregateRecord , , cdpHygieneAttachmentInfo , cdpHygieneSummary , cdpPostMailDeliveryAction , cdpEmailFeatures , , cdpHygieneUrlInfo cdpUrlClick , filteringDocScan cdpPackageManagerHygieneEvent , timeTravelFilteringDocScan , mapgOnboard , . unknownFutureValue Необязательный параметр. |
keywordFilter | String | Свободное текстовое поле для поиска неиндексированных свойств журнала аудита. Необязательный параметр. |
serviceFilter | String | Ссылается на свойство рабочей нагрузки в записи аудита. Это служба Майкрософт, в которой произошло действие. Необязательный параметр. |
OperationFilters | Коллекция строк | Название действия пользователя или администратора. Описание основных операций и действий см. в статье Поиск в журнале аудита в центре защиты Office 365. Необязательный параметр. |
userPrincipalNameFilters | Коллекция строк | Имя участника-пользователя (имя участника-пользователя) пользователя, выполнившего действие (указанное в свойстве операции), которое привело к регистрации записи; например, my_name@my_domain_name. Необязательный параметр. |
ipAddressFilters | Коллекция строк | IP-адрес устройства, которое использовалось при регистрации действия в журнале. Необязательный параметр. |
ObjectIdFilters | Коллекция строк | Для действий SharePoint и OneDrive для бизнеса этот параметр указывает на полное имя пути к файлу или папке, к которым получает доступ пользователь. Что касается ведения журнала аудита действий администратора Exchange, это имя объекта, измененного командлетом. Необязательный параметр. |
administrativeUnitIdFilters | Коллекция строк | Административные единицы, помеченные в записи журнала аудита. Необязательный параметр. |
status | microsoft.graph.security.auditLogQueryStatus | Текущее состояние запроса. Допустимые значения: notStarted , running , succeeded , failed , cancelled , unknownFutureValue . Необязательный параметр. |
Отклик
В случае успешного выполнения этот метод возвращает код отклика 201 Created
и объект auditLogQuery в тексте ответа.
Примеры
Запрос
Ниже показан пример запроса.
POST https://graph.microsoft.com/beta/security/auditLog/queries
Content-Type: application/json
{
"@odata.type": "#microsoft.graph.security.auditLogQuery",
"displayName": "String",
"filterStartDateTime": "String (timestamp)",
"filterEndDateTime": "String (timestamp)",
"recordTypeFilters": [
"String"
],
"keywordFilter": "String",
"serviceFilter": "String",
"operationFilters": [
"String"
],
"userPrincipalNameFilters": [
"String"
],
"ipAddressFilters": [
"String"
],
"objectIdFilters": [
"String"
],
"administrativeUnitIdFilters": [
"String"
],
"status": "String"
}
Отклик
Ниже показан пример отклика.
Примечание. Объект отклика, показанный здесь, может быть сокращен для удобочитаемости.
HTTP/1.1 201 Created
Content-Type: application/json
{
"@odata.type": "#microsoft.graph.security.auditLogQuery",
"id": "168ec429-084b-a489-90d8-504a87846305",
"displayName": "String",
"filterStartDateTime": "String (timestamp)",
"filterEndDateTime": "String (timestamp)",
"recordTypeFilters": [
"String"
],
"keywordFilter": "String",
"serviceFilter": "String",
"operationFilters": [
"String"
],
"userPrincipalNameFilters": [
"String"
],
"ipAddressFilters": [
"String"
],
"objectIdFilters": [
"String"
],
"administrativeUnitIdFilters": [
"String"
],
"status": "String"
}