Поделиться через


Создание auditLogQuery

Пространство имен: microsoft.graph.security

Важно!

API версии /beta в Microsoft Graph могут быть изменены. Использование этих API в производственных приложениях не поддерживается. Чтобы определить, доступен ли API в версии 1.0, используйте селектор версий.

Создайте объект auditLogQuery .

Этот API доступен в следующих национальных облачных развертываниях.

Глобальная служба Правительство США L4 Правительство США L5 (DOD) Китай управляется 21Vianet

Разрешения

Доступ к данным аудита можно получить через API поиска Аудит Microsoft Purview с помощью следующих разрешений, которые классифицируются на уровне службы Microsoft 365. Дополнительные сведения, включая сведения о том, как выбрать разрешения, см. в статье Разрешения.

Служба Microsoft 365 Делегированные (рабочая или учебная учетная запись) Делегированное (личная учетная запись Майкрософт) Приложение
Microsoft OneDrive AuditLogsQuery-OneDrive.Read.All Не поддерживается AuditLogsQuery-OneDrive.Read.All
Microsoft Exchange AuditLogsQuery-Exchange.Read.All Не поддерживается AuditLogsQuery-Exchange.Read.All
Microsoft SharePoint AuditLogsQuery-SharePoint.Read.All Не поддерживается AuditLogsQuery-SharePoint.Read.All
Защита от потери данных для конечной точки AuditLogsQuery-Endpoint.Read.All Не поддерживается AuditLogsQuery-Endpoint.Read.All
Microsoft Dynamics CRM AuditLogsQuery-CRM.Read.All Не поддерживается AuditLogsQuery-CRM.Read.All
Microsoft Entra AuditLogsQuery-Entra.Read.All Не поддерживается AuditLogsQuery-Entra.Read.All
Все журналы аудита AuditLogsQuery.Read.All Не поддерживается AuditLogsQuery.Read.All

HTTP-запрос

POST /security/auditLog/queries

Заголовки запросов

Имя Описание
Авторизация Bearer {token}. Обязательно. Дополнительные сведения о проверке подлинности и авторизации.
Content-Type application/json. Обязательно.

Текст запроса

В тексте запроса укажите представление объекта auditLogQuery в формате JSON.

При создании auditLogQuery можно указать следующие свойства.

Свойство Тип Описание
displayName String Отображаемое имя для сохраненного запроса журнала аудита. Необязательный параметр.
filterStartDateTime DateTimeOffset Начальная дата диапазона дат в запросе. Необязательный параметр.
filterEndDateTime DateTimeOffset Дата окончания диапазона дат в запросе. Необязательный параметр.
recordTypeFilters Collection(string) объекта microsoft.graph.security.auditLogRecordType Тип операции или типы, указанные записью. Возможные значения: exchangeAdmin, , exchangeItemexchangeItemGroup, sharePoint, , syntheticProbesharePointFileOperationoneDriveazureActiveDirectoryazureActiveDirectoryAccountLogondataCenterSecurityCmdletcomplianceDLPSharePointswaycomplianceDLPExchangesharePointSharingOperationazureActiveDirectoryStsLogonskypeForBusinessPSTNUsageskypeForBusinessUsersBlockedsecurityComplianceCenterEOPCmdletexchangeAggregatedOperationpowerBIAuditcrmyammerskypeForBusinessCmdletsdiscoverymicrosoftTeamsthreatIntelligencemailSubmissionmicrosoftFlowaeDmicrosoftStreamcomplianceDLPSharePointClassificationthreatFinderprojectsharePointListOperationsharePointCommentOperationdataGovernancekaizalasecurityComplianceAlertsthreatIntelligenceUrlsecurityComplianceInsightsmipLabelworkplaceAnalyticspowerAppsApppowerAppsPlanthreatIntelligenceAtpContentlabelContentExplorerteamsHealthcareexchangeItemAggregatedhygieneEventdataInsightsRestApiAuditinformationBarrierPolicyApplicationsharePointListItemOperationsharePointContentTypeOperationsharePointFieldOperationmicrosoftTeamsAdminhrSignalmicrosoftTeamsDevicemicrosoftTeamsAnalyticsinformationWorkerProtectioncampaigndlpEndpoint, , quarantineairInvestigation, microsoftForms, applicationAudit, complianceSupervisionExchange, customerKeyServiceEncryption, officeNative, mipAutoLabelSharePointItem, mipAutoLabelSharePointPolicyLocation, , secureScoremicrosoftTeamsShiftsmipAutoLabelExchangeItemcortanaBriefingsearchwdatpAlertspowerPlatformAdminDlppowerPlatformAdminEnvironmentmdatpAuditsensitivityLabelPolicyMatchsensitivityLabelActionsensitivityLabeledFileActionattackSimairManualInvestigationsecurityComplianceRBACuserTrainingairAdminActionInvestigationmsticphysicalBadgingSignalteamsEasyApprovalsaipDiscoveraipSensitivityLabelActionaipProtectionActionaipFileDeletedaipHeartBeatmcasAlertsonPremisesFileShareScannerDlponPremisesSharePointScannerDlpexchangeSearchsharePointSearchprivacyDataMinimizationlabelAnalyticsAggregatemyAnalyticsSettingssecurityComplianceUserChangecomplianceDLPExchangeClassificationcomplianceDLPEndpointmipExactDataMatchmsdeResponseActionsmsdeGeneralSettingsmsdeIndicatorsSettingsms365DCustomDetectionmsdeRolesSettingsmapgAlertsmapgPolicymapgRemediationprivacyRemediationActionprivacyDigestEmailmipAutoLabelSimulationProgressmipAutoLabelSimulationCompletionmipAutoLabelProgressFeedbackdlpSensitiveInformationType, , largeContentMetadatamipAutoLabelSimulationStatistics, microsoft365Group, cdpMlInferencingResult, filteringMailMetadata, cdpClassificationMailItem, cdpClassificationDocument, officeScriptsRunAction, , , tenantAllowBlockListfilteringMailSubmissionfilteringEmailFeaturespowerBIDlpfilteringUrlInfofilteringAttachmentInfocoreReportingSettingsfilteringDocMetadatapowerPlatformLockboxResourceAccessRequestcomplianceConnectorpowerPlatformLockboxResourceCommandcdpPredictiveCodingLabelcdpCompliancePolicyUserFeedbackwebpageActivityEndpointomePortalprivacyDataMatchfilteringUrlClickcmImprovementActionChangealertfilteringTimeTravelDocMetadataalertStatusscorePlatformGenericAuditRecordpowerPlatformServiceActivitymicrosoftManagedServicePlatformalertIncidentlabelExplorerfilteringRuleHitsfilteringEntityEventincidentStatusmipLabelAnalyticsAuditRecordmultiStageDispositioncasedataShareOperationprivacyRemediationcdpDlpSensitiverecordsManagementehrConnectorfilteringMailGradingResultcdpUnifiedFeedbackhealthcareSignalpublicFolderconsumptionResourcedlpImportResultcdpCompliancePolicyExecutioncaseInvestigationfilteringPostMailDeliveryActionprivacyTenantAuditHistoryRecord, , eduDataLakeDownloadOperationaipScannerDiscoverEvent, m365ComplianceConnector, microsoftGraphDataConnectOperation, microsoftPurview, filteringEmailContentFeatures, powerPagesSite, powerAppsResource, , , plannerTaskmdaDataSecuritySignalprojectForTheWebRoadmapItemprojectForTheWebProjectSettingsprojectForTheWebRoadmapSettingsquarantineMetadatamicrosoftTodoAuditprojectForTheWebRoadmapteamsQuarantineMetadatatimeTravelFilteringDocMetadatasharePointAppPermissionOperationmicrosoftTeamsSensitivityLabelActionfilteringTeamsMetadatafilteringTeamsUrlInfofilteringTeamsPostDeliveryActionprojectForTheWebTaskmdcRegulatoryComplianceStandardsmdcAssessmentsprivacyPortalfilteringAtpDetonationInfomanagedTenantsmicrosoftGraphDataConnectConsentattackSimAdminfilteringRuntimeInfounifiedSimulationMatchedItemvivaGoalsmdcSecurityConnectorsmdcRegulatoryComplianceAssessmentsunifiedSimulationSummarymdcRegulatoryComplianceControlsprojectForTheWebProjectupdateQuarantineMetadatairmUserDefinedDetectionSignalfilteringUrlPostClickActionteamsUpdatespurviewDataMapOperationplannerRosterSensitivityLabelms365DIncidentplannerCopyPlanplannerPlanListfilteringDelistingMetadataplannerRosterplannerTaskListplannerTenantSettingsms365DSuppressionRuleplannerPlancomplianceDLPSharePointClassificationExtended, , supervisoryReviewDayXInsightmicrosoftDefenderForIdentityAudit, defenderExpertsforXDRAdmin, cdpEdgeBlockedMessage, hostedRpa, cdpContentExplorerAggregateRecord, , cdpHygieneAttachmentInfo, cdpHygieneSummary, cdpPostMailDeliveryAction, cdpEmailFeatures, , cdpHygieneUrlInfocdpUrlClick, filteringDocScancdpPackageManagerHygieneEvent, timeTravelFilteringDocScan, mapgOnboard, . unknownFutureValue Необязательный параметр.
keywordFilter String Свободное текстовое поле для поиска неиндексированных свойств журнала аудита. Необязательный параметр.
serviceFilter String Ссылается на свойство рабочей нагрузки в записи аудита. Это служба Майкрософт, в которой произошло действие. Необязательный параметр.
OperationFilters Коллекция строк Название действия пользователя или администратора. Описание основных операций и действий см. в статье Поиск в журнале аудита в центре защиты Office 365. Необязательный параметр.
userPrincipalNameFilters Коллекция строк Имя участника-пользователя (имя участника-пользователя) пользователя, выполнившего действие (указанное в свойстве операции), которое привело к регистрации записи; например, my_name@my_domain_name. Необязательный параметр.
ipAddressFilters Коллекция строк IP-адрес устройства, которое использовалось при регистрации действия в журнале. Необязательный параметр.
ObjectIdFilters Коллекция строк Для действий SharePoint и OneDrive для бизнеса этот параметр указывает на полное имя пути к файлу или папке, к которым получает доступ пользователь. Что касается ведения журнала аудита действий администратора Exchange, это имя объекта, измененного командлетом. Необязательный параметр.
administrativeUnitIdFilters Коллекция строк Административные единицы, помеченные в записи журнала аудита. Необязательный параметр.
status microsoft.graph.security.auditLogQueryStatus Текущее состояние запроса. Допустимые значения: notStarted, running, succeeded, failed, cancelled, unknownFutureValue. Необязательный параметр.

Отклик

В случае успешного выполнения этот метод возвращает код отклика 201 Created и объект auditLogQuery в тексте ответа.

Примеры

Запрос

Ниже показан пример запроса.

POST https://graph.microsoft.com/beta/security/auditLog/queries
Content-Type: application/json

{
  "@odata.type": "#microsoft.graph.security.auditLogQuery",
  "displayName": "String",
  "filterStartDateTime": "String (timestamp)",
  "filterEndDateTime": "String (timestamp)",
  "recordTypeFilters": [
    "String"
  ],
  "keywordFilter": "String",
  "serviceFilter": "String",
  "operationFilters": [
    "String"
  ],
  "userPrincipalNameFilters": [
    "String"
  ],
  "ipAddressFilters": [
    "String"
  ],
  "objectIdFilters": [
    "String"
  ],
  "administrativeUnitIdFilters": [
    "String"
  ],
  "status": "String"
}

Отклик

Ниже показан пример отклика.

Примечание. Объект отклика, показанный здесь, может быть сокращен для удобочитаемости.

HTTP/1.1 201 Created
Content-Type: application/json

{
  "@odata.type": "#microsoft.graph.security.auditLogQuery",
  "id": "168ec429-084b-a489-90d8-504a87846305",
  "displayName": "String",
  "filterStartDateTime": "String (timestamp)",
  "filterEndDateTime": "String (timestamp)",
  "recordTypeFilters": [
    "String"
  ],
  "keywordFilter": "String",
  "serviceFilter": "String",
  "operationFilters": [
    "String"
  ],
  "userPrincipalNameFilters": [
    "String"
  ],
  "ipAddressFilters": [
    "String"
  ],
  "objectIdFilters": [
    "String"
  ],
  "administrativeUnitIdFilters": [
    "String"
  ],
  "status": "String"
}