Get-EntraBetaAuditDirectoryLog

Módulo:: Microsoft.Entra.Beta.Reports Module v1.3

Obtiene los registros de auditoría de directorio.

Sintaxis

Default (valor predeterminado)

Get-EntraBetaAuditDirectoryLog

    [-All]
    [-Top <Int32>]
    [-Filter <String>]
    [-Property <String[]>]
    [<CommonParameters>]

Description

El Get-EntraBetaAuditDirectoryLog cmdlet obtiene un registro de auditoría Microsoft Entra ID. Recupere los registros de auditoría de Microsoft Entra ID, que abarcan registros de varios servicios, como user, app, device y group management, privileged identity management (PIM), access reviews, terms of use, identity protection, password management (SSPR y admin resets) y self-service group management.

En escenarios delegados con cuentas profesionales o educativas, el usuario que ha iniciado sesión debe tener un rol de Microsoft Entra compatible o un rol personalizado con los permisos necesarios. Los siguientes roles con privilegios mínimos admiten esta operación:

Lector de informes
Administrador de seguridad
Lector de seguridad

Ejemplos

Ejemplo 1: Obtener todos los registros

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -All

Id                                                             ActivityDateTime    ActivityDisplayName                     Category              CorrelationId
--                                                             ----------------    -------------------                     --------              -------------
Directory_aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb 17/07/2024 08:55:34 Add service principal                   ApplicationManagement aaaa0000-bb11-2222-33cc-444444dddddd
Directory_bbbbbbbb-1111-2222-3333-cccccccccccc  17/07/2024 07:31:54 Update user                             UserManagement       bbbb1111-cc22-3333-44dd-555555eeeeee
SSGM_cccccccc-2222-3333-4444-dddddddddddd      17/07/2024 07:13:08 GroupsODataV4_GetgroupLifecyclePolicies GroupManagement       cccc2222-dd33-4444-55ee-666666ffffff

Este comando obtiene todos los registros de auditoría.

Ejemplo 2: Enumeración de registros de auditoría de creación de grupos

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
$groupId = (Get-EntraBetaGroup -SearchString 'Woodgrove DevOps').Id
Get-EntraBetaAuditDirectoryLog -Filter "
    activityDisplayName eq 'Add group'
    and targetResources/any(r:r/id eq '$groupId')"

Id                                      ActivityDateTime      ActivityDisplayName Category        CorrelationId                          LoggedByService  OperationType Result  ResultReason
--                                      ----------------      ------------------- --------        -------------                          ---------------  ------------- ------  ------------
Directory_aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb 03/06/2025 22:22:17 Add group        GroupManagement aaaa0000-bb11-2222-33cc-444444dddddd Core Directory  Add           success

Este comando obtiene todos los registros de auditoría de la creación de grupos.

Ejemplo 3: Recuperación de registros de auditoría de creación de grupos recientes

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -Filter "activityDisplayName eq 'Add group'" -Limit 5 |
Select-Object id, activityDateTime,
              @{Name="InitiatedByUPN"; Expression={ $_.initiatedBy.user.userPrincipalName }},
              result,
              @{Name="GroupDisplayName"; Expression={ $_.targetResources[0].displayName }} |
Format-Table -AutoSize

Id                                      ActivityDateTime      InitiatedByUPN                Result  GroupDisplayName
--                                      ----------------      --------------                ------  ----------------
Directory_11111111-2222-3333-4444-555555555555  03/07/2025 18:30:45 admin@contoso.com        success Woodgrove Developers
Directory_aaaa0000-bb11-2222-33cc-444444dddddd  03/06/2025 22:22:17 user1@contoso.com       success Woodgrove DevOps
Directory_99999999-8888-7777-6666-555555555555  03/05/2025 15:10:12 admin2@contoso.com      success Security Team

Este comando recupera los registros de auditoría de creación de grupos recientes.

Ejemplo 4: Mostrar los detalles del método de autenticación actualizado del usuario

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
$userId = (Get-EntraBetaUser -UserId 'sawyerM@contoso.com').Id
Get-EntraBetaAuditDirectoryLog -Filter "category eq 'UserManagement' and LoggedByService eq 'Authentication Methods' and targetResources/any(r:r/id eq '$userId')"

Id                                       ActivityDateTime      ActivityDisplayName             Category        CorrelationId                          LoggedByService                  OperationType  Result   ResultReason
--                                       ----------------      -------------------             --------        -------------                          ---------------                  -------------  ------   ------------
Authentication Methods_{GUID}  02/17/2025 13:20:08  User registered security info   UserManagement  aaaa0000-bb11-2222-33cc-444444dddddd  Authentication Methods ServiceApi   success  User registered Fido2 Authentication Method
Authentication Methods_{GUID}  02/17/2025 13:19:57  Get passkey creation options    UserManagement  bbbb1111-cc22-3333-44dd-555555eeeeee  Authentication Methods ServiceApi   success  Successfully retrieved passkey creation options.
Authentication Methods_{GUID}  02/15/2025 17:38:02  User registered security info   UserManagement  cccc2222-dd33-4444-55ee-666666ffffff  Authentication Methods ServiceApi   success  User registered temporary access pass method

Este comando recupera los detalles del método de autenticación actualizado del usuario.

Ejemplo 5: Enumeración de trabajos de aprovisionamiento en cuarentena

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -Filter "activityDisplayName eq 'Quarantine'" -Limit 1 |
Select-Object Id, ActivityDateTime, ActivityDisplayName, Category, LoggedByService, Result,
              ResultReason,
              @{Name="InitiatedByDisplayName"; Expression={ $_.targetResources[0].displayName }}

id                     : Sync_{GUID}
activityDateTime       : 02/14/2025 04:23:38
activityDisplayName    : Quarantine
category               : ProvisioningManagement
loggedByService        : Account Provisioning
result                 : failure
resultReason           : This run profile is being quarantined because of: EncounteredQuarantineException; Error: Your ServiceNow credentials are invalid. Please obtain valid ServiceNow credentials, navigate to your ServiceNow enterprise application in the Azure Portal, and ente
                         r those details in the admin credentials section of the provisioning configuration page. For directions on how to input credentials into your application, review the tutorial specific to ServiceNow found here: https://docs.microsoft.com/en-us/azure/activ
                         e-directory/saas-apps/servicenow-provisioning-tutorial
InitiatedByDisplayName : ServiceNow

Este comando recupera los trabajos de aprovisionamiento en cuarentena.

Ejemplo 6: Obtener los primeros n registros

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -Top 1

Id                                                             ActivityDateTime    ActivityDisplayName   Category              CorrelationId                        LoggedB
                                                                                                                                                                    yServic
                                                                                                                                                                    e
--                                                             ----------------    -------------------   --------              -------------                        -------
Directory_aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb_8IAPT_617717139 17/07/2024 08:55:34 Add service principal ApplicationManagement aaaa0000-bb11-2222-33cc-444444dddddd Core...

En este ejemplo se devuelven los primeros registros N. Puede usar -Limit como alias para -Top.

Ejemplo 7: Obtener registros de auditoría que contienen un activityDisplayName determinado

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -Filter "ActivityDisplayName eq 'Update rollout policy of feature'" -Top 1

Id                                                                   ActivityDateTime    ActivityDisplayName              Category       CorrelationId
--                                                                   ----------------    -------------------              --------       -------------
Application Proxy_aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb 16/07/2024 05:13:49 Update rollout policy of feature Authentication aaaa0000-bb11-2222-33cc-444444dddddd

Este comando muestra cómo obtener registros de auditoría por ActivityDisplayName. Puede usar -Limit como alias para -Top.

Ejemplo 8: Obtención de todos los registros de auditoría con un resultado determinado

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -Filter "result eq 'failure'" -All

Este comando muestra cómo obtener los registros de auditoría por el resultado.

Ejemplo 9: Mostrar cuándo se agregaron usuarios a un grupo

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
$groupId = (Get-EntraBetaGroup -SearchString 'Contoso Group').Id
Get-EntraBetaAuditDirectoryLog -Filter "
    activityDisplayName eq 'Add member to group'
    and targetResources/any(r:r/type eq 'User')
    and targetResources/any(r:r/id eq '$groupId' and r/type eq 'Group')"

Id                                      ActivityDateTime      ActivityDisplayName   Category        CorrelationId                          LoggedByService   OperationType Result  ResultReason
--                                      ----------------      -------------------   --------        -------------                          ---------------   ------------- ------  ------------
Directory_{GUID}  03/07/2025 23:16:31   Add member to group   GroupManagement       aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb  Core Directory   Assign        success

Este comando muestra cuándo se agregaron usuarios a un grupo.

Parámetros

-All

Enumera todas las páginas.

Propiedades de parámetro

Tipo:	System.Management.Automation.SwitchParameter
Valor predeterminado:	False
Admite caracteres comodín:	False
DontShow:	False

Conjuntos de parámetros

(All)

Posición:	Named
Obligatorio:	False
Valor de la canalización:	False
Valor de la canalización por nombre de propiedad:	False
Valor de los argumentos restantes:	False

-Filter

Instrucción de filtro OData v4.0. Controla qué objetos se devuelven.

Propiedades de parámetro

Tipo:	System.String
Valor predeterminado:	None
Admite caracteres comodín:	False
DontShow:	False

Conjuntos de parámetros

(All)

Posición:	Named
Obligatorio:	False
Valor de la canalización:	True
Valor de la canalización por nombre de propiedad:	True
Valor de los argumentos restantes:	False

-Property

Especifica las propiedades que se van a devolver.

Propiedades de parámetro

Tipo:	System.String[]
Valor predeterminado:	None
Admite caracteres comodín:	False
DontShow:	False
Alias:	Select

Conjuntos de parámetros

(All)

Posición:	Named
Obligatorio:	False
Valor de la canalización:	False
Valor de la canalización por nombre de propiedad:	False
Valor de los argumentos restantes:	False

-Top

Número máximo de registros que se van a devolver.

Propiedades de parámetro

Tipo:	System.Int32
Valor predeterminado:	None
Admite caracteres comodín:	False
DontShow:	False
Alias:	Limit

Conjuntos de parámetros

(All)

Posición:	Named
Obligatorio:	False
Valor de la canalización:	True
Valor de la canalización por nombre de propiedad:	True
Valor de los argumentos restantes:	False

CommonParameters

Este cmdlet admite los parámetros comunes: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction y -WarningVariable. Para obtener más información, vea about_CommonParameters.

Notas

Get-EntraBetaAuditDirectoryLogs es un alias de Get-EntraBetaAuditDirectoryLog.

Comentarios

¿Le ha resultado útil esta página?