Get-EntraBetaAuditDirectoryLog

Module:: Microsoft.Entra.Beta.Reports Module v1.3

Obtenir les journaux d’audit d’annuaire.

Syntaxe

Default (Par défaut)

Get-EntraBetaAuditDirectoryLog

    [-All]
    [-Top <Int32>]
    [-Filter <String>]
    [-Property <String[]>]
    [<CommonParameters>]

Description

L’applet Get-EntraBetaAuditDirectoryLog de commande obtient un journal d’audit Microsoft Entra ID. Récupérez les journaux d’audit de Microsoft Entra ID, couvrant les journaux d’activité de divers services tels que l’utilisateur, l’application, l’appareil et la gestion des groupes, la gestion des identités privilégiées (PIM), les révisions d’accès, les conditions d’utilisation, la protection des identités, la gestion des mots de passe (SSPR et réinitialisations d’administration) et la gestion des groupes en libre-service.

Dans les scénarios délégués avec des comptes professionnels ou scolaires, l’utilisateur connecté doit disposer d’un rôle Microsoft Entra ou d’un rôle personnalisé pris en charge avec les autorisations nécessaires. Les rôles les moins privilégiés suivants prennent en charge cette opération :

Lecteur de rapports
Administrateur de la sécurité
Lecteur de sécurité

Exemples

Exemple 1 : Obtenir tous les journaux

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -All

Id                                                             ActivityDateTime    ActivityDisplayName                     Category              CorrelationId
--                                                             ----------------    -------------------                     --------              -------------
Directory_aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb 17/07/2024 08:55:34 Add service principal                   ApplicationManagement aaaa0000-bb11-2222-33cc-444444dddddd
Directory_bbbbbbbb-1111-2222-3333-cccccccccccc  17/07/2024 07:31:54 Update user                             UserManagement       bbbb1111-cc22-3333-44dd-555555eeeeee
SSGM_cccccccc-2222-3333-4444-dddddddddddd      17/07/2024 07:13:08 GroupsODataV4_GetgroupLifecyclePolicies GroupManagement       cccc2222-dd33-4444-55ee-666666ffffff

Cette commande obtient tous les journaux d’audit.

Exemple 2 : Répertorier les journaux d’audit de la création de groupe

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
$groupId = (Get-EntraBetaGroup -SearchString 'Woodgrove DevOps').Id
Get-EntraBetaAuditDirectoryLog -Filter "
    activityDisplayName eq 'Add group'
    and targetResources/any(r:r/id eq '$groupId')"

Id                                      ActivityDateTime      ActivityDisplayName Category        CorrelationId                          LoggedByService  OperationType Result  ResultReason
--                                      ----------------      ------------------- --------        -------------                          ---------------  ------------- ------  ------------
Directory_aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb 03/06/2025 22:22:17 Add group        GroupManagement aaaa0000-bb11-2222-33cc-444444dddddd Core Directory  Add           success

Cette commande obtient tous les journaux d’audit de la création de groupe.

Exemple 3 : Récupérer les journaux d’audit de création de groupe récents

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -Filter "activityDisplayName eq 'Add group'" -Limit 5 |
Select-Object id, activityDateTime,
              @{Name="InitiatedByUPN"; Expression={ $_.initiatedBy.user.userPrincipalName }},
              result,
              @{Name="GroupDisplayName"; Expression={ $_.targetResources[0].displayName }} |
Format-Table -AutoSize

Id                                      ActivityDateTime      InitiatedByUPN                Result  GroupDisplayName
--                                      ----------------      --------------                ------  ----------------
Directory_11111111-2222-3333-4444-555555555555  03/07/2025 18:30:45 admin@contoso.com        success Woodgrove Developers
Directory_aaaa0000-bb11-2222-33cc-444444dddddd  03/06/2025 22:22:17 user1@contoso.com       success Woodgrove DevOps
Directory_99999999-8888-7777-6666-555555555555  03/05/2025 15:10:12 admin2@contoso.com      success Security Team

Cette commande récupère les journaux d’audit de création de groupe récents.

Exemple 4 : Afficher les détails de la méthode d’authentification mise à jour de l’utilisateur

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
$userId = (Get-EntraBetaUser -UserId 'sawyerM@contoso.com').Id
Get-EntraBetaAuditDirectoryLog -Filter "category eq 'UserManagement' and LoggedByService eq 'Authentication Methods' and targetResources/any(r:r/id eq '$userId')"

Id                                       ActivityDateTime      ActivityDisplayName             Category        CorrelationId                          LoggedByService                  OperationType  Result   ResultReason
--                                       ----------------      -------------------             --------        -------------                          ---------------                  -------------  ------   ------------
Authentication Methods_{GUID}  02/17/2025 13:20:08  User registered security info   UserManagement  aaaa0000-bb11-2222-33cc-444444dddddd  Authentication Methods ServiceApi   success  User registered Fido2 Authentication Method
Authentication Methods_{GUID}  02/17/2025 13:19:57  Get passkey creation options    UserManagement  bbbb1111-cc22-3333-44dd-555555eeeeee  Authentication Methods ServiceApi   success  Successfully retrieved passkey creation options.
Authentication Methods_{GUID}  02/15/2025 17:38:02  User registered security info   UserManagement  cccc2222-dd33-4444-55ee-666666ffffff  Authentication Methods ServiceApi   success  User registered temporary access pass method

Cette commande récupère les détails de la méthode d’authentification mise à jour de l’utilisateur.

Exemple 5 : Répertorier les travaux d’approvisionnement mis en quarantaine

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -Filter "activityDisplayName eq 'Quarantine'" -Limit 1 |
Select-Object Id, ActivityDateTime, ActivityDisplayName, Category, LoggedByService, Result,
              ResultReason,
              @{Name="InitiatedByDisplayName"; Expression={ $_.targetResources[0].displayName }}

id                     : Sync_{GUID}
activityDateTime       : 02/14/2025 04:23:38
activityDisplayName    : Quarantine
category               : ProvisioningManagement
loggedByService        : Account Provisioning
result                 : failure
resultReason           : This run profile is being quarantined because of: EncounteredQuarantineException; Error: Your ServiceNow credentials are invalid. Please obtain valid ServiceNow credentials, navigate to your ServiceNow enterprise application in the Azure Portal, and ente
                         r those details in the admin credentials section of the provisioning configuration page. For directions on how to input credentials into your application, review the tutorial specific to ServiceNow found here: https://docs.microsoft.com/en-us/azure/activ
                         e-directory/saas-apps/servicenow-provisioning-tutorial
InitiatedByDisplayName : ServiceNow

Cette commande récupère les travaux d’approvisionnement mis en quarantaine.

Exemple 6 : Obtenir les premiers journaux d’activité

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -Top 1

Id                                                             ActivityDateTime    ActivityDisplayName   Category              CorrelationId                        LoggedB
                                                                                                                                                                    yServic
                                                                                                                                                                    e
--                                                             ----------------    -------------------   --------              -------------                        -------
Directory_aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb_8IAPT_617717139 17/07/2024 08:55:34 Add service principal ApplicationManagement aaaa0000-bb11-2222-33cc-444444dddddd Core...

Cet exemple retourne les premiers journaux N. Vous pouvez utiliser -Limit comme alias pour -Top.

Exemple 7 : Obtenir les journaux d’audit contenant un ActivityDisplayName donné

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -Filter "ActivityDisplayName eq 'Update rollout policy of feature'" -Top 1

Id                                                                   ActivityDateTime    ActivityDisplayName              Category       CorrelationId
--                                                                   ----------------    -------------------              --------       -------------
Application Proxy_aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb 16/07/2024 05:13:49 Update rollout policy of feature Authentication aaaa0000-bb11-2222-33cc-444444dddddd

Cette commande montre comment obtenir les journaux d’audit par ActivityDisplayName. Vous pouvez utiliser -Limit comme alias pour -Top.

Exemple 8 : Obtenir tous les journaux d’audit avec un résultat donné

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
Get-EntraBetaAuditDirectoryLog -Filter "result eq 'failure'" -All

Cette commande montre comment obtenir les journaux d’audit par le résultat.

Exemple 9 : Afficher quand les utilisateurs ont été ajoutés à un groupe

Connect-Entra -Scopes 'AuditLog.Read.All, Directory.Read.All'
$groupId = (Get-EntraBetaGroup -SearchString 'Contoso Group').Id
Get-EntraBetaAuditDirectoryLog -Filter "
    activityDisplayName eq 'Add member to group'
    and targetResources/any(r:r/type eq 'User')
    and targetResources/any(r:r/id eq '$groupId' and r/type eq 'Group')"

Id                                      ActivityDateTime      ActivityDisplayName   Category        CorrelationId                          LoggedByService   OperationType Result  ResultReason
--                                      ----------------      -------------------   --------        -------------                          ---------------   ------------- ------  ------------
Directory_{GUID}  03/07/2025 23:16:31   Add member to group   GroupManagement       aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb  Core Directory   Assign        success

Cette commande indique quand les utilisateurs ont été ajoutés à un groupe.

Paramètres

-All

Répertorier toutes les pages.

Propriétés du paramètre

Type:	System.Management.Automation.SwitchParameter
Valeur par défaut:	False
Prend en charge les caractères génériques:	False
DontShow:	False

Jeux de paramètres

(All)

Position:	Named
Obligatoire:	False
Valeur du pipeline:	False
Valeur du pipeline par nom de propriété:	False
Valeur des arguments restants:	False

-Filter

Instruction de filtre OData v4.0. Contrôle les objets retournés.

Propriétés du paramètre

Type:	System.String
Valeur par défaut:	None
Prend en charge les caractères génériques:	False
DontShow:	False

Jeux de paramètres

(All)

Position:	Named
Obligatoire:	False
Valeur du pipeline:	True
Valeur du pipeline par nom de propriété:	True
Valeur des arguments restants:	False

-Property

Spécifie les propriétés à retourner

Propriétés du paramètre

Type:	System.String[]
Valeur par défaut:	None
Prend en charge les caractères génériques:	False
DontShow:	False
Alias:	Sélectionnez

Jeux de paramètres

(All)

Position:	Named
Obligatoire:	False
Valeur du pipeline:	False
Valeur du pipeline par nom de propriété:	False
Valeur des arguments restants:	False

-Top

Nombre maximal d’enregistrements à retourner.

Propriétés du paramètre

Type:	System.Int32
Valeur par défaut:	None
Prend en charge les caractères génériques:	False
DontShow:	False
Alias:	Limite

Jeux de paramètres

(All)

Position:	Named
Obligatoire:	False
Valeur du pipeline:	True
Valeur du pipeline par nom de propriété:	True
Valeur des arguments restants:	False

CommonParameters

Cette applet de commande prend en charge les paramètres courants : -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction et -WarningVariable. Pour plus d’informations, consultez about_CommonParameters.

Notes

Get-EntraBetaAuditDirectoryLogs est un alias pour Get-EntraBetaAuditDirectoryLog.

Commentaires

Cette page a-t-elle été utile ?