Azure AD审核

Question

是否可以从删除用户的角度审核从Azure AD中删除用户的情况？也就是说，如果将John Doe从AAD中删除，是否有可能以John Doe的名字在目录中搜索该删除？

似乎有可能看到Jane Doe删除了John Doe，但是在这种情况下，您需要知道谁删除了该帐户，对于拥有数百名操作人员的组织来说，这实际上是不可能的。

谢谢 凯西

可以审核谁删除了该帐户，而不是删除的帐户。

Answer 1

审核日志将包含您要查找的信息。日期/时间，活动，状态，目标对象和参与者信息都是可用的。

如果导航到“ Azure AD，用户”屏幕，您将在“活动”部分中找到“审核日志”选项。

在此屏幕上，您还可以执行一些非常高级的过滤，以便过滤特定的活动类型（例如“删除用户”），或者可以按目标或参与者进行搜索。

搜索删除活动类型时，如果要指定目标，则需要通过用户的guid而不是用户名来搜索目标，因为删除活动类型将显示guid +用户名的复合值。

Answer 2

  

是否可以从删除用户的角度审核从Azure AD中删除用户的情况？也就是说，如果将John Doe从AAD中删除，是否有可能以John Doe的名字在目录中搜索该删除？

当然，请导航至门户中的Azure Active Directory-> Users-> Deleted users->按名称搜索。

  

似乎有可能看到Jane Doe删除了John Doe，但是在这种情况下，您需要知道谁删除了该帐户，对于拥有数百名操作人员的组织来说，这实际上是不可能的。

我认为有可能。您可以导航到Users-> Audit logs。选择类似屏幕快照的过滤器，注释，目标应该是已删除帐户的对象ID，然后INITIATED BY (ACTOR)是删除帐户的对象。如果您还有其他要求，只需更换过滤器即可。

此外，您还可以使用Microsoft Graph API：List directoryAudits来删除帐户的用户，2a167196-12dxxxxxxx068824f2是该帐户的对象ID删除。

样本：

GET https://graph.microsoft.com/beta/auditLogs/directoryAudits?&filter=activityDisplayName eq 'Delete user' and targetResources/any(t:t/id eq '2a167196-12dxxxxxxx068824f2')