打开或关闭 Office 365 审核日志搜索

重要:  本文是由机器翻译的,请参阅免责声明。请在 此处 中查找本文的英文版本以便参考。

您 (或另一个管理员) 必须先启用审核日志记录之前,您可以开始搜索 Office 365 审核日志。启用审核日志搜索中Office 365 安全与合规中心后,从您的组织的用户和管理员活动中的审核日志记录,并保留 90 天。但是,您的组织可能不希望录制并保留审核日志数据。或者,您可能使用第三方安全信息和事件管理 (SIEM) 应用程序以访问您的审核数据。在这些情况下,全局管理员可以关闭Office 365中的审核日志搜索。

准备工作

  • 您必须Exchange Online以打开或关闭Office 365组织中的审核日志搜索中的审核日志角色分配。默认情况下,此角色分配给合规性管理和组织管理角色组Exchange 管理中心中的权限页面上。全局管理员在Office 365是Exchange Online中的组织管理角色组的成员。

    重要: 用户必须分配Exchange Online中的权限以打开或关闭审核日志搜索。如果您为用户分配安全和合规性中心中的权限页面上的审核日志角色,他们将无法打开或关闭审核日志搜索。这是因为基础 cmdlet Exchange Online cmdlet。

  • 如果您关闭Office 365中的审核日志搜索,您仍然可以使用Office 365管理活动 API 以访问您的组织的审核数据。关闭审核日志搜索按照此文章意味着,当您搜索使用安全和合规性中心的审核日志或Exchange Online PowerShell 中运行Search-UnifiedAuditLog cmdlet 时将返回任何结果中的步骤操作。但是,如果您已授权访问您的组织的审核数据Office 365管理活动 API 通过任何应用程序,这些应用程序将继续工作。

  • 搜索Office 365审核日志的分步说明,请参阅在 Office 365 安全和合规性中心中的审核日志的搜索

启用审核日志搜索

您可以使用安全和合规性中心或 PowerShell 启用审核日志搜索Office 365中。它可能需要几小时后启用审核日志搜索之前,您可以搜索审核日志时返回的结果。您必须Exchange Online以启用审核日志搜索中的审核日志角色分配。

使用安全和合规性中心启用审核日志搜索

  1. 在安全和合规性中心中,转到搜索和调查>审核日志搜索

  2. 单击开始录制用户和管理员活动

    单击“开始记录用户和管理员活动”启用审核

    将显示一个对话框,说用户和您的组织中的管理员活动将为Office 365审核日志记录和可在报表中查看。

  3. 单击打开

    将显示一条消息,指明正在准备审核日志和您可以在几个小时准备完成后执行搜索。

使用 PowerShell 启用审核日志搜索

  1. 连接到 Exchange Online PowerShell

  2. 运行以下的 PowerShell 命令,以启用审核日志搜索Office 365中。

    Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

    将显示一条消息,说,可能需要 60 分钟的时间以使更改生效。

返回页首

关闭审核日志搜索

您需要使用远程 PowerShell 连接到您的组织Exchange Online关闭审核日志搜索。类似于启用审核日志搜索,您必须Exchange Online关闭审核日志搜索中的审核日志角色分配。

  1. 连接到 Exchange Online PowerShell

  2. 运行以下的 PowerShell 命令,若要关闭Office 365中的审核日志搜索。

    Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $false
  3. 一段时间之后验证该审核日志搜索关闭 (禁用)。有两种方法可以执行此操作:

    • 在 PowerShell,运行以下命令:

      Get-AdminAuditLogConfig | FL UnifiedAuditLogIngestionEnabled

      FalseUnifiedAuditLogIngestionEnabled属性的值,指示该审核日志搜索处于关闭状态。

    • 在安全和合规性中心中,转到搜索和调查>审核日志搜索,然后单击搜索

      将显示一条消息,说的审核日志搜索未启用。

      如果审核处于关闭状态,是 dispayed 消息

返回页首

注意: 机器翻译免责声明:本文是由无人工介入的计算机系统翻译的。Microsoft 提供机器翻译是为了帮助非英语国家/地区用户方便阅读有关 Microsoft 产品、服务和技术的内容。由于机器翻译的原因,本文可能包含词汇、语法或文法方面的错误。

扩展你的技能
了解培训
抢先获得新功能
加入 Office 预览体验计划

此信息是否有帮助?

谢谢您的反馈!

谢谢你的反馈! 可能需要转接到 Office 支持专员。

×