開啟或關閉 [Office 365 稽核記錄檔搜尋

重要:  本文係由機器翻譯而成,請參閱免責聲明。本文的英文版本請見這裡,以供參考。

您 (或另一個管理員),必須先開啟 [稽核記錄之前,您就可以開始搜尋 Office 365 稽核記錄。稽核記錄檔搜尋中Office 365 安全性與合規性中心開啟時,從您組織的使用者和管理員活動是稽核記錄檔中,並保留 90 天。不過,您的組織可能不想,錄製並保留稽核記錄資料。或者,可能會使用協力廠商的安全性資訊和事件管理 (SIEM) 應用程式存取您的稽核資料。在這些情況下,全域管理員可以關閉Office 365稽核記錄檔搜尋範圍。

開始之前

  • 您必須被指派稽核記錄檔中的角色Exchange OnlineOffice 365組織中開啟或關閉開啟稽核記錄檔搜尋。根據預設,此角色指派給的規範管理及組織管理角色群組Exchange 系統管理中心中的 [權限] 頁面上。全域管理員Office 365是Exchange Online的組織管理角色群組的成員。

    重要: 使用者必須被指派Exchange Online中的權限,以開啟或關閉稽核記錄檔搜尋。如果您在安全性與合規性中心中的 [權限] 頁面上的稽核記錄角色指派使用者,他們無法開啟或關閉 [稽核記錄檔搜尋。這是因為基礎 cmdlet Exchange Online指令程式。

  • 如果您關閉Office 365中的稽核記錄檔搜尋時,您還是可以使用Office 365管理活動 API 來存取您的組織稽核資料。關閉稽核記錄檔搜尋,以搜尋使用安全性與合規性中心稽核記錄時,或當您在Exchange Online PowerShell 執行Search-UnifiedAuditLog cmdlet,就會傳回任何結果此文章表示中的步驟進行。不過,如果您已獲授權存取組織的稽核資料Office 365管理活動 API 透過任何應用程式,這些應用程式會繼續運作。

  • 如需搜尋Office 365稽核記錄的逐步指示,請參閱的搜尋稽核登入 Office 365 的安全性與規範中心

開啟 [稽核記錄檔搜尋

若要開啟Office 365中的稽核記錄檔搜尋,您可以使用安全性與合規性中心或 PowerShell。可能需要幾個小時後開啟稽核記錄檔搜尋之前搜尋稽核記錄時,您可以傳回的結果。您必須被指派稽核記錄檔中的角色Exchange Online開啟稽核記錄檔搜尋。

若要開啟稽核記錄檔搜尋中使用 [安全性與規範中心

  1. 在安全性與合規性中心中,移至 [搜尋與調查>稽核記錄檔搜尋

  2. 按一下 [開始錄製使用者和管理員活動]。

    按一下 [開始錄製使用者和系統管理員活動],來開啟稽核

    對話方塊會顯示拒絕的使用者在組織中的管理員活動都可錄製Office 365稽核記錄檔,並可供檢視報表中。

  3. 按一下 [開啟]。

    顯示一則訊息,指出正在準備稽核記錄,您可以在幾個小時準備工作完成後執行搜尋。

使用 PowerShell 來開啟 [稽核記錄檔搜尋

  1. 連線至 Exchange Online PowerShell

  2. 執行下列 PowerShell 命令,以開啟Office 365中的稽核記錄檔搜尋。

    Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

    會顯示一則訊息,指出,可能需要長達 60 分鐘,變更才會生效。

回到頁首

關閉 [稽核記錄檔搜尋

您必須使用遠端 PowerShell 連線到Exchange Online組織關閉稽核記錄檔搜尋。類似稽核記錄檔搜尋時,您必須被指派稽核記錄檔中的角色Exchange Online關閉稽核記錄檔搜尋。

  1. 連線至 Exchange Online PowerShell

  2. 執行下列 PowerShell 命令,以關閉Office 365稽核記錄檔搜尋範圍。

    Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $false
  3. 後一段時間,請確認該稽核記錄檔搜尋已關閉 (停用)。有兩種方式進行這項操作:

    • 在 PowerShell 中執行下列命令:

      Get-AdminAuditLogConfig | FL UnifiedAuditLogIngestionEnabled

      FalseUnifiedAuditLogIngestionEnabled屬性的值,指出該稽核記錄檔搜尋已關閉。

    • 在安全性與合規性中心中,移至 [搜尋與調查>稽核記錄檔搜尋],然後按一下 [搜尋

      會顯示一則訊息,指出該稽核記錄檔搜尋未開啟。

      郵件是 dispayed,如果稽核已關閉

回到頁首

附註: 機器翻譯免責聲明︰本文係以電腦系統翻譯而成,未經人為介入。Microsoft 提供此等機器翻譯旨在協助非英語系使用者輕鬆閱讀 Microsoft 產品、服務及技術相關內容。基於本文乃由機器翻譯而成,因此文中可能出現詞辭、語法、文法上之錯誤。

擴展您的技能
探索訓練
優先取得新功能
加入 Office 測試人員

這項資訊有幫助嗎?

感謝您的意見反應!

感謝您的意見反應! 我們將協助您與其中一位 Office 支援專員連絡以深入了解您的意見。

×