Revisionsloggen i Microsoft 365: fra 90 dage i 2016 til Purview Audit

Fra 17. februar 2016 begyndte Microsoft at udrulle en revisionslog over, hvad brugere og administratorer gør med filer i SharePoint Online og OneDrive for Business. Loggen lå i Compliance Center, gemte 90 dage og kunne hentes som CSV-fil eller via Office 365 Management Activity API (Office-bloggen, 17. februar 2016, Wayback). Det er den log, der i dag hedder Microsoft Purview Audit (Learn, Auditing solutions).

Status 17. oktober 2026: Audit (Standard) er slået til som standard og gemmer 180 dage. Det gælder dog ikke for tenants med små virksomheders licenser som Microsoft 365 Business Basic, Business Standard og Business Premium eller for uadministrerede tenants med prøvelicenser, hvor auditering skal slås til manuelt (Learn, Turn auditing on or off). Audit (Premium) gemmer Exchange-, SharePoint-, OneDrive- og Microsoft Entra-poster i ét år for brugere med E5-licens og op til ti år med et tillægsabonnement (Learn, Auditing solutions, Learn, Audit log retention policies). Tillægsabonnementet gælder pr. bruger og virker ikke bagud: en politik for ti år kan ikke bevare poster, der blev skabt, før politikken blev oprettet (Learn, Auditing solutions).

Fra Compliance Center til Purview#

I februar 2016 stod loggen under fanen Reports i Compliance Center, og aktiveringen var et klik på Start recording user and admin activities. Aktiviteterne omfattede handlinger på filer og mapper (vise, oprette, redigere, uploade, downloade, slette), deling (invitationer og adgangsanmodninger) og synkronisering. En rapport kunne afgrænses til en bruger eller en fil og en periode (Office-bloggen, 17. februar 2016, Wayback). Management Activity API blev samtidig meldt generelt tilgængeligt. Det gav samme skema for alle aktivitetslogge (Office-bloggen, Wayback) og bruges stadig til at hente auditdata til et SIEM-system eller til længere opbevaring end loggens egen (Learn, Auditing solutions).

Den 25. marts 2016 varslede Microsoft, at Security and Compliance Center (tidligere Protection Center) var gjort til standardoplevelsen i Office 365 (Weekly Digest, uge 13, månedsnoten for marts 2016). Roadmap-posten om rapporter over visninger, redigeringer, sletninger, downloads og deling var launched mellem 17. og 20. maj 2016 (månedsnoten for maj 2016). Siden er værktøjet flyttet til Microsoft Purview-portalen, og den klassiske søgning blev lukket 30. november 2023 til fordel for en ny med hurtigere søgning, gemte søgninger og flere søgemuligheder (Learn, Auditing solutions).

Slå den til, og find ud af, om den er det#

Auditering er slået til som standard i Microsoft 365-organisationer med de rette abonnementer, men Learn anbefaler at kontrollere status i en ny organisation, og at den aktuelle indstilling kontrolleres, før der søges i loggen (Learn, Search the audit log). Kontrollen kører i Exchange Online PowerShell, ikke i Security & Compliance PowerShell, hvor egenskaben altid viser False, selv når auditering er slået til (Learn, Turn auditing on or off):

1Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled

True betyder, at auditering er slået til. Er den ikke, slås den til i Purview-portalen under Audit eller med:

1Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

Det kan tage op til 60 minutter, før ændringen virker, og det kan vare flere timer, før hændelser kan søges frem. Rollen Audit Logs i Exchange Online kræves for at slå auditering til eller fra, og den har som standard rollegrupperne Compliance Management og Organization Management. Slås auditering fra, giver Purview-søgningen og Search-UnifiedAuditLog ingen resultater, og Management Activity API og Microsoft Sentinel kan ikke hente data. Selve ændringen af status logges og kan findes med Search-UnifiedAuditLog -Operations Set-AdminAuditLogConfig (Learn, Turn auditing on or off).

Adgang til at søge i loggen forudsætter, at brugeren er tildelt en rolle. Søgning i Purview-portalen kræver rollen View-Only Audit Logs eller Audit Logs i portalen, og de ligger som standard i rollegrupperne Audit Reader (kun søgning og eksport) og Audit Manager (også indstillinger for auditering) (Learn, Get started with auditing solutions). Cmdlets som Search-UnifiedAuditLog kræver de samme roller i Exchange admin center (Learn, Search the audit log). Når en post bliver søgbar, afhænger af tjenesten: for Exchange, SharePoint, OneDrive og Teams er den typisk søgbar efter 60 til 90 minutter, og Microsoft lover ingen bestemt tid (Learn, Search the audit log).

Hvor længe loggen gemmer#

(Learn, Auditing solutions, Learn, Audit log retention policies)

Perioden for Audit (Standard) blev ændret fra 90 til 180 dage. Poster skabt før 17. oktober 2023 blev gemt i 90 dage, og poster fra og med den dato gemmes i 180 dage (Learn, Auditing solutions). Et par detaljer, der let overses:

• Opbevaringen afgøres af licensen på den bruger, der udfører handlingen. Den ét år lange standardpolitik i Audit (Premium) gælder kun poster for brugere med Office 365 eller Microsoft 365 E5 eller tillægsabonnementet Microsoft Purview Suite eller E5 eDiscovery and Audit. Brugere uden E5 og gæstebrugere får 180 dage (Learn, Audit log retention policies).
• Poster fra andre end brugere, som tjenesteprincipaler og systemhændelser, gemmes i ét år, og det kan ikke ændres. Egne politikker gælder ikke for dem (Learn, Auditing solutions).
• Egne opbevaringspolitikker kan afgrænses efter tjeneste, bestemte aktiviteter og bruger og går forud for standardpolitikken. Prioriteten er et tal fra 1 til 10000, hvor 1 er højest. En politik, der gemmer kortere end et år for Exchange, SharePoint, OneDrive eller Entra ID, vinder altså over standardens ét år. Oprettelse kræver rollen Organization Configuration (Learn, Audit log retention policies).
• Opbevaringstiden for en post fastsættes, når den lægges i loggen, efter den licens og de politikker, der gælder på det tidspunkt. Senere ændringer af licens eller politik påvirker ikke poster, der allerede er gemt (Learn, Audit log retention policies, Learn, Auditing solutions).

Fire veje fører ud af loggen: søgeværktøjet i Purview-portalen, cmdlet’en Search-UnifiedAuditLog, Audit Search Graph API’et og Management Activity API’et. Alle fire findes i både Standard og Premium. Alle organisationer får en grundværdi på 2.000 forespørgsler i minuttet til Management Activity API’et, og den vokser med antal licenser og abonnement. Organisationer med Audit (Premium) får cirka dobbelt så meget båndbredde som organisationer med Audit (Standard) (Learn, Auditing solutions). En eksport af en søgning i Purview-portalen understøtter op til 50.000 rækker i Audit (Standard) og op til 1.000.000 rækker i Audit (Premium) (Learn, Search the audit log).

Hvad loggen registrerer i dag#

Filaktiviteter i SharePoint og OneDrive logges blandt andet som FileAccessed, FileDownloaded, FileModified og FileDeleted. FileAccessed logges ikke igen for samme bruger og fil de følgende fem minutter (Learn, Audit log activities). Operationsnavne skal indtastes præcis som på Learn, ellers returnerer søgningen ingen resultater (Learn, Search the audit log).

Særlige logge i SharePoint#

• Revisionsloggen for site collections. I 2017 beskrev SharePoint-bloggen en anden, ældre log, som en site collection-administrator slog til pr. site collection. Fra 24. juli 2017 blev der håndhævet en opbevaring på højst 90 dage for First Release-tenants, og nye tenants kunne kun vælge 90 dage eller mindre. Efter perioden blev der oprettet en Excel-fil med revisionsdata i et valgt bibliotek. Den påvirkede ikke den samlede revisionslog (SharePoint-bloggen, 2017, månedsnoten for juli 2017).
• Søgeforespørgsler. Ifølge MC711333 skulle searchqueryinitiatedsharepoint i 2024 blive en af de logge, Audit (Standard) selv skriver, hvor den før krævede Audit (Premium). Offentlig preview var planlagt fra begyndelsen af marts til midten af juni 2024 og Standard Release fra slutningen af juni til midten af september (MC711333). Ifølge Learn er SearchQueryInitiatedSharePoint i dag som standard slået til for søgninger i SharePoint, mens SearchQueryInitiatedExchange skal slås til udtrykkeligt. For hver bruger sker det i Exchange Online PowerShell med Set-Mailbox <bruger> -AuditOwner @{Add="SharepointSearchQueryInitiated"} (Learn, Get started with auditing solutions). MC920299 fra oktober 2024 beskrev, at søgninger fra forskellige Microsoft 365-indgange ind i SharePoint som standard ikke blev indsamlet, og at hændelsen skulle slås til for hver bruger for at fange dem. Meddelelsen udløb 31. december 2024 (MC920299).
• Customer Lockbox. Godkendelser og afvisninger og Microsofts egne handlinger logges som Set-AccessToCustomerDataRequest og med brugeren Microsoft Operator (Learn, Customer Lockbox requests). Se Customer Lockbox i SharePoint Online og OneDrive.
• Sensitivity labels. Mærkning, ændring og fjernelse af labels på filer har egne hændelser. Når labelen sættes i Office for the web, i detaljeruden i et SharePoint-bibliotek, på fanen Files i Teams eller af en politik for automatisk mærkning, hedder de FileSensitivityLabelApplied, FileSensitivityLabelChanged og FileSensitivityLabelRemoved. Sker det i Microsoft 365-apps, hedder de SensitivityLabelApplied, SensitivityLabelUpdated og SensitivityLabelRemoved (Learn, Audit log activities). De tre hændelser med File i navnet blev annonceret i preview i november 2019 sammen med labels med beskyttelse, hvor den første stod som FileSensitivityApplied (MC194985, månedsnoten for november 2019). Retention labels og records har egne hændelser, blandt andet ComplianceSettingChanged, når en retention label sættes på eller fjernes fra et dokument, LockRecord og UnlockRecord, når en records status låses eller låses op, og RecordDelete, når et dokument markeret som record slettes (Learn, Audit log activities). Containerlabels på sites står i Sensitivity labels på websteder, teams og grupper.

Revisionsloggen er ikke det samme som brugsrapporterne i admin center. Rapporterne viser aggregerede tal pr. bruger eller site for 7, 30, 90 eller 180 dage, mens loggen indeholder de enkelte hændelser. Se Brugsrapporter i Microsoft 365 admin center.

Tidslinjen#

1. 17. februar 2016 Udrulning

   Revisionslog for SharePoint Online og OneDrive i Compliance Center, 90 dages historik, Management Activity API generelt tilgængeligt (Office-bloggen)

2. 25. marts 2016 Meddelelse

   Security and Compliance Center bliver standardoplevelsen i Office 365 (Weekly Digest, uge 13)

3. Maj 2016 Udrulning

   Rapporter over brugeraktivitet i Compliance Center launched på Roadmap (månedsnoten)

4. 24. juli 2017 Frist

   Opbevaring i revisionsloggen for site collections højst 90 dage (månedsnoten)

5. November 2019 Preview

   Audit-hændelser for sensitivity labels på filer (MC194985)

6. 17. oktober 2023 Ændring

   Audit (Standard) gemmer 180 i stedet for 90 dage (Learn)

7. 30. november 2023 Frist

   Den klassiske audit-søgning blev lukket (Learn)

8. 30. januar 2024 Meddelelse

   MC711333: nye standardlogge, blandt andet searchqueryinitiatedsharepoint (MC711333)

9. 28. oktober 2024 Meddelelse

   MC920299: søgninger fra Microsoft 365-indgange ind i SharePoint indsamles ikke som standard, og SearchQueryInitiatedSharePoint skal slås til for hver bruger for at fange dem (MC920299)

I månedsnoterne#

Revisionsloggen står som egen række i februar 2016, marts 2016, maj 2016, juli 2017, januar 2024 og oktober 2024. Den er nævnt i forbifarten i november 2019 (audit-hændelser for labels), juli 2025 (Priority Cleanup logger i auditloggen), november 2025 (Agent Access Insights bygger på den samlede auditlog) og maj 2026 (audit-logning i SharePoint Embedded).