Como personalizar e filtrar os logs de atividade de identidade

Com as informações dos logs de auditoria do Microsoft Entra, é possível acessar todos os registros de atividades do sistema para fins de conformidade. Os logs de auditoria podem ser acessados na seção Monitoramento e integridade do Microsoft Entra ID, onde é possível classificar e filtrar cada categoria e atividade. Também é possível acessar os logs de auditoria na área do centro de administração referente ao serviço que estiver sendo investigado.

Por exemplo, se você estiver examinando as alterações em grupos do Microsoft Entra, poderá acessar os Logs de auditoria em Microsoft Entra ID>Grupos. Quando você acessa os logs de auditoria do serviço, o filtro é ajustado automaticamente, de acordo com o serviço.

Personalizar o layout dos logs de auditoria

Personalize as colunas nos logs de auditoria para exibir apenas as informações de log necessárias. As colunas Serviço, Categoria e Atividade estão relacionadas entre si, portanto, essas colunas devem estar sempre visíveis.

Filtrar os logs de auditoria

Quando você filtra os logs por Serviço, os detalhes de Categoria e Atividade são alterados automaticamente. Em alguns casos, pode haver apenas uma categoria ou atividade. Para obter uma tabela detalhada de todas as possíveis combinações desses detalhes, consulte Atividades de auditoria.

• Serviço: por padrão, mostra todos os serviços disponíveis, mas você pode filtrar a lista para um ou mais serviços, selecionando uma opção na lista suspensa.

• Categoria: por padrão, mostra todas as categorias, mas pode ser filtrada para exibir a categoria da atividade, como alteração de uma política ou ativação de uma função qualificada do Microsoft Entra.

• Atividade: baseada na seleção do tipo de recurso de categoria e atividade que você faz. Selecione uma atividade específica que deseja exibir ou escolha todas.

  Você pode obter a lista de todas as atividades de auditoria utilizando a API do Microsoft Graph: https://graph.windows.net/<tenantdomain>/activities/auditActivityTypesV2?api-version=beta

• Status: permite que você examine o resultado com base no sucesso ou na falha da atividade.

• Destino: permite que você pesquise o destino ou destinatário de uma atividade. Pesquise pelas primeiras letras de um nome ou UPN (nome principal do usuário). O nome de destino e o UPN diferenciam maiúsculas de minúsculas.

• Iniciado por: permite pesquisar por quem iniciou a atividade usando as primeiras letras do nome ou UPN. O nome e o UPN diferenciam maiúsculas de minúsculas.

• Intervalo de datas: permite definir um período para os dados retornados. Você pode pesquisar os últimos 7 dias, 24 horas ou um intervalo personalizado. Quando você selecionar um tempo personalizado, poderá configurar uma hora de início e uma hora de término.

Na página de logs de entrada, é possível alternar entre quatro tipos.

• Entradas de usuário interativo: entradas nas quais um usuário fornece um fator de autenticação, como uma senha, uma resposta por meio de um aplicativo MFA, um fator biométrico ou um código QR.

• Entradas de usuário não interativo: entradas executadas por um cliente em nome de um usuário. Essas entradas não exigem um fator de interação ou de autenticação do usuário. Por exemplo, autenticação e autorização usando tokens de acesso e de atualização, que não exigem a inserção de credenciais do usuário.

• Entradas de entidade de serviço: entradas de aplicativos e entidades de serviço que não envolvem nenhum usuário. Nessas entradas, o aplicativo ou serviço fornece uma credencial para ele mesmo, a fim de autenticar ou acessar recursos.

• Entradas de identidades gerenciadas para recursos do Azure: entradas por recursos do Azure que têm segredos gerenciados pelo Azure. Para obter mais informações, consulte O que são identidades gerenciadas para recursos do Azure?

Personalizar o layout dos logs de entrada

Personalize as colunas para o log de entrada interativo do usuário utilizando mais de 30 opções de colunas. Para visualizar o log de entrada com mais eficiência, dedique alguns minutos à personalização da exibição, de acordo com suas necessidades.

1. Selecione Colunas no menu na parte superior do log.
2. Selecione as colunas que você quer exibir e selecione o botão Salvar na parte inferior da janela.

Filtrar os logs de entrada

Filtrar os logs de entrada é uma maneira útil de encontrar rapidamente os logs que correspondem a um cenário específico. Por exemplo, você pode filtrar a lista para exibir apenas as entradas que ocorreram em uma localização geográfica específica, de um sistema operacional específico ou de um tipo específico de credencial.

Algumas opções de filtro solicitam que você selecione mais opções. Siga os prompts a fim de selecionar o que for necessário para o filtro. Você pode adicionar vários filtros.

1. Selecione o botão Adicionar filtros, escolha uma opção de filtro e clique em Aplicar.

   

2. Insira um detalhe específico, como um ID de solicitação, ou selecione outra opção de filtro.

   

Você pode filtrar por vários detalhes. A tabela a seguir descreve alguns filtros comumente utilizados. Nem todas as opções de filtro estão descritas.

Agora que a tabela de registros em logs está formatada de acordo com suas necessidades, é possível analisar os dados com mais eficiência. Outras análises e retenção de dados de credenciais podem ser realizadas com a exportação dos logs para outras ferramentas.

Personalizar as colunas e ajustar o filtro ajuda a examinar os logs com características semelhantes. Para ver os detalhes de uma entrada, selecione uma linha na tabela para abrir o painel Detalhes da atividade. Existem várias guias no painel para explorar. Para obter mais informações, consulte Detalhes da atividade do log de entrada.

Filtro do aplicativo cliente

Ao examinar qual foi a origem de um início de sessão, pode ser necessário usar o filtro Aplicativo cliente. O aplicativo cliente tem duas subcategorias: Clientes de autenticação Moderna e Clientes de autenticação Herdada. Os clientes de autenticação moderna têm mais duas subcategorias: Navegador e Aplicativos móveis e clientes da área de trabalho. Há várias subcategorias para clientes de autenticação herdada, definidas na tabela Detalhes do cliente de autenticação herdada.

As entradas do Navegador incluem todas as tentativas de entrada por navegadores da Web. Ao exibir os detalhes de uma entrada em um navegador, a guia Informações básicas mostrará Aplicativo cliente: Navegador.

Na guia Informações do dispositivo, Navegador mostra os detalhes do navegador da Web. O tipo e a versão do navegador estão listados, mas, em alguns casos, o nome e a versão do navegador não estão disponíveis. Você pode ver algo como Rich Client 4.0.0.0.

Detalhes do cliente de autenticação herdada

A tabela a seguir fornece os detalhes de cada uma das opções do Cliente de autenticação herdada.

Para exibir com mais eficiência o log de provisionamento, passe alguns instantes personalizando a exibição para atender às suas necessidades. Você pode especificar quais colunas incluir e filtrar os dados para restringi-los.

Personalizar o layout

O log de provisionamento tem uma exibição padrão, mas você pode personalizar as colunas.

1. Selecione Colunas no menu na parte superior do log.
2. Selecione as colunas que você quer exibir e selecione o botão Salvar na parte inferior da janela.

Filtrar os resultados

Quando você filtra os dados de provisionamento, alguns valores de filtro são preenchidos dinamicamente com base no seu locatário. Por exemplo, se você não tiver nenhum evento "criar" no seu locatário, a opção de filtro = Criar não estará disponível.

O filtro Identidade permite especificar o nome ou a identidade que você quiser. Essa identidade pode ser um usuário, grupo, função ou outro objeto.

Você pode Pesquisar pelo nome ou ID do objeto. A ID varia de acordo com o cenário.

• Se você estiver provisionando um objeto do Microsoft Entra ID para o Salesforce, a ID de origem será a ID do objeto do usuário no Microsoft Entra ID. A ID de destino é a ID do usuário no Salesforce.
• Se você estiver provisionando do Workday para o Microsoft Entra ID, a ID de origem será a ID do funcionário registrado no Workday. A ID de destino é a ID do usuário no Microsoft Entra ID.
• Se você estiver provisionando usuários para sincronização entre locatários, a ID de origem será a ID do usuário no locatário de origem. A ID de destino é a ID do usuário no locatário de destino.

O filtro Data permite definir um período para os dados retornados. Os valores possíveis são:

• Um mês
• Sete dias
• 30 dias
• 24 horas
• Intervalo de tempo personalizado (configurar uma data de início e uma data de término)

O filtro Status permite que você selecione:

• Tudo
• Êxito
• Falha
• Ignorado

O filtro Ação permite filtrar estas ações:

• Criar
• Atualizar
• Excluir
• Desabilitar
• Outra

Além dos filtros da exibição padrão, você pode definir os filtros abaixo.

• ID do trabalho: uma ID de trabalho exclusiva é associada a cada aplicativo para o qual você habilitou o provisionamento.

• ID do ciclo: a ID do ciclo identifica o ciclo de provisionamento. Você pode compartilhar essa ID com o suporte ao produto para pesquisar o ciclo no qual esse evento ocorreu.

• ID da alteração: a ID da alteração é um identificador exclusivo para o evento de provisionamento. Você pode compartilhar essa ID com o suporte do produto para pesquisar o evento de provisionamento.

• Sistema de origem: você pode especificar a partir de onde a identidade está sendo provisionada. Por exemplo, quando você estiver provisionando um objeto do Microsoft Entra ID para o ServiceNow, o sistema de origem será o Microsoft Entra ID.

• Sistema de destino: você pode especificar para onde a identidade está sendo provisionada. Por exemplo, quando estiver provisionando um objeto do Microsoft Entra ID para o ServiceNow, o sistema de destino será o ServiceNow.

• Aplicativo: você pode mostrar somente os registros de aplicativos com um nome de exibição ou ID de objeto que contém uma cadeia de caracteres específica. Para a sincronização entre locatários, use a ID do objeto da configuração e não a ID do aplicativo.