Search-UnifiedAuditLog

Syntax

Search-UnifiedAuditLog
      -EndDate <ExDateTime>
      -StartDate <ExDateTime>
      [-Formatted]
      [-FreeText <String>]
      [-IPAddresses <String[]>]
      [-ObjectIds <String[]>]
      [-Operations <String[]>]
      [-RecordType <AuditRecordType>]
      [-ResultSize <Int32>]
      [-SessionCommand <UnifiedAuditSessionCommand>]
      [-SessionId <String>]
      [-SiteIds <String[]>]
      [-UserIds <String[]>]
      [<CommonParameters>]

Description

Search-UnifiedAuditLog Cmdlet 會根據相同命令的重複反復專案來呈現資料頁面。 使用 SessionId 和 SessionCommand 重複執行 Cmdlet，直到您收到零傳回，或根據會話命令達到最大結果數目為止。 若要測量進度，請查看 ResultIndex (目前反復專案) 中的點擊，以及 ResultCount (所有反覆運算的點擊) Cmdlet 所傳回資料的屬性。

Search-UnifiedAuditLog Cmdlet 可在 Exchange Online PowerShell 中取得。 您也可以使用 Microsoft Purview 合規性入口網站，從統一稽核記錄檢視事件。 如需詳細資訊，請參閱 稽核的活動。

如果您想要以程式設計方式從 Microsoft 365 稽核記錄下載資料，建議您使用 Microsoft 365 管理活動 API，而不是在 PowerShell 腳本中使用 Search-UnifiedAuditLog Cmdlet。 Microsoft 365 管理活動 API 是一項 REST Web 服務，可用來開發組織的作業、安全性和合規性監視解決方案。 如需詳細資訊，請 參閱管理活動 API 參考。

此 Cmdlet 可在 21Vianet 運作的Office 365中使用，但不會傳回任何結果。

OutVariable 參數接受 ArrayList 類型的物件。 以下是如何使用它的範例：

$start = (Get-Date).AddDays(-1); $end = (Get-Date).AddDays(-0.5); $auditData = New-Object System.Collections.ArrayList; Search-UnifiedAuditLog -StartDate $start -EndDate $end -OutVariable +auditData | Out-Null

您必須已獲指派權限，才能執行此指令程式。 雖然本主題已列出這個指令程式的所有參數，不過，如果某些參數並未包含在指派給您的權限中，您可能就無法存取這些參數。 若要尋找在組織中執行任何 Cmdlet 或參數所需的權限，請參閱 Find the permissions required to run any Exchange cmdlet。

範例

範例 1

Search-UnifiedAuditLog -StartDate 5/1/2018 -EndDate 5/2/2018

本範例會在整合稽核記錄中搜尋從 2018 年 5 月 1 日上午 5 月 1 日 201812：00 到 2018 年 5 月 2 日 12：00 的所有事件。

注意：如果您未在 StartDate 或 EndDate 參數的值中包含時間戳記，則會使用預設時間戳記 12：00 AM (午夜) 。

範例 2

Search-UnifiedAuditLog -StartDate "6/1/2018 8:00 AM" -EndDate "6/1/2018 6:00 PM" -RecordType ExchangeAdmin

此範例會在整合稽核記錄中搜尋 2018 年 6 月 1 日上午 8：00 到下午 6：00 的所有 Exchange 系統管理員事件。

注意 如果您對 StartDate 和 EndDate 參數使用相同的日期，則必須包含時間戳記;否則，將不會傳回任何結果，因為開始和結束日期的日期和時間會相同。

範例 3

Search-UnifiedAuditLog -StartDate 5/1/2018 -EndDate 5/8/2018 -SessionId "UnifiedAuditLogSearch 05/08/17" -SessionCommand ReturnLargeSet

此範例會在整合稽核記錄中搜尋從 2018 年 5 月 1 日到 2018 年 5 月 8 日的所有事件。 如果您未在 StartDate 或 EndDate 參數中包含時間戳記，則會在頁面中傳回資料，因為命令會在使用相同的 SessionId 值時循序重新執行。

注意事項：在指定的 SessionId 值上永遠使用相同的 SessionCommand 值。 在相同的工作階段 ID 上不要在 ReturnLargeSet 與 ReturnNextPreviewPage 間切換。 否則，輸出會限制為 10，000 個結果。

範例 4

Search-UnifiedAuditLog -StartDate 5/1/2018 -EndDate 5/8/2018 -RecordType SharePointFileOperation -Operations FileAccessed -SessionId "WordDocs_SharepointViews"-SessionCommand ReturnLargeSet

此範例會在整合稽核記錄中搜尋從 2018 年 5 月 1 日到 2018 年 5 月 8 日，在 SharePoint Online 中存取的任何檔案。 使用相同的 SessionId 值時，循序重新執行命令時會在頁面中傳回資料。

範例 5

Search-UnifiedAuditLog -StartDate 5/1/2018 -EndDate 5/8/2018 -ObjectIDs "https://alpinehouse.sharepoint.com/sites/contoso/Departments/SM/International/Shared Documents/Sales Invoice - International.docx"

此範例會搜尋從 2018 年 5 月 1 日到 2018 年 5 月 8 日整合的稽核記錄檔，以找出其 ObjectIDs 值所識別之特定 Word 檔的所有相關事件。

參數

-EndDate

-Formatted

-FreeText

-IPAddresses

-ObjectIds

-Operations

-RecordType

-ResultSize

-SessionCommand

-SessionId

-SiteIds

-StartDate

-UserIds