MicrosoftGraph策略日志

Microsoft Graph策略日志提供了来自Microsoft Graph的资源策略评估的详细信息，包括是否应用、拒绝或审核了 API 请求的策略。

数据表属性

Attribute 价值
资源类型 -
Categories 审核，安全性
解决方案 LogManagement
基本日志 是的
引入时 DCR 支持 否
仅湖引入 是的
示例查询 -

Columns

列 类型 说明
AAD 租户 ID 字符串 拥有资源的组织的Microsoft Entra租户 ID。
ApiVersion 字符串 用于请求的Microsoft 图形 API版本：v1.0 或 beta 版。
AppId 字符串 发出请求的Microsoft Entra应用注册的应用程序（客户端）ID。
ApplicablePoliciesCount int 适用于此特定请求的策略分配数。 与 PolicyDetailsCount（总匹配分配）进行比较，以了解策略覆盖范围。
AuditPoliciesCount int 触发审核效果的适用策略分配数。
_BilledSize real 记录大小（字节）
ClientRequestId 字符串 客户端提供的可选关联 ID 来自 client-request-id 标头。
DenyPoliciesCount int 触发拒绝效果的适用策略分配数。
ErrorPoliciesCount int 评估、适用性检查或策略加载期间遇到错误的策略分配数。
_IsBillable 字符串 指定摄入数据是否需计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
位置 字符串 为请求提供服务的Azure数据中心区域（例如 chinanorth2、chinaeast2）。
OperationId 字符串 父操作的相关 ID。 对于非批处理请求，等于 RequestId。 对于$batch子级，所有共享父请求 ID。 与 ActivityEvent OperationId 对齐。
PolicyDecision 字符串 策略评估的高级结果：拒绝（已阻止）、审核（不符合但允许 - what-if/dry-run）或合规（无违规或不适用策略）。
PolicyDetails dynamic 单个策略评估结果的完整数组，按效果优先级排序（首先拒绝，然后审核，然后符合）。 每个条目包括 assignmentUniqueName、assignedPolicyDisplayName、appliedPolicyEffects、evaluationError、policyVersion、isCompliant 和 isApplicable。 如果序列化数组超过 16 KB，可能会截断。
PolicyDetailsCount int 评估的策略分配总数。 这反映了 PolicyDetails 的任何截断之前的原始计数。
RequestId 字符串 此请求的唯一标识符。 对于$batch子请求，每个子级获取唯一 ID。 与 ActivityEvent RequestId 对齐。
请求方式 字符串 请求的 HTTP 方法：GET、POST、PATCH 或 DELETE。
RequestUri 字符串 完整的Microsoft Graph请求 URI，包括路径和查询参数。
ServicePrincipalId 字符串 仅应用调用的服务主体的对象 ID。 对于委派的调用，为空。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（可选择直接连接或使用 Operations Manager），适用于所有 Linux 代理的 Linux，或适用于 Azure 诊断 的 Azure。
TargetResourceId 字符串 从请求 URI 密钥段中提取的目标资源的标识符。 主键（例如 GUID）的单个值，或备用键或复合键的逗号分隔键=值对。
目标资源名称 字符串 CRUD 的资源类型短名称（例如用户、应用程序）：绑定操作作为 bindingType/action（例如 application/addKey）。 存在“/”可区分操作与资源。
TenantId 字符串 Log Analytics 工作区 ID
TenantRegionScope 字符串 租户的区域范围（例如 NA、EU、AS、AF、OC）。
TimeGenerated 日期/时间 策略评估发生的日期和时间（UTC）。
TotalPolicyEvaluationDurationMs real 评估此请求的所有适用策略所用的总时间（以毫秒为单位），包括适用性检查和效果评估。
类型 字符串 表的名称
UserId 字符串 委托（用户 + 应用）调用的用户的对象 ID。 仅限应用的调用为空。
  • Last updated on