Microsoft Entra ID 治理自定义警报

当组织中的人员需要采取操作（例如：批准访问资源的请求）或业务流程无法正常运行（例如：无法预配新员工）时，可以通过 Microsoft Entra ID 治理轻松向他们发出警报。

下表概述了 Microsoft Entra ID 治理提供的一些标准通知、组织中的目标角色、预期会在哪种情况下向他们发出警报，以及他们在多久后会收到警报。

现有标准通知的示例

自定义警报通知

除了 Microsoft Entra ID 治理提供的标准通知之外，组织还可以创建自定义警报来满足其需求。

Microsoft Entra ID 治理服务执行的所有活动都会记录到 Microsoft Entra 审核日志中。 通过将日志推送到 Log Analytics 工作区，组织可以创建自定义警报。

以下部分提供了客户可以通过将 Microsoft Entra ID 治理与 Azure Monitor 集成来创建的自定义警报的示例。 通过使用 Azure Monitor，组织可以自定义生成何种警报、接收警报的人员以及接收警报的方式（电子邮件、短信、技术支持票证等）。

访问评审

删除访问评审时向 IT 管理员发出警报。

查询

AuditLogs
| where ActivityDisplayName == "Delete access review"

权利管理

在不使用访问包的情况下将用户直接添加到组时，向 IT 管理员发出警报。

查询

AuditLogs
| where parse_json(tostring(TargetResources[1].id)) in ("InputGroupID", "InputGroupID")
| where ActivityDisplayName == "Add member to group"
| extend ActorName = tostring(InitiatedBy.app.displayName)
| where ActorName != "Azure AD Identity Governance - User Management"

创建新的连接组织时向 IT 管理员发出警报。 此组织中的用户现在可以请求访问为所有连接组织提供的资源。

查询

AuditLogs
| where ActivityDisplayName == "Create connected organization"
| mv-expand AdditionalDetails
| extend key = AdditionalDetails.key, value = AdditionalDetails.value
| extend tostring(key) == "Description"
| where key == "Description"
| parse value with * "\n" TenantID 
| distinct TenantID

权利管理自定义扩展失败时向 IT 管理员发出警报。

查询

AuditLogs
| where ActivityDisplayName == "Execute custom extension"
| where Result == "success"
| mvexpand TargetResources 
| extend  CustomExtensionName=TargetResources.displayName
| where CustomExtensionName in ('<input custom exteionsion name>', '<input custom extension name>')

创建或更新权利管理访问包分配策略而无需批准时，向 IT 管理员发出警报。

查询

AuditLogs
| where ActivityDisplayName in ("Create access package assignment policy", "Update access package assignment policy")
| extend AdditionalDetailsParsed = parse_json(AdditionalDetails)
| mv-expand AdditionalDetailsParsed
| extend Key = tostring(AdditionalDetailsParsed.key), Value = tostring(AdditionalDetailsParsed.value)
| summarize make_set(Key), make_set(Value) by ActivityDisplayName, CorrelationId
| where set_has_element(set_Key, "IsApprovalRequiredForAdd") and set_has_element(set_Value, "False")
| where set_has_element(set_Key, "SpecificAllowedTargets") and not(set_has_element(set_Value, "None"))

多租户协作

新建跨租户访问策略时向 IT 管理员发出警报。 这样，你的组织便可以检测何时与新组织建立了关系。

查询

AuditLogs
| where OperationName == "Add a partner to cross-tenant access setting"
| where parse_json(tostring(TargetResources[0].modifiedProperties))[0].displayName == "tenantId"
| extend initiating_user=parse_json(tostring(InitiatedBy.user)).userPrincipalName
| extend source_ip=parse_json(tostring(InitiatedBy.user)).ipAddress
| extend target_tenant=parse_json(tostring(TargetResources[0].modifiedProperties))[0].newValue
| project TimeGenerated, OperationName,initiating_user,source_ip, AADTenantId,target_tenant
| project-rename source_tenant= AADTenantId

作为管理员，当入站跨租户同步策略设置为 true 时，我可以收到警报。 这样，你的组织便可以检测何时授权了某个组织将标识同步到你的租户中。

查询

AuditLogs
| where OperationName == "Update a partner cross-tenant identity sync setting"
| extend a = tostring(TargetResources)
| where a contains "true"
| where parse_json(tostring(TargetResources[0].modifiedProperties))[0].newValue contains "true"

警报逻辑

Privileged identity management

禁用特定的 PIM 安全警报时向 IT 管理员发出警报。

查询

AuditLogs
| where ActivityDisplayName == "Disable PIM alert"

将用户添加到 PIM 外部的角色时，会向 IT 管理员发出警报

下面的查询基于 templateId。 可在此处找到模板 ID 的列表。

查询

AuditLogs
| where ActivityDisplayName == "Add member to role"
| where parse_json(tostring(TargetResources[0].modifiedProperties))[2].newValue in ("\"INPUT GUID\"")

预配

当 24 小时内预配失败次数激增时向 IT 管理员发出警报。 在日志分析中配置警报时，将聚合粒度设置为 1 天。

查询

AADProvisioningLogs
| where JobId == "<input JobId>"
| where resultType == "Failure"

警报逻辑

• 依据：结果数
• 运算符：大于
• 阈值：10

当有人启动、停止、禁用、重启或删除预配配置时向 IT 管理员发出警报。

查询

AuditLogs
| where ActivityDisplayName in ('Add provisioning configuration','Delete provisioning configuration','Disable/pause provisioning configuration', 'Enable/restart provisioning configuration', 'Enable/start provisioning configuration')

查询

AuditLogs
| where ActivityDisplayName == "Quarantine"

后续步骤

• Log Analytics
• Azure Monitor 日志查询入门
• 在 Azure 门户中创建和管理器警报组
• 为 Microsoft Entra ID 安装并使用日志分析视图
• 在 Azure Monitor 中存档日志并进行权利管理报告