如何检测和调查非活动用户帐户

若要查找用户的最后一次登录时间，可以在 Microsoft Entra 管理中心查看用户列表。 虽然所有用户都可以查看用户列表，但某些列和详细信息仅适用于具有相应权限的用户。

查找所有用户的最后一次登录时间

1. 至少以报告读取者身份登录到 Microsoft Entra 管理中心。

2. 导航到 Entra ID>用户>所有用户。

3. 选择 管理视图，然后 编辑列。

   

4. 选择列表中的“+ 添加列”，然后选择“上次交互式登录时间”，最后选择“保存”。

   

5. 现在，在所有用户列表中显示该列后，选择 添加筛选器 并使用筛选器选项为搜索设置时间范围。

   • 选择 < = 作为运算符，然后选择日期以查找在所选日期之前的最后一次登录。

调查单个用户

如果需要查看用户的最新登录活动，可以在 Microsoft Entra ID 中查看用户的登录详细信息。 你还可以使用 Microsoft 图形 API，如按名称查询用户部分中所述。

1. 至少以报告读取者身份登录到 Microsoft Entra 管理中心。

2. 导航到 Entra ID>用户>所有用户。

3. 从列表中选择用户。

4. 在用户“总览”的我的动态区域中，找到登录图块。

   

此磁贴上显示的上次登录日期和时间最多可能需要 24 小时才能更新，这意味着日期和时间可能不是最新的。 如果需要几乎实时查看活动，请选择“登录”磁贴上的查看所有登录链接，以查看该用户的所有登录活动。

可以通过评估多个属性来检测非活动帐户。 lastSignInDateTime 属性由 Microsoft 图形 APIsignInActivity 的 资源类型公开。 该 lastSignInDateTime 属性显示用户上次尝试在 Microsoft Entra ID 中进行交互式登录尝试的时间。

使用此属性，可以为以下场景实现解决方案：

所有用户的上次登录日期和时间

生成所有用户上次登录日期的报告。 响应提供了所有用户的列表，以及每个用户的最后一个 lastSignInDateTime。

• https://microsoftgraph.chinacloudapi.cn/v1.0/users?$select=displayName,signInActivity

上次成功登录日期和时间

此查询类似于将上次登录日期添加到用户列表，并在 Microsoft Entra 管理中心按特定日期进行筛选。 你可以请求在指定日期之前具有 lastSuccessfulSignInDateTime 或 lastSignInDateTime 的用户的列表。 此查询的响应提供用户的详细信息，但不提供用户的登录活动。 要查看这些详细信息，请在“按名称查询用户”场景中尝试查询。

• https://microsoftgraph.chinacloudapi.cn/v1.0/users?$filter=signInActivity/lastSuccessfulSignInDateTime le 2024-06-01T00:00:00Z
• https://microsoftgraph.chinacloudapi.cn/v1.0/users?$filter=signInActivity/lastSignInDateTime le 2024-06-01T00:00:00Z

按名称排序的用户

在此方案中，按名称搜索特定用户。 此查询的响应包括其上次登录的日期、时间和请求 ID。

请求：

GET `https://microsoftgraph.chinacloudapi.cn/v1.0/users?$filter=startswith(displayName,'Isabella Simonsen')&$select=displayName,signInActivity`

响应：

{
    "@odata.context": "https://microsoftgraph.chinacloudapi.cn/v1.0/$metadata#users(displayName,signInActivity)",
    "value": [
        {
            "displayName": "Stine Romund",
            "id": "00aa00aa-bb11-cc22-dd33-44ee44ee44ee",
            "signInActivity": {
                "lastSignInDateTime": "2024-12-10T17:38:26Z",
                "lastSignInRequestId": "20a94b1b-ade2-4f4e-9c55-609f7cd97600",
                "lastNonInteractiveSignInDateTime": "2024-12-10T17:38:11Z",
                "lastNonInteractiveSignInRequestId": "94c369e6-249e-4595-bb86-495ea9a81e00",
                "lastSuccessfulSignInDateTime": "2024-12-10T17:38:26Z",
                "lastSuccessfulSignInRequestId": "20a94b1b-ade2-4f4e-9c55-609f7cd97600"
            }
        }
    ]
}

• lastSignInDateTime：上次交互式登录尝试的日期和时间，包括登录失败。 如果上次登录尝试成功，则此属性的日期和时间与该 lastSuccessfulSignInDateTime属性的日期和时间相同。
• lastNonInteractiveSignInDateTime：上次非交互式登录尝试的日期和时间。
• lastSuccessfulSignInDateTime：上次成功的交互式登录的日期和时间。

lastSignInDateTime 属性的注意事项

以下详细信息与 lastSignInDateTime 属性相关。

• 该lastSignInDateTime属性由 Microsoft 图形 API 的 signInActivity 资源类型公开。

• 该属性无法通过 Get-MgAuditLogDirectoryAudit cmdlet 获得。

• 每次交互式登录尝试都会更新基础数据存储。 通常，登录会在 6 小时内显示在相关登录报表中。

• 若要生成 lastSignInDateTime 时间戳，必须尝试登录。 只要在 Microsoft Entra 登录日志中进行了记录，则无论登录尝试是成功还是失败，都会生成一个 lastSignInDateTime 时间戳。 如果lastSignInDateTime属性的值为空，可能会出现以下情况：

  • 用户的上一次登录发生在 2020 年 4 月之前。
  • 受影响的用户帐户从未用于登录尝试。

• 上次登录日期将与用户对象关联。 此值将保留，直到用户下一次登录。 更新最多可能需要 24 小时。