在本文中，了解配置的数据操作注意事项。 有关于日志文件和其他功能如何与 Microsoft Entra ID（例如使用情况数据和操作员安全性）相关的信息。 您将了解物理安全注意事项，以及Microsoft Entra团队如何定义部署和更改的指导。
日志文件
Microsoft Entra ID 会生成日志文件，用于审核、调查和调试服务中的作和事件。 日志文件可能包含有关用户、设备和Microsoft Entra 配置的数据，例如策略、应用和组。 日志文件创建并存储在运行 Microsoft Entra 服务的数据中心的 Azure 存储中。
日志文件用于本地调试、安全性、使用情况分析、系统运行状况监视和服务范围的分析。 这些日志通过传输层安全性（TLS）连接复制到Microsoft报告机器学习系统，这些系统位于美国大陆Microsoft拥有的数据中心。
使用情况数据
使用情况数据是由Microsoft Entra 服务生成的元数据，用于指示服务的使用方式。 此元数据用于生成面向管理员和用户的报告。 Microsoft Entra 工程团队使用元数据来评估系统使用情况，并确定改进服务的机会。 通常，此数据将写入日志文件，但在某些情况下，由我们的服务监视和报告系统收集。
操作员安全性
Microsoft 的人员、承包商和供应商（即系统管理员）对 Microsoft Entra ID 的访问受到严格限制。 在可能的情况下，人工干预被自动化的基于工具的过程所取代，包括部署、调试、诊断收集以及重启服务等例程功能。
管理员访问权限仅限于部分合格的工程师，并且需要使用防钓鱼凭据完成身份验证挑战。 系统访问和更新功能分配给由 Microsoft 即时特权访问管理系统管理的角色。 系统管理员使用 JIT 系统请求提升，JIT 系统将请求路由至人工或自动审批。 批准后，JIT 会升级帐户。 有关授权、批准、角色提升以及从角色中移除的请求将被记录，以便于将来的调试或调查。
微软人员只能在使用内部隔离的强身份验证身份平台的安全访问工作站上执行操作。 对其他Microsoft标识系统的访问权限不会授予对安全访问工作站的访问权限。 标识平台与其他Microsoft标识系统分开运行。
物理安全性
对构成 Microsoft Entra 服务的服务器的物理访问以及对 Microsoft Entra 后端系统的访问受 Azure 设施、本地和物理安全性的限制。 Microsoft Entra 客户无权访问物理资产或位置，因此他们无法绕过逻辑基于角色的访问控制 （RBAC） 策略检查。 具有操作员访问权限的人员有权运行批准的工作流进行维护。
了解详细信息： Azure 设施、本地和物理安全性
更改控制过程
为了在所有数据中心实现服务的更改，Microsoft Entra 团队定义了部署环境的层次结构。 应用更改层受严格退出条件的约束。 跨层滚动更改的时间量由运营团队定义，并基于潜在影响。 通常，推出需要 1 到 2 周。 可以更快地部署关键更改，例如安全修补程序或热修补程序。 如果更改在应用于部署层时不符合退出条件，则会回滚到以前的稳定状态。