在权利管理中查看报表和日志

权利管理报告和 Microsoft Entra 审核日志提供有关用户对哪些资源具有访问权限的更多详细信息。 作为管理员，你可以查看用户的访问包和资源分配，并且可以查看请求日志以便进行审核或确定用户请求的状态。 本文介绍如何使用权利管理报告和 Microsoft Entra 审核日志。

查看分配给访问包的用户

通过此报告，可以列出分配到访问包的所有用户。

1. 至少以标识治理管理员身份登录到 Microsoft Entra 管理中心。

2. 浏览到“标识治理”>“权利管理”>“访问包”。

3. 在“访问包”页上，选择所需的访问包。

4. 在左侧菜单中，选择“分配”，然后选择“下载”。

5. 确认文件名，然后单击“下载”。

查看用户的访问包

使用此报表，可以列出用户能够请求的所有访问包以及当前分配给该用户的访问包。

1. 至少以标识治理管理员身份登录到 Microsoft Entra 管理中心。

2. 浏览到“标识治理”>“权利管理”>“报表”。

3. 选择用户的访问包。

4. 选择“选择用户”，打开“选择用户”窗格。

5. 在列表中查找该用户，然后选择“选择”。

   “可以请求”选项卡显示该用户可以请求的访问包的列表。 此列表由为访问包定义的请求策略确定。

   

6. 如果某个访问包有多个资源角色或策略，请选择资源角色或策略条目，以查看所选项的详细信息。

7. 选择“已分配”选项卡，查看当前已分配给该用户的访问包的列表。 向用户分配了访问包后，这就意味着该用户有权访问此访问包中所有的资源角色。

查看用户的资源分配

使用此报表可以列出权利管理中当前分配给用户的资源。 此报表适用于通过权利管理进行管理的资源。 用户可能有权访问权利管理之外的目录中的其他资源。

1. 至少以标识治理管理员身份登录到 Microsoft Entra 管理中心。

2. 浏览到“标识治理”>“权利管理”>“报表”。

3. 选择“用户的资源分配”。

4. 选择“选择用户”，打开“选择用户”窗格。

5. 在列表中查找该用户，然后选择“选择”。

   这时会显示当前分配给该用户的资源列表。 此列表还显示这些资源从中获取资源角色的访问包和策略，同时还显示访问权限的开始和结束日期。

   如果用户在两个或更多的包中获得了对同一资源的访问权限，你可以选择箭头来查看各个包和策略。

   

确定用户的请求的状态

若要更详细地了解用户如何请求访问某个访问包，以及如何接受对该包的访问，可以使用 Microsoft Entra 审核日志。 具体说来，可以使用 EntitlementManagement 和 UserManagement 类别中的日志记录来更详细地了解每个请求的处理步骤。

1. 至少以标识治理管理员身份登录到 Microsoft Entra 管理中心。

2. 浏览到“标识治理”>“权利管理”>“审核日志”。

3. 在顶部将“类别”更改为EntitlementManagement 或 UserManagement，具体取决于要查找的审核记录。

4. 选择“应用”。

5. 若要下载日志，请选择“下载”。

Microsoft Entra ID 在收到新请求时会写入一条审核记录，其中的“类别”为 EntitlementManagement，“活动”通常为 User requests access package assignment。 如果是在 Microsoft Entra 管理中心内创建的直接分配，则审核记录的“活动”字段为 Administrator directly assigns user to access package，执行分配的用户通过 ActorUserPrincipalName 来标识。

Microsoft Entra ID 会在请求正在进行时写入更多的审核记录，包括：

为用户分配访问权限以后，Microsoft Entra ID 会写入一条审核记录，其类别为 EntitlementManagement，其“活动”为 Fulfill access package assignment。 收到访问权限的用户按 ActorUserPrincipalName 字段进行标识。

如果未分配访问权限，则 Microsoft Entra ID 会写入这样一条审核记录，其类别为 EntitlementManagement，“活动”为 Deny access package assignment request（如果审批者拒绝请求）或 Access package assignment request timed out (no approver action taken)（如果在审批者可批准之前请求超时）。

如果用户的访问包分配过期、被用户取消，或者被管理员删除，则 Microsoft Entra ID 会写入一条审核记录，其类别为 EntitlementManagement，其“活动”为 Remove access package assignment。

下载所连接组织列表

1. 至少以标识治理管理员身份登录到 Microsoft Entra 管理中心。

2. 浏览到“标识治理”>“权利管理”>“连接的组织”。

3. 在“连接的组织”页上，选择“下载”。

查看访问包的事件

如果已配置为将审核日志事件发送到 Azure Monitor，则可以使用内置工作簿和自定义工作簿查看 Azure Monitor 中保留的审核日志。

若要查看访问包的事件，必须有权访问基础 Azure Monitor 工作区（有关信息，请参阅在 Azure Monitor 中管理对日志数据和工作区的访问）并充当以下角色之一：

• 全局管理员
• 安全管理员
• 安全读取者
• 报告读者
• 应用程序管理员

1. 在 Microsoft Entra 管理中心，选择“标识”，然后在“监视和运行状况”下选择“工作簿”。 如果你只有一个订阅，请转到步骤 3。

2. 如果你有多个订阅，请选择包含工作区的订阅。

3. 选择名为“访问包活动”的工作簿。

4. 在该工作簿中选择一个时间范围（如果不确定，请更改为“全部”），然后从所有访问包的下拉列表中，选择在该时间范围内发生了活动的访问包 ID。 随后会显示在所选时间范围内该访问包发生的相关事件。

   

   每行包含时间、访问包 ID、操作名称、对象 ID、UPN，以及启动该操作的用户的显示名称。 JSON 中包含更多详细信息。

5. 如果想要查看应用程序的应用程序角色分配是否发生了更改，而这些更改不是由访问包分配引起的（例如全局管理员直接将用户分配给应用程序角色），则可以选择名为“应用程序角色分配活动”的工作簿。

   

后续步骤

• 将报表和日志存档
• 排查权利管理问题
• 常见方案
• 为权利管理创建自定义警报