Search-UnifiedAuditLog

Le paramètre EndDate indique la fin de la plage de dates définies. Les entrées sont stockées dans le journal d’audit unifié en temps universel coordonné (UTC). Si vous spécifiez une valeur de date/heure sans fuseau horaire, la valeur est au format UTC.

Pour spécifier une valeur date/heure pour ce paramètre, utilisez l’une des options suivantes :

• Spécifiez la valeur de date/heure au format UTC : Par exemple, "2018-05-06 14:30:00z".
• Spécifiez la valeur de date/heure en tant que formule qui convertit la date/heure de votre fuseau horaire local au format UTC : par exemple, (Get-Date "5/6/2018 9:30 AM").ToUniversalTime(). Pour plus d’informations, consultez Get-Date.

si vous n’incluez pas d’horodatage dans la valeur pour ce paramètre, l’horodatage par défaut est 00:00 (minuit) pour la date spécifiée.

En raison du commutateur Formatted, les attributs normalement renvoyés sous forme d’entiers (par exemple, RecordType et Operation) sont sous forme de chaînes descriptives. Il n’est pas nécessaire de spécifier une valeur pour ce commutateur.

En outre, ce commutateur rend AuditData plus lisible.

Le paramètre FreeText filtre les entrées de journal en fonction de la chaîne de texte spécifiée. Si la valeur contient des espaces, placez-la entre guillemets (").

Le paramètre IPAddresses filtre les entrées du journal en fonction des adresses IP spécifiées. Vous spécifiez plusieurs adresses IP séparées par des virgules.

Le paramètre ObjectIds filtre les entrées du journal par ID d’objet. L’ID d’objet correspond à l’objet cible qui a été traité et dépend des valeurs RecordType et Operations de l’événement. Par exemple, pour les opérations SharePoint, l’ID d’objet est le chemin d’URL d’un fichier, d’un dossier ou d’un site. Pour les opérations Azure Active Directory, l’ID d’objet est le nom du compte ou la valeur GUID du compte.

La valeur ObjectId est affichée dans la propriété AuditData (également appelée Détails) de l’événement.

Vous pouvez entrer plusieurs valeurs séparées par des virgules. Si les valeurs contiennent des espaces ou requièrent des guillemets, utilisez la syntaxe suivante : "Value1","Value2",..."ValueN".

Le paramètre Operations filtre les entrées du journal par opération. Les valeurs disponibles pour ce paramètre dépendent de la valeur de RecordType. Pour obtenir la liste des valeurs disponibles pour ce paramètre, consultez Activités auditées.

Vous pouvez entrer plusieurs valeurs séparées par des virgules. Si les valeurs contiennent des espaces ou requièrent des guillemets, utilisez la syntaxe suivante : "Value1","Value2",..."ValueN".

Le paramètre RecordType filtre les entrées du journal par type d’enregistrement. Pour plus d’informations sur les valeurs disponibles, consultez AuditLogRecordType.

Le paramètre ResultSize spécifie le nombre maximal de résultats à renvoyer. La valeur par défaut est 100 et la valeur maximale est de 5 000.

Le paramètre SessionCommand spécifie la quantité d’informations à renvoyer et la manière dont elles sont organisées. Les valeurs valides sont les suivantes :

• ReturnLargeSet : cette valeur entraîne le retour de données non triées par l’applet de commande. En utilisant la pagination, vous pouvez accéder à un maximum de 50 000 résultats. Il s’agit de la valeur recommandée si un résultat ordonné n’est pas requis et a été optimisé pour la latence de recherche.
• ReturnNextPreviewPage : cette valeur entraîne le retour des données triées par l’applet de commande à la date. Le nombre maximal d’enregistrements renvoyés par le biais de la pagination ou du paramètre ResultSize est de 5 000.

Remarque : utilisez toujours la même valeur SessionCommand pour une valeur SessionId donnée. Ne basculez pas entre ReturnLargeSet et ReturnNextPreviewPage pour le même ID de session. Sinon, la sortie est limitée à 10 000 résultats.

Le paramètre SessionId spécifie un ID que vous fournissez sous la forme d’une chaîne pour identifier une commande (la cmdlet et ses paramètres) qui sera exécutée plusieurs fois pour renvoyer des données paginées. Le paramètre SessionId peut correspondre à toute valeur de chaîne de votre choix.

Lorsque l’applet de commande est exécutée de manière séquentielle avec le même ID de session, l’applet de commande retourne les données dans des blocs séquentiels de la taille spécifiée par ResultSize.

Pour un ID de session donné, si vous utilisez la valeur SessionCommandReturnLargeSet, puis la valeur SessionCommandReturnNextPreviewPage, les résultats sont limités à 10 000 enregistrements. Pour disposer des 50 000 enregistrements, utilisez toujours la valeur ReturnLargeSet à chaque exécution de la cmdlet pour le même ID de session.

Le paramètre SiteIds filtre les entrées de journal en fonction du GUID (SiteId) SharePoint. Vous pouvez entrer plusieurs valeurs séparées par des virgules : Value1, Value2,...ValueN.

Pour obtenir le SiteId d’un site SharePoint, ajoutez /_api/site/id à l’URL de la collection de sites que vous souhaitez spécifier. Par exemple, remplacez l’URL https://contoso.sharepoint.com/sites/hr-project par https://contoso.sharepoint.com/sites/hr-project/_api/site/id. Une charge utile XML est retournée et le SiteId de la collection de sites est affiché dans la propriété Edm.Guid ; par exemple : <d:Id xmlns:d="http://schemas.microsoft.com/ado/2007/08/dataservices" xmlns:m="http://schemas.microsoft.com/ado/2007/08/dataservices/metadata" xmlns:georss="http://www.georss.org/georss" xmlns:gml="http://www.opengis.net/gml" m:type="Edm.Guid">14ab81b6-f23d-476a-8cac-ad5dbd2910f7</d:Id>.

Le paramètre StartDate indique le début de la plage de dates définies. Les entrées sont stockées dans le journal d’audit unifié en temps universel coordonné (UTC). Si vous spécifiez une valeur de date/heure sans fuseau horaire, la valeur est au format UTC.

Pour spécifier une valeur date/heure pour ce paramètre, utilisez l’une des options suivantes :

• Spécifiez la valeur de date/heure au format UTC : Par exemple, "2018-05-06 14:30:00z".
• Spécifiez la valeur de date/heure en tant que formule qui convertit la date/heure de votre fuseau horaire local au format UTC : par exemple, (Get-Date "5/6/2018 9:30 AM").ToUniversalTime(). Pour plus d’informations, consultez Get-Date.

si vous n’incluez pas d’horodatage dans la valeur pour ce paramètre, l’horodatage par défaut est 00:00 (minuit) pour la date spécifiée.

Le paramètre UserIds filtre les entrées de journal en fonction du compte (UserPrincipalName) de l’utilisateur qui a effectué l’action. Par exemple : laura@contoso.onmicrosoft.com.

Vous pouvez entrer plusieurs valeurs séparées par des virgules. Si les valeurs contiennent des espaces ou requièrent des guillemets, utilisez la syntaxe suivante : "Value1","Value2",..."ValueN".