Proprietà attività dettagliate nel log di controllo
Quando si esportano i risultati di una ricerca nel log di controllo dal portale di Microsoft Purview o dal portale di conformità di Microsoft Purview, è possibile scaricare tutti i risultati che soddisfano i criteri di ricerca. È possibile esportare queste informazioni selezionando Esporta risultati>Scarica tutti i risultati nella pagina Ricerca log di controllo . Per altre informazioni, vedere Cercare nel log di controllo.
Quando si esportano tutti i risultati per una ricerca nel log di controllo, i dati non elaborati dal log di controllo unificato vengono copiati in un file CSV (Comma-Separated Value) scaricato nel computer locale. Questo file contiene informazioni aggiuntive sulle proprietà di ogni record di attività di controllo in una colonna denominata AuditData. Questa colonna contiene una proprietà multivalore per più proprietà del record del log di controllo. Ogni proprietà: le coppie di valori in questa proprietà multivalore sono separate da una virgola.
Nella tabella seguente vengono descritte le proprietà dell'attività incluse (a seconda del servizio in cui si verifica un'attività) nella colonna AuditData multiproprietà. Il servizio Microsoft con questa colonna di proprietà indica il servizio e il tipo di attività (utente o amministratore) che include la proprietà . Per informazioni più dettagliate su queste proprietà o sulle proprietà che potrebbero non essere elencate in questo articolo, vedere Schema dell'API attività di gestione.
Consiglio
È possibile usare la funzionalità di trasformazione JSON in Power Query in Excel per suddividere la colonna AuditData in più colonne in modo che ogni proprietà abbia una propria colonna. In questo modo è possibile ordinare e filtrare in base a una o più di queste proprietà. Per informazioni su come eseguire questa operazione, vedere Esportare, configurare e visualizzare i record del log di controllo.
| Proprietà | Descrizione | Servizio Microsoft con questa proprietà |
|---|---|---|
| Attore | L'account utente o del servizio che ha eseguito l'azione. | Azure Active Directory |
| AddOnName | Nome di un componente aggiuntivo aggiunto, rimosso o aggiornato in un team. Il tipo di componenti aggiuntivi in Microsoft Teams è un bot, un connettore o una scheda. | Microsoft Teams |
| AddOnType | Tipo di componente aggiuntivo aggiunto, rimosso o aggiornato in un team. I valori seguenti indicano il tipo di componente aggiuntivo. 1 - Indica un bot. 2 - Indica un connettore. 3 - Indica una scheda. |
Microsoft Teams |
| AppAccessContext | Contesto dell'applicazione per l'utente o l'entità servizio che ha eseguito l'azione. | Microsoft Teams |
| ArtifactShared | File o contenuto condiviso dall'utente. | Microsoft Teams |
| AzureActiveDirectoryEventType | Tipo di attività di Azure Active Directory. I valori seguenti indicano il tipo di attività. 0 - Indica un'attività di accesso all'account. 1 - Indica un'attività di sicurezza dell'applicazione Azure. |
Azure Active Directory |
| ChannelGuid | ID di un canale di Microsoft Teams. Il team in cui si trova il canale è identificato dalle proprietà TeamName e TeamGuid . | Microsoft Teams |
| ChannelName | Nome di un canale di Microsoft Teams. Il team in cui si trova il canale è identificato dalle proprietà TeamName e TeamGuid . | Microsoft Teams |
| Client | Il dispositivo client, il sistema operativo del dispositivo e il browser del dispositivo usati per l'attività di accesso (ad esempio, Nokia Lumia 920; Windows Phone 8; IE Mobile 11). | Azure Active Directory |
| ClientInfoString | Informazioni sul client di posta elettronica usato per eseguire l'operazione, ad esempio una versione del browser, la versione di Outlook e le informazioni sui dispositivi mobili | Exchange (attività cassetta postale) |
| ClientIP | Indirizzo IP del dispositivo usato durante la registrazione dell'attività. L'indirizzo IP viene visualizzato in formato IPv4 o IPv6. Per alcuni servizi, il valore visualizzato in questa proprietà potrebbe essere l'indirizzo IP di un'applicazione attendibile ,ad esempio Office nelle app Web, che chiama nel servizio per conto di un utente e non l'indirizzo IP del dispositivo usato dalla persona che ha eseguito l'attività. Inoltre, per l'attività di amministratore (o l'attività eseguita da un account di sistema) per le attività correlate ad Azure Active Directory, l'indirizzo IP non viene registrato e il valore della proprietà ClientIP è null. |
Azure Active Directory, Exchange, SharePoint |
| CreationTime | Data e ora dell'ora UTC (Coordinated Universal Time) in cui viene generato il record del log di controllo. | Tutti |
| CurrentProtectionType | Tipo di proprietà complesso contenente campi per descrivere lo stato di protezione corrente di un documento. Include quanto segue: ProtectionType: enumera il tipo di protezione applicato al documento. Questi valori e i relativi significati si applicano: 0 (nessuna protezione), 1 (protezione basata su modello), 2 (non inoltrare, per la posta elettronica), 3 (solo crittografia) e 4 (protezione personalizzata configurata dall'utente) Proprietario: indirizzo di posta elettronica dell'utente che ha configurato la protezione. TemplateId: quando ProtectionType è impostato su 1 (modello), questo campo contiene il GUID del modello applicato al documento. Quando il valore di ProtectionType non è uguale a 1, questo campo è vuoto. DocumentEncrypted: flag booleano che indica se al documento viene applicato qualsiasi tipo di crittografia. I valori sono True o False. |
Tutti |
| DestinationFileExtension | Estensione di file di un file copiato o spostato. Questa proprietà viene visualizzata solo per le attività utente FileCopied e FileMoved. | SharePoint |
| DestinationFileName | Il nome del file viene copiato o spostato. Questa proprietà viene visualizzata solo per le azioni FileCopied e FileMoved. | SharePoint |
| DestinationRelativeUrl | URL della cartella di destinazione in cui un file viene copiato o spostato. La combinazione dei valori per SiteURL, DestinationRelativeURL e la proprietà DestinationFileName corrisponde al valore della proprietà ObjectID , ovvero il nome completo del percorso del file copiato. Questa proprietà viene visualizzata solo per le attività utente FileCopied e FileMoved. | SharePoint |
| Eventsource | Identifica che si è verificata un'attività in SharePoint. I valori possibili sono SharePoint e ObjectModel. | SharePoint |
| ExternalAccess | Per l'attività di amministratore di Exchange, specifica se il cmdlet è stato eseguito da un utente dell'organizzazione, dal personale del data center Microsoft o da un account del servizio data center o da un amministratore delegato. Il valore False indica che il cmdlet è stato eseguito da un utente dell'organizzazione. Il valore True indica che il cmdlet è stato eseguito dal personale del data center, da un account del servizio data center o da un amministratore delegato. Per l'attività cassetta postale di Exchange, specifica se un utente esterno all'organizzazione ha eseguito l'accesso a una cassetta postale. |
Exchange |
| ExtendedProperties | Proprietà estese per un'attività di Azure Active Directory. | Azure Active Directory |
| ID | ID della voce del report. L'ID identifica in modo univoco la voce del report. | Tutti |
| InternalLogonType | Riservato per uso interno. | Exchange (attività cassetta postale) |
| ItemType | Tipo di oggetto a cui è stato eseguito l'accesso o modificato. I valori possibili includono File, Cartella, Web, Sito, Tenant e DocumentLibrary. | SharePoint |
| IsJoinedFromLobby | Indica se l'utente ha partecipato o meno a una sessione di Teams dalla sala di attesa. | Microsoft Teams |
| LoginStatus | Identifica gli errori di accesso che potrebbero essersi verificati. | Azure Active Directory |
| LogonType | Tipo di accesso alla cassetta postale. I valori seguenti indicano il tipo di utente che ha eseguito l'accesso alla cassetta postale. 0 - Indica un proprietario della cassetta postale. 1 - Indica un amministratore. 2 - Indica un delegato. 3 - Indica il servizio di trasporto nel data center Microsoft. 4 - Indica un account del servizio nel data center Microsoft. 6 - Indica un amministratore delegato. |
Exchange (attività cassetta postale) |
| MailboxGuid | GUID di Exchange della cassetta postale a cui è stato eseguito l'accesso. | Exchange (attività cassetta postale) |
| MailboxOwnerUPN | Indirizzo di posta elettronica della persona proprietaria della cassetta postale a cui è stato eseguito l'accesso. | Exchange (attività cassetta postale) |
| Membri | Elenca gli utenti che sono stati aggiunti o rimossi da un team. I valori seguenti indicano il tipo di ruolo assegnato all'utente. 1 - Indica il ruolo Proprietario. 2 - Indica il ruolo Membro. 3 - Indica il ruolo Guest. La proprietà Members include anche il nome dell'organizzazione e l'indirizzo di posta elettronica del membro. |
Microsoft Teams |
| ModifiedProperties (Name, NewValue, OldValue) | La proprietà è inclusa per le attività di amministratore, ad esempio l'aggiunta di un utente come membro di un sito o di un gruppo di amministratori della raccolta siti. La proprietà include il nome della proprietà modificata, ad esempio il gruppo Amministratore sito, il nuovo valore della proprietà modificata, ad esempio l'utente aggiunto come amministratore del sito e il valore precedente dell'oggetto modificato. | Tutto (attività di amministratore) |
| ObjectFullyQualifiedName | Nome completo per un'entità. | Microsoft Purview (governance) |
| ObjectId | Per la registrazione di controllo dell'amministratore di Exchange, il nome dell'oggetto modificato dal cmdlet. Per l'attività di SharePoint, il nome completo del percorso URL del file o della cartella a cui un utente accede. Per l'attività di Azure AD, il nome dell'account utente modificato. |
Tutti |
| ObjectName | Nome dell'entità principale. | Microsoft Purview (governance) |
| ObjectType | Tipo di entità. | Microsoft Purview (governance) |
| OldValue | Il valore prima di una modifica include tutte le proprietà aggiornate o eliminate. | Microsoft Purview (governance) |
| Operazione | Nome dell'attività utente o amministratore. Il valore di questa proprietà corrisponde al valore selezionato nell'elenco a discesa Attività . Se è stato selezionato Mostra risultati per tutte le attività , il report includerà le voci per tutte le attività utente e amministratore per tutti i servizi. Per una descrizione delle operazioni/attività registrate nel log di controllo, vedere la scheda Attività controllate in Cercare il log di controllo in Office 365. Per l'attività di amministratore di Exchange, questa proprietà identifica il nome del cmdlet eseguito. |
Tutti |
| OrganizationId | GUID dell'organizzazione. | Tutti |
| NuovoValore | Il valore dopo una modifica include tutte le proprietà aggiornate o eliminate. | Microsoft Purview (governance) |
| Percorso | Nome della cartella della cassetta postale in cui si trova il messaggio a cui è stato eseguito l'accesso. Questa proprietà identifica anche la cartella in cui viene creato o copiato/spostato un messaggio. | Exchange (attività cassetta postale) |
| Parametri | Per l'attività di amministratore di Exchange, il nome e il valore per tutti i parametri usati con il cmdlet identificato nella proprietà Operation. | Exchange (attività di amministratore) |
| ParticipantInfo | Proprietà aggiuntive sull'identità del partecipante. | Microsoft Teams |
| ParticipatingDomainInformation | Informazioni sul dominio sul partecipante. | Microsoft Teams |
| PreviousProtectionType | Tipo di proprietà complesso contenente campi per descrivere lo stato di protezione precedente di un documento. Include quanto segue: ProtectionType: enumera il tipo di protezione applicato al documento. Questi valori e i relativi significati si applicano: 0 (nessuna protezione), 1 (protezione basata su modello), 2 (non inoltrare, per la posta elettronica), 3 (solo crittografia) e 4 (protezione personalizzata configurata dall'utente) Proprietario: indirizzo di posta elettronica dell'utente che ha configurato la protezione. TemplateId: quando ProtectionType è impostato su 1 (modello), questo campo contiene il GUID del modello applicato al documento. Quando il valore di ProtectionType non è uguale a 1, questo campo è vuoto. DocumentEncrypted: flag booleano che indica se al documento viene applicato qualsiasi tipo di crittografia. I valori sono True o False. |
Tutti |
| ProtectionEventType | Enumera il modo in cui la protezione è stata modificata dall'operazione sottoposta a controllo. Si applicano i valori e i significati seguenti: 0 - Indica che non è stato modificato. 1 - Indica l'aggiunta. 2 - Indica la modifica. 3 - Indica che è stato rimosso. |
Tutti |
| RecordType | Tipo di operazione indicato dal record. Questa proprietà indica il servizio o la funzionalità in cui è stata attivata l'operazione. Per un elenco dei tipi di record e del relativo valore ENUM corrispondente ,ovvero il valore visualizzato nella proprietà RecordType in un record di controllo, vedere Tipo di record di log di controllo. | |
| ResultStatus | Indica se l'azione (specificata nella proprietà Operation ) ha avuto esito positivo o meno. Per l'attività di amministratore di Exchange, il valore è True (operazione riuscita) o False (operazione non riuscita). |
Tutti |
| SecurityComplianceCenterEventType | Indica che l'attività era un'attività del portale di Microsoft Purview e del portale di conformità. Tutte le attività del portale di Microsoft Purview e del portale di conformità avranno un valore pari a 0 per questa proprietà. | Portale di Microsoft Purview Portale di conformità di Microsoft Purview |
| SensitivityLabel | Etichetta di riservatezza assegnata a un elemento di posta specifico. | Exchange |
| SharingType | Tipo di autorizzazioni di condivisione assegnate all'utente con cui è stata condivisa la risorsa. L'utente viene identificato nella proprietà UserSharedWith . | SharePoint |
| Sito | GUID del sito in cui si trova il file o la cartella a cui l'utente accede. | SharePoint |
| SiteUrl | URL del sito in cui si trova il file o la cartella a cui l'utente accede. | SharePoint |
| SourceFileExtension | Estensione del file a cui l'utente ha eseguito l'accesso. Questa proprietà è vuota se l'oggetto a cui è stato eseguito l'accesso è una cartella. | SharePoint |
| NomeFileOrigine | Nome del file o della cartella a cui l'utente accede. | SharePoint |
| SourceRelativeUrl | URL della cartella che contiene il file a cui l'utente accede. La combinazione dei valori per SiteURL, SourceRelativeURL e la proprietà SourceFileName corrisponde al valore della proprietà ObjectID , ovvero il nome completo del percorso per il file a cui l'utente accede. | SharePoint |
| Oggetto | Riga dell'oggetto del messaggio a cui è stato eseguito l'accesso. | Exchange (attività cassetta postale) |
| TabType | Tipo di scheda aggiunta, rimossa o aggiornata in un team. I valori possibili per questa proprietà sono: Aggiungi a Excel - Scheda Excel. Estensione : tutte le app di prima parte e di terze parti; ad esempio Pianificazione classi, VSTS e Moduli. Note - Scheda OneNote. Pdfpin - Una scheda PDF. Powerbi - Scheda di Power BI. Powerpointpin - Scheda di PowerPoint. Sharepointfiles - Scheda di SharePoint. Pagina Web : scheda di un sito Web aggiunto. Scheda Wiki - Scheda wiki. Wordpin - Scheda Word. |
Microsoft Teams |
| Destinazione | L'utente su cui è stata eseguita l'azione (identificata nella proprietà Operation ). Ad esempio, se un guest viene aggiunto a SharePoint o a un team Microsoft, tale utente verrà elencato in questa proprietà. | Azure Active Directory |
| TeamGuid | ID di un team in Microsoft Teams. | Microsoft Teams |
| TeamName | Nome di un team in Microsoft Teams. | Microsoft Teams |
| UserAgent | Informazioni sul browser dell'utente. Queste informazioni vengono fornite dal browser. | SharePoint |
| UserDomain | Informazioni sull'identità dell'organizzazione tenant dell'utente (attore) che ha eseguito l'azione. | Azure Active Directory |
| UserId | L'utente che ha eseguito l'azione (specificata nella proprietà Operation ) che ha causato la registrazione del record. I record di controllo per l'attività eseguita dagli account di sistema,ad esempio SHAREPOINT\system o NT AUTHORITY\SYSTEM, sono inclusi anche nel log di controllo. Un altro valore comune per la proprietà UserId è app@sharepoint. Ciò indica che l'"utente" che ha eseguito l'attività è un'applicazione con le autorizzazioni necessarie in SharePoint per eseguire azioni a livello di organizzazione (ad esempio la ricerca in un sito di SharePoint o in un account OneDrive) per conto di un utente, un amministratore o un servizio. Per altre informazioni, vedere: L'utente app@sharepoint nei record di controllo o Account di sistema nei record di controllo delle cassette postali di Exchange. |
Tutti |
| UserKey | Contiene un ID oggetto di Azure Active Directory valido in formato GUID o esadecimale. Per gli scenari in cui l'attore primario non è un utente, UserKey è una stringa vuota. Per informazioni dettagliate sui vari scenari UserKey, vedere Scenari UserType e UserKey. | Tutti |
| Usertype | Tipo di utente che ha eseguito l'operazione. Per informazioni dettagliate sui vari scenari UserType, vedere gli scenari UserType e UserKey. | Tutti |
| Versione | Indica il numero di versione dell'attività (identificata dalla proprietà Operation ) registrata. | Tutti |
| Carico di lavoro | Servizio Microsoft 365 in cui si è verificata l'attività. | Tutti |
Scenari UserType e UserKey
La tabella seguente fornisce informazioni dettagliate per gli scenari UserType e UserKey :
| Valore | Nome membro UserType | Descrizione | UserKey |
|---|---|---|---|
| 0 | Regolare | Un utente normale senza autorizzazioni di amministratore. | ID oggetto Microsoft Entra in formato GUID |
| 2 | Amministratore | Un amministratore nell'organizzazione di Microsoft 365. 1 | ID oggetto Microsoft Entra in formato GUID |
| 3 | DCAdmin | Un amministratore del data center Microsoft o un account di sistema del data center. | ID oggetto Microsoft Entra in formato GUID |
| 4 | Sistema | Evento di controllo attivato dalla logica lato server. Ad esempio, servizi Windows o processi in background. | Guid.Empty.ToString() (o il valore '000000000-0000-0000-0000-000000000000000'). |
| 5 | Applicazione | Un evento di controllo attivato da un'applicazione Microsoft Entra. | Nome applicazione o ID applicazione Di Microsoft Entra (se disponibile). In caso contrario, una stringa vuota. |
| 6 | ServicePrincipal | Entità servizio. | Guid.Empty.ToString() (o il valore '000000000-0000-0000-0000-000000000000000'). |
| 7 | CustomPolicy | Criteri creati o gestiti da un cliente. | Guid.Empty.ToString() (o il valore '000000000-0000-0000-0000-000000000000000'). |
| 8 | SystemPolicy | Criteri di sistema o gestiti da Microsoft. | Guid.Empty.ToString() (o il valore '000000000-0000-0000-0000-000000000000000'). |
| 9 | PartnerTechnician | L'utente di un tenant partner che lavora per conto del tenant del cliente (negli scenari GDAP ). | Guid.Empty.ToString() (o il valore '000000000-0000-0000-0000-000000000000000'). |
| 10 | Guest | Utente guest o anonimo. | Guid.Empty.ToString() (o il valore '000000000-0000-0000-0000-000000000000000'). |
Nota
1 Per gli eventi correlati a Microsoft Entra, il valore per un amministratore non viene usato in un record di controllo. I record di controllo per le attività eseguite dagli amministratori indicheranno che un utente normale ,ad esempio UserType: 0, ha eseguito l'attività. La proprietà UserID identificherà la persona (utente o amministratore normale) che ha eseguito l'attività.