Search-UnifiedAuditLog

O parâmetro EndDate especifica a data de término do intervalo de datas. As entradas são armazenadas no log de auditoria unificado em UTC (Tempo Universal Coordenado). Se você especificar um valor de data/hora sem um fuso horário, o valor estará em UTC.

Para especificar um valor de data/hora para este parâmetro, use uma das opções a seguir:

• Especifique o valor de data/hora em UTC: por exemplo, "2018-05-06 14:30:00z".
• Especifique o valor de data/hora como uma fórmula que converte a data/hora no fuso horário local em UTC: Por exemplo, (Get-Date "5/6/2018 9:30 AM").ToUniversalTime(). Para mais informações, consulte Get-Date.

Se você não incluir um carimbo de data/hora no valor desse parâmetro, o carimbo de data/hora padrão será 12:00 (meia-noite) na data especificada.

A opção Formatada faz com que atributos normalmente retornados como inteiros (por exemplo, RecordType e Operation) sejam formatados como cadeias de caracteres descritivas. Não é preciso especificar um valor com essa opção.

Além disso, essa opção torna AuditData mais legível.

O parâmetro FreeText filtra as entradas de log pela cadeia de texto especificada. Se o valor contiver espaços, coloque-o entre aspas (").

O parâmetro IPAddresses filtra as entradas de log pelos endereços IP especificados. Você especifica vários endereços IP separados por vírgulas.

O parâmetro ObjectIds filtra as entradas do log pela ID do objeto. A ID do objeto é o objeto de destino que foi tratado e depende dos valores RecordType e Operations do evento. Por exemplo, para operações do SharePoint, a ID do objeto é o caminho da URL para um arquivo, pasta ou site. Para operações do Azure Active Directory, a ID do objeto é o nome da conta ou o valor GUID da conta.

O valor ObjectId é exibido na propriedade AuditData (também conhecida como Details) do evento.

Update Se os valores contiverem espaços ou exigirem aspas, use a seguinte sintaxe: "Value1","Value2",..."ValueN".

O parâmetro Operations filtra as entradas do log por operação. Os valores disponíveis para esse parâmetro dependem do valor RecordType. Para obter uma lista dos valores disponíveis para este parâmetro, consulte Atividades auditadas.

Update Se os valores contiverem espaços ou exigirem aspas, use a seguinte sintaxe: "Value1","Value2",..."ValueN".

O parâmetro RecordType filtra as entradas do log por tipo de registro. Para obter detalhes sobre os valores disponíveis, consulte AuditLogRecordType.

O parâmetro ResultSize especifica o número máximo de resultados a serem retornados. O valor padrão é de 100 e o máximo é de 5.000.

O parâmetro SessionCommand especifica quantas informações são retornadas e como elas são organizadas. Os valores válidos são:

• ReturnLargeSet: esse valor faz com que o cmdlet retorne dados não variados. Você pode ter acesso a no máximo 50.000 resultados usando a paginação. Esse é o valor recomendado se um resultado ordenado não for necessário e tiver sido otimizado para latência de pesquisa.
• ReturnNextPreviewPage: esse valor faz com que o cmdlet retorne os dados classificados na data. O número máximo de registros retornados por meio do uso da paginação ou do parâmetro ResultSize é de 5.000.

Observação: Use sempre o mesmo valor de SessionCommand para um determinado valor de SessionId. Não alterne entre ReturnLargeSet e ReturnNextPreviewPage para a mesma ID de sessão. Caso contrário, a saída será limitada a 10.000 resultados.

O parâmetro SessionId especifica uma ID fornecida como uma cadeia de caracteres para identificar um comando (o cmdlet e os respectivos parâmetros) que será executado várias vezes a fim de retornar dados paginados. O parâmetro SessionId pode ser um valor de cadeia de caracteres à escolha.

Quando o cmdlet for executado sequencialmente com a mesma ID de sessão, o cmdlet retornará os dados em blocos sequenciais do tamanho especificado pelo ResultSize.

Para uma determinada ID de sessão, se você usar o valor ReturnLargeSet do SessionCommand e, em seguida, usar o valor ReturnNextPreviewPage do SessionCommand, os resultados serão limitados a 10.000 registros. Para obter todos os 50.000 registros disponíveis, use sempre o valor ReturnLargeSet cada vez que executar o cmdlet para a mesma ID de sessão.

O parâmetro SiteIds filtra as entradas de log pelo SiteId do SharePoint (GUID). Você pode inserir vários valores separados por vírgulas: Value1, Value2,...ValueN.

Para obter o SiteId de um site do SharePoint, adicione /_api/site/id à URL da coleção de sites que você deseja especificar. Por exemplo, altere a URL https://contoso.sharepoint.com/sites/hr-project para https://contoso.sharepoint.com/sites/hr-project/_api/site/id. Uma carga XML é retornada e o SiteId para a coleção de sites é exibido na propriedade Edm.Guid; por exemplo: <d:Id xmlns:d="http://schemas.microsoft.com/ado/2007/08/dataservices" xmlns:m="http://schemas.microsoft.com/ado/2007/08/dataservices/metadata" xmlns:georss="http://www.georss.org/georss" xmlns:gml="http://www.opengis.net/gml" m:type="Edm.Guid">14ab81b6-f23d-476a-8cac-ad5dbd2910f7</d:Id>.

O parâmetro StartDate especifica a data de início do intervalo de datas. As entradas são armazenadas no log de auditoria unificado em UTC (Tempo Universal Coordenado). Se você especificar um valor de data/hora sem um fuso horário, o valor estará em UTC.

Para especificar um valor de data/hora para este parâmetro, use uma das opções a seguir:

• Especifique o valor de data/hora em UTC: por exemplo, "2018-05-06 14:30:00z".
• Especifique o valor de data/hora como uma fórmula que converte a data/hora no fuso horário local em UTC: Por exemplo, (Get-Date "5/6/2018 9:30 AM").ToUniversalTime(). Para mais informações, consulte Get-Date.

Se você não incluir um carimbo de data/hora no valor desse parâmetro, o carimbo de data/hora padrão será 12:00 (meia-noite) na data especificada.

O parâmetro UserIds filtra as entradas de log pela conta (UserPrincipalName) do usuário que realizou a ação. Por exemplo, laura@contoso.onmicrosoft.com.

Update Se os valores contiverem espaços ou exigirem aspas, use a seguinte sintaxe: "Value1","Value2",..."ValueN".