Audit Log - Query

Referenz

Service:: Audit

API Version:: 7.1-preview.1

Abfragen von Überwachungsprotokolleinträgen

GET https://auditservice.dev.azure.com/{organization}/_apis/audit/auditlog?api-version=7.1-preview.1

With optional parameters:

GET https://auditservice.dev.azure.com/{organization}/_apis/audit/auditlog?startTime={startTime}&endTime={endTime}&batchSize={batchSize}&continuationToken={continuationToken}&skipAggregation={skipAggregation}&api-version=7.1-preview.1

URI-Parameter

Name	In	Erforderlich	Typ	Beschreibung
organization	path		string	Der Name der Azure DevOps-Organisation.
api-version	query	True	string	Version der zu verwendenden API. Dies sollte auf "7.1-preview.1" festgelegt werden, um diese Version der API zu verwenden.
batchSize	query		integer int32	Maximale Anzahl der zurückzugebenden Ergebnisse. Optional
continuationToken	query		string	Token, das zum Zurückgeben des nächsten Resultsets aus der vorherigen Abfrage verwendet wird. Optional
endTime	query		string date-time	Endzeit des Downloadfensters. Optional
skipAggregation	query		boolean	Überspringt das Aggregieren von Ereignissen und belässt sie stattdessen als einzelne Einträge. Standardmäßig werden Ereignisse aggregiert. Aggregierte Ereignistypen: AuditLog.AccessLog.
startTime	query		string date-time	Startzeit des Downloadfensters. Optional

Antworten

Name	Typ	Beschreibung
200 OK	AuditLogQueryResult	Erfolgreicher Vorgang

Sicherheit

oauth2

Type: oauth2
Flow: accessCode
Authorization URL: https://app.vssps.visualstudio.com/oauth2/authorize&response_type=Assertion
Token URL: https://app.vssps.visualstudio.com/oauth2/token?client_assertion_type=urn:ietf:params:oauth:client-assertion-type:jwt-bearer&grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer

Scopes

Name	Beschreibung
vso.auditlog	Ermöglicht Benutzern das Lesen des Überwachungsprotokolls und der Überwachungsdatenströme.

Beispiele

By date

Sample Request

HTTP

GET https://auditservice.dev.azure.com/_apis/audit/auditlog?startTime=2019-03-04T14:05:59.928Z&endTime=2019-03-05T14:05:59.928Z&batchSize=2&api-version=7.1-preview.1

Sample Response

Status code:: 200

{
  "value": {
    "decoratedAuditLogEntries": [
      {
        "id": "2518505060978539161;00000064-0000-8888-8000-000000000000;86fbe369-3f5d-4f52-9ab0-3be7db271948",
        "correlationId": "86fbe369-3f5d-4f52-9ab0-3be7db271948",
        "activityId": "033fde68-f713-4984-b24f-8d7a73d1ade6",
        "actorCUID": "a718550e-4777-4058-8298-bff88d0cb524",
        "actorUserId": "d6a98b6c-6932-485c-a986-aea9fc981df0",
        "authenticationMechanism": "FedAuth",
        "timestamp": "2019-03-05T14:05:02.1460838+00:00",
        "scopeType": "organization",
        "scopeDisplayName": "fabrikam (Organization)",
        "scopeId": "73638cd5-0dda-4128-9fd6-48c16d4e4de3",
        "ipAddress": "167.220.148.131",
        "userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/72.0.3626.119 Safari/537.36",
        "actionId": "AuditLog.AccessLog",
        "data": {
          "Filter": {
            "StartTime": "2019-03-04T14:05:59.928Z",
            "EndTime": "2019-03-05T14:05:59.928Z",
            "ContinuationToken": null,
            "BatchSize": 2,
            "HasMore": true
          },
          "EventSummary": [
            "2019-03-05T14:05:02.1460838+00:00",
            "2019-03-05T13:59:40.4899467+00:00",
            "2019-03-05T13:58:13.159128+00:00"
          ]
        },
        "details": "Accessed the audit log 3 times",
        "area": "Auditing",
        "category": "access",
        "categoryDisplayName": "Access",
        "actorDisplayName": "Norman Paulk",
        "actorImageUrl": "https://dev.azure.com/fabrikam/_apis/GraphProfile/MemberAvatars/aad.NzdhMTNiN2MtYjIxNy03NDc4LWIxMjItYTlhMTU5YTFlNWQw"
      },
      {
        "id": "2518505063644965580;00000002-0000-8888-8000-000000000000;198b13cf-5201-48e8-acef-0d8bb2d9e815",
        "correlationId": "57f825b4-a940-44a3-a3cc-25cdb9871107",
        "activityId": "01abe2fd-deee-4a47-b35f-dff3edc059a4",
        "actorCUID": "00000000-0000-0000-0000-000000000000",
        "actorUserId": "00000002-0000-8888-8000-000000000000",
        "authenticationMechanism": "",
        "timestamp": "2019-03-05T14:00:35.5034419+00:00",
        "scopeType": "organization",
        "scopeDisplayName": "fabrikam (Organization)",
        "scopeId": "73638cd5-0dda-4128-9fd6-48c16d4e4de3",
        "ipAddress": null,
        "userAgent": "",
        "actionId": "Project.CreateCompleted",
        "data": {
          "ProjectId": "2e0ffea5-d693-4711-862c-94393bacadcb",
          "ProjectName": "fabrikam-fiber-git",
          "ProcessTemplate": "Agile",
          "ProjectVisibility": "Private"
        },
        "details": "fabrikam-fiber-git project was created successfully",
        "area": "Project",
        "category": "create",
        "categoryDisplayName": "Create",
        "actorDisplayName": "Azure DevOps Service",
        "actorImageUrl": null
      }
    ],
    "continuationToken": "2518505063644965580;00000002-0000-8888-8000-000000000000;198b13cf-5201-48e8-acef-0d8bb2d9e815",
    "hasMore": false
  }
}

Definitionen

Name	Beschreibung
AuditActionCategory	Typ der ausgeführten Aktion
AuditLogQueryResult	Das Objekt, das zurückgegeben wird, wenn das Überwachungsprotokoll abgefragt wird. Sie enthält das Protokoll und die Informationen, die zum Abfragen weiterer Überwachungseinträge erforderlich sind.
AuditScopeType	Der Typ des Bereichs (Organisation wird derzeit nur unterstützt)
DecoratedAuditLogEntry

AuditActionCategory

Typ der ausgeführten Aktion

Name	Typ	Beschreibung
access	string	Auf ein Artefakt wurde zugegriffen.
create	string	Ein Artefakt wurde erstellt.
execute	string	Ein Artefakt wurde ausgeführt.
modify	string	Ein Artefakt wurde geändert
remove	string	Ein Artefakt wurde entfernt.
unknown	string	Die Kategorie ist nicht bekannt.

AuditLogQueryResult

Das Objekt, das zurückgegeben wird, wenn das Überwachungsprotokoll abgefragt wird. Sie enthält das Protokoll und die Informationen, die zum Abfragen weiterer Überwachungseinträge erforderlich sind.

Name	Typ	Beschreibung
continuationToken	string	Das zu übergebende Fortsetzungstoken, um den nächsten Satz von Ergebnissen zu erhalten
decoratedAuditLogEntries	DecoratedAuditLogEntry[]	Die Liste der Überwachungsprotokolleinträge
hasMore	boolean	True, wenn mehr übereinstimmende Ergebnisse abgerufen werden sollen, andernfalls false.

AuditScopeType

Der Typ des Bereichs (Organisation wird derzeit nur unterstützt)

Name	Typ	Beschreibung
deployment	string	Bereitstellung
enterprise	string	Enterprise
organization	string	Organisation
project	string	Project
unknown	string	Der Bereich ist nicht bekannt oder wurde nicht festgelegt.

DecoratedAuditLogEntry

Name	Typ	Beschreibung
actionId	string	Die Aktions-ID für das Ereignis, d. h. Git.CreateRepo, Project.RenameProject
activityId	string	ActivityId
actorCUID	string	Die CUID des Akteurs
actorClientId	string	Die Client-ID des Akteurs (wenn actor ein Dienstprinzipal ist)
actorDisplayName	string	DisplayName des Benutzers, der die Aktion initiiert hat
actorImageUrl	string	URL des Profilbilds des Akteurs
actorUPN	string	Der UPN des Akteurs
actorUserId	string	Die Benutzer-ID des Akteurs (wenn actor ein Benutzer ist)
area	string	Bereich von Azure DevOps, in dem die Aktion aufgetreten ist
authenticationMechanism	string	Vom Akteur verwendete Authentifizierungstyp
category	AuditActionCategory	Typ der ausgeführten Aktion
categoryDisplayName	string	DisplayName der Kategorie
correlationId	string	Dadurch können verwandte Überwachungseinträge gruppiert werden. Im Allgemeinen tritt dies auf, wenn eine einzelne Aktion eine Kaskade von Überwachungseinträgen verursacht. Beispiel: Projekterstellung.
data	object	Externe Daten wie CUIDs, Elementnamen usw.
details	string	Ergänzte Details
id	string	EventId: Muss pro Dienst eindeutig sein
ipAddress	string	IP-Adresse, von der das Ereignis stammt
projectId	string	Wenn angegeben, ist die ID des Projekts, dem dieses Ereignis zugeordnet ist,
projectName	string	Wenn angegeben, ist der Name des Projekts, dem dieses Ereignis zugeordnet ist,
scopeDisplayName	string	DisplayName des Bereichs
scopeId	string	Die organization-ID (Organisation ist der einzige derzeit unterstützte Bereich)
scopeType	AuditScopeType	Der Typ des Bereichs (Organisation wird derzeit nur unterstützt)
timestamp	string	Der Zeitpunkt, zu dem das Ereignis in UTC aufgetreten ist
userAgent	string	Der Benutzer-Agent aus der Anforderung