Propriedades de atividade detalhadas no registo de auditoria

Ao exportar os resultados de uma pesquisa de registo de auditoria a partir do portal do Microsoft Purview ou do portal de conformidade do Microsoft Purview, pode transferir todos os resultados que cumprem os critérios de pesquisa. Pode exportar estas informações ao selecionar Exportar resultados>Transferir todos os resultados na página Pesquisa de registos de auditoria . Para obter mais informações, veja Pesquisar o registo de auditoria.

Quando exporta todos os resultados para uma pesquisa de registo de auditoria, os dados não processados do registo de auditoria unificado são copiados para um ficheiro de valores separados por vírgulas (CSV) que é transferido para o seu computador local. Este ficheiro contém informações de propriedade adicionais de cada registo de atividade de auditoria numa coluna denominada AuditData. Esta coluna contém uma propriedade de múltiplos valores para várias propriedades do registo de auditoria. Cada uma das propriedades: os pares de valores nesta propriedade de valores múltiplos são separados por uma vírgula.

A tabela seguinte descreve as propriedades de atividade que estão incluídas (consoante o serviço em que ocorre uma atividade) na coluna AuditData de várias propriedades. O serviço Microsoft que tem esta coluna de propriedade indica o serviço e o tipo de atividade (utilizador ou administrador) que inclui a propriedade . Para obter informações mais detalhadas sobre estas propriedades ou sobre propriedades que podem não estar listadas neste artigo, veja Esquema da API de Atividade de Gestão.

Dica

Pode utilizar a funcionalidade de transformação JSON no Power Query no Excel para dividir a coluna AuditData em múltiplas colunas para que cada propriedade tenha a sua própria coluna. Isso permitirá que você classifique e filtre uma ou mais dessas propriedades. Para saber como fazê-lo, veja Exportar, configurar e ver registos de auditoria.

Propriedade	Descrição	Serviço Microsoft que tem esta propriedade
Actor	A conta de utilizador ou serviço que efetuou a ação.	Azure Active Directory
AddOnName	O nome de um suplemento que foi adicionado, removido ou atualizado numa equipa. O tipo de suplementos no Microsoft Teams é um bot, um conector ou um separador.	Microsoft Teams
AddOnType	O tipo de um suplemento que foi adicionado, removido ou atualizado numa equipa. Os seguintes valores indicam o tipo de suplemento. 1 - Indica um bot. 2 - Indica um conector. 3 - Indica um separador.	Microsoft Teams
AppAccessContext	O contexto do aplicativo para o usuário ou principal de serviço que executou a ação.	Microsoft Teams
ArtifactShared	Ficheiros ou conteúdos partilhados pelo utilizador.	Microsoft Teams
AzureActiveDirectoryEventType	O tipo de atividade do Azure Active Directory. Os seguintes valores indicam o tipo de atividade. 0 - Indica uma atividade de início de sessão de conta. 1 - Indica uma atividade de segurança de aplicações do Azure.	Azure Active Directory
ChannelGuid	O ID de um canal do Microsoft Teams. A equipa na qual o canal está localizado é identificada pelas propriedades TeamName e TeamGuid .	Microsoft Teams
ChannelName	O nome de um canal do Microsoft Teams. A equipa na qual o canal está localizado é identificada pelas propriedades TeamName e TeamGuid .	Microsoft Teams
Cliente	O dispositivo cliente, o SO do dispositivo e o browser do dispositivo utilizados para a atividade de início de sessão (por exemplo, Nokia Lumia 920; Windows Phone 8; IE Mobile 11).	Azure Active Directory
ClientInfoString	Informações sobre o cliente de e-mail que foi utilizado para executar a operação, como uma versão do browser, a versão do Outlook e as informações do dispositivo móvel	Exchange (atividade de caixa de correio)
ClientIP	O endereço IP do dispositivo que foi usado quando a atividade foi registrada. O endereço IP é exibido em um formato de endereço IPv4 ou IPv6. Para alguns serviços, o valor exibido nessa propriedade pode ser o endereço IP de um aplicativo confiável (por exemplo, Office em aplicativos Web) chamando o serviço em nome de um usuário e não o endereço IP do dispositivo usado por quem realizou a atividade. Além disso, para a atividade de administrador (ou atividade realizada por uma conta de sistema) para atividades relacionadas com o Azure Active Directory, o endereço IP não é registado e o valor da propriedade ClientIP é null.	Azure Active Directory, Exchange, SharePoint
CreationTime	A data e hora na Hora Universal Coordenada (UTC) quando o registo de auditoria é gerado.	Todos
CurrentProtectionType	Um tipo de propriedade complexo que contém campos para descrever o estado de proteção atual de um documento. Inclui o seguinte: ProtectionType: enumera o tipo de proteção aplicado ao documento. Estes valores e os respetivos significados aplicam-se: 0 (sem proteção), 1 (proteção baseada em modelos), 2 (não reencaminhar, para e-mail), 3 (encriptar apenas) e 4 (proteção personalizada configurada pelo utilizador) Proprietário: o endereço de e-mail do utilizador que configurou a proteção. TemplateId: quando o ProtectionType está definido como 1 (modelo), este campo contém o GUID do modelo aplicado ao documento. Quando o valor de ProtectionType não for igual a 1, este campo está em branco. DocumentEncrypted: sinalizador booleano que indica se algum tipo de encriptação é aplicado ao documento. Os valores são Verdadeiro ou Falso.	Todos
DestinationFileExtension	A extensão de um arquivo que foi copiado ou movido. Esta propriedade é apresentada apenas para as atividades de utilizador FileCopied e FileMoved.	SharePoint
DestinationFileName	O nome do ficheiro é copiado ou movido. Esta propriedade é apresentada apenas para as ações FileCopied e FileMoved.	SharePoint
DestinationRelativeUrl	A URL da pasta de destino em que um arquivo é copiado ou movido. A combinação dos valores da propriedade SiteURL, DestinationRelativeURL e DestinationFileName é igual ao valor da propriedade ObjectID , que é o nome completo do caminho para o ficheiro que foi copiado. Esta propriedade é apresentada apenas para as atividades de utilizador FileCopied e FileMoved.	SharePoint
EventSource	Identifica que ocorreu uma atividade no SharePoint. Os valores possíveis são SharePoint e ObjectModel.	SharePoint
ExternalAccess	Para a atividade de administrador do Exchange, especifica se o cmdlet foi executado por um utilizador na sua organização, por pessoal do datacenter da Microsoft ou por uma conta de serviço do datacenter ou por um administrador delegado. O valor Falso indica que o cmdlet foi executado por alguém em sua organização. O valor Verdadeiro indica que o cmdlet foi executado pela equipe do datacenter, por uma conta de serviço do datacenter ou por um administrador delegado. Para a atividade da caixa de correio do Exchange, especifica se uma caixa de correio foi acedida por um utilizador fora da sua organização.	Exchange
ExtendedProperties	As propriedades expandidas para uma atividade do Azure Active Directory.	Azure Active Directory
ID	O ID da entrada do relatório. O ID identifica exclusivamente a entrada do relatório.	Todos
InternalLogonType	Reservado para uso interno.	Exchange (atividade de caixa de correio)
ItemType	O tipo de objeto que foi acessado ou modificado. Os valores possíveis incluem Ficheiro, Pasta, Web, Site, Inquilino e DocumentLibrary.	SharePoint
IsJoinedFromLobby	Se o utilizador entrou ou não numa sessão do Teams a partir da sala de espera.	Microsoft Teams
LoginStatus	Identifica falhas de início de sessão que possam ter ocorrido.	Azure Active Directory
LogonType	O tipo de acesso à caixa de correio. Os seguintes valores indicam o tipo de utilizador que acedeu à caixa de correio. 0 - Indica um proprietário de caixa de correio. 1 - Indica um administrador. 2 - Indica um delegado. 3 - Indica o serviço de transporte no datacenter da Microsoft. 4 - Indica uma conta de serviço no datacenter da Microsoft. 6 - Indica um administrador delegado.	Exchange (atividade de caixa de correio)
MailboxGuid	O GUID do Exchange da caixa de correio que foi acessada.	Exchange (atividade de caixa de correio)
MailboxOwnerUPN	O endereço de email da pessoa que possui a caixa de correio que foi acessada.	Exchange (atividade de caixa de correio)
Members	Lista os utilizadores que foram adicionados ou removidos de uma equipa. Os valores a seguir indicam o tipo de função atribuída ao usuário. 1 – Indica a função de Proprietário. 2 – Indica a função de Membro. 3 – Indica a função de Convidado. A propriedade Membros inclui também o nome da sua organização e o endereço de email do membro.	Microsoft Teams
ModifiedProperties (Name, NewValue, OldValue)	A propriedade está incluída para atividades de administrador, como adicionar um utilizador como membro de um site ou grupo de administradores de coleções de sites. A propriedade inclui o nome da propriedade que foi modificada (por exemplo, o grupo Administrador do Site) o novo valor da propriedade modificada (tal como o utilizador que foi adicionado como administrador do site e o valor anterior do objeto modificado).	Todos (atividade de administrador)
ObjectFullyQualifiedName	O nome completamente qualificado para uma entidade.	Microsoft Purview (governação)
ObjectId	Para o log de auditoria do administrador do Exchange, o nome do objeto que foi modificado pelo cmdlet. Para a atividade do SharePoint, o nome completo do caminho do URL do ficheiro ou pasta acedido por um utilizador. Para a atividade do Azure AD, o nome da conta de utilizador que foi modificada.	Todos
ObjectName	O nome da entidade principal.	Microsoft Purview (governação)
ObjectType	O tipo de entidade.	Microsoft Purview (governação)
OldValue	O valor antes de uma alteração inclui todas as propriedades atualizadas ou eliminadas.	Microsoft Purview (governação)
Operação	O nome do usuário ou atividade administrativa. O valor desta propriedade corresponde ao valor que foi selecionado na lista pendente Atividades . Se a opção Mostrar resultados para todas as atividades tiver sido selecionada, o relatório incluirá entradas para todas as atividades de utilizador e administrador para todos os serviços. Para obter uma descrição das operações/atividades registadas no registo de auditoria, consulte o separador Atividades auditadas em Pesquisar o registo de auditoria no Office 365. Para a atividade de administração do Exchange, essa propriedade identifica o nome do cmdlet que foi executado.	Todos
OrganizationId	O GUID da sua organização.	Todos
NewValue	O valor após uma alteração inclui todas as propriedades atualizadas ou eliminadas.	Microsoft Purview (governação)
Caminho	O nome da pasta da caixa de correio em que a mensagem que foi acessada está localizada. Esta propriedade também identifica a pasta onde uma mensagem é criada ou copiada/movida para.	Exchange (atividade de caixa de correio)
Parâmetros	Para a atividade de administrador do Exchange, o nome e o valor de todos os parâmetros que foram utilizados com o cmdlet identificado na propriedade Operação.	Exchange (atividade de administrador)
ParticipantInfo	Propriedades adicionais sobre a identidade do participante.	Microsoft Teams
ParticipatingDomainInformation	Informações de domínio sobre o participante.	Microsoft Teams
PreviousProtectionType	Um tipo de propriedade complexo que contém campos para descrever o estado de proteção anterior de um documento. Inclui o seguinte: ProtectionType: enumera o tipo de proteção aplicado ao documento. Estes valores e os respetivos significados aplicam-se: 0 (sem proteção), 1 (proteção baseada em modelos), 2 (não reencaminhar, para e-mail), 3 (encriptar apenas) e 4 (proteção personalizada configurada pelo utilizador) Proprietário: o endereço de e-mail do utilizador que configurou a proteção. TemplateId: quando o ProtectionType está definido como 1 (modelo), este campo contém o GUID do modelo aplicado ao documento. Quando o valor de ProtectionType não for igual a 1, este campo está em branco. DocumentEncrypted: sinalizador booleano que indica se algum tipo de encriptação é aplicado ao documento. Os valores são Verdadeiro ou Falso.	Todos
ProtectionEventType	Enumera a forma como a proteção foi alterada pela operação que está a ser auditada. Aplicam-se os seguintes valores e significados: 0 - Indica inalterado. 1 - Indica adicionado. 2 - Indica alterado. 3 - Indica que foi removido.	Todos
RecordType	O tipo de operação indicado pelo registro. Esta propriedade indica o serviço ou funcionalidade em que a operação foi acionada. Para obter uma lista de tipos de registo e o respetivo valor ENUM correspondente (que é o valor apresentado na propriedade RecordType num registo de auditoria), veja Tipo de registo de auditoria.
ResultStatus	Indica se a ação (especificada na propriedade Operação ) foi ou não bem-sucedida. Para a atividade de administrador do Exchange, o valor é Verdadeiro (com êxito) ou Falso (com falha).	Todos
SecurityComplianceCenterEventType	Indica que a atividade era uma atividade do portal do Microsoft Purview e do portal de conformidade. Todas as atividades do portal do Microsoft Purview e do portal de conformidade terão um valor de 0 para esta propriedade.	Portal do Microsoft Purview Portal de conformidade do Microsoft Purview
SensitivityLabel	A etiqueta de confidencialidade atribuída a um item de correio específico.	Exchange
SharingType	O tipo de permissões de partilha atribuídas ao utilizador com o qual o recurso foi partilhado. Este utilizador é identificado na propriedade UserSharedWith .	SharePoint
Site	O GUID do site onde o arquivo ou pasta acessado pelo usuário está localizado.	SharePoint
SiteUrl	A URL do site onde o arquivo ou pasta acessado pelo usuário está localizado.	SharePoint
SourceFileExtension	A extensão do arquivo que foi acessado pelo usuário. Esta propriedade fica em branco se o objeto que foi acessado for uma pasta.	SharePoint
SourceFileName	O nome do arquivo ou pasta acessado pelo usuário.	SharePoint
SourceRelativeUrl	O URL da pasta que contém o arquivo acessado pelo usuário. A combinação dos valores da propriedade SiteURL, SourceRelativeURL e SourceFileName é igual ao valor da propriedade ObjectID , que é o nome do caminho completo para o ficheiro acedido pelo utilizador.	SharePoint
Assunto	A linha de assunto da mensagem que foi acessada.	Exchange (atividade de caixa de correio)
TabType	O tipo de separador adicionado, removido ou atualizado numa equipa. Os valores possíveis para esta propriedade são: Afixar no Excel – um separador do Excel. Extensão – todas as aplicações originais e de terceiros; por exemplo, Agendamento de Classes, VSTS e Formulários. Notas - separador OneNote. Pdfpin – um separador PDF. Powerbi – um separador do Power BI. Powerpointpin – um separador do PowerPoint. Sharepointfiles – um separador do SharePoint. Página Web – um separador de site afixado. Wiki-tab - Um separador wiki. Wordpin – um separador do Word.	Microsoft Teams
Target	O utilizador no qual a ação (identificada na propriedade Operação ) foi executada. Por exemplo, se um convidado for adicionado ao SharePoint ou a uma Equipa da Microsoft, esse utilizador será listado nesta propriedade.	Azure Active Directory
TeamGuid	O ID de uma equipa no Microsoft Teams.	Microsoft Teams
TeamName	O nome de uma equipa no Microsoft Teams.	Microsoft Teams
UserAgent	Informações sobre o browser do utilizador. Estas informações são fornecidas pelo browser.	SharePoint
UserDomain	Informações de identidade sobre a organização do inquilino do utilizador (ator) que efetuou a ação.	Azure Active Directory
UserId	O utilizador que efetuou a ação (especificada na propriedade Operação ) que resultou na sessão do registo. Os registos de auditoria da atividade realizada por contas de sistema (como SHAREPOINT\system ou NT AUTHORITY\SYSTEM) também estão incluídos no registo de auditoria. Outro valor comum para a propriedade UserId é app@sharepoint. Isso indica que o "usuário" recebeu permissões no SharePoint para executar ações em toda a organização (como pesquisar em um site do SharePoint ou em uma conta do OneDrive) em nome de um usuário, administrador ou serviço. Para saber mais, confira: O utilizador app@sharepoint nos registos de auditoria ou Contas de sistema nos registos de auditoria da caixa de correio do Exchange.	Todos
UserKey	Contém um ID de Objeto do Azure Active Directory válido no formato GUID ou hexadecima. Para cenários em que o ator principal não é um utilizador, o UserKey é uma cadeia vazia. Veja Cenários UserType e UserKey para obter detalhes sobre vários cenários UserKey .	Todos
UserType	O tipo de usuário que executou a operação. Veja os cenários UserType e UserKey para obter detalhes sobre vários cenários UserType .	Todos
Versão	Indica o número da versão da atividade (identificado pela propriedade Operação ) que está registada.	Todos
Workload	O serviço Do Microsoft 365 onde ocorreu a atividade.	Todos

Cenários UserType e UserKey

A tabela seguinte fornece detalhes para cenários UserType e UserKey :

Valor	Nome do membro UserType	Descrição	UserKey
0	Regular	Um utilizador normal sem permissões de administrador.	ID de Objeto do Microsoft Entra no formato GUID
2	Admin	Um administrador na sua organização do Microsoft 365. 1	ID de Objeto do Microsoft Entra no formato GUID
3	DCAdmin	Uma conta de sistema de datacenter ou administrador de datacenter da Microsoft.	ID de Objeto do Microsoft Entra no formato GUID
4	System	Um evento de auditoria acionado pela lógica do lado do servidor. Por exemplo, serviços do Windows ou processos em segundo plano.	Guid.Empty.ToString() (ou o valor "000000000-0000-0000-0000-0000000000000").
5	Application	Um evento de auditoria acionado por uma aplicação Microsoft Entra.	Nome da Aplicação Microsoft Entra ou ID da Aplicação (quando disponível). Caso contrário, uma cadeia vazia.
6	ServicePrincipal	Uma entidade de serviço.	Guid.Empty.ToString() (ou o valor "000000000-0000-0000-0000-0000000000000").
7	CustomPolicy	Um cliente criou ou geriu uma política.	Guid.Empty.ToString() (ou o valor "000000000-0000-0000-0000-0000000000000").
8	SystemPolicy	Uma política de sistema ou gerida pela Microsoft.	Guid.Empty.ToString() (ou o valor "000000000-0000-0000-0000-0000000000000").
9	PartnerTechnician	O utilizador de um inquilino parceiro a trabalhar em nome do inquilino do cliente (em cenários GDAP ).	Guid.Empty.ToString() (ou o valor "000000000-0000-0000-0000-0000000000000").
10	Guest	Um utilizador convidado ou anónimo.	Guid.Empty.ToString() (ou o valor "000000000-0000-0000-0000-0000000000000").

Observação

¹ Para eventos relacionados com o Microsoft Entra, o valor de um administrador não é utilizado num registo de auditoria. Os registos de auditoria das atividades realizadas pelos administradores indicarão que um utilizador normal (por exemplo, UserType: 0) realizou a atividade. A propriedade UserID identificará a pessoa (utilizador ou administrador normal) que efetuou a atividade.