审核日志、诊断和活动历史记录

项目
08/23/2023

本教程列出了通过 Azure 事件中心在 Microsoft Purview 治理门户中为应用程序启用和捕获审核和诊断日志所需的分步配置。

Microsoft Purview 管理员或 Microsoft Purview 数据源管理员需要能够监视从 Microsoft Purview 治理门户中的应用程序捕获的审核和诊断日志。审核和诊断信息包括每个用户对 Microsoft Purview 帐户执行的操作和更改的时间戳历史记录。捕获的活动历史记录包括 Microsoft Purview 治理门户中和门户外部的操作。门户外部的操作包括调用 Microsoft Purview REST API 以执行写入操作。

本教程将指导你完成启用审核日志记录的步骤。它还介绍如何通过Azure 诊断事件中心从 Microsoft Purview 治理门户配置和捕获流式处理审核事件。

审核事件类别

表中列出了当前可用于捕获和分析的 Microsoft Purview 治理门户审核事件的一些重要类别。

将添加更多类型和类别的活动审核事件。

类别	活动	操作
管理	集合	创建
管理	集合	更新
管理	集合	删除
管理	角色分配	创建
管理	角色分配	更新
管理	角色分配	删除
管理	扫描规则集	创建
管理	扫描规则集	更新
管理	扫描规则集	删除
管理	分类规则	创建
管理	分类规则	更新
管理	分类规则	删除
管理	扫描	创建
管理	扫描	更新
管理	扫描	删除
管理	扫描	运行
管理	扫描	取消
管理	扫描	创建
管理	扫描	计划
管理	数据源	注册
管理	数据源	更新
管理	数据源	删除

启用审核和诊断

以下部分将指导你完成启用审核和诊断的过程。

配置事件中心

使用 Azure 资源管理器 (ARM) 模板 (GitHub) 创建Azure 事件中心命名空间。此自动 Azure ARM 模板将使用所需的配置部署并完成事件中心实例的创建。

有关分步说明和手动设置：

将 Microsoft Purview 帐户连接到诊断事件中心

部署并创建事件中心后，请将 Microsoft Purview 帐户诊断审核日志记录连接到事件中心。

转到 Microsoft Purview 帐户主页。此页面是概述信息显示在Azure 门户的位置。它不是 Microsoft Purview 治理门户主页。
在左侧菜单上，选择“ 监视>诊断设置”。
选择“添加诊断设置”或“编辑设置”。不建议在 Microsoft Purview 的上下文中添加多个诊断设置行。换句话说，如果已有诊断设置行，请不要选择 “添加诊断”。改为选择 “编辑 ”。
选中“ 审核 ”和“ allLogs ”复选框以启用审核日志的收集。（可选）如果还想要捕获帐户的数据映射容量单位和数据映射大小指标，请选择 “AllMetrics ”。

Microsoft Purview 帐户上的诊断配置已完成。

完成诊断审核日志记录配置后，请为事件中心配置数据捕获和数据保留设置。

转到Azure 门户主页，并搜索前面创建的事件中心命名空间的名称。
转到事件中心命名空间。选择“ 事件中心>捕获数据”。
提供事件中心命名空间的名称，以及要在其中捕获和流式传输审核和诊断的事件中心的名称。修改流式处理事件的保留期的 “时间窗口 ”和“ 大小窗口 ”值。选择“保存”。
（可选）在左侧菜单中，转到 “属性” ，并将 “消息保留期 ”更改为 1 到 7 天之间的任意值。保留期值取决于计划作业的频率或已创建的脚本，以便持续侦听和捕获流式处理事件。如果每周计划一次捕获，请将滑块移动到七天。
在此阶段，事件中心配置已完成。 Microsoft Purview 治理门户将开始将其所有审核历史记录和诊断数据流式传输到此事件中心。现在可以继续读取、提取并进一步对捕获的诊断和审核事件执行分析和操作。