Microsoft Purview 稽核 (Standard) 和稽核 (進階版) 可讓您搜尋使用者和系統管理員在不同Microsoft服務中執行之活動的稽核記錄。 由於大部分 Microsoft 365 組織預設會啟用稽核 (Standard) ，因此您只需要完成幾個步驟，您和其他組織人員即可搜尋稽核記錄。 若要使用僅在 Audit (Premium) 提供的功能，您需要完成幾個以上設定步驟。
如需稽核 (Standard) 和稽核 (進階版) 功能的詳細資訊，請參閱 Microsoft Purview 稽核解決方案。
步驟 1：驗證組織訂閱和帳單
稽核 (Standard) 和稽核 (進階版) 授權需要提供稽核記錄搜尋工具存取權的適當組織訂閱，以及記錄和保留稽核記錄所需的每一使用者授權。
當使用者或管理員執行已稽核的活動時，系統會產生稽核記錄，並將其儲存在組織的稽核記錄中。 在 [稽核 (Standard) ] 和 [稽核 (進階版) ] 中，您可以在稽核記錄檔中保留和搜尋稽核記錄 180 天。
重要事項
稽核 (Standard) 的預設保留期間已從 90 天變更為 180 天。 在 2023 年 10 月 17 日之前產生的稽核 (Standard) 記錄會保留 90 天。 在 2023 年 10 月 17 日或之後產生的稽核 (Standard) 記錄會遵循 180 天的新預設保留。
如需這些稽核解決方案的訂閱和授權需求清單，請參閱稽核 (Standard) 和稽核 (進階版) 的訂閱需求。
若要稽核使用者與非 Microsoft 365 AI 資料的互動，包括來自 Microsoft 其他生成式 AI 應用程式和連線的外部 AI 應用程式的資訊，您必須為組織啟用隨 用隨 付計費。 此資料類型包括 Microsoft Fabric 中的 Copilot、Microsoft Security Copilot、Microsoft Copilot Studio，以及任何已連線或雲端 AI 應用程式。
步驟 2：指派搜尋稽核記錄的權限
系統管理員和調查小組成員必須在 Microsoft Purview 入口網站中獲派僅 供檢視稽核記錄 或稽 核記錄 角色，才能搜尋或匯出稽核記錄。 根據預設，Microsoft Purview 入口網站 的角色群組 頁面會將這些角色指派給 稽核讀取者 和 稽核管理員 角色群組。
注意事項
目前，需要 Exchange 系統管理中心權限才能啟用或停用稽核及存取稽核 Cmdlet。 在 Exchange 系統管理中心使用現有的 稽核記錄 和僅 供檢視稽核記錄 角色，授與稽核 Cmdlet 的存取權。 使用 Exchange 系統管理中心的現有 稽核記錄 角色授與啟用或停用稽核的存取權。
您也可以透過將 僅供檢視稽核記錄 或 稽核記錄 角色新增至自訂角色群組，以建立能夠搜尋稽核記錄的自訂角色群組。 如需詳細資訊，請參閱 Microsoft Purview 入口網站中的權限。
注意事項
存取稽核搜尋圖形 API 需要在 Microsoft Graph 中設定其他權限。 如需詳細資訊，請參閱 稽核搜尋圖形 API 中的權限。
指派權限以設定稽核記錄的範圍
若要搜尋或匯出稽核記錄，系統管理員或調查小組成員必須在 Microsoft Purview 入口網站中至少指派到下列其中一個稽核相關角色群組：
- 稽核管理員：指派給稽核 管理員角色群組 的使用者可以搜尋和匯出稽核記錄，以及管理租用戶的稽核設定 (例如啟用或停用稽核記錄) 。 此角色群組會將 僅供檢視稽核記錄 和 稽核記錄 角色授與使用者。
- 稽核讀取者：指派給 稽核讀取者 角色群組的使用者只能搜尋和匯出稽核記錄。 他們無法啟用或停用稽核記錄。 此角色群組會將 僅供檢視稽核記錄 角色授與使用者。
步驟 3：啟用/停用 SearchQueryInitiatedExchange/SearchQueryInitiatedSharePoint 事件
當使用者在 Exchange Online 中執行搜尋時，必須明確啟用 SearchQueryInitiatedExchange 以進行記錄。
當使用者在 SharePoint 中執行搜尋時，SearchQueryInitiatedSharePoint 預設會啟用記錄。
若要為使用者啟用稽核 Exchange Online 和 SharePoint 事件，請在 PowerShell 中針對每個使用者) 執行下列 Cmdlet (Exchange Online：
Set-Mailbox <user> -AuditOwner @{Add="SearchQueryInitiated"} // For Exchange Online
Set-Mailbox <user> -AuditOwner @{Add="SharepointSearchQueryInitiated"} // For SharePoint. Enabled by default.
在多地理位置環境中，您必須在使用者信箱所在的樹系中執行 Set-Mailbox 命令。 若要識別使用者的信箱位置，請執行下列 Cmdlet：
Get-Mailbox <user identity> | FL MailboxLocations
如果您先前執行 Cmdlet 來啟用與使用者信箱所在樹系不同的樹系中搜尋查詢稽核，請從使用者的信箱移除 SearchQueryInitiated/SharepointSearchQueryInitiated 值。 若要移除該值，請執行 Set-Mailbox -AuditOwner @{Remove="SearchQueryInitiated"} for Exchange Online and Set-Mailbox -AuditOwner @{Remove="SharepointSearchQueryInitiated"}。 接著，將其新增至使用者信箱所在樹系中的使用者信箱。
注意事項
這些 PowerShell Cmdlet 僅對 SearchQueryInitiated 和 SharepointSearchQueryInitiated 事件有效，不適用於稽核記錄檔中的其他事件。
步驟 4：為使用者設定稽核 (進階版)
提示
使用稽核 (Standard) 的組織可以略過此步驟。
稽核 (Premium) 功能，例如記錄智慧型深入解析的能力，需要指派給使用者的適當 E5 授權。 此外，您必須為這些使用者啟用進階稽核應用程式/服務方案。
若要為使用者啟用「進階稽核」服務方案，請為每個使用者完成下列步驟：
- 在 Microsoft 365 系統管理中心，移至 [使用者>作用中使用者]，然後選取使用者。
- 在 [使用者屬性] 飛出視窗頁面上，選取 [授權和應用程式]。
- 在 [授權] 區段中，確認使用者已獲指派 E5 授權或獲指派適當的附加元件授權。 如需支援稽核 (進階版) 授權清單，請參閱 稽核授權需求。
- 展開 [應用程式 ] 區段，然後選取 [Microsoft 365 進階稽核] 核取方塊。
- 選取 [儲存變更]。 Audit (Premium) Insights 的記錄會在 24 小時內開始。
如果您自訂登入使用者信箱或共用信箱的信箱動作，Microsoft 發行的新稽核 (進階版) 事件不會自動稽核這些信箱。 如需為每個登入類型變更稽核的信箱動作的相關資訊，請參閱 管理信箱稽核 中的「變更或還原預設記錄的信箱動作] 一節」。
步驟 5：在 Audit (Premium) 中設定稽核保留原則
提示
使用稽核 (Standard) 的組織可以略過此步驟。
除了預設原則會保留 Microsoft Entra ID、Exchange、OneDrive 和 SharePoint 稽核記錄一年之外，使用稽核 (進階版) 的組織可以建立稽核記錄保留原則，以符合貴組織的安全性作業、IT 與合規性小組的需求。
如需詳細資訊，請參閱管理稽核記錄保留原則。
步驟 6：搜尋已稽核的事件
現在您已為組織設定稽核 (Standard) 或稽核 (進階版) ，您已準備好在 Microsoft Purview 入口網站中搜尋稽核記錄檔。 如需詳細指南，請參閱 搜尋稽核記錄。
後續步驟
- 搜尋稽核記錄： 執行您的第一個稽核記錄 在已設定稽核之後搜尋。
- 管理稽核記錄保留原則：建立自訂保留原則，讓稽核記錄保留的時間超過預設期間。
- 匯出、設定及檢視稽核記錄檔記錄： 將搜尋結果匯出至 CSV 以進行離線分析。