Search-UnifiedAuditLog

EndDate パラメーターには、日付範囲の終了日を指定します。 エントリは、協定世界時 (UTC) の統合監査ログに格納されます。 タイム ゾーンを指定せずに日付/時刻の値を指定した場合、値は UTC になります。

このパラメーターの日付/時刻値を指定するには、次のいずれかのオプションを使用します。

• UTC で日付/時刻の値を指定します。たとえば、 "2018-05-06 14:30:00z"。
• ローカル タイム ゾーンの日付/時刻を UTC に変換する数式として、日付/時刻の値を指定します。たとえば、 (Get-Date "5/6/2018 9:30 AM").ToUniversalTime()。 詳細については、「Get-Date」を参照してください。

このパラメーターの値にタイムスタンプを含めない場合、既定のタイムスタンプは、指定した日付の午前 12 時 (午前 0 時) です。

[書式設定] スイッチを使用すると、通常は整数として返される属性 (RecordType や Operation など) が説明的な文字列として書式設定されます。 このスイッチで値を指定する必要はありません。

さらに、この切り替えにより、AuditData の読みやすくなります。

FreeText パラメーターは、指定したテキスト文字列でログ エントリをフィルター処理します。 値にスペースが含まれている場合は、値を二重引用符 (") で囲んでください。

注: このパラメーターは現在プレビュー段階であり、すべての組織で使用できるわけではありません。変更される可能性があります。

HighCompleteness スイッチは、結果のパフォーマンスの代わりに完全性を指定します。 このスイッチで値を指定する必要はありません。

このスイッチを使用すると、クエリはより完全な検索結果を返しますが、実行に大幅に時間がかかる場合があります。 このスイッチを使用しない場合、クエリの実行速度は速くなりますが、検索結果が見つからない可能性があります。

IPAddresses パラメーターは、指定された IP アドレスによってログ エントリをフィルター処理します。 複数の IP アドレスをコンマで区切って指定します。

{{ Fill LongerRetentionEnabled Description }}

ObjectIds パラメーターは、オブジェクト ID によってログ エントリをフィルター処理します。 オブジェクト ID は、操作対象のターゲット オブジェクトであり、イベントの RecordType 値と Operations 値に依存します。

たとえば、SharePoint 操作の場合、オブジェクト ID はファイル、フォルダー、またはサイトへの URL パスです。 サイト内のログを検索するには、サイト URL の前にワイルドカード (*) を追加します (たとえば、 "https://contoso.sharepoint.com/sites/test/*")。

Microsoft Entra操作の場合、オブジェクト ID はアカウントのアカウント名または GUID 値です。

ObjectId 値は、イベントの AuditData (Details とも呼ばれます) プロパティに表示されます。

Update 値にスペースを含める、または引用符を必要とする場合は、次の構文を使用します: "Value1","Value2",..."ValueN"。

Operations パラメーターは、操作によってログ エントリをフィルター処理します。 このパラメーターで使用できる値は、RecordType 値によって異なります。 このパラメーターで使用可能な値の一覧については、「 監査されたアクティビティ」を参照してください。

Update 値にスペースを含める、または引用符を必要とする場合は、次の構文を使用します: "Value1","Value2",..."ValueN"。

RecordType パラメーターは、レコードの種類によってログ エントリをフィルター処理します。 使用可能な値の詳細については、「 AuditLogRecordType」を参照してください。

ResultSize パラメーターは、返される結果の最大数を指定します。 既定値は 100、最大値は 5,000 です。

SessionCommand パラメーターは、返される情報の量と編成方法を指定します。 このパラメーターは、100 件の結果の既定の制限を超える値を取得する場合に必要です。 有効な値は次のとおりです。

• ReturnLargeSet: この値により、コマンドレットは並べ替えられていないデータを返します。 ページングを使用すると、最大 50,000 件の結果にアクセスできます。 これは、順序付けされた結果が不要で、検索待ち時間用に最適化されている場合に推奨される値です。
• ReturnNextPreviewPage: この値により、コマンドレットは日付で並べ替えられたデータを返します。 ページングまたは ResultSize パラメーターを使用して返されるレコードの最大数は 5,000 レコードです。

注: 常に、指定された SessionId 値に同じ SessionCommand 値を使用します。 同じセッション ID に対して ReturnLargeSet と ReturnNextPreviewPage を切り替えないでください。 それ以外の場合、出力は 10,000 件の結果に制限されます。

SessionId パラメーターは、ページングされたデータを返すために複数回実行されるコマンド (コマンドレットとそのパラメーター) を識別するために、文字列の形式で指定する ID を指定します。 SessionId には、任意の文字列値を選択できます。

コマンドレットを同じセッション ID で順番に実行すると、コマンドレットは ResultSize で指定されたサイズのシーケンシャル ブロック内のデータを返します。

特定のセッション ID について、SessionCommand 値 ReturnLargeSet を使用し、SessionCommand 値 ReturnNextPreviewPage を使用する場合、結果は 10,000 レコードに制限されます。 すべての 50,000 レコードを使用できるようにするには、同じセッション ID に対してコマンドレットを実行するたびに ReturnLargeSet 値を常に使用します。

SiteIds パラメーターは、SharePoint SiteId (GUID) によってログ エントリをフィルター処理します。 複数の値をコンマで区切って入力できます: Value1, Value2,...ValueN。

SharePoint サイトの SiteId を取得するには、指定するサイト コレクションの URL に /_api/site/id を追加します。 たとえば、URL https://contoso.sharepoint.com/sites/hr-project を https://contoso.sharepoint.com/sites/hr-project/_api/site/id に変更します。 XML ペイロードが返され、サイト コレクションの SiteId が Edm.Guid プロパティに表示されます。例: <d:Id xmlns:d="http://schemas.microsoft.com/ado/2007/08/dataservices" xmlns:m="http://schemas.microsoft.com/ado/2007/08/dataservices/metadata" xmlns:georss="http://www.georss.org/georss" xmlns:gml="http://www.opengis.net/gml" m:type="Edm.Guid">14ab81b6-f23d-476a-8cac-ad5dbd2910f7</d:Id>。

StartDate パラメーターは、日付範囲の開始日を指定します。 エントリは、協定世界時 (UTC) の統合監査ログに格納されます。 タイム ゾーンを指定せずに日付/時刻の値を指定した場合、値は UTC になります。

このパラメーターの日付/時刻値を指定するには、次のいずれかのオプションを使用します。

• UTC で日付/時刻の値を指定します。たとえば、 "2018-05-06 14:30:00z"。
• ローカル タイム ゾーンの日付/時刻を UTC に変換する数式として、日付/時刻の値を指定します。たとえば、 (Get-Date "5/6/2018 9:30 AM").ToUniversalTime()。 詳細については、「Get-Date」を参照してください。

このパラメーターの値にタイムスタンプを含めない場合、既定のタイムスタンプは、指定した日付の午前 12 時 (午前 0 時) です。

UserIds パラメーターは、アクションを実行したユーザーのアカウント (UserPrincipalName) によってログ エントリをフィルター処理します。 たとえば、「 laura@contoso.onmicrosoft.com 」のように入力します。

Update 値にスペースを含める、または引用符を必要とする場合は、次の構文を使用します: "Value1","Value2",..."ValueN"。