Comment obtenir des rapports Azure AD à l'aide de PowerShell ?
Les journaux d'audit Azure Active Directory (opérations) et les journaux d'ouverture de session (données d'authentification) vous aident à retracer toutes les modifications et toute activité de connexion effectuées dans Azure AD. Vous pouvez récupérer les mêmes données en utilisant les commandes cmdlets Azure AD PowerShell pour la création de rapports. Vous pouvez également utiliser une solution d'audit AD complète comme ADAudit Plus pour vous simplifier la tâche.
Cet article compare la méthode d'obtention des journaux d'audit et de connexion Azure AD à l'aide de Windows PowerShell et d'ADAudit Plus.
Windows PowerShell
Étapes à suivre pour surveiller les journaux d'audit et de connexion Azure AD à l'aide de PowerShell :
- Pour récupérer les journaux d'audit dans Azure AD, nous pouvons utiliser la commande cmdlet Get-AzureADAuditDirectoryLogs.
- Les journaux d'audit peuvent être récupérés en fonction de paramètres tels que les dates, les utilisateurs, les applications ou les journaux contenant une ressource particulière.
PS C:\>Get-AzureADAuditDirectoryLogs -Filter "activityDateTime gt 2020-04-15"
PS C:\>Get-AzureADAuditDirectoryLogs -Filter "initiatedBy/user/displayName eq 'John Doe'"
PS C:\>Get-AzureADAuditDirectoryLogs -Filter "initiatedBy/app/displayName eq 'Office 365'"
PS C:\>Get-AzureADAuditDirectoryLogs -Filter "targetResources/any(tr:tr/displayName eq 'Active Directory Example')"
- Pour obtenir des rapports sur les journaux d'ouverture de session dans Azure AD, la commande cmdlet Get-AzureADAuditSignInLogs est utilisée.
- Des paramètres similaires tels que la date, l'utilisateur, l'emplacement et le journal avec un statut donné peuvent être récupérés.
PS C:\>Get-AzureADAuditSignInLogs -Filter "createdDateTime gt 2020-04-215"
PS C:\>Get-AzureADAuditSignInLogs -Filter "userDisplayName eq 'John Doe'"
PS C:\>Get-AzureADAuditSignInLogs -Filter "appDisplayName eq 'Office 365'"
PS C:\>Get-AzureADAuditSignInLogs -Filter "location/city eq 'Pleasanton' and location/state eq 'California' and location/countryOrRegion eq 'US'"
PS C:\>Get-AzureADAuditSignInLogs -Filter "status/errorCode eq 0 -All $true"
ADAudit Plus
Pour obtenir le rapport,
- Connectez-vous à la console web ADAudit Plus.
- Allez dans l’onglet Rapports > Azure AD > Rapports sur les connexions des utilisateurs.
- Sous Rapports sur les connexions des utilisateurs, vous trouverez les rapports mentionnés ci-dessous :
- Activité de connexions
- Échecs d'ouverture de session
- Échecs de connexion dus à un mauvais mot de passe
- Activité de connexion par adresse IP
- Activité de connexion hybride
- Activité de connexion par application. Chacun de ces rapports peut être filtré selon vos besoins.
- Sélectionnez le domaine.
- Sélectionnez Exporter en tant que pour exporter le rapport dans l'un des formats préférés (CSV, PDF, HTML, CSVDE et XLSX).
Capture d’écran :
Voici les limites de l'utilisation de Windows PowerShell pour générer les journaux d'audit et de connexion d'Azure AD :
- Nous ne pouvons exécuter le script ci-dessus qu'à partir des ordinateurs qui ont le rôle de services de domaine Active Directory.
- Pour changer les formats de date et appliquer différents fuseaux horaires aux résultats de la date, le script doit être modifié ou créé à chaque fois.
- Il est difficile d'exporter le rapport dans d'autres formats.
- L'application de filtres supplémentaires, tels que « Pendant les heures de bureau », « Période » et « Exporter en tant que » augmente la complexité de la requête LDAP.
ADAudit Plus, quant à lui, génère rapidement des rapports en analysant tous les DC et ces rapports peuvent être exportés dans différents formats.
Ressources connexes:
Connexion-déconnexion
- Comment obtenir l'utilisateur actuellement connecté sur PowerShell
- Comment savoir sur quel ordinateur un utilisateur est connecté ?
- Comment voir à distance quels utilisateurs sont connectés à Windows ?
- Comment obtenir l'utilisateur connecté actuel
- Comment obtenir l'historique des connexions d'un utilisateur à l'aide de PowerShell
- Obtenir les identifiants du serveur Terminal
- Obtenir un rapport d'audit sur les activités de connexion et de déconnexion d'un compte d'utilisateur AD
- Comment obtenir les échecs des tentatives de connexion en utilisant powershell
- Get-rdusersession
- Comment obtenir le dernier utilisateur connecté sur un ordinateur distant à l'aide de Powershell ?
- Comment trouver l'ordinateur sur lequel un utilisateur s'est connecté à l'aide de powershell ?
- Comment obtenir la dernière connexion d'un utilisateur à l'aide de Powershell ?
- Comment déployer des services de bureau à distance à l'aide de Powershell ?
Blocage des comptes
- Afficher l'historique du verrouillage des comptes d'utilisateurs Active Directory
- Comment trouver des comptes d'utilisateurs verrouillés
- Comment trouver la source du blocage de compte
- Recherche de comptes verrouillés dans Active Directory
- Comment trouver la raison du blocage d'un compte à l'aide de Powershell ?
Journaux d'événements Windows
- Comment vérifier les journaux d'événements de Windows
- Comment auditer les journaux de sécurité à l'aide de powershell
- Get-winevent
- Script Powershell pour la sécurité
- Comment obtenir les journaux d'événements de sécurité sans powershell ?
- Comment surveiller le journal des événements à l'aide de powershell
Audit des serveurs de fichiers
- Comment surveiller les nouveaux fichiers dans un dossier ?
- Comment surveiller les modifications d'un dossier à l'aide de powershell
- Comment vérifier les permissions d'un dossier à l'aide de powershell
- Powershell Filesystemwatcher - Suivi des modifications de fichiers et de dossiers
- NTFSSecurity module powershell
- Get-fileintegrity
- Get-FileShare
- Comment auditer un cluster de basculement à l'aide de powershell
- How to get file creation date using powershell
- Comment obtenir le dernier fichier modifié dans un répertoire en utilisant powershell
- Script Powershell pour trouver des fichiers par propriétaire
Audit de l'Active Directory
- Comment savoir qui a créé un compte AD à l'aide de Powershell ?
- Comment auditer Active Directory à l'aide de powershell
- Obtenir des rapports sur Active Directory à l'aide de Powershell
- Comment savoir qui a supprimé un objet AD à l'aide de Powershell ?
- Comment obtenir un compte privilégié en utilisant powershell
- Obtenir des rapports sur les GPO sans powershell
- Comment auditer le mot de passe LAPS à l'aide de powershell ?
- Comment obtenir les propriétés d'adfs en utilisant powershell -ADAudit Plus
- Comment obtenir les diagnostics d'un serveur DNS à l'aide de Powershell ?
- Comment obtenir les liens vers les GPO à l'aide de Powershell
- Comment auditer les changements de l'Active Directory en utilisant powershel
- Comment surveiller un processus en temps réel à l'aide de powershell
Azure AD
Audit du serveur
Démarrage et arrêt des ordinateurs