分析Azure AD安全日志：审计和监控Azure AD活动

Azure AD登录日志为组织提供了强大的见解，了解用户如何访问和使用应用程序和服务。这种日志类型是三种活动日志之一。

IT管理员通过登录日志上记录的信息来确定用户登录模式。此外，此日志显示了在特定时间段登录的用户数量。还显示了登录的状态。

截止到2023年6月，Microsoft发布了一个名为“登录日志（预览）”的预览版本。虽然经典的登录日志记录交互式用户活动，但预览版本还跟踪这一并且还有3种额外类型的登录（非交互式用户，服务主体和托管标识）用于Azure资源登录。

互动登录发生在用户使用用户名和密码或MFA访问Azure AD时。另一方面，非互动登录是指应用程序代表用户登录。

此外，服务主体代表它们进行登录，而托管标识记录了使用在Azure Key Vault中安全存储的密钥的应用程序的登录。

除了“用户”组件外，登录日志记录了用户或应用程序访问Azure资源时的3个基本组件。第一个关键元素是“谁”。

此记录显示了进行登录的身份（用户）。日志还记录了“如何”，指示用于登录的客户端或应用程序。

最后，您还会得到“what，” – 记录了身份访问的目标资源。

因此，每当您监视和审计Azure AD安全活动时，要注意“who”，“how”和“what”记录为“user”，“resource”和“application”或“client app”。