Gestire i criteri di conservazione dei log di controllo

È possibile creare e gestire i criteri di conservazione dei log di controllo nel portale di Microsoft Purview o nel Portale di conformità di Microsoft Purview. I criteri di conservazione dei log di audit fanno parte delle nuove funzionalità di Microsoft Purview Audit (Premium). Un criterio di conservazione dei log di controllo consente di specificare quanto a lungo conservare i log di controllo nell'organizzazione. È possibile conservare i log di controllo per un massimo di 10 anni. È possibile creare criteri in base ai criteri seguenti:

• Tutte le attività in uno o più servizi di Microsoft 365
• Attività specifiche (in un servizio Microsoft 365 specifico) eseguite da tutti gli utenti o da utenti specifici
• Un livello di priorità che specifica quale criterio ha la precedenza se sono presenti più criteri nell'organizzazione

Criterio di conservazione dei log di controllo predefinito

Audit (Premium) in Microsoft Purview fornisce un criterio di conservazione del log di controllo predefinito per tutte le organizzazioni. Questo criterio non può essere modificato e conserva tutti i record di controllo Exchange Online, SharePoint Online, OneDrive for Business e Microsoft Entra per un anno. Questo criterio predefinito mantiene i record di controllo che contengono il valore di AzureActiveDirectory, Exchange, OneDrive e SharePoint per la proprietà Workload ,ovvero il servizio in cui si è verificata l'attività. Carichi di lavoro e tipi di record specifici possono essere modificati in una durata diversa usando criteri di conservazione. Vedere la sezione Tipi di record dei criteri di conservazione predefiniti in questo articolo per un elenco dei tipi di record per ogni carico di lavoro incluso nei criteri predefiniti.

Prima di creare un criterio di conservazione dei log di controllo

• È necessario assegnare il ruolo Configurazione organizzazione nel portale di Microsoft Purview o nel portale di conformità per creare o modificare un criterio di conservazione del controllo.

• Un'organizzazione può avere un massimo di 50 criteri di conservazione dei log di controllo.

• Per mantenere un log di controllo per più di 180 giorni (e fino a 1 anno), all'utente che genera il log di controllo (eseguendo un'attività verificata) deve essere assegnata una licenza di Office 365 E5 o Microsoft 365 E5 o avere una licenza del componente aggiuntivo eDiscovery e Audit Microsoft 365 E5 Compliance o E5. Per conservare i log di controllo per 10 anni, all'utente che genera il log di controllo deve anche essere assegnata una licenza per il componente aggiuntivo di conservazione dei log di controllo di 10 anni oltre a una licenza E5.

  Nota

  Se l'utente che genera il log di controllo non soddisfa questi requisiti di licenza, i dati vengono conservati in base ai criteri di conservazione con priorità più alta. Questo può essere il criterio di conservazione predefinito per la licenza dell'utente o il criterio con priorità più alta corrispondente all'utente e al relativo tipo di record.

• Tutti i criteri di conservazione dei log di controllo personalizzati (creati dall'organizzazione) hanno priorità rispetto al criterio di conservazione predefinito. Se ad esempio si crea un criterio di conservazione dei log di controllo per l'attività delle cassette postali di Exchange con un periodo di conservazione più breve di un anno, i record di controllo delle attività delle cassette postali di Exchange verranno conservati per la durata più breve specificata dal criterio personalizzato.

• La durata dell'elemento di controllo per i dati viene determinata quando viene aggiunta alla pipeline di controllo e si basa sulle impostazioni predefinite delle licenze o sui criteri di conservazione applicabili. Eventuali modifiche alle licenze o ai criteri di conservazione applicabili modificano l'ora di scadenza dei dati di controllo dopo l'aggiornamento. Queste modifiche non aggiornano gli elementi di cui è stato eseguito il commit in precedenza.

Creare un criterio di conservazione dei log di controllo

Selezionare la scheda appropriata per il portale in uso. Per altre informazioni sul portale di Microsoft Purview, vedere Portale di Microsoft Purview. Per altre informazioni sul portale di conformità, vedere Portale di conformità di Microsoft Purview.

Gestire i criteri di conservazione dei log di audit nel portale di conformità

I criteri di conservazione dei log di controllo sono elencati nella scheda Criteri di conservazione dei log di controllo, denominata anche dashboard. È possibile usare il dashboard per visualizzare, modificare ed eliminare i criteri di conservazione dei log di controllo.

Visualizzazione dei criteri nel dashboard

I criteri di conservazione dei log di controllo sono elencati nel dashboard. Uno dei vantaggi della visualizzazione dei criteri nel dashboard è che è possibile selezionare la colonna Priorità per elencare i criteri in base alla priorità con cui vengono applicati. Come spiegato in precedenza, un valore più basso indica una priorità più elevata.

È anche possibile selezionare un criterio per visualizzarne le impostazioni nel riquadro a comparsa.

Modifica dei criteri nel dashboard

Per modificare un criterio, selezionarlo in modo da visualizzare il riquadro a comparsa. È possibile modificare una o più impostazioni poi salvare le modifiche.

Eliminare i criteri nel dashboard

Per eliminare un criterio, selezionare l'icona Elimina e quindi confermare che si vuole eliminare il criterio. I criteri vengono rimossi dal dashboard, ma potrebbero essere necessari fino a 30 minuti prima che il criterio venga rimosso dall'organizzazione.

Creare e gestire i criteri di conservazione del log di controllo in PowerShell

Per creare e gestire i criteri di conservazione dei log di controllo è possibile anche usare PowerShell per Sicurezza e conformità. Uno dei motivi per cui usare PowerShell è la possibilità di creare un criterio per un tipo di record o un'attività non disponibile nell'interfaccia utente.

Creare un criterio di conservazione dei log di controllo in PowerShell

Seguire questa procedura per creare criteri di conservazione del log di controllo in PowerShell:

1. Connettersi a PowerShell per Sicurezza e conformità.

2. Eseguire il comando seguente per creare un criterio di conservazione dei log di audit:

   New-UnifiedAuditLogRetentionPolicy -Name "Microsoft Teams Audit Policy" -Description "One year retention policy for all Microsoft Teams activities" -RecordTypes MicrosoftTeams -RetentionDuration TenYears -Priority 100
   

   In questo esempio viene creato un criterio di conservazione dei log di controllo denominato "Microsoft Teams Audit Policy" con queste impostazioni:

   • Una descrizione del criterio.
   • Conserva tutte le attività di Microsoft Teams (come definito dal parametro RecordType).
   • Conserva i log di controllo di Microsoft Teams per 10 anni.
   • Una priorità di 100.

Ecco un altro esempio relativo alla creazione di un criterio di conservazione dei log di controllo. Questo criterio mantiene i log di controllo per l'attività "Utente connesso" per sei mesi per l'utente admin@contoso.onmicrosoft.com.

New-UnifiedAuditLogRetentionPolicy -Name "SixMonth retention for admin logons" -RecordTypes AzureActiveDirectoryStsLogon -Operations UserLoggedIn -UserIds admin@contoso.onmicrosoft.com -RetentionDuration SixMonths -Priority 25

Per altre informazioni, vedere New-UnifiedAuditLogRetentionPolicy.

Visualizzazione dei criteri in PowerShell

Usare il cmdlet Get-UnifiedAuditLogRetentionPolicy in PowerShell per Sicurezza e conformità per visualizzare i criteri di conservazione dei log di controllo.

Ecco un comando di esempio per visualizzare le impostazioni di tutti i criteri di conservazione dei log di controllo nell'organizzazione. Questo comando ordina i criteri dalla priorità più alta a quella più bassa.

Get-UnifiedAuditLogRetentionPolicy | Sort-Object -Property Priority -Descending | FL Priority,Name,Description,RecordTypes,Operations,UserIds,RetentionDuration

Modificare i criteri in PowerShell

Usare il cmdlet Set-UnifiedAuditLogRetentionPolicy in PowerShell per Sicurezza e conformità per modificare un criterio di conservazione dei log di controllo esistente.

Eliminare criteri in PowerShell

Usare il cmdlet Remove-UnifiedAuditLogRetentionPolicy in PowerShell per Sicurezza e conformità per eliminare un criterio di conservazione dei log di controllo. La rimozione dei criteri dall'organizzazione può richiedere fino a 30 minuti.

Tipi di record dei criteri di conservazione predefiniti

Per impostazione predefinita, i record di controllo per le operazioni in Microsoft Entra ID, Exchange Online, SharePoint Online e OneDrive for Business vengono conservati per un anno. Nella tabelle seguenti sono elencati tutti i tipi di record, per ognuno di questi servizi, inclusi nel criterio di conservazione dei log di controllo predefinito. Ciò significa che i log di controllo per qualsiasi operazione con questo tipo di record vengono conservati per un anno, a meno che non abbia la precedenza un criterio di conservazione dei log di controllo personalizzato per un tipo di record, un'operazione o un utente specifico. Il valore Enum per ogni tipo di record, che viene visualizzato come valore per la proprietà RecordType in un record di controllo, compare tra parentesi.

Ciò significa che i log di controllo per qualsiasi operazione con questo tipo di record vengono conservati per un anno, a meno che non abbia la precedenza un criterio di conservazione dei log di controllo personalizzato per un tipo di record, un'operazione o un utente specifico. Il valore Enum (visualizzato come valore per la proprietà RecordType in un record di controllo) per ogni tipo di record viene visualizzato tra parentesi.