访问 Windows 365 Cloud PC 审核日志的 2 种最佳方法

在本文中，我将向您展示如何访问 Windows 365 Cloud PC 审核日志。您可以使用 PowerShell 和 Graph API 来获取 Windows 365 审核日志。 Windows 365 的审核日志会跟踪云 PC 因操作而发生的更改。

对于管理云电脑的 Intune 管理员来说，当您想要审核云电脑上的某些事件时，Windows 365 审核日志非常有用。当您想要解决 Cloud PC 问题时，审核日志也很有用。

创建、更新（编辑）、删除、分配和远程操作都会创建审核事件，管理员可以对通过 Graph 的大多数 Cloud PC 操作进行审核。默认情况下，所有使用云PC的客户都会启用审核。它无法被禁用。

无论设备是云 PC 还是通过 Intune 管理的 Windows 设备，审核日志都将包含为设备启动的每个操作的日志。当您配置云PC或重新配置云PC时，可以使用审核报告。

推荐文章：解决 Windows 365 云 PC 设置问题

访问云PC审计日志的方法

如果您想要访问云电脑的审核日志，可以使用两种方法：

• 方法 1：从 Intune 门户访问 Cloud PC 的审核日志。
• 方法 2：使用 Graph API 和 PowerShell 检索 Windows 365 审核事件。

访问 Windows 365 审核日志的最简单方法是通过 Intune 门户。要使用PowerShell和Graph API方法获取Cloud PC审核数据，您需要安装Microsoft Graph SDK。我将介绍两种检索 Windows 365 审核事件的方法。

实用文章：如何通过多种方式访问云电脑

谁可以访问 Cloud PC 审核数据？

为了访问 Cloud PC 审核日志，用户需要以下权限：

• 全局管理员。
• Intune 服务管理员。
• 分配给具有审核数据 - 读取权限的 Intune 角色的管理员。

注意：如果您无权登录或访问 Azure 门户的部分内容，请联系您的 IT 管理员。只有当您拥有适当的权限时，您才能检索 Windows 365 审核日志。

推荐：在 Windows 365 中为用户启用 Cloud PC 本地管理员访问权限

哪里可以找到云PC审核日志？

Cloud PC 审核日志位于 Intune 门户中，您可以通过以下步骤访问日志：

• 登录 Microsoft Intune 门户。
• 导航至租户管理 > 审核日志。
• 在这里您可以找到与云电脑相关的所有审核日志。

Cloud PC 审核日志中提供了哪些详细信息

在 Intune 门户中，当您访问 Cloud PC 审核日志时，您会看到多个列。 Cloud PC 审核日志包含以下详细信息：

1. 日期：活动的日期和时间。
2. 发起人：发起操作的用户帐户。发起该操作的可以是管理员或应用程序。发起者（参与者）揭示了是谁在 Cloud PC 上发起了操作。
3. 应用程序名称：应用程序的名称，例如 Microsoft Intune Portal 扩展。
4. 活动：活动详细信息显示在 Cloud PC 上执行的操作。例如，如果您启动了 Cloud PC 同步操作，则会记录活动“syncDevice ManagedDevice”。
5. 目标：目标通常是触发活动的组件。例如，windowsDefenderScan ManagedDevice 活动与目标WindowsDefenderScan 相关。
6. 类别详细信息：这包括审核日志所属的类别。类别的示例包括设备、设备配置、软件更新等。
7. 状态：状态列显示活动的状态，可以是“成功”或“失败”。

当您审核云电脑的日志时，您可以选择在 Intune 门户中选择列。在审核日志部分，选择列，您可以在此处选择要在查看日志时包含或排除的列。

另请阅读：如何在 Intune 中恢复 Windows 365 Cloud PC

如何使用 PowerShell 和 Graph API 访问 Windows 365 审核日志

使用 PowerShell 和 Graph API，您可以访问 Windows 365 审核日志。在检索云电脑的审核日志之前，您必须执行一系列步骤。我将在我的 Configuration Manager 服务器上运行以下 PowerShell 命令。就您而言，它可能是您用于工作的笔记本电脑。

1.安装Microsoft Graph PowerShell SDK

使用 Install-Module cmdlet 是 Microsoft Graph PowerShell 模块的首选安装方法。启动 PowerShell 并运行以下命令来安装 Microsoft Graph 模块。

Install-Module Microsoft.Graph -Scope CurrentUser

运行以下命令验证 Microsoft Graph 模块是否安装成功。运行以下命令后，输出应包含 Graph API 版本，在本例中为 1.15.0。

Get-InstalledModule Microsoft.Graph

安装 Microsoft Graph API 模块后，您可以运行以下 PowerShell 命令来获取所有 Cloud PC Graph 端点。

Get-Command -Module Microsoft.Graph* *virtualEndpoint*

2. 连接到 Microsoft Graph 并登录

安装 Graph PowerShell SDK 后，我们将使用 Microsoft Graph PowerShell SDK 执行一些基本任务。 Connect-MgGraph cmdlet 用于连接到 Microsoft Graph PowerShell。

要连接到 Microsoft Graph 并登录，您可以在 PowerShell 中运行以下任意命令。

Connect-MgGraph -Scopes "CloudPC.ReadWrite.All"

Connect-MgGraph -Scopes "CloudPC.Read.All"

您需要使用管理员帐户登录才能同意所需的范围。在生成的网页上，使用具有适当读取和/或写入权限的用户帐户登录您的租户。在此示例中我使用的是全局管理员帐户。要表示同意，请选中“代表您的组织同意”选项，然后单击接受。

通过运行以下 PowerShell 命令切换到 Graph beta 环境。

Select-MgProfile -Name "beta"

3. 使用PowerShell & Graph API获取云PC的审计数据

在此步骤中，我们将使用 PowerShell 和 Graph API 检索 Windows 365 Cloud PC 的审核数据。我们将看到一些示例，说明如何检索与云 PC 相关的审核事件的完整列表、审核事件的完整列表以及按事件 ID 的特定事件。

有多种方法可以查看云电脑的审核信息，我将通过插图详细介绍每种方法。仅当您安装了 Graph API 并使用正确的凭据连接到租户时，以下所有命令才有效。

4. 获取 Cloud PC 审核事件的完整列表，包括审核参与者

要获取 Cloud PC 审核事件的完整列表，包括参与者（执行操作的人），请使用以下命令：

Get-MgDeviceManagementVirtualEndpointAuditEvent | Select-Object -Property Actor,ActivityDateTime,ActivityType,ActivityResult -ExpandProperty Actor | Format-Table UserId, UserPrincipalName, ActivityType, ActivityDateTime, ActivityResult

5.获取Windows 365审核事件列表

要获取没有审核参与者的 Windows 365 审核事件列表，请使用以下命令：

Get-MgDeviceManagementVirtualEndpointAuditEvent -All

输出将显示云 PC 的所有审核事件。当您的设置中有多个云电脑时，输出会更长。转到下一步以使用事件 ID 过滤事件。

6. 使用事件 ID 获取单个 Cloud PC 事件

您可以使用以下命令获取单个审核事件，其中您需要提供 {event ID}：

Get-MgDeviceManagementVirtualEndpointAuditEvent -CloudPcAuditEventId {event ID}