如何导出Microsoft Entra ID登录日志

在Microsoft Entra管理中心打开 身份 → 监控和健康 → 登录日志，设置过滤器，并选择 下载 → JSON。对于较大的或脚本化的提取，请使用Microsoft Graph：GET /auditLogs/signIns。不管哪种方式，你只会得到仍然保留的内容：Entra ID Free保留7天，P1或P2保留30天。

登录日志显示了谁进行了身份验证、从哪里、访问了哪个应用程序，以及是否启用了MFA和条件访问。在以身份为驱动的攻击中，这几乎就是全部。Prime Core为Entra ID登录数据设置了170个检测规则，对应113项MITRE ATT&CK技术。其中包括：密码喷射（T1110.003）、MFA疲劳（T1621）和使用被盗云凭证的登录（T1078.004）。

免费开始

开始之前

保留时间很短。 如果你要查找的活动超过7或30天，门户和Graph将无法提供数据。唯一可能仍有数据的地方是你的诊断设置所在的位置：日志分析工作区、Microsoft Sentinel或存储账户。请参阅我们的[Microsoft Sentinel导出指南]以获取此路径。

角色。 报告读取器是读取登录日志的最低权限角色。安全读取器和全局读取器也可以使用。

登录分为四种类型。 交互用户、非交互用户、服务主体和托管身份在门户中各有其自己的选项卡。令牌重放和刷新令牌的滥用往往显示在 非交互，这是人们经常忘记导出的。

选项 1：从门户下载

1. 前往 登录日志 ，选择选项卡（从交互开始，然后是非交互）。
2. Set 日期 及任何过滤器（用户、应用程序、状态）。
3. 选择 下载，然后 JSON.

门户对单次下载包含的记录数量有限制。对于较大范围的情况，可以按天拆分或使用Graph。

选项 2：Microsoft Graph PowerShell

这会提取原始API JSON，跟踪分页，并每行写入一个登录：

Connect-MgGraph -Scopes "AuditLog.Read.All"

$uri = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$filter=createdDateTime ge 2026-10-19T00:00:00Z and createdDateTime lt 2026-10-20T00:00:00Z"

do {

    $page = Invoke-MgGraphRequest -Method GET -Uri $uri -OutputType Json | ConvertFrom-Json

    $page.value | ForEach-Object { $_ | ConvertTo-Json -Depth 10 -Compress } | Add-Content signins_1019.jsonl

    $uri = $page.'@odata.nextLink'

} while ($uri)

v1.0端点返回交互登录。非交互和服务主体登录需要使用带有signInEventTypes过滤器的beta端点。通过API读取登录记录也取决于租户的许可级别。

所有时间戳均为UTC。

需要注意什么

值得关注的模式：一个IP范围内出现多个账户的50126失败，然后其中一个成功。

上传、清理并在LogTotal中查看

1. 上传。 打开 logtotal.com 并丢入JSON文件。
2. 清理。 [what gets masked: UPNs, display names, IPs, device names, tenant and object IDs]. Look it over before you continue.
3. 查看。 

当出现问题时