如何关联 Azure 中 Privileged Identity Management 的审核日志？答案

【问题标题】：How to correlate audit logs of Privileged Identity Management in Azure?如何关联 Azure 中 Privileged Identity Management 的审核日志？
【发布时间】：2022-09-23 20:03:22
【问题描述】：

我正在寻找一种方法，通过它们所属的工作流将 Privileged Identity Management 审计日志中的各个日志条目捆绑在一起。

每个操作（如请求 -> 批准 -> 完成）都是审计日志中的一个单独条目，简单地按请求者和角色分组是没有帮助的，例如如果同一个人多次请求某事。

每个审核日志中都有一个 CorrelationId 字段，但对于工作流中的所有步骤来说并不相同。

我在the docs 中找到了这个，但这对自动处理没有帮助：

通常，批准事件上方的日志事件是“将成员添加到角色已完成”的事件，其中发起者（参与者）是请求者。在大多数情况下，您不需要从审核的角度在审批请求中查找请求者。

还有另一种我可以忽略的方式吗？

标签： azure-active-directory audit

【解决方案1】：

您可以通过使用来自目标的请求 ID 来做到这一点。所有操作（请求->批准->完成）使用相同的请求 ID。

[]

【讨论】：