Anmeldeereignisse auflisten
Die letzten Anmeldungen dieses Benutzers und ihre Fehler anzeigen
Beschreibung
Listet die Entra ID-Anmeldungen dieses Benutzers für die gewählte Anzahl von Tagen mit Anwendung, Uhrzeit, Ergebnis, Client-App, Gerät und Standort auf. Fehlversuche werden pro Anwendung zusammengefasst, damit der Support sehen kann, wo die Anmeldungen fehlschlagen, und fehlgeschlagene Anmeldungen zeigen außerdem die IP-Adresse an. Der Bericht kann per E-Mail gesendet oder als Download-Link bereitgestellt werden.
Häufige Anwendungsfälle
Untersucht, welche Anwendung bei einem bestimmten Benutzer Anmeldefehler erzeugt und warum, gruppiert nach Fehlercode.
Schränken Sie die Ergebnisse ein mit
ApplicationName(Teiltreffer) oderFailedSignInsOnlywenn ein Benutzer Zugriffsprobleme meldet.Exportieren Sie die Anmeldedaten als CSV oder Excel zur weiteren Analyse, wenn die Anzahl der Ereignisse zu groß ist, um sie im Portal anzuzeigen.
Verhalten
Die Anmeldeprotokolldaten werden vom Microsoft Graph-Beta-Endpunkt abgerufen, da das Filtern nach Anmeldeereignistypen und das Abrufen nicht interaktiver Anmeldungen nur in der Beta verfügbare Eigenschaften erfordern (
signInEventTypes,authenticationRequirement).Die Ergebnisse werden bei jedem Lauf auf die Ausgabedaten Registerkarte des Auftrags geschrieben: eine Zusammenfassung, die Zusammenfassung pro Anwendung, die fehlgeschlagenen Anmeldungen und, sofern nicht nur fehlgeschlagene Anmeldungen angefordert werden, alle Anmeldungen. Die Konsole zeigt die Anzahl an.
Nicht-interaktive Anmeldungen übersteigen interaktive bei Weitem; die Anmeldetabellen auf der Registerkarte Output Data sind auf die 250 neuesten Einträge begrenzt, aber die exportierten Berichtsdateien enthalten immer den vollständigen Ergebnissatz.
Erforderliche Lizenz und Berechtigungen
Das Lesen von Anmeldeprotokollen über die Microsoft Graph-API erfordert eine Entra ID P1- oder P2-Lizenz im Tenant. Tenants ohne sie erhalten einen 403-Fehler von der Abfrage der Anmeldeprotokolle, selbst wenn alle Graph-Berechtigungen gewährt sind. Mit P1/P2 werden Anmeldeprotokolle bis zu 30 Tage aufbewahrt; die 7-tägige Aufbewahrung der kostenlosen Stufe gilt für das Entra-Portal, nicht für dieses Runbook.
Wenn die Abfrage der Anmeldeprotokolle einen 403 zurückgibt, obwohl AuditLog.Read.All gewährt ist und der Tenant lizenziert ist, benötigen einige Tenants zusätzlich Directory.Read.All für die Entra-Reporting-API. Das Gewähren ist der bekannte Workaround; es wird standardmäßig nicht deklariert, da es Leserechte für jedes Verzeichnisobjekt gewährt.
Berichtszustellung
Berichtsdateien werden nur generiert, wenn eine Zustellmethode über die Berichtszustellung Option (E-Mail und/oder Download-Link) ausgewählt wird. Mit Nur Ausgabedaten ausgewählt, werden keine Berichtsdateien erstellt und die Anmeldeanalyse wird auf der Registerkarte Output Data des Auftrags im RealmJoin-Portal gelesen. E-Mail-Zustellung und Download-Link-Erstellung sind unabhängig und können kombiniert werden.
Für den Download-Link werden die Berichtsdateien in das in den RJReport.StorageAccount.* Tenant-Einstellungen hochgeladen, und zeitlich begrenzte SAS-Download-Links werden zurückgegeben. Der Storage-Upload authentifiziert sich mit der verwalteten Identität des Automation-Kontos; diese Identität benötigt die Storage Account Contributor RBAC-Rolle auf dem Ziel-Storage Account (dies ist eine Azure-RBAC-Zuweisung, keine Graph-Anwendungsberechtigung).
Einrichtung für den E-Mail-Versand
Das Senden eines E-Mail-Berichts ist optional und erfolgt nur, wenn Bericht zusätzlich per E-Mail senden oder Bericht zusätzlich per E-Mail und Download-Link senden als Berichtsübermittlung ausgewählt ist; dann ist ein Empfänger erforderlich. Die Absenderadresse wird aus dem RJReport.EmailSender Mandanten-Einstellung übernommen.
Dieses Runbook sendet E-Mails über die Microsoft Graph API. Um E-Mails über die Graph API zu senden, müssen Sie in der Runbook-Anpassung eine vorhandene E-Mail-Adresse konfigurieren.
Siehe die RealmJoin Report Settings Dokumentation für Details zu allen verfügbaren Einstellungen.
E-Mail-Branding
Die Berichts-E-Mail berücksichtigt die optionalen RJReport.Branding.* Mandanten-Einstellungen:
Header- und Footer-Bild – öffentliche HTTPS-URLs, PNG/JPEG/GIF, jeweils max. 200 KB
Footer-Link – Ziel des Footer-Bildes
Akzent- und Textfarbe – 6-stellige Hexwerte, z. B.
#0052cc
Wenn diese Einstellungen nicht konfiguriert sind, werden die standardmäßigen RealmJoin-Grafiken und -Farben verwendet. Ein Bild, das nicht heruntergeladen oder validiert werden kann, oder ein ungültiger Farbwert verhindert niemals die Berichts-E-Mail – stattdessen wird der entsprechende Standard verwendet.
Einrichtungsanweisungen und Bildanforderungen: E-Mail-Branding.
Interpretation der Ergebnisse
Entra zählt einige Anmeldeunterbrechungen als Fehler (zum Beispiel 50140 "Keep me signed in", 50058 und 50076), daher erscheinen sie als Fehlversuche und gehen in die Fehlerquote pro Anwendung ein. Prüfen Sie den Fehlergrund, bevor Sie eine hohe Fehlerquote als echtes Problem werten. Fehlercodes sind Entra ID-Anmeldefehlercodes; suchen Sie sie unter https://login.microsoftonline.com/error.
Anmeldeprotokolldaten hinken in der Regel um etwa 15 Minuten hinterher, können für einige Einträge aber bis zu 2 Stunden benötigen – eine sehr kürzliche Anmeldung wird möglicherweise noch nicht angezeigt. Alle Zeitstempel werden in UTC angezeigt.
Ort
Benutzer → Sicherheit → Anmeldeereignisse auflisten
Vollständiger Runbook-Name
rjgit-user_security_list-signin-events
Details
Version
1.1.0
Erforderliche Module
RealmJoin.RunbookHelper (>= 0.8.9) Microsoft.Graph.Authentication (>= 2.39.0) Az.Accounts (>= 5.5.2)
Planbar
nein
Berechtigungen
Anwendungsberechtigungen
Typ: Microsoft Graph
AuditLog.Read.All
Liest die Entra ID-Anmeldeereignisse des Zielbenutzers aus auditLogs/signIns (beta), um den Bericht zu erstellen
User.Read.All
Ermittelt den Zielbenutzer, um id, userPrincipalName und displayName zu erhalten
Mail.Send (optional — Funktion: E-Mail-Bericht)
Sendet die E-Mail mit dem Anmeldebericht und CSV-/XLSX-Anhängen über Send-RjRbReportEmail, wenn die E-Mail-Zustellung ausgewählt ist
Organization.Read.All (optional — Funktion: E-Mail-Bericht)
Liest /organization, um den Tenant-Namen in die Fußzeile der Bericht-E-Mail einzufügen
Hinweise zu Berechtigungen
Azure Storage Account: Rolle „Storage Account Contributor“ für die verwaltete Identität des Automation-Kontos auf dem Ziel-Storage Account – der Upload ruft die Kontoschlüssel über listKeys ab (nur für die Download-Link-Optionen erforderlich)
Parameter
Benutzername
User Principal Name des Benutzers, auf den das Runbook angewendet wird. Wird vom Portal aus dem ausgewählten Benutzer gesetzt.
Erforderlich
ja
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
Tage
Wie viele Tage an Anmeldeprotokollen einbezogen werden sollen, 1 bis 30.
Erforderlich
nein
Standardwert
7
Typ
Int32
Anzeigename im Portal
Rückblickzeitraum in Tagen
SignInType
Interaktive Anmeldungen durch den Benutzer, nicht-interaktive durch Apps und Token oder beides.
Erforderlich
nein
Standardwert
Nur interaktiv
Typ
Zeichenfolge
Anzeigename im Portal
Anmeldetyp
FailedSignInsOnly
Blendet erfolgreiche Anmeldungen aus, damit die Fehlversuche und ihre Gründe hervortreten.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Anzeigename im Portal
Nur fehlgeschlagene Anmeldungen?
ApplicationName
Zeigt nur Anmeldungen bei Anwendungen, deren Name diesen Text enthält. Für alle Anwendungen leer lassen.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Anzeigename im Portal
Anwendungsfilter
EmailFrom
Absenderadresse der Berichts-E-Mail. Wird aus der Mandanten-Einstellung RJReport.EmailSender übernommen.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
BrandingHeaderImageUrl
Headerbild der Berichts-E-Mail (HTTPS-URL, PNG/JPEG/GIF, max. 200 KB). Wird aus der Mandanten-Einstellung RJReport.Branding.HeaderImageUrl übernommen; bei leerem Wert wird der standardmäßige RealmJoin-Header verwendet.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
BrandingFooterImageUrl
Footerbild der Berichts-E-Mail (HTTPS-URL, PNG/JPEG/GIF, max. 200 KB). Wird aus der Mandanten-Einstellung RJReport.Branding.FooterImageUrl übernommen; bei leerem Wert wird der standardmäßige RealmJoin-Footer verwendet.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
BrandingFooterLink
Link hinter dem Footerbild der Berichts-E-Mail. Wird aus der Mandanten-Einstellung RJReport.Branding.FooterLink übernommen; bei leerem Wert wird realmjoin.com verwendet.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
BrandingAccentColor
Akzentfarbe der Berichts-E-Mail als 6-stelliger Hexwert. Wird aus der Mandanten-Einstellung RJReport.Branding.AccentColor übernommen; bei leerem oder ungültigem Wert wird der Standard von RealmJoin verwendet.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
BrandingTextColor
Textfarbe der Berichts-E-Mail als 6-stelliger Hexwert. Wird aus der Mandanten-Einstellung RJReport.Branding.TextColor übernommen; bei leerem oder ungültigem Wert wird der Standard von RealmJoin verwendet.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
SendEmailReport
Ob der Bericht per E-Mail gesendet wird. Voreingestellt in der Runbook-Anpassung.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
EmailTo
Senden Sie den Bericht an diese Adressen. Trennen Sie mehrere mit Kommas; jeder Empfänger erhält eine separate E-Mail.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Anzeigename im Portal
E-Mail-Adresse(n) des Empfängers
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
ReportFileFormat
Stellen Sie den Bericht als CSV, als Excel-Arbeitsmappe oder beides bereit.
Erforderlich
nein
Standardwert
CSV & XLSX
Typ
Zeichenfolge
Anzeigename im Portal
Berichtsdateiformat
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
Portaloptionen
CSV & XLSX
CSV & XLSX
Nur CSV
Nur CSV
Nur XLSX
Nur XLSX
CreateDownloadLink
Laden Sie den Bericht außerdem hoch und geben Sie einen Downloadlink zurück, der nach einigen Tagen abläuft.
Erforderlich
nein
Standardwert
Falsch
Typ
Boolesch
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
ContainerName
Speichercontainer, in den die Berichtsdateien hochgeladen werden. Pro Runbook festlegen.
Erforderlich
nein
Standardwert
user-signin-events
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
ResourceGroupName
Ressourcengruppe des Storage Account für Berichtshochladungen. Aus der Tenant-Einstellung RJReport.StorageAccount.ResourceGroup übernommen.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
StorageAccountName
Storage Account für Berichtshochladungen. Aus der Tenant-Einstellung RJReport.StorageAccount.StorageAccountName übernommen.
Erforderlich
nein
Standardwert
Typ
Zeichenfolge
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
LinkExpiryDays
Anzahl der Tage, die ein Downloadlink gültig bleibt. Aus der Tenant-Einstellung RJReport.StorageAccount.LinkExpiryDays übernommen.
Erforderlich
nein
Standardwert
6
Typ
Int32
Im Portal ausgeblendet
ja (vorkonfiguriert über Runbook-Anpassung)
Zuletzt aktualisiert
War das hilfreich?