Lister les événements de connexion

Afficher les connexions récentes de cet utilisateur et leurs échecs

Description

Répertorie les connexions Entra ID de cet utilisateur pour le nombre de jours choisi, avec l’application, l’heure, le résultat, l’application cliente, l’appareil et l’emplacement. Les échecs sont agrégés par application afin que le support puisse voir où les connexions échouent, et les connexions échouées affichent également l’adresse IP. Le rapport peut être envoyé par e-mail ou fourni sous forme de lien de téléchargement.

Cas d’utilisation courants

Détermine quelle application génère des échecs de connexion pour un utilisateur spécifique et pourquoi, regroupés par code d’erreur.
Affinez les résultats avec ApplicationName (correspondance partielle) ou FailedSignInsOnly lorsqu’un utilisateur signale des problèmes d’accès.
Exportez les données de connexion au format CSV ou Excel pour une analyse plus approfondie lorsque le nombre d’événements est trop important pour être lu dans le portail.

Comportement

Les données du journal de connexion sont récupérées depuis le point de terminaison bêta de Microsoft Graph, car le filtrage par type d’événement de connexion et la récupération des connexions non interactives nécessitent des propriétés disponibles uniquement en bêta (signInEventTypes, authenticationRequirement).
Les résultats sont écrits dans l’ Données de sortie onglet du job à chaque exécution : un résumé, le résumé par application, les connexions échouées et, sauf si seules les connexions échouées sont demandées, toutes les connexions. La console affiche les compteurs.
Les connexions non interactives sont largement plus nombreuses que les connexions interactives ; les tableaux de connexions de l’onglet Output Data sont limités aux 250 entrées les plus récentes, mais les fichiers de rapport exportés contiennent toujours l’ensemble complet des résultats.

Licence et autorisations requises

La lecture des journaux de connexion via l’API Microsoft Graph nécessite une licence Entra ID P1 ou P2 dans le locataire. Les locataires qui n’en disposent pas reçoivent une erreur 403 de la requête sur le journal de connexion, même lorsque toutes les autorisations Graph sont accordées. Avec P1/P2, les journaux de connexion sont conservés jusqu’à 30 jours ; la rétention de 7 jours du niveau gratuit s’applique au portail Entra, pas à ce runbook.

Si la requête sur le journal de connexion renvoie un 403 alors que AuditLog.Read.All est accordée et que le locataire est licencié, certains locataires exigent également Directory.Read.All sur l’API de reporting Entra. L’accorder est le contournement connu ; elle n’est pas déclarée par défaut car elle accorde un accès en lecture à tous les objets du répertoire.

Livraison du rapport

Les fichiers du rapport ne sont générés que lorsqu’une méthode de livraison est sélectionnée via l’ Livraison du rapport option (e-mail et/ou lien de téléchargement). Avec Données de sortie uniquement sélectionné, aucun fichier de rapport n’est créé et l’analyse des connexions est lue dans l’onglet Output Data du job dans le portail RealmJoin. L’envoi par e-mail et la génération de lien de téléchargement sont indépendants et peuvent être combinés.

Pour le lien de téléchargement, les fichiers du rapport sont téléversés vers le Storage Account Azure configuré dans les RJReport.StorageAccount.* paramètres du Tenant, et des liens de téléchargement SAS à durée limitée sont renvoyés. Le téléversement vers le stockage s’authentifie avec l’identité managée du compte Automation ; cette identité a besoin du Storage Account Contributor rôle RBAC sur le Storage Account cible (il s’agit d’une attribution Azure RBAC, et non d’une autorisation d’application Graph).

Configuration de l’envoi d’e-mails

L’envoi du rapport par e-mail est facultatif et ne se produit que lorsque Envoyer aussi le rapport par e-mail ou Envoyer aussi par e-mail et lien de téléchargement est sélectionné comme mode de livraison du rapport ; un destinataire est alors requis. L’adresse de l’expéditeur est reprise de RJReport.EmailSender paramètre du tenant.

Ce runbook envoie des e-mails à l’aide de l’API Microsoft Graph. Pour envoyer des e-mails via l’API Graph, vous devez configurer une adresse e-mail existante dans la personnalisation du runbook.

Voir la documentation des paramètres de rapport RealmJoin pour plus de détails sur tous les paramètres disponibles.

Identité visuelle des e-mails

L’e-mail du rapport prend en compte le paramètre facultatif RJReport.Branding.* des paramètres du tenant :

Image d’en-tête et de pied de page – URL HTTPS publiques, PNG/JPEG/GIF, 200 Ko max. chacune
Lien de pied de page – cible de l’image de pied de page
Couleur d’accentuation et du texte – valeurs hexadécimales à 6 chiffres, par ex. #0052cc

Lorsque ces paramètres ne sont pas configurés, les graphiques et couleurs par défaut de RealmJoin sont utilisés. Une image qui ne peut pas être téléchargée ou validée, ou une valeur de couleur invalide, n’empêche jamais l’e-mail du rapport – la valeur par défaut correspondante est utilisée à la place.

Instructions de configuration et exigences relatives aux images : Identité visuelle des e-mails.

Interprétation des résultats

Entra considère certaines interruptions de connexion comme des erreurs (par exemple 50140 "Keep me signed in", 50058 et 50076) ; elles apparaissent donc comme des échecs et sont incluses dans le taux d’échec par application. Vérifiez la raison de l’échec avant d’interpréter un taux d’échec élevé comme un véritable problème. Les codes d’erreur sont des codes d’erreur de connexion Entra ID ; consultez-les à https://login.microsoftonline.com/error.

Les données du journal de connexion accusent généralement un retard d’environ 15 minutes, mais certains enregistrements peuvent prendre jusqu’à 2 heures ; une connexion très récente peut ne pas encore apparaître. Tous les horodatages sont affichés en UTC.

Emplacement

Utilisateur → Sécurité → Lister les événements de connexion

Nom complet du runbook

rjgit-user_security_list-signin-events

Détails

Propriété

Valeur

Version

1.1.0

Modules requis

RealmJoin.RunbookHelper (>= 0.8.9) Microsoft.Graph.Authentication (>= 2.39.0) Az.Accounts (>= 5.5.2)

Planifiable

non

Autorisations

Autorisations d’application

Type: Microsoft Graph
- AuditLog.Read.All
  - Lit les événements de connexion Entra ID de l’utilisateur cible depuis auditLogs/signIns (beta) afin de générer le rapport
- User.Read.All
  - Résout l’utilisateur cible pour obtenir id, userPrincipalName et displayName
- Mail.Send (facultatif — fonctionnalité : rapport par e-mail)
  - Envoie l’e-mail du rapport de connexion avec des pièces jointes CSV/XLSX via Send-RjRbReportEmail lorsque l’envoi par e-mail est sélectionné
- Organization.Read.All (facultatif — fonctionnalité : rapport par e-mail)
  - Lit /organization pour insérer le nom du locataire dans le pied de page de l’e-mail du rapport

Notes sur les autorisations

Azure Storage Account : rôle 'Storage Account Contributor' pour l’identité managée du compte Automation sur le Storage Account cible - le téléversement récupère les clés du compte via listKeys (uniquement requis pour les options de lien de téléchargement)

Paramètres

Nom d’utilisateur

Nom principal d’utilisateur de l’utilisateur sur lequel le runbook agit. Défini par le portail à partir de l’utilisateur sélectionné.

Propriété

Valeur

Obligatoire

vrai

Valeur par défaut

Type

Chaîne

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

Jours

Nombre de jours de journaux de connexion à inclure, de 1 à 30.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Int32

Nom d’affichage du portail

Nombre de jours à remonter

SignInType

Connexions interactives par l’utilisateur, non interactives par les applications et les jetons, ou les deux.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Interactif uniquement

Type

Chaîne

Nom d’affichage du portail

Type de connexion

FailedSignInsOnly

Masque les connexions réussies afin que les échecs et leurs raisons ressortent.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Faux

Type

Booléen

Nom d’affichage du portail

Uniquement les connexions échouées ?

ApplicationName

N’affiche que les connexions aux applications dont le nom contient ce texte. Laissez vide pour toutes les applications.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Chaîne

Nom d’affichage du portail

Filtre d’application

EmailFrom

Adresse d’expédition de l’e-mail du rapport. Récupérée à partir du paramètre du tenant RJReport.EmailSender.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Chaîne

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

BrandingHeaderImageUrl

Image d’en-tête de l’e-mail du rapport (URL HTTPS, PNG/JPEG/GIF, 200 Ko max.). Récupérée à partir du paramètre du tenant RJReport.Branding.HeaderImageUrl ; l’en-tête RealmJoin par défaut est utilisé si vide.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Chaîne

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

BrandingFooterImageUrl

Image de pied de page de l’e-mail du rapport (URL HTTPS, PNG/JPEG/GIF, 200 Ko max.). Récupérée à partir du paramètre du tenant RJReport.Branding.FooterImageUrl ; le pied de page RealmJoin par défaut est utilisé si vide.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Chaîne

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

BrandingFooterLink

Lien derrière l’image de pied de page de l’e-mail du rapport. Récupéré à partir du paramètre du tenant RJReport.Branding.FooterLink ; realmjoin.com est utilisé si vide.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Chaîne

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

BrandingAccentColor

Couleur d’accentuation de l’e-mail du rapport sous forme de valeur hexadécimale à 6 chiffres. Récupérée à partir du paramètre du tenant RJReport.Branding.AccentColor ; la valeur par défaut RealmJoin est utilisée si vide ou invalide.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Chaîne

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

BrandingTextColor

Couleur du texte de l’e-mail du rapport sous forme de valeur hexadécimale à 6 chiffres. Récupérée à partir du paramètre du tenant RJReport.Branding.TextColor ; la valeur par défaut RealmJoin est utilisée si vide ou invalide.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Chaîne

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

SendEmailReport

Indique si le rapport est envoyé par e-mail. Préconfiguré dans la personnalisation du runbook.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Faux

Type

Booléen

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

EmailTo

Envoyez le rapport à ces adresses. Séparez-en plusieurs par des virgules ; chaque destinataire reçoit un e-mail séparé.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Chaîne

Nom d’affichage du portail

Adresse(s) e-mail du destinataire

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

ReportFileFormat

Remettez le rapport au format CSV, sous forme de classeur Excel, ou les deux.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

CSV et XLSX

Type

Chaîne

Nom d’affichage du portail

Format du fichier de rapport

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

Options du portail

Option du portail

Valeur

CSV et XLSX

CSV uniquement

XLSX uniquement

CreateDownloadLink

Télécharge aussi le rapport et renvoie un lien de téléchargement qui expire après quelques jours.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Faux

Type

Booléen

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

Nom du conteneur

Conteneur de stockage dans lequel les fichiers du rapport sont téléversés. À définir pour chaque runbook.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

user-signin-events

Type

Chaîne

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

Nom du groupe de ressources

Groupe de ressources du Storage Account pour les téléversements de rapports. Pris à partir du paramètre Tenant RJReport.StorageAccount.ResourceGroup.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Chaîne

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

Nom du Storage Account

Storage Account pour les téléversements de rapports. Pris à partir du paramètre Tenant RJReport.StorageAccount.StorageAccountName.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Chaîne

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

LinkExpiryDays

Nombre de jours pendant lesquels un lien de téléchargement reste valide. Pris à partir du paramètre Tenant RJReport.StorageAccount.LinkExpiryDays.

Propriété

Valeur

Obligatoire

faux

Valeur par défaut

Type

Int32

Masqué dans le portail

oui (prédéfini via la personnalisation du runbook)

Retour à la vue d’ensemble de la référence du runbook

Mis à jour il y a 7 jours

Ce contenu vous a-t-il été utile ?