Registro di controllo unificato non funzionante

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

Risolvi i problemi del registro di controllo unificato in Microsoft 365 con verifiche su controllo, autorizzazioni, filtri di ricerca, licenze e ritardi.

Automatically translated with AI from the original post. Read the English original

Non c'è nulla che faccia salire la pressione in ambito IT come aprire il controllo di Microsoft 365 e non succedere niente. Il registro di controllo unificato dovrebbe offrirti una visione completa dell'attività di utenti e amministratori: essenziale per la risposta agli incidenti, per la conformità e, semplicemente, per la tranquillità. Quando mancano dati, la ricerca non parte o il pulsante di esportazione sembra bloccato per sempre, l'intero processo di sicurezza può fermarsi.

Questa guida copre le cause principali per cui il registro di controllo unificato può comportarsi male, dalle autorizzazioni mancanti ai dati in ritardo fino agli aggiornamenti Microsoft meno evidenti. Troverai passaggi concreti per rimettere tutto in carreggiata, oltre a suggerimenti per evitare sorprese future. Analizziamo anche problemi di cui nessuno parla, come le lacune nelle licenze, i conflitti di configurazione e i ritardi nell'elaborazione in background che sembrano guasti veri e propri. Alla fine saprai non solo come risolvere i problemi di controllo, ma anche come mantenere i tuoi log affidabili quanto il caffè del mattino.

Attivare la registrazione di controllo nelle app di Microsoft 365

Abilitare la registrazione di controllo su Exchange Online, SharePoint, OneDrive e Teams è il primo passo, spesso il più trascurato, per ottenere dati di controllo unificati affidabili da Microsoft 365. Va fatto nel portale di conformità di Microsoft 365, che per la maggior parte delle organizzazioni ormai si chiama Microsoft Purview.

Per i tenant commerciali, vai al portale Microsoft Purview, apri «Controllo» e verifica che la registrazione di controllo sia effettivamente attiva. Ci crederai o no, non è sempre automatica, nemmeno nei tenant più recenti. Se usi il portale di conformità classico oppure un tenant governativo (GCC o DOD), l'interfaccia potrebbe differire un po', ma le impostazioni si trovano in una posizione simile, sotto «Ricerca» o «Ricerca nel registro di controllo».

Quando abiliti la registrazione di controllo unificata, non dare per scontato che «predefinito» significhi «fatto». Alcune nuove app di Microsoft 365 richiedono un'ulteriore abilitazione per una copertura di controllo completa. Ad esempio, Teams o i nuovi siti SharePoint potrebbero non essere inclusi del tutto se i servizi sottostanti sono stati attivati in seguito. È sempre utile verificare lo stato della registrazione dopo aver integrato nuovi servizi.

Ricorda: alcuni ambienti richiedono più passaggi per essere completi. Il controllo dell'attività utente con Microsoft Purview può aiutarti a capire quali livelli hai (Audit Standard o Premium), che cosa viene registrato e come assicurarti che ogni carico di lavoro cloud sia coperto. Saltare la verifica è il motivo numero uno per cui i log mancano proprio quando servono di più.

Autorizzazioni per gli strumenti di controllo e accesso al portale di conformità

Un registro di controllo funzionante non dipende solo dall'attivazione delle giuste impostazioni: conta molto chi sei nel mondo di Microsoft 365. Per accedere e cercare nei registri di controllo, gli amministratori devono avere il set corretto di autorizzazioni assegnate tramite Microsoft Purview o il Centro sicurezza e conformità.

I ruoli indispensabili sono solitamente Amministratore conformità, Registri di controllo o Lettore sicurezza. Vengono assegnati tramite gruppi di ruoli nel portale Microsoft Purview (o, a volte, in Entra ID). Se stai cercando di estrarre i log e qualcosa non funziona o è disattivato, verifica che il tuo account faccia davvero parte del gruppo giusto e che le modifiche recenti abbiano avuto il tempo di sincronizzarsi nel back-end di Microsoft 365.

Gli errori più comuni? Assegnare le persone al gruppo sbagliato (ad esempio Lettore globale invece di Amministratore conformità), basarsi sui ruoli di Entra ID dimenticando la configurazione in Purview, oppure non sapere che alcune modifiche agli accessi possono richiedere fino a 24 ore per diventare attive. Assegnazioni dei ruoli incoerenti o l'uso di account amministrativi di emergenza che aggirano le revisioni manuali possono anche far sì che gli strumenti di controllo non funzionino come previsto.

Gestire bene l'accesso ai controlli non significa solo aprire le porte: significa anche buona governance, rimuovere gli utenti non più attivi e svolgere revisioni periodiche degli accessi, un tema approfondito in questa guida su accesso ai dati e governance in Microsoft 365. Mantenere le autorizzazioni strette aiuta a evitare lacune accidentali nei controlli e a rispettare le tue politiche di sicurezza interne.

Risolvere i problemi del registro di controllo unificato in Microsoft 365

Quando il registro di controllo unificato sembra non funzionare, con ricerche vuote, record mancanti o opzioni di esportazione incoerenti, di solito è il sintomo di un problema più profondo nella configurazione, nelle licenze o nei ritardi del backend. Questi problemi possono sembrare molto simili, ma spesso hanno cause e soluzioni molto diverse.

Prima di aprire un ticket di supporto o di escalare il problema, conviene sapere com'è un comportamento «normale» e quali passaggi di risoluzione dei problemi permettono di capire se si tratta di eventi mancanti, di intervalli temporali visualizzati in modo errato, di autorizzazioni insufficienti o di limiti imposti da Microsoft. A volte il problema è semplice come un ritardo nell'acquisizione, altre volte è un sottile problema di licenza o una modifica ai criteri passata inosservata.

Nelle sezioni seguenti troverai indicazioni pratiche per diagnosticare le lacune, verificare la completezza dei log, superare le particolarità di PowerShell e dell'esportazione e filtrare i risultati per analisi concrete. Se capisci questi passaggi, riconoscerai molto più rapidamente — e risolverai — i guasti più comuni e quelli più complicati del registro di controllo.

Affidabilità e completezza: come affrontare record di controllo mancanti o incompleti

• Verifica il criterio di conservazione e le licenze: Le lacune nei dati compaiono spesso se le licenze Microsoft 365 non supportano la conservazione estesa (solo E5 o Premium) oppure se la licenza di un utente è stata modificata di recente. Verifica sempre di avere il livello di licenza corretto per i record e il periodo di tempo che ti servono.
• Controlla i ritardi di acquisizione: I log di controllo non sono in tempo reale. Può esserci un ritardo integrato da 15 minuti fino a diverse ore o, in casi rari, anche più lungo nei fine settimana o durante interruzioni del servizio Microsoft. Questo ritardo può far sembrare i log mancanti, quando in realtà sono solo in ritardo.
• Individua la limitazione delle richieste e le restrizioni di esportazione: Le tenant di grandi dimensioni possono incontrare limitazioni (throttling), soprattutto se le esportazioni o le ricerche nel registro di controllo vengono eseguite in gran numero. Alcune attività possono non essere registrate oppure comparire con ritardo se si superano i limiti di frequenza o i limiti di sessione.
• Escludi i falsi positivi: Assicurati che i filtri su utente, data o attività non siano involontariamente troppo restrittivi o configurati in modo errato. Cercare un intervallo troppo stretto, selezionare l'utente o il gruppo sbagliato oppure filtrare via eventi «di rumore» di poco conto possono far sembrare il sistema più guasto di quanto non sia.
• Verifica problemi di configurazione a livello di tenant: A volte le impostazioni del tenant relative ad accesso condizionale, autorizzazioni delle entità servizio o persino criteri di blocco per conformità possono interferire con la creazione degli eventi di controllo. Esamina le modifiche recenti alla configurazione e agli aggiornamenti di sicurezza per escludere cause nascoste.

Utilizzo del cmdlet Search-UnifiedAuditLog in Microsoft PowerShell

Il cmdlet Search-UnifiedAuditLog di PowerShell è uno strumento potente per la risoluzione avanzata dei problemi: ti consente di bypassare il portale web e interrogare direttamente i registri di controllo unificati di Microsoft 365. È particolarmente utile per esportazioni di grandi dimensioni, per verificare intervalli di dati estesi o per automatizzare indagini ricorrenti.

Tra le attività tipiche degli amministratori ci sono la ricerca per data, utente o attività e l'esportazione dei risultati per analisi più approfondite. Attenzione però alle restrizioni note, come il limite di esportazione di 50.000 record o la limitazione delle richieste se esegui ripetutamente ricerche di grandi dimensioni. Gli errori in questo caso possono indicarti se il problema è nel backend, nel portale o semplicemente nei limiti di scalabilità della sessione.

Sebbene le possibilità di automazione siano molte, alcune risorse, come gli approfondimenti sulla governance con PowerShell, potrebbero reindirizzare ad altro materiale se i contenuti vengono spostati; la documentazione ufficiale e i forum restano però preziosi per le ultime opzioni dei cmdlet e per le insidie più recenti.

Filtrare per data, utente e visualizzare i dettagli durante l'esportazione dei log

• Filtra per intervallo di date: Definisci sempre una finestra temporale precisa, di una settimana o di pochi giorni, per limitare i risultati della ricerca e ridurre il rumore. Le ricerche su periodi troppo ampi spesso non trovano gli eventi o sovraccaricano le funzioni di esportazione.
• Mira a utenti o tipo di attività: Usa i nomi UPN degli utenti o parole chiave relative alle attività per recuperare solo gli eventi che ti interessano. Così eviti lunghe attese e riduci il rischio di superare i limiti di dimensione dell'esportazione.
• Visualizza in anteprima i dettagli degli eventi prima dell'esportazione: Aprire un singolo voce del log prima di esportare in blocco ti permette di verificare che gli eventi vengano acquisiti come previsto, con i metadati corretti.
• Esporta in lotti gestibili: Per audit più ampi, suddividi le esportazioni in intervalli più brevi e parzialmente sovrapposti, per evitare timeout o file CSV incompleti.

Esecuzione di ricerche nel registro di controllo ed esportazione dei dati di controllo unificati

Per eseguire una ricerca nel registro di controllo di Microsoft 365, vai al portale Microsoft Purview e seleziona la sezione Controllo. Scegli l'intervallo di date, gli utenti e i tipi di attività per costruire la query. Evita le ricerche su tutti gli utenti o sull'intero tenant, a meno che non siano davvero necessarie, perché possono sovraccaricare l'interfaccia e il motore di esportazione.

Una volta visualizzati i risultati, puoi visualizzarli in anteprima o esportarli in un file CSV dal portale web. Ricorda che i risultati molto grandi possono non riuscire o andare in timeout, quindi mantieni le query mirate. Se durante l'esportazione si verificano errori, prova a usare intervalli di date più brevi oppure usa PowerShell per estrarre i log di controllo a blocchi.

Verifica sempre che i file esportati siano completi, controllando colonne e intervalli temporali, prima di basarti su di essi in un'indagine.

Latenza del registro di controllo unificato e problemi di ritardo dei dati

Una delle cause più trascurate di dati di controllo "mancanti"? Il semplice ritardo. I log di controllo non sono sempre in tempo reale: Microsoft elabora gli eventi di attività a blocchi, e a volte la voce di log effettiva compare molto tempo dopo l'azione dell'utente.

Questo può generare ticket di supporto urgenti e tempo sprecato nella risoluzione dei problemi, quando i log sono semplicemente lenti e non danneggiati. È fondamentale capire quali sono i tempi di acquisizione tipici e come distinguere un normale ritardo dei log da una vera perdita di dati o da un errore di sistema. Questa sezione spiega come funzionano questi ritardi e come tenere traccia degli eventi che mancano davvero (rispetto a quelli semplicemente in ritardo).

Differenza tra ritardi normali e anomali nell'elaborazione del registro di controllo

I registri di controllo unificati di Microsoft 365 elaborano in genere le azioni di utenti e amministratori entro 15 minuti o un'ora, ma non è raro vedere ritardi fino a 24 ore, soprattutto durante la manutenzione del servizio, interruzioni regionali o per alcuni eventi a bassa priorità.

Il contratto di servizio (SLA) ufficiale di Microsoft fissa il limite massimo di disponibilità dei log a 24 ore in condizioni normali, quindi qualsiasi tempo inferiore rientra nelle attese. Se gli eventi di controllo risultano mancanti da più di così, oppure se più tipi di attività sono in ritardo oltre il normale, è il momento di iniziare un'indagine più approfondita.

Tieni presente che alcuni servizi (come Teams o le attività di app di terze parti) possono raggruppare i log in modo diverso rispetto a SharePoint o Exchange. Prima di presumere un guasto sistemico dei log, controlla sempre gli avvisi Microsoft più recenti.

Come monitorare nel tempo la completezza dei dati di log

• Definisci le attività previste di riferimento: individua un'azione nota dell'utente (ad esempio un accesso alla casella di posta o il caricamento di un file), annota il relativo orario, quindi verifica quanto tempo impiegano a comparire i corrispondenti eventi di controllo.
• Usa script PowerShell: automatizza i controlli giornalieri con script pianificati che recuperano le voci di log più recenti, confrontano gli orari e segnalano le anomalie, così non dipendi da verifiche manuali.
• Tieni traccia dell'arretrato nel tempo: se una voce di log manca, ricontrolla dopo 24 e 48 ore. A volte i ritardi si risolvono da soli, mentre schemi di lacune persistenti possono rivelare colli di bottiglia nel back-end.
• Correla con le segnalazioni degli utenti: se un utente afferma che un'attività critica non è stata registrata, confronta la data dell'attività con i timestamp dell'esportazione per escludere un'acquisizione mancata prima di aprire un caso di supporto.

Prontezza del registro di controllo e strategia di conformità

Ottenere registri di controllo affidabili in Microsoft 365 inizia molto prima di un incidente. Le organizzazioni hanno bisogno di un piano che copra l'intero ciclo di vita: licenze, conservazione, automazione e strategia di conformità. Molti problemi con i log derivano da errori semplici, come abbonamenti non inclusi, ruoli non assegnati o impostazioni dei criteri non coerenti.

Questa sezione introduce tutti gli elementi chiave: per quanto tempo vengono conservati i log (e come cambia questo aspetto tra E3, E5 e piani per enti pubblici), quali checklist garantiscono una configurazione solida e alcuni consigli pratici sulle licenze per evitare interruzioni silenziose. Vedrai anche come Microsoft Purview e i relativi controlli di sicurezza, come DLP ed etichettatura di riservatezza, si inseriscono in un quadro di conformità più ampio.

Nella collaborazione in cloud, avere il registro di controllo attivato non basta. Ciò che crea una reale e duratura prontezza sono le verifiche periodiche, una strategia chiara e la capacità di far corrispondere i dettagli tecnici ai rischi aziendali e normativi. Per approfondire gli aspetti più ostici della conformità e dei contenuti generati dall'IA, dai un'occhiata a questo approfondimento sul compliance drift nascosto e a come governare Copilot con Purview: ti mostreranno perché le dashboard stabili sono solo una parte del quadro.

Nozioni base sulla conservazione dei log di controllo e checklist pratica per il controllo di Microsoft 365

• Assegna i ruoli amministrativi corretti: verifica che siano assegnati tutti i ruoli necessari per audit, conformità e sicurezza, come Amministratore conformità e Log di controllo, sia in Purview sia in Entra ID.
• Verifica i requisiti di licenza: la conservazione standard dei log di controllo è di 90 giorni per la maggior parte dei tenant E3 (commerciali). E5 o Audit Premium sbloccano una conservazione estesa (1 anno o più), segnali migliori e alcuni eventi ad alto valore. Controlla con attenzione che tutti gli utenti che devono essere coperti abbiano la licenza corretta, soprattutto dopo modifiche o distribuzioni di licenze basate su gruppi.
• Configura le impostazioni di controllo di Purview: verifica che la registrazione dei log di controllo sia attivata in modo esplicito e includa tutti i servizi principali (Exchange, SharePoint, OneDrive, Teams) e le app critiche. Non saltare l'onboarding dei nuovi servizi.
• Controlla i criteri di conservazione ed esportazione: imposta la conservazione in linea con i requisiti aziendali e normativi. Fai attenzione ai criteri di Purview in conflitto o alle sospensioni della conservazione che potrebbero generare incoerenze tra i servizi.
• Testa e verifica regolarmente la copertura: esegui ricerche di prova nel registro di controllo, documenta la finestra di conservazione prevista ed esporta mensilmente alcuni log di esempio per confermare che i dati siano presenti e accessibili quando servono.
• Valuta le misure di conformità aggiuntive: per gli ambienti ad alto rischio, estendi la governance con DLP, etichette di riservatezza e verifiche periodiche di accesso e proprietà, così da prevenire lacune nel controllo e rendere possibile una risposta efficace agli incidenti.

Le lacune in uno qualsiasi dei punti precedenti, e il fatto di dimenticare che la conservazione non è infinita, sono la causa più frequente per cui eventi critici risultano mancanti nel momento in cui arriva il momento di indagare. Allinea la tua checklist ai rischi specifici e agli obblighi normativi per restare pronto e coperto.

Consigli avanzati per sfruttare al meglio il registro di controllo unificato

Quando lavori con il registro di controllo unificato di Microsoft 365, le ricerche superficiali non vanno oltre il grattare la superficie. Se vuoi intercettare tutto, in particolare le azioni sulle cassette postali eseguite da utenti o amministratori, dovrai sfruttare i filtri di ricerca avanzati. Non avere timore di PowerShell: comandi come Search-UnifiedAuditLog ti permettono di scavare per utente, data o attività con una precisione millimetrica.

Approfitta anche delle opzioni di esportazione. Esportare regolarmente i dati di controllo in file CSV può rendere molto più semplice confrontare i log con le cronologie degli incidenti. Se vuoi capire chi ha eliminato un file sensibile o quando qualcuno ha concesso autorizzazioni inattese su una cassetta postale, questi dettagli esportati diventano preziosi per costruire le tracce di controllo o i report sugli incidenti.

Presta attenzione alle lacune più subdole nei log. Molti non notano i guasti nei log legati a licenze o criteri. Rendi abituale la verifica di una copertura di controllo coerente, soprattutto dopo modifiche alle licenze o grandi aggiornamenti. Diffida degli eventi mancanti che potrebbero dipendere da ritardi o da modifiche ai criteri di amministrazione, e non solo da un log che non funziona correttamente.

Sappi quando fare escalation. Se hai già ricontrollato i filtri, verificato licenze e criteri e continui a vedere lacune di controllo inspiegabili, non è il momento di continuare a brancolare nel buio. È il momento di raccogliere i tuoi riscontri e aprire una richiesta di supporto con Microsoft. A volte ciò che sembra un errore dell'utente si rivela un problema lato back-end che solo loro possono risolvere.

Ascolta anche questi episodi

Se stai approfondendo Unified Audit Log non funzionante, questi episodi offrono un contesto pratico su governance, sicurezza, automazione e affidabilità delle operazioni in Microsoft 365.

• Microsoft Purview – Simply Explained — Collega conservazione, conformità, controllo e governance dei dati.
• Microsoft Teams Governance – Simply Explained — Scopri perché proprietà e regole di ciclo di vita sono importanti per la collaborazione.
• Microsoft Defender XDR – Simply Explained — Collega i segnali operativi al rilevamento e alla risposta.
• Conditional Access – Simply Explained — Capisci i controlli di identità e di rischio alla base dell'accesso sicuro.

Questi episodi ti aiutano a trasformare il tema dell'articolo in decisioni pratiche di implementazione.