Unified Audit Log nie działa

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

Rozwiąż problemy z niedziałającym Unified Audit Log w Microsoft 365: sprawdź audytowanie, uprawnienia, filtry wyszukiwania, licencjonowanie i opóźnienia.

Automatically translated with AI from the original post. Read the English original

Nic tak nie podnosi ciśnienia w IT, jak otwarcie audytu Microsoft 365 i… nic. Unified Audit Log ma dawać pełny obraz aktywności użytkowników i administratorów, co jest niezbędne przy reagowaniu na incydenty, w kwestiach zgodności i po prostu dla spokoju ducha. Gdy brakuje w nim danych, wyszukiwanie zawodzi albo przycisk eksportu wydaje się trwale zablokowany, cały proces bezpieczeństwa może stanąć.

Ten przewodnik omawia główne powody, dla których unified audit log może nie działać, od brakujących uprawnień po opóźnione dane i ukryte aktualizacje Microsoft. Znajdziesz tu konkretne kroki, które przywrócą prawidłowe działanie, oraz wskazówki, jak uniknąć kolejnych niespodzianek. Omawiamy też problemy, o których rzadko się mówi, takie jak luki w licencjonowaniu, konflikty konfiguracji i opóźnienia w przetwarzaniu w tle, które wyglądają jak prawdziwe awarie. Na koniec będziesz wiedział nie tylko, jak naprawić problemy z audytem, ale też jak sprawić, by Twoje logi były tak niezawodne jak poranna kawa.

Włączanie rejestrowania audytu w aplikacjach Microsoft 365

Włączenie rejestrowania audytu w usługach Exchange Online, SharePoint, OneDrive i Teams to pierwszy krok, a zarazem często najbardziej pomijany, jeśli chodzi o uzyskanie wiarygodnych danych audytu z Unified Audit Log w Microsoft 365. Zrobisz to w portalu zgodności Microsoft 365, który w większości organizacji został przemianowany na Microsoft Purview.

W dzierżawach komercyjnych przejdź do portalu Microsoft Purview, wybierz „Audit” i sprawdź, czy rejestrowanie audytu jest faktycznie włączone. Choć może to brzmieć nieprawdopodobnie, nie zawsze dzieje się to automatycznie, nawet w nowszych dzierżawach. Jeśli korzystasz z klasycznego portalu zgodności albo pracujesz w dzierżawie rządowej (GCC lub DOD), interfejs może wyglądać nieco inaczej, ale ustawienia znajdziesz w podobnym miejscu, w sekcji „Search” lub „Audit log search”.

Włączając Unified Audit Log, nie zakładaj, że „domyślne” oznacza „gotowe”. Nowe aplikacje Microsoft 365 czasem wymagają ponownego włączenia audytu, aby był w pełni objęty rejestrowaniem. Na przykład usługi Teams lub nowe witryny SharePoint mogą nie być w pełni uwzględnione, jeśli zostały uruchomione później. Po wdrożeniu nowych usług zawsze warto sprawdzić stan rejestrowania.

Pamiętaj: w niektórych środowiskach kompletność wymaga kilku kroków. Audytowanie aktywności użytkowników w Microsoft Purview pomoże Ci sprawdzić, jakie poziomy masz do dyspozycji (Audit Standard czy Premium), co jest rejestrowane i jak upewnić się, że objęta jest każda usługa chmurowa. Pominięcie weryfikacji to nr 1 przyczyna braku logów wtedy, gdy są najbardziej potrzebne.

Uprawnienia narzędzi audytu i dostęp do portalu zgodności

Działający dziennik audytu to nie tylko kwestia włączenia właściwych przełączników. Wiele zależy od tego, jaką rolę pełnisz w świecie Microsoft 365. Aby uzyskać dostęp do dzienników audytu i je przeszukiwać, administratorzy potrzebują odpowiedniego zestawu uprawnień przypisanych w Microsoft Purview lub w Security & Compliance Center.

Niezbędne role to zazwyczaj Compliance Administrator, Audit Logs lub Security Reader. Przydziela się je za pośrednictwem grup ról w portalu Microsoft Purview (a czasem w Entra ID). Jeśli próbujesz pobrać logi, a coś nie działa lub opcje są wyszarzone, sprawdź dwa razy, czy Twoje konto rzeczywiście należy do właściwej grupy, i czy ostatnie zmiany zdążyły się zsynchronizować w zapleczu Microsoft 365.

Typowe pułapki? Przypisanie osób do niewłaściwej grupy (np. Global Reader zamiast Compliance Administrator), poleganie na rolach Entra ID przy pominięciu konfiguracji w Purview albo brak świadomości, że zmiany dostępu mogą aktywować się nawet przez 24 godziny. Niespójne przypisania ról lub korzystanie z kont awaryjnych break-glass, które omijają ręczne przeglądy, również mogą sprawić, że narzędzia audytu nie będą działać zgodnie z oczekiwaniami.

Dobrze zarządzany dostęp do audytu to nie tylko otwieranie drzwi, ale także dobre zarządzanie, usuwanie nieaktualnych kont i regularne przeglądy dostępu. Szczegółowo wyjaśniono to w tym przewodniku po dostępie do danych i zarządzaniu nimi w Microsoft 365. Ścisła kontrola uprawnień pomaga uniknąć przypadkowych luk w audycie i jednocześnie zapewnia zgodność z własnymi zasadami bezpieczeństwa.

Rozwiązywanie problemów z awariami Unified Audit Log w Microsoft 365

Gdy zunifikowany dziennik audytu zawodzi – pokazuje puste wyniki wyszukiwania, brakujące rekordy lub niestabilne opcje eksportu – zwykle jest to objaw czegoś głębszego: konfiguracji, licencjonowania lub opóźnień po stronie usługi. Te problemy mogą wyglądać bardzo podobnie, ale często mają zupełnie inne przyczyny i rozwiązania.

Zanim zgłosisz sprawę do pomocy technicznej lub eskalujesz problem, warto wiedzieć, jak wygląda „normalne” działanie i które kroki diagnostyczne pozwolą ustalić, czy masz do czynienia z brakującymi zdarzeniami, błędnym zakresem czasu, brakiem uprawnień czy limitami narzuconymi przez firmę Microsoft. Czasem przyczyną jest zwykłe opóźnienie wczytywania danych, innym razem subtelny problem z licencją lub zmiana zasad, która umknęła uwadze.

W kolejnych sekcjach znajdziesz praktyczne wskazówki dotyczące diagnozowania luk, sprawdzania kompletności dziennika, obchodzenia dziwnych zachowań programu PowerShell i eksportu oraz filtrowania wyników na potrzeby rzeczywistej analizy. Opanuj te kroki, a znacznie szybciej rozpoznasz – i rozwiążesz – najczęstsze oraz najtrudniejsze błędy dziennika audytu.

Niezawodność i kompletność: rozwiązywanie problemów z brakującymi lub niepełnymi rekordami audytu

• Sprawdź zasady przechowywania i licencjonowanie: Luki w danych często pojawiają się, gdy Twoje licencje Microsoft 365 nie obsługują rozszerzonego przechowywania (tylko E5 lub Premium) albo gdy licencja użytkownika została niedawno zmieniona. Zawsze upewnij się, że masz odpowiedni poziom licencji dla rekordów i okresu, których potrzebujesz.
• Sprawdź opóźnienia wczytywania danych: Dzienniki audytu nie działają w czasie rzeczywistym. Może występować wbudowane opóźnienie od 15 minut do kilku godzin, a w rzadkich przypadkach nawet dłuższe, zwłaszcza w weekendy lub podczas awarii usług firmy Microsoft. To opóźnienie może sprawiać wrażenie, że logi zaginęły, choć w rzeczywistości dopiero się pojawią.
• Zidentyfikuj ograniczenia przepustowości i eksportu: Duże dzierżawy mogą napotykać ograniczenia przepustowości (throttling), zwłaszcza gdy eksporty lub wyszukiwania audytu są uruchamiane w dużej liczbie. Niektóre działania mogą zostać pominięte lub pojawić się z opóźnieniem, jeśli przekraczasz limity szybkości lub limity sesji.
• Odfiltruj fałszywe alarmy: Upewnij się, że filtry użytkowników, dat lub aktywności nie są przypadkiem zbyt wąskie lub błędnie skonfigurowane. Przeszukiwanie zbyt wąskiego przedziału czasu, wybranie niewłaściwego użytkownika lub grupy albo odfiltrowanie nieistotnych „zdarzeń szumu” mogą sprawiać wrażenie, że system jest bardziej uszkodzony, niż jest w rzeczywistości.
• Sprawdź problemy z konfiguracją na poziomie dzierżawy: Czasem ustawienia dzierżawy dotyczące dostępu warunkowego, uprawnień jednostek usługi lub nawet zasady blokad zgodności mogą zakłócać tworzenie zdarzeń audytu. Przejrzyj ostatnie zmiany konfiguracji i aktualizacje zabezpieczeń, aby wykluczyć ukryte przyczyny.

Korzystanie z cmdlet Search-UnifiedAuditLog w Microsoft PowerShell

Cmdlet Search-UnifiedAuditLog w programie PowerShell to potężne narzędzie do zaawansowanego rozwiązywania problemów. Pozwala ominąć portal internetowy i bezpośrednio przeszukiwać zunifikowane dzienniki audytu w usługach Microsoft 365. Jest szczególnie przydatny przy masowych eksportach, sprawdzaniu dużych zakresów danych lub automatyzowaniu cyklicznych analiz.

Typowe zadania administratora obejmują wyszukiwanie według daty, użytkownika lub aktywności oraz eksportowanie wyników do dalszej analizy. Warto jednak pamiętać o znanych ograniczeniach, takich jak limit eksportu wynoszący 50 000 rekordów czy throttling przy wielokrotnym uruchamianiu dużych wyszukiwań. Błędy w tym zakresie mogą wskazywać, czy problem leży po stronie usługi, portalu, czy po prostu w limitach skalowania w Twojej sesji.

Choć automatyzacja daje duże możliwości, niektóre materiały – jak szczegółowe omówienia governance w PowerShell – mogą przekierowywać do innych publikacji, jeśli treści zostaną przeniesione. Oficjalna dokumentacja i fora pozostają jednak niezastąpione, gdy szukasz najnowszych opcji cmdlet i pułapek.

Filtrowanie według daty, użytkownika oraz przeglądanie szczegółów podczas eksportu dzienników

• Filtruj według zakresu dat: Zawsze określ konkretne okno czasowe – tydzień lub kilka dni – aby ograniczyć wyniki wyszukiwania i zmniejszyć ilość szumu. Zbyt szerokie wyszukiwania po dacie często pomijają zdarzenia lub przeciążają funkcje eksportu.
• Wskaż użytkowników lub typ aktywności: Używaj nazw UPN użytkowników lub słów kluczowych dotyczących aktywności, aby pobierać wyłącznie zdarzenia, które Cię interesują. Pozwala to uniknąć długiego oczekiwania i zmniejsza ryzyko przekroczenia limitów rozmiaru eksportu.
• Przejrzyj szczegóły zdarzeń przed eksportem: Otwarcie pojedynczego wpisu dziennika przed masowym eksportem pozwala sprawdzić, czy zdarzenia są rejestrowane zgodnie z oczekiwaniami i z właściwymi metadanymi.
• Eksportuj partiami: W przypadku większych audytów dziel eksport na mniejsze, częściowo nakładające się przedziały czasu, aby uniknąć przekroczenia limitów czasu lub niepełnych plików CSV.

Uruchamianie wyszukiwań w dzienniku audytu i eksport danych z ujednoliconego dziennika audytu

Aby uruchomić wyszukiwanie w dzienniku audytu Microsoft 365, przejdź do portalu Microsoft Purview i wybierz sekcję Audyt. Wybierz zakres dat, użytkowników i typy działań, aby zbudować zapytanie. Unikaj wyszukiwań obejmujących wszystkich użytkowników lub całą dzierżawę, chyba że naprawdę ich potrzebujesz, ponieważ mogą one przeciążyć interfejs i mechanizm eksportu.

Gdy wyniki się pojawią, możesz je wyświetlić lub wyeksportować do pliku CSV z poziomu portalu. Pamiętaj, że bardzo duże wyniki mogą się nie udać lub przekroczyć limit czasu, dlatego zapytania warto zawężać. Jeśli podczas eksportu pojawiają się błędy, spróbuj krótszych zakresów dat lub użyj programu PowerShell, aby pobierać dzienniki audytu partiami.

Zawsze sprawdź wyeksportowane pliki pod kątem kompletności (kolumn i zakresu czasu), zanim oprzesz na nich analizę incydentu.

Opóźnienia w ujednoliconym dzienniku audytu i problemy z opóźnieniem danych

Jedną z najczęściej pomijanych przyczyn „brakujących” danych audytu jest zwykłe opóźnienie. Dzienniki audytu nie zawsze są aktualizowane w czasie rzeczywistym, a Microsoft przetwarza zdarzenia w partiach, więc wpis dziennika może pojawić się długo po wykonaniu akcji przez użytkownika.

Może to prowadzić do panicznych zgłoszeń do pomocy technicznej i niepotrzebnego rozwiązywania problemów, gdy dzienniki są po prostu wolne, a nie uszkodzone. Kluczowe jest zrozumienie typowych czasów pozyskiwania danych oraz sposobu odróżniania normalnego opóźnienia od rzeczywistej utraty danych lub błędu systemu. Ta sekcja wyjaśnia, jak działają te opóźnienia i jak śledzić, które zdarzenia są faktycznie brakujące, a które tylko spóźnione.

Normalne a nietypowe opóźnienia przetwarzania dzienników audytu

Ujednolicone dzienniki audytu Microsoft 365 zazwyczaj przetwarzają działania użytkowników i administratorów w ciągu od 15 minut do godziny, ale nierzadko zdarzają się opóźnienia sięgające 24 godzin, zwłaszcza podczas prac serwisowych, lokalnych awarii lub w przypadku niektórych zdarzeń o niskim priorytecie.

Oficjalny SLA firmy Microsoft określa górną granicę dostępności dzienników na 24 godziny w normalnych warunkach, co oznacza, że krótsze opóźnienia mieszczą się w oczekiwaniach. Jeśli zdarzenia audytu brakuje dłużej niż to, lub jeśli opóźnione są różne typy działań, warto zacząć dokładniejsze badanie.

Pamiętaj, że niektóre usługi (na przykład Teams lub działania aplikacji zewnętrznych) mogą grupować swoje dzienniki inaczej niż SharePoint czy Exchange. Zanim uznasz, że doszło do systemowej awarii dzienników, zawsze sprawdź aktualne komunikaty serwisowe firmy Microsoft.

Jak monitorować i potwierdzać kompletność danych dziennika w czasie

• Ustal bazowe oczekiwane działania: Zidentyfikuj znaną akcję użytkownika (na przykład logowanie do skrzynki lub przesłanie pliku), zapisz jej znacznik czasu, a następnie sprawdź, po jakim czasie pojawią się odpowiadające jej zdarzenia audytu.
• Używaj skryptów PowerShell: Automatyzuj codzienne kontrole za pomocą zaplanowanych skryptów, które pobierają najnowsze wpisy dziennika, porównują znaczniki czasu i oznaczają anomalie, dzięki czemu nie musisz polegać na ręcznych przeglądach.
• Śledź zaległości w czasie: Jeśli wpisu dziennika brakuje, sprawdź ponownie po 24 i 48 godzinach. Czasem opóźnienia same się rozwiązują, a utrzymujące się luki mogą wskazywać na wąskie gardła po stronie zaplecza.
• Porównuj z zgłoszeniami użytkowników: Jeśli użytkownicy twierdzą, że krytyczna czynność nie została zarejestrowana, porównaj datę ich działania z znacznikami czasu eksportu, aby wykluczyć pominięcie danych przed otwarciem zgłoszenia do pomocy technicznej.

Gotowość dzienników audytu a strategia zgodności

Uzyskanie wiarygodnych dzienników audytu w Microsoft 365 zaczyna się na długo przed incydentem. Organizacje potrzebują planu obejmującego cały cykl życia: licencjonowanie, przechowywanie, automatyzację i strategię zgodności. Wiele awarii dzienników wynika z prostych błędów, takich jak pominięte subskrypcje, nieprzypisane role czy niezgodne ustawienia zasad.

Ta sekcja przedstawia wszystkie kluczowe elementy: jak długo przechowywane są dzienniki (oraz jak to się różni w przypadku E3 i E5 oraz planów rządowych), jakie listy kontrolne zapewnią solidną konfigurację i praktyczne wskazówki dotyczące licencjonowania, aby uniknąć cichych przerw w działaniu. Dowiesz się także, jak Microsoft Purview oraz powiązane mechanizmy bezpieczeństwa, takie jak DLP i etykietowanie poufności, wpisują się w szerszy obraz zgodności.

Samo włączony dziennik audytu nie wystarcza przy współpracy w chmurze. O rzeczywistej, trwałej gotowości decydują regularne przeglądy, przemyślana strategia zasad oraz dopasowanie szczegółów technicznych do ryzyk biznesowych i regulacyjnych. Więcej o trudniejszych aspektach zgodności i treściach generowanych przez AI znajdziesz w tym omówieniu ukrytego dryfu zgodności oraz w materiale o zarządzaniu Copilotem za pomocą Purview — pokazują one, że stabilne pulpity to tylko część obrazu.

Podstawy przechowywania dzienników audytu i praktyczna lista kontrolna audytu w Microsoft 365

• Przypisz odpowiednie role administracyjne: Upewnij się, że przypisano wszystkie niezbędne role związane z audytem, zgodnością i bezpieczeństwem — na przykład Administrator zgodności oraz Dzienniki audytu — zarówno w Purview, jak i w Entra ID.
• Zweryfikuj wymagania licencyjne: Standardowe przechowywanie dzienników audytu trwa 90 dni w przypadku większości dzierżaw E3 (komercyjnych). Licencja E5 lub Audit Premium odblokowuje wydłużone przechowywanie (1 rok i więcej), lepsze sygnały oraz część zdarzeń o wysokiej wartości. Sprawdź dokładnie, czy wszyscy użytkownicy wymagający objęcia audytem mają właściwe licencje — szczególnie po zmianach lub wdrożeniach licencjonowania opartego na grupach.
• Skonfiguruj ustawienia audytu w Purview: Sprawdź, czy rejestrowanie audytu jest jawnie włączone i obejmuje wszystkie kluczowe usługi — Exchange, SharePoint, OneDrive, Teams oraz wszystkie krytyczne aplikacje. Nie pomijaj wdrażania nowych usług.
• Sprawdź zasady przechowywania i eksportu: Ustaw przechowywanie zgodnie z wymogami biznesowymi i regulacyjnymi. Uważaj na konkurujące zasady Purview lub blokady przechowywania, które mogą powodować niespójności między usługami.
• Regularnie testuj i weryfikuj zakres audytu: Wykonuj przykładowe wyszukiwania w dzienniku audytu, dokumentuj oczekiwany okres przechowywania i raz w miesiącu eksportuj przykładowe dzienniki, aby potwierdzić, że dane są obecne i dostępne wtedy, gdy są potrzebne.
• Rozważ dodatkowe mechanizmy zgodności: W środowiskach wysokiego ryzyka rozszerz zarządzanie o DLP, etykiety poufności oraz regularne przeglądy dostępu i właścicielstwa, aby zapobiegać lukom w audycie i umożliwić skuteczną reakcję na incydenty.

Luki w którymkolwiek z powyższych obszarów — i zapominanie, że przechowywanie danych nie jest nieograniczone — to najczęstsza przyczyna braku krytycznych zdarzeń w chwili, gdy przychodzi czas na dochodzenie. Dostosuj listę kontrolną do swoich dokładnych ryzyk i obowiązków regulacyjnych, aby zachować gotowość i pełne pokrycie.

Praktyczne wskazówki, jak w pełni wykorzystać ujednolicony dziennik audytu

Pracując z ujednoliconym dziennikiem audytu Microsoft 365, powierzchowne wyszukiwania to tylko drapanie po wierzchu. Jeśli chcesz wychwycić wszystko — zwłaszcza działania na skrzynkach pocztowych wykonywane przez użytkowników lub administratorów — musisz wykorzystać zaawansowane filtry wyszukiwania. Nie wahaj się sięgnąć po PowerShell: polecenia takie jak Search-UnifiedAuditLog pozwalają zawęzić wyniki według użytkownika, daty lub aktywności z dużą precyzją.

Skorzystaj też z opcji eksportu. Regularne eksportowanie danych audytu do plików CSV ułatwia porównywanie dzienników z osiami czasu incydentów. Jeśli chcesz ustalić, kto usunął wrażliwy plik, albo kiedy ktoś przyznał nieoczekiwane uprawnienia do skrzynki pocztowej, te wyeksportowane dane są bezcenne przy tworzeniu śladów audytu lub raportów z incydentów.

Miej oko na bardziej podstępne luki w dziennikach. Wiele osób przeoczuje błędy związane z licencjami lub zasadami. Wyrób sobie nawyk weryfikowania spójnego pokrycia audytem, zwłaszcza po zmianach licencji lub większych aktualizacjach. Uważaj na brakujące zdarzenia, które mogą wynikać z opóźnień lub zmian w zasadach administracyjnych — a nie tylko z nieprawidłowego działania dziennika.

Wiedz, kiedy eskalować. Jeśli sprawdziłeś filtry, zweryfikowałeś licencje i zasady, a mimo to nadal widzisz niewyjaśnione luki w audycie, nie ma sensu dalej walczyć po omacku. To właściwy moment, aby uporządkować ustalenia i otworzyć zgłoszenie pomocy technicznej u Microsoftu. Czasem to, co wygląda na błąd użytkownika, okazuje się problemem po stronie zaplecza, który może naprawić tylko Microsoft.

Warto też posłuchać

Jeśli interesuje Cię Unified Audit Log not working, te odcinki dostarczają praktycznego kontekstu dotyczącego zarządzania, bezpieczeństwa, automatyzacji i niezawodnych operacji w Microsoft 365.

• Microsoft Purview – Simply Explained — Połącz przechowywanie, zgodność, audyt i zarządzanie danymi.
• Microsoft Teams Governance – Simply Explained — Dowiedz się, dlaczego zasady dotyczące własności i cyklu życia mają znaczenie dla współpracy.
• Microsoft Defender XDR – Simply Explained — Powiąż sygnały operacyjne z wykrywaniem zagrożeń i reagowaniem na nie.
• Conditional Access – Simply Explained — Poznaj mechanizmy tożsamości i kontroli ryzyka, na których opiera się bezpieczny dostęp.

Te odcinki pomagają przełożyć temat artykułu na praktyczne decyzje wdrożeniowe.