什么是 Microsoft Purview 审计？梳理标准版和高级版的保留与调查范围
关于本文
本文是通过利用生成式 AI 的自动生成流程创建的。基于截至 2026 年 9 月 18 日的微软官方信息，梳理了 Microsoft Purview 审计（标准版/高级版）的保留期、E3/E5 的区别以及安全的审计检索。验证状态：📘 微软官方信息已确认・真机未验证
Microsoft Purview 审计是 Microsoft 365 中用于调查“谁、在何时、做了什么”的审计日志功能。可将文件操作、管理员操作、邮件相关操作等用于事件调查和合规性确认。
标准版与高级版
审计（标准版）的默认保留期目前为 180 天。2023 年 10 月 17 日之后生成的标准版日志基本保留 180 天。
| 考量维度 | 审计标准版 | 审计高级版 |
|---|---|---|
| 审计日志检索 | 有 | 有 |
| 基本保留 | 180 天 | 高级保留功能 |
| 1 年保留策略 | 仅凭标准版无法实现 | 通过 E5/Purview 套件等相应权益使用 |
| 10 年保留 | — | 需要额外的 10 年保留附加组件 |
| 高级审计 | 基本 | 高级审计服务计划等 |
根据微软官方说明，要保留超过 180 天且最多 1 年，生成日志的用户需要拥有 Office 365 E5 / Microsoft 365 E5 / Microsoft Purview 套件或相应的电子数据展示 (eDiscovery) & 审计附加组件等。保留 10 年则需要额外的 10 年审计日志保留附加组件。
flowchart LR A[Microsoft 365 activity] --> L[Audit log] L --> S[Standard: 180 days] L --> P[Premium / retention policy] P --> Y[up to 1 year] P --> T[10 years + add-on] L --> Q[Search / Investigation]
首先尝试：读取短期数据
在 Purview 门户的“审计”中指定测试用户和较短的时间段。
Users: 検証用ユーザー Date range: 過去24時間 Activities: まずは指定なし
查看此处：日期和时间、用户、操作、目标资源。
成功条件：能够找到已知的测试操作日志，或者能够解释结果为 0 条的原因。
更改一处
仅将时间段从 24 小时更改为 7 天，并对比数量差异。
PowerShell 也从读取开始
# Exchange Online PowerShellへ接続済みの前提 Search-UnifiedAuditLog ` -StartDate (Get-Date).AddDays(-1) ` -EndDate (Get-Date) ` -ResultSize 100
查看此处：CreationDate、UserIds、Operations等。
成功条件：能够确认与 Purview 门户相同时间段内的事件趋势。
更改一处：AddDays(-1)将AddDays(-7)更改为。不修改审计设置本身。
三个视角
普通用户：审计日志是操作凭证，而不是录制所有屏幕内容的机制。
业务人员/审计人员：明确要调查的日期时间、用户和文件，会更容易进行检索。
IT 部门/安全团队：根据所需的保留期进行倒推，设计标准版/高级版/附加组件的配置。
管理员需要确认的事项
Audit Reader / Audit Manager 等角色
标准版/高级版的适用许可证
高级审计服务计划 (Advanced Auditing service plan)
生成日志的用户所需的许可证
180天/1年/10年的保留要求
导出的审计数据的保存
Microsoft 365 外部 AI 等的按需付费 (pay-as-you-go) 条件
微软官方信息・一手资料
审计并非“有了日志就万事大吉”，只有在确认所需的保留期、用户 and 操作确实被记录下来，并且在需要时能够检索到，它才能真正发挥作用。
