Cómo crear un registro de cambios para todo el tenant con registros de auditoría y Power Automate

Seguir el ritmo de los cambios en tu tenant de Microsoft 365 (modificaciones de usuarios, actualizaciones de seguridad o asignaciones de roles) resulta casi imposible sin una visibilidad centralizada.

Una solución es usar Power Automate para los registros de auditoría y convertirlos en un historial claro y accionable que refuerce la rendición de cuentas y la seguridad. En esta guía aprenderás a construirlo paso a paso con Power Automate y Microsoft Purview.

¿Necesitas verlo en vídeo? Consulta «Cómo crear un registro de cambios para todo el tenant con registros de auditoría y Power Automate» para una explicación detallada del tema.

Procedimientos para crear un registro de cambios del tenant

Centralizar el seguimiento de cambios evita brechas de seguridad y simplifica las auditorías de cumplimiento en todo tu entorno de Microsoft 365.

📌 Caso de uso: un registro de cambios del tenant automatizado te permite supervisar actividades críticas como cambios de permisos, actualizaciones de políticas y eventos del ciclo de vida de los usuarios, además de mantener la visibilidad histórica entre departamentos. Convierte los registros de auditoría dispersos de Microsoft Purview en un activo de seguridad unificado.

📌 Requisitos previos: antes de continuar, asegúrate de contar con Microsoft 365 E3/E5, acceso a Power Automate, un rol de administrador en el entorno (por ejemplo, Administrador global, Administrador de seguridad o Administrador de cumplimiento), acceso al Portal de cumplimiento de Microsoft Purview y los módulos de PowerShell (concretamente Microsoft Graph y ExchangeOnlineManagement).

Te recomendamos revisar ⚠️Aspectos a tener en cuenta antes de continuar.

📌 Estrategias de despliegue:

Haz clic para elegir un método	💻 Mejor para usuarios individuales	💻💻💻 Mejor para empresas
Método 1: activar el registro de auditoría unificada	✓	✓
Método 2: usar Power Automate para registrar cambios a partir de eventos de auditoría	✓	✓
Método 3: usar PowerShell para exportar y almacenar los registros de auditoría		✓
Método 4: almacenar los registros en una ubicación centralizada de SharePoint o Teams	✓	✓
Método 5: usar el Registro para etiquetar eventos de endpoints o añadir metadatos del dispositivo	✓	✓
Método 6: aplicar directivas de grupo para auditar eventos en los endpoints		✓
Método 7: usar CMD y la CLI para validar y diagnosticar los registros	✓	✓

Método 1: activar el registro de auditoría unificada

Al activar la auditoría unificada, Microsoft 365 registra todos los cambios críticos que se producen en tu tenant.

📌 Caso de uso: es el procedimiento ideal cuando configuras por primera vez el registro de cambios de tu tenant o cuando quieres verificar la cobertura de auditoría existente..

Procedimiento paso a paso:

1. Accede al portal de Purview.
   • Ve al Portal de cumplimiento de Microsoft Purview e inicia sesión con tu cuenta de administrador.
2. Ve a Auditoría.
   • En el menú de la izquierda, selecciona Soluciones > Auditoría.
   • Si no lo encuentras, haz clic primero en Ver todas las soluciones.
3. Activa el registro.
   • Si la auditoría está desactivada, verás un banner destacado; haz clic entonces en Iniciar la grabación de la actividad de usuarios y administradores.

💡 Nota: si no aparece ningún banner, la auditoría ya está activada.

4. Verifica la cobertura.
   • Confirma que estos servicios están incluidos:
     1. Exchange Online
     2. SharePoint/OneDrive
     3. Microsoft Teams
     4. Microsoft Entra ID
5. Espera a que se active.
   • Deja pasar 24 horas para que se generen todos los registros. Los primeros eventos aparecen en una hora.

En un plazo de 24 horas, Microsoft 365 empezará a registrar eventos como creaciones de usuarios, cambios de permisos y actualizaciones de políticas. Estos registros de auditoría de Microsoft Purview serán la fuente de datos de tu flujo de Power Automate.

Método 2: usar Power Automate para registrar cambios a partir de eventos de auditoría

Automatiza el seguimiento en todo el tenant transformando los datos de auditoría sin procesar en registros accionables.

📌 Caso de uso: hazlo cuando necesites un registro continuo y personalizado de cambios concretos, como actualizaciones de permisos o modificaciones de buzones..

Procedimiento paso a paso:

1. Crea un registro de aplicación en Azure AD.
   • Ve al portal de Azure > Entra ID > Registros de aplicaciones > Nuevo registro.
   • Concede estos permisos de API:
     1. AuditLog.Read.All (para Microsoft Graph)
     2. ActivityFeed.Read (API de administración de Office 365)
2. Crea un nuevo flujo.
   • Ve a Power Automate, haz clic en Crear y elige Flujo de cloud programado.
   • Dale un nombre (por ejemplo, Tenant Change Logger).
   • Configúralo para que se ejecute cada hora (ajuste predeterminado) y haz clic en Crear.
3. Obtén tu token de seguridad.
   • Añade una nueva acción:
     • Haz clic en Buscar y selecciona Azure AD > Get OAuth 2.0 Token.
     • Rellena los campos:
       1. Authority URL: https://login.microsoftonline.com
       2. Client ID: [de tu aplicación de Azure AD]
       3. Client Secret: [de tu aplicación de Azure AD]
       4. Resource: https://graph.microsoft.com
4. Añade la acción que recupera los registros de auditoría.
   • Haz clic en + Nuevo paso, busca HTTP y selecciona HTTP-HTTP.
   • Configúralo así:
     1. Method: GET
     2. URI: pega https://graph.microsoft.com/v1.0/auditLogs/directoryAudits
     3. Encabezados:

{
"Authorization": "Bearer <PASTE_TOKEN_HERE>"
}

5. Filtra los eventos importantes.
   • Haz clic en + Nuevo paso y busca Filter array.
   • En From, selecciona value del paso HTTP.
   • Pega esto en el cuadro del filtro:

@or(
equals(item()?[‘activityDisplayName’], ‘Add member to role’),
equals(item()?[‘activityDisplayName’], ‘Delete user’)
)

• • Así solo se capturan los cambios de roles y permisos: personaliza aquí tu lista de eventos a vigilar.

6. Guarda los datos en tu registro.
   • Añade la última acción y busca SharePoint > Crear elemento.
   • Selecciona tu sitio y tu lista.
   • Asigna los campos:
     1. Timestamp: activityDateTime
     2. User: userPrincipalName
     3. Action: activityDisplayName
7. Prueba y activa el flujo.
   • Ejecútalo manualmente con el botón Probar.
   • Comprueba que los eventos aparecen en el destino del registro.

Tu flujo rellenará automáticamente cada hora el registro de cambios con eventos como eliminaciones de usuarios o actualizaciones de políticas. A partir de ahí tendrás un historial centralizado y consultable para auditorías o investigaciones de incidentes.

Método 3: usar PowerShell para exportar y almacenar los registros de auditoría

PowerShell ofrece un control preciso para extraer y almacenar los registros de cambios más importantes.

📌 Caso de uso: usa este método cuando necesites filtros avanzados, una programación personalizada o exportaciones directas a CSV para el análisis histórico.

Procedimiento paso a paso:

1. Conéctate a Exchange Online.
   • Abre Windows Terminal (como administrador) y ejecuta:

Connect-ExchangeOnline -Device
# Authenticate with your admin account when prompted

2. Busca y exporta los registros.
   • Ejecuta este comando para capturar los eventos clave:

Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) `-Operations «Add-MailboxPermission», «Update-User», «Add-MemberToRole» `-ResultSize 1000 | Export-Csv "C:\AuditLogs\Changes.csv" -NoTypeInformation

3. Automatiza las exportaciones diarias.
   • Guarda el script como Export-AuditLogs.ps1.
   • Crea una tarea en el Programador de tareas de Windows o usa tu plataforma RMM (por ejemplo, NinjaOne) para desplegar este script en los dispositivos de tu empresa:
     1. Desencadenador: todos los días a las 2:00 (o a la hora que mejor te convenga).
     2. Acción: powershell.exe -File "C:\Scripts\Export-AuditLogs.ps1"

La tarea programada generará archivos CSV diarios (por ejemplo, Changes_08-15-2023.csv) con registros fechados de las acciones de los administradores, listos para analizar en Excel (usa Power Query para interpretar los campos JSON), almacenar a largo plazo (Azure Blob o recursos compartidos de red) y realizar auditorías manuales o la ingesta en un SIEM.

Método 4: almacenar los registros en una ubicación centralizada de SharePoint o Teams

Guarda tu historial de cambios donde los equipos puedan consultarlo y trabajar con él de forma segura.

📌 Caso de uso: ideal para equipos que necesitan pistas de auditoría compartidas y consultables, con permisos personalizables.

Procedimiento paso a paso:

1. Crea una ubicación de registro en SharePoint.
   • Ve a SharePoint Online > + Nuevo > Lista.
   • Nombre: TenantChangeLog.
   • Crea estas columnas:

Nombre de la columna	Tipo
Timestamp	Fecha y hora
User	Persona
Operation	Una línea de texto
Workload	Opción (opciones: Exchange, Teams, Entra ID)
Item	Una línea de texto

2. Rellena la lista automáticamente con Power Automate.
   • Modifica tu flujo de Power Automate existente (el del método 2):
     • Sustituye la última acción por: SharePoint > Crear elemento.
     • Asigna los campos:
       1. Timestamp: activityDateTime
       2. User: userPrincipalName
       3. Operation: activityDisplayName
       4. Workload: service
       5. Item: targetResources
3. Configura los permisos.
   • En SharePoint:
     1. Ve a Configuración > Permisos de esta lista.
     2. Concede acceso de lectura a los auditores.
     3. Limita la edición a los administradores de seguridad.

Tu registro de cambios automatizado se actualizará cada hora con los nuevos eventos. Los miembros del equipo podrán buscar cambios históricos en SharePoint/Teams, configurar alertas sobre operaciones críticas (por ejemplo, «Add member to role») y crear paneles de Power BI a partir de la lista.

Método 5: usar el Registro para etiquetar eventos de endpoints o añadir metadatos del dispositivo

Añade contexto de los endpoints a tus pistas de auditoría para rastrear incidentes con precisión.

📌 Caso de uso: úsalo cuando necesites atribuir acciones a dispositivos o departamentos concretos durante investigaciones de seguridad.

Procedimiento paso a paso:

1. Crea las claves del Registro.
   • Abre Ejecutar (Win + R) y escribe regedit para abrir el Editor del Registro.
     • Asegúrate de tener privilegios administrativos.
   • Ve a HKEY_LOCAL_MACHINE\SOFTWARE\Org\TenantMetadata
     • Si no existe la clave TenantMetadata, créala (clic derecho > Nuevo > Clave).
   • Añade dos valores de cadena (clic derecho dentro de la clave > Nuevo > Valor de cadena).
     • Llama a una de las cadenas DeviceTag.
       1. Introduce como valor NYC-Laptop-001.
     • Llama a la otra cadena Department.
       • Introduce como valor Finance.
2. Automatiza el despliegue de las etiquetas (directiva de grupo).
   • Abre la Consola de administración de directivas de grupo.
   • Crea un nuevo GPO en Configuración del equipo > Preferencias > Registro:
     • Introduce lo siguiente:
       1. Acción: Crear
       2. Subárbol: HKEY_LOCAL_MACHINE
       3. Ruta de la clave: SOFTWARE\Org\TenantMetadata
       4. Valor: DeviceTag; después, establece el tipo en REG_SZ y los datos en «%COMPUTERNAME%»
3. Enriquece los registros de auditoría:
   • Con PowerShell, añade el script siguiente a la exportación:

$deviceTag = (Get-ItemProperty -Path "HKLM:\SOFTWARE\Org\TenantMetadata").DeviceTag $dept = (Get-ItemProperty -Path "HKLM:\SOFTWARE\Org\TenantMetadata").Department [PSCustomObject]@{ Timestamp = Get-Date User = $env:USERNAME Device = $deviceTag Department= $dept Event = «Local Admin Change» } | Export-Csv "C:\Logs\EndpointEvents.csv" -Append

• • Power Automate: añade una acción HTTP hacia la API de gestión de dispositivos para recuperar las etiquetas durante el procesamiento de los registros.

Método 6: aplicar directivas de grupo para auditar eventos en los endpoints

Amplía tu visibilidad a los dispositivos locales para una supervisión híbrida completa.

📌 Caso de uso: ideal para organizaciones con dispositivos Windows 11 en entornos híbridos de Azure AD que necesitan seguir la actividad local.

Procedimiento paso a paso:

1. Abre la administración de directivas de grupo.
   • Pulsa Win + R y escribe gpmc.msc para abrir la herramienta.
   • Ve a Bosque > Dominios > [tu dominio].
2. Crea una nueva directiva.
   • Haz clic derecho en Objetos de directiva de grupo y selecciona Nuevo.
   • Llámala Endpoint-Audit-Policy.
3. Configura los ajustes de auditoría.
   • Ve a Configuración del equipo > Directivas > Configuración de Windows > Configuración de seguridad > Configuración de directiva de auditoría avanzada > Directivas de auditoría.
   • Activa lo siguiente:
     1. Administración de cuentas: Auditar la administración de cuentas de usuario (Correcto)
     2. Administración de cuentas: Auditar la administración de grupos de seguridad (Correcto)
     3. Inicio y cierre de sesión: Auditar inicio de sesión (Correcto, Error).
4. Vincúlala a la unidad organizativa.
   • Haz clic derecho en la UO de destino (por ejemplo, Hybrid-Workstations).
   • Selecciona Vincular un GPO existente y elige Endpoint-Audit-Policy.

Los dispositivos con Windows 11 empezarán a registrar los eventos indicados en su registro de seguridad local. A partir de ese momento podrás correlacionar eventos para emparejar los inicios de sesión locales con los de Entra ID, reenviar los registros con Azure Monitor para ingerirlos en Sentinel/Purview y enriquecer los registros del cloud añadiendo el contexto del dispositivo mediante las etiquetas del Registro del método 5.

Método 7: usar CMD y la CLI para validar y diagnosticar los registros

Los diagnósticos por línea de comandos permiten validar rápidamente tu infraestructura de registro.

📌 Caso de uso: ideal para resolver eventos que faltan, probar la conectividad o verificar el contenido de los registros durante los despliegues.

Procedimiento paso a paso:

1. Verifica las directivas de auditoría.
   • Abre el Símbolo del sistema (como administrador) buscándolo en la barra de tareas.
   • Ejecuta este comando: auditpol /get /category:*
   • Busca las categorías Administración de cuentas e Inicio de sesión para confirmar que el GPO del método 6 se ha aplicado.
2. Comprueba los eventos de seguridad locales.
   • Ejecuta este comando:

wevtutil qe Security «/q:*[System[(EventID=4720 or EventID=4625)]]» /f:text /c:5

3. Prueba la conectividad con el cloud.
   • Ejecuta este comando:

nslookup graph.microsoft.com && ping manage.office.com

• • Confirma la resolución DNS para las consultas de registros de Power Automate y PowerShell.

4. Revisa los registros exportados.
   • Ejecuta este comando:

type "C:\Logs\TenantChangeLog.csv" | findstr «Add member»

• • Así se buscan los cambios de permisos en las exportaciones de PowerShell.

Tras ejecutar estos diagnósticos, confirmarás que los cambios en el GPO y el Registro están activos, identificarás eventos ausentes o problemas de conectividad y podrás ajustar los flujos de Power Automate o los scripts según sea necesario.

⚠️ Aspectos a tener en cuenta

En esta sección se recogen los posibles problemas que conviene tener presentes al seguir esta guía.

Riesgos	Posibles consecuencias	Cómo revertirlo
1. Modificaciones incorrectas del Registro	El sistema operativo puede volverse inestable y el equipo podría no arrancar.	Haz una copia de seguridad del Registro (regedit > Archivo > Exportar) o crea un punto de restauración del sistema. Mira Cómo hacer una copia de seguridad del Registro de Windows y restaurarlo para más detalles.
2. Registro de auditoría desactivado	Se pierden cambios críticos (eliminaciones de usuarios, asignaciones de roles)	Verifícalo en el banner del portal de Purview o con PowerShell: Get-AdminAuditLogConfig | fl UnifiedAuditLogIngestionEnabled
3. Token de Power Automate caducado	Fallos en el flujo; la ingesta de registros se detiene	Implementa la rotación con Azure Key Vault y un flujo de renovación del token; configura alertas de caducidad
4. Auditoría por GPO demasiado amplia	Saturación del registro de eventos; los eventos críticos pasan desapercibidos	Prueba primero las directivas en una UO de pruebas; usa filtros precisos (por ejemplo, solo EventID=4720)
5. Superar los límites de la API	Eventos perdidos; registros de cambios incompletos	Añade lógica de reintento ante HTTP 429 en Power Automate; divide las solicitudes grandes (>5.000 registros)
6. Aplicación de Azure AD con permisos excesivos	Brechas de seguridad por credenciales comprometidas	Aplica el principio de mínimo privilegio: concede solo AuditLog.Read.All y ActivityFeed.Read
7. Ignorar los periodos de retención de los registros	Pérdida permanente de datos (Purview: retención de 90 a 180 días)	Configura exportaciones automáticas a CSV en Azure Blob Storage antes de que venza la retención.

Consideraciones clave al crear un registro de cambios del tenant

Planifica con criterio para que tu solución escale de forma segura y rentable.

Políticas de retención

Los registros de auditoría de Microsoft 365 tienen periodos de retención estrictos:

• Licencias E3: 90 días (valor predeterminado)
• E5/Audit Premium: de 180 días a 10 años (con complementos)

No olvides automatizar exportaciones semanales a Azure Blob Storage o SharePoint para el archivado a largo plazo.

Control de costes

Los flujos de Power Automate son gratuitos hasta 5.000 acciones mensuales, pero los conectores premium tienen un coste adicional de 15 dólares por usuario y mes, según la lista de precios de Microsoft para Power Automate.

Microsoft Purview Audit Premium también está incluido en Microsoft 365 E5 o en el complemento Microsoft 365 E5 Compliance, con un precio de 12 dólares por usuario y mes, y ofrece una retención predeterminada de los registros de auditoría de un año, ampliable hasta 10 años, según Microsoft Learn a fecha de 11 de julio de 2025.

💡 Consejo: filtra cuanto antes los eventos de mayor valor para reducir el volumen.

Límites de exportación

La limitación de la API admite hasta 2.000 solicitudes cada 10 minutos por tenant. Por su parte, el límite de registros es de 5.000 entradas por llamada de PowerShell o de la API. Puedes usar la paginación (@odata.nextLink) y búsquedas fragmentadas:

Search-UnifiedAuditLog -StartDate $start -EndDate $end -SessionCommand ReturnLargeSet

Delegación multitenant (para MSP)

Aprovecha Azure Lighthouse para centralizar la recopilación de registros sin cambiar de contexto: incorpora los tenants de tus clientes mediante plantillas de ARM, consulta todos los registros de cambios desde un único panel y limita el acceso con roles RBAC.

¿Cómo puede NinjaOne facilitar el registro de auditoría?

Unifica y automatiza el seguimiento de cambios de todo el tenant, tanto en el cloud como en los endpoints.

1. Despliegue automatizado de scripts: programa scripts de PowerShell en los dispositivos con Windows 11 para centralizar en el repositorio de NinjaOne los registros de auditoría de Microsoft 365, Entra ID y los sistemas locales.
2. Alertas en tiempo real y gestión de tickets: lanza notificaciones y crea tickets automáticamente ante eventos críticos:
   • Escaladas de privilegios
   • Accesos a buzones confidenciales
   • Eliminaciones de usuarios
3. Correlación unificada de registros: combina los registros de cambios del tenant con los eventos de los endpoints para detectar anomalías, como inicios de sesión de administrador desde dispositivos nuevos o cambios de políticas fuera del horario laboral
4. Panel de cumplimiento multitenant: para MSP: visualiza los registros de cambios automatizados de todos tus clientes en una sola vista, filtra por gravedad o carga de trabajo y genera informes listos para auditoría.

Registros de auditoría con Power Automate: refuerza tu cumplimiento

Centralizar el registro de cambios del tenant convierte eventos dispersos en inteligencia de seguridad útil, lo que garantiza que estés listo para cualquier auditoría y puedas detectar amenazas en tiempo real.

Ahora aplica estas técnicas para rastrear al instante incidentes como las escaladas de privilegios, demostrar el cumplimiento en las auditorías sin prisas de última hora y dormir tranquilo sabiendo que todos los cambios críticos quedan registrados.

Temas relacionados

• Guía completa: cómo leer los registros de Windows Update
• Cómo leer los registros de Windows Update: una guía
• ¿Qué es una auditoría de TI? Guía práctica
• Automatizaciones avanzadas con NinjaOne