Zo bouwt u een tenantbreed wijzigingslogboek met audittrails en Power Automate

Snelle wijzigingen in uw Microsoft 365-tenant bijhouden – denk aan aanpassingen van gebruikers, beveiligingsupdates of roltoewijzingen – lijkt bijna onmogelijk zonder centraal overzicht.

Een oplossing is Power Automate inzetten voor de audittrails en die omzetten in een helder, bruikbaar overzicht voor verantwoording en beveiliging. In deze gids leest u stap voor stap hoe u dit bouwt met Power Automate en Microsoft Purview.

Liever beeldmateriaal? Bekijk dan onze video “Zo bouwt u een tenantbreed wijzigingslogboek met audittrails en Power Automate” voor een uitgebreide uitleg over dit onderwerp.

Procedures voor het bouwen van een tenantwijzigingslogboek

Door wijzigingen centraal bij te houden, voorkomt u beveiligingsgaten en vereenvoudigt u compliance-audits in uw hele Microsoft 365-omgeving.

📌 Use case: met een geautomatiseerd tenantwijzigingslogboek controleert u kritieke activiteiten zoals wijzigingen in machtigingen, beleidsupdates en gebeurtenissen in de lifecycle van gebruikers en houdt u historisch overzicht over afdelingen heen. Verspreide audittrails uit Microsoft Purview worden zo één samenhangende beveiligingsasset.

📌 Vereisten: zorg voordat u begint dat u beschikt over Microsoft 365 E3/E5, toegang tot Power Automate, een beheerdersrol in de omgeving (bijvoorbeeld Globale beheerder, Beveiligingsbeheerder of Compliancebeheerder), toegang tot de Microsoft Purview Compliance Portal en PowerShell-modules (specifiek Microsoft Graph en ExchangeOnlineManagement).

We raden u aan ⚠️Waar u op moet letten te lezen voordat u verdergaat.

📌 Implementatiestrategieën:

Klik om een methode te kiezen	💻 Het beste voor individuele gebruikers	💻💻💻 Het beste voor ondernemingen
Methode 1: unified audit logging inschakelen	✓	✓
Methode 2: Power Automate gebruiken om wijzigingen uit auditgebeurtenissen te loggen	✓	✓
Methode 3: PowerShell gebruiken om audittrails te exporteren en op te slaan		✓
Methode 4: logboeken opslaan op een centrale SharePoint- of Teams-locatie	✓	✓
Methode 5: het register gebruiken om endpointgebeurtenissen te taggen of device-metadata toe te voegen	✓	✓
Methode 6: Group Policy toepassen voor het auditen van gebeurtenissen op endpoints		✓
Methode 7: CMD en CLI gebruiken voor validatie en logdiagnostiek	✓	✓

Methode 1: unified audit logging inschakelen

Met unified auditing zorgt u ervoor dat Microsoft 365 elke kritieke wijziging in uw tenant vastlegt.

📌 Use case: dit is de ideale procedure wanneer u uw tenantwijzigingslogboek voor het eerst instelt of wilt controleren hoe ver de bestaande auditdekking reikt.

Stapsgewijze procedure:

1. Open de Purview-portal.
   • Ga naar de Microsoft Purview Compliance Portal en meld u aan met uw beheerdersaccount.
2. Ga naar Auditen.
   • Selecteer in het linkermenu Oplossingen > Auditen.
   • Als u het niet kunt vinden, klik dan eerst op Alle oplossingen weergeven.
3. Schakel logging in.
   • Als auditing is uitgeschakeld, ziet u een duidelijke banner. Klik vervolgens op Beginnen met het vastleggen van gebruikers- en beheerdersactiviteit.

💡 Let op: als er geen banner verschijnt, is auditing al ingeschakeld.

4. Controleer de dekking.
   • Bevestig dat deze services zijn inbegrepen:
     1. Exchange Online
     2. SharePoint/OneDrive
     3. Microsoft Teams
     4. Microsoft Entra ID
5. Wacht op de activering.
   • Geef het systeem 24 uur de tijd om volledige logboeken te genereren. De eerste gebeurtenissen verschijnen binnen een uur.

Binnen 24 uur begint Microsoft 365 met het vastleggen van gebeurtenissen zoals het aanmaken van gebruikers, wijzigingen in machtigingen en beleidsupdates. Deze audittrails van Microsoft Purview vormen de gegevensbron voor uw Power Automate-workflow.

Methode 2: Power Automate gebruiken om wijzigingen uit auditgebeurtenissen te loggen

Automatiseer het tenantbrede bijhouden van wijzigingen door ruwe auditgegevens om te zetten in bruikbare records.

📌 Use case: doe dit wanneer u doorlopend en op maat specifieke wijzigingen wilt loggen, zoals updates van machtigingen of aanpassingen aan postvakken.

Stapsgewijze procedure:

1. Maak een Azure AD-app-registratie.
   • Ga naar de Azure Portal > Entra ID > App-registraties > Nieuwe registratie.
   • Verleen deze API-machtigingen:
     1. AuditLog.Read.All (voor Microsoft Graph)
     2. ActivityFeed.Read (Office 365 Management APIs)
2. Maak een nieuwe flow.
   • Ga naar Power Automate, klik op Maken en kies Geplande cloudstroom.
   • Geef de flow een naam (bijvoorbeeld Tenant Change Logger).
   • Stel in dat de flow elk uur wordt uitgevoerd (standaardinstelling) en klik op Maken.
3. Haal uw beveiligingstoken op.
   • Voeg een nieuwe actie toe:
     • Klik op Zoeken en selecteer vervolgens Azure AD > Get OAuth 2.0 Token.
     • Vul in:
       1. Authority URL: https://login.microsoftonline.com
       2. Client ID: [uit uw Azure AD-app]
       3. Client Secret: [uit uw Azure AD-app]
       4. Resource: https://graph.microsoft.com
4. Voeg de Audit Log Fetcher toe.
   • Klik op + Nieuwe stap, zoek vervolgens op HTTP en selecteer HTTP-HTTP.
   • Configureer:
     1. Method: GET
     2. URI: plak https://graph.microsoft.com/v1.0/auditLogs/directoryAudits
     3. Headers:

{
"Authorization": "Bearer <PASTE_TOKEN_HERE>"
}

5. Filter belangrijke gebeurtenissen.
   • Klik op + Nieuwe stap en zoek op Matrix filteren.
   • Selecteer in Van de waarde value uit de HTTP-stap.
   • Plak dit in het filtervak:

@or(
equals(item()?['activityDisplayName'], 'Add member to role'),
equals(item()?['activityDisplayName'], 'Delete user')
)

• • Hiermee vangt u alleen wijzigingen in rollen en machtigingen op – pas hier uw eigen watchlist aan.

6. Sla op in uw logboek.
   • Voeg de laatste actie toe en zoek op SharePoint > Item toevoegen aan lijst.
   • Selecteer uw site/lijst.
   • Wijs velden toe:
     1. Timestamp: activityDateTime
     2. User: userPrincipalName
     3. Action: activityDisplayName
7. Test en activeer.
   • Voer de flow handmatig uit met de knop Testen.
   • Controleer of de gebeurtenissen verschijnen op uw logbestemming.

Uw flow vult uw geautomatiseerde wijzigingslogboek voortaan elk uur met gebeurtenissen zoals verwijderde gebruikers of beleidsupdates. U beschikt nu over een doorzoekbaar, centraal overzicht voor audits of incidentonderzoeken.

Methode 3: PowerShell gebruiken om audittrails te exporteren en op te slaan

PowerShell geeft u nauwkeurige controle over het extraheren en opslaan van kritieke wijzigingsrecords.

📌 Use case: gebruik deze methode wanneer u diepgaand wilt filteren, een eigen planning nodig hebt of rechtstreeks CSV-exports wilt voor historische analyse.

Stapsgewijze procedure:

1. Maak verbinding met Exchange Online.
   • Open Windows Terminal (Admin) en voer uit:

Connect-ExchangeOnline -Device
# Authenticate with your admin account when prompted

2. Zoek en exporteer logboeken.
   • Voer deze opdracht uit om de belangrijkste gebeurtenissen vast te leggen:

Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) `-Operations "Add-MailboxPermission", "Update-User", "Add-MemberToRole" `-ResultSize 1000 | Export-Csv "C:\AuditLogs\Changes.csv" -NoTypeInformation

3. Automatiseer dagelijkse exports.
   • Sla het script op als Export-AuditLogs.ps1.
   • Maak een taak in Windows Taakplanner of gebruik uw RMM-platform (bijvoorbeeld NinjaOne) om dit script uit te rollen naar de devices in uw organisatie:
     1. Trigger: dagelijks om 2 AM (of op het tijdstip dat het beste past bij uw organisatie).
     2. Actie: powershell.exe -File "C:\Scripts\Export-AuditLogs.ps1"

Uw geplande taak genereert dagelijkse CSV-bestanden (bijvoorbeeld Changes_08-15-2023.csv) met records van beheerdersacties voorzien van tijdstempels, klaar voor analyse in Excel (gebruik Power Query om JSON-velden te parseren), langetermijnopslag (Azure Blob/netwerkshares) en handmatige audits of verwerking in een SIEM.

Methode 4: logboeken opslaan op een centrale SharePoint- of Teams-locatie

Bewaar uw wijzigingsgeschiedenis op een plek waar teams er veilig bij kunnen en kunnen samenwerken.

📌 Use case: ideaal voor teams die gedeelde, doorzoekbare audittrails nodig hebben met aanpasbare machtigingen.

Stapsgewijze procedure:

1. Maak een SharePoint-loglocatie.
   • Ga naar SharePoint Online > + Nieuw > Lijst.
   • Naam: TenantChangeLog.
   • Maak deze kolommen aan:

Kolomnaam	Type
Timestamp	Datum & tijd
User	Persoon
Operation	Eén regel tekst
Workload	Keuze (opties: Exchange, Teams, Entra ID)
Item	Eén regel tekst

2. Vul de lijst automatisch met Power Automate.
   • Pas uw bestaande Power Automate-flow aan (uit Methode 2):
     • Vervang de laatste actie door: SharePoint > Item toevoegen aan lijst.
     • Wijs velden toe:
       1. Timestamp: activityDateTime
       2. User: userPrincipalName
       3. Operation: activityDisplayName
       4. Workload: service
       5. Item: targetResources
3. Stel machtigingen in.
   • In SharePoint:
     1. Ga naar Instellingen > Lijstmachtigingen.
     2. Geef auditors Lezen-toegang.
     3. Beperk Bewerken tot beveiligingsbeheerders.

Uw geautomatiseerde wijzigingslogboek wordt elk uur bijgewerkt met nieuwe gebeurtenissen. Teamleden kunnen nu historische wijzigingen doorzoeken in SharePoint/Teams, notificaties instellen op kritieke handelingen (bijvoorbeeld “Add member to role”) en Power BI-dashboards bouwen op basis van de lijst.

Methode 5: het register gebruiken om endpointgebeurtenissen te taggen of device-metadata toe te voegen

Voeg endpointcontext toe aan uw audittrails voor nauwkeurig incidentonderzoek.

📌 Use case: gebruik dit wanneer u tijdens beveiligingsonderzoeken handelingen wilt herleiden tot specifieke devices of afdelingen.

Stapsgewijze procedure:

1. Maak de registersleutels aan.
   • Open Uitvoeren (Win + R) en typ regedit om de Register-editor te openen.
     • Zorg ervoor dat u beheerdersrechten hebt.
   • Ga naar HKEY_LOCAL_MACHINE\SOFTWARE\Org\TenantMetadata
     • Als de sleutel TenantMetadata ontbreekt, maakt u die aan (rechtsklik > Nieuw > Sleutel).
   • Voeg twee tekenreekswaarden toe (rechtsklik in de sleutel > Nieuw > Tekenreekswaarde).
     • Noem de ene tekenreeks DeviceTag.
       1. Voer als Waarde NYC-Laptop-001 in.
     • Noem de andere tekenreeks Department.
       • Voer als Waarde Finance in.
2. Automatiseer het uitrollen van tags (Group Policy).
   • Open de Groepsbeleidsbeheerconsole.
   • Maak een nieuw GPO aan in Computerconfiguratie > Voorkeuren > Register:
     • Voer het volgende in:
       1. Actie: Maken
       2. Hive: HKEY_LOCAL_MACHINE
       3. Sleutelpad: SOFTWARE\Org\TenantMetadata
       4. Waarde: DeviceTag, stel vervolgens Type in op REG_SZ en Gegevens op “%COMPUTERNAME%”
3. Verrijk de audittrails:
   • Voeg met PowerShell het onderstaande script toe aan de export:

$deviceTag = (Get-ItemProperty -Path "HKLM:\SOFTWARE\Org\TenantMetadata").DeviceTag $dept = (Get-ItemProperty -Path "HKLM:\SOFTWARE\Org\TenantMetadata").Department [PSCustomObject]@{ Timestamp = Get-Date User = $env:USERNAME Device = $deviceTag Department= $dept Event = "Local Admin Change" } | Export-Csv "C:\Logs\EndpointEvents.csv" -Append

• • Power Automate: voeg een HTTP-actie toe naar de device management-API om tags op te halen tijdens de logverwerking.

Methode 6: Group Policy toepassen voor het auditen van gebeurtenissen op endpoints

Breid uw zicht uit naar on-premises devices voor volledige hybride monitoring.

📌 Use case: ideaal voor organisaties met Windows 11-devices in hybride Azure AD-omgevingen die lokale activiteit willen volgen.

Stapsgewijze procedure:

1. Open Groepsbeleidsbeheer.
   • Druk op Win + R en typ gpmc.msc om de tool te openen.
   • Ga naar Forest > Domeinen > [uw domein].
2. Maak een nieuw beleid.
   • Klik met de rechtermuisknop op Groepsbeleidsobjecten en selecteer Nieuw.
   • Noem het Endpoint-Audit-Policy.
3. Configureer de auditinstellingen.
   • Ga naar Computerconfiguratie > Beleidsregels > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van controlebeleid > Controlebeleid.
   • Schakel het volgende in:
     1. Accountbeheer: Gebruikersaccountbeheer controleren (Geslaagd)
     2. Accountbeheer: Beveiligingsgroepsbeheer controleren (Geslaagd)
     3. Aanmelden/Afmelden: Aanmelden controleren (Geslaagd, Mislukt).
4. Koppel aan een organisatie-eenheid.
   • Klik met de rechtermuisknop op de gewenste OU (bijvoorbeeld Hybrid-Workstations).
   • Selecteer Een bestaand GPO koppelen en kies Endpoint-Audit-Policy.

Windows 11-devices beginnen de opgegeven gebeurtenissen vast te leggen in hun lokale gebeurtenissenlogboek Beveiliging. U kunt nu gebeurtenissen correleren om lokale aanmeldingen te koppelen aan Entra ID-aanmeldingen, logboeken doorsturen met Azure Monitor voor verwerking in Sentinel/Purview en cloudlogboeken verrijken met devicecontext via de registertags uit Methode 5.

Methode 7: CMD en CLI gebruiken voor validatie en logdiagnostiek

Diagnostiek vanaf de opdrachtregel biedt snelle validatie van uw loginfrastructuur.

📌 Use case: ideaal voor het oplossen van ontbrekende gebeurtenissen, het testen van connectiviteit of het controleren van loginhoud tijdens implementaties.

Stapsgewijze procedure:

1. Controleer het auditbeleid.
   • Open de Opdrachtprompt (Administrator) door ernaar te zoeken in de taakbalk.
   • Voer deze opdracht uit: auditpol /get /category:*
   • Kijk bij de categorieën Accountbeheer en Aanmelden om te bevestigen dat het GPO uit Methode 6 is toegepast.
2. Controleer lokale beveiligingsgebeurtenissen.
   • Voer deze opdracht uit:

wevtutil qe Security "/q:*[System[(EventID=4720 or EventID=4625)]]" /f:text /c:5

3. Test de cloudconnectiviteit.
   • Voer deze opdracht uit:

nslookup graph.microsoft.com && ping manage.office.com

• • Bevestig de DNS-resolutie voor het ophalen van logboeken via Power Automate/PowerShell.

4. Inspecteer geëxporteerde logboeken.
   • Voer deze opdracht uit:

type "C:\Logs\TenantChangeLog.csv" | findstr "Add member"

• • Hiermee zoekt u naar wijzigingen in machtigingen in de PowerShell-exports.

Na deze diagnostiek weet u zeker dat de GPO- en registerwijzigingen actief zijn, ziet u welke gebeurtenissen ontbreken of welke connectiviteitsproblemen spelen en kunt u uw Power Automate-flows of scripts waar nodig aanpassen.

⚠️ Waar u op moet letten

In dit gedeelte vindt u mogelijke knelpunten om rekening mee te houden terwijl u deze gids volgt.

Risico’s	Mogelijke gevolgen	Herstelacties
1. Onjuiste registerbewerkingen	Het besturingssysteem kan instabiel worden en het opstarten mislukt.	Maak een back-up van het register (regedit > Bestand > Exporteren) of maak een systeemherstelpunt. Bekijk Een back-up maken van het Windows-register en het herstellen voor meer details.
2. Audit logging uitgeschakeld	U mist kritieke wijzigingen (verwijderde gebruikers, roltoewijzingen)	Controleer dit via de banner in de Purview-portal of met PowerShell: Get-AdminAuditLogConfig | fl UnifiedAuditLogIngestionEnabled
3. Verlopen Power Automate-token	Flows mislukken; de logverwerking stopt	Richt rotatie via Azure Key Vault en een flow voor tokenvernieuwing in; stel notificaties in voor het verlopen van tokens
4. Te brede GPO-auditing	Het gebeurtenissenlogboek loopt vol; kritieke gebeurtenissen vallen niet meer op	Test beleid eerst in een staging-OU; gebruik nauwkeurige filters (bijvoorbeeld alleen EventID=4720)
5. API-throttlinglimieten overschrijden	Gemiste gebeurtenissen; onvolledige wijzigingsrecords	Voeg retry-logica voor HTTP 429 toe in Power Automate; splits grote aanvragen op (>5k records)
6. Azure AD-app met te veel machtigingen	Beveiligingsinbreuken via gecompromitteerde referenties	Pas minste voorrecht toe: verleen alleen AuditLog.Read.All en ActivityFeed.Read
7. Bewaartermijnen van logboeken negeren	Permanent gegevensverlies (Purview: bewaartermijn van 90 tot 180 dagen)	Richt geautomatiseerde CSV-exports naar Azure Blob Storage in voordat de bewaartermijn verstrijkt.

Belangrijke overwegingen bij het bouwen van een tenantwijzigingslogboek

Plan strategisch zodat uw oplossing veilig en kostenefficiënt kan meegroeien.

Bewaarbeleid

De audittrails van Microsoft 365 kennen strikte bewaartermijnen:

• E3-licenties: 90 dagen (standaard)
• E5/Audit Premium: 180 dagen tot 10 jaar (met add-ons)

Automatiseer wekelijkse exports naar Azure Blob Storage of SharePoint voor archivering op lange termijn.

Kostenbeheer

Power Automate-flows zijn gratis tot en met 5.000 acties per maand, maar premium connectors kosten extra: volgens de prijslijst van Microsoft voor Power Automate staan die op $15 per gebruiker per maand.

Microsoft Purview Audit Premium is bovendien inbegrepen bij Microsoft 365 E5 of de Microsoft 365 E5 Compliance-add-on, met een vermelde prijs van $12 per gebruiker per maand, en biedt standaard een bewaartermijn van één jaar voor audittrails met opties tot 10 jaar, aldus Microsoft Learn op 11 juli 2025.

💡 Tip: filter waardevolle gebeurtenissen vroeg in het proces om het volume te beperken.

Exportlimieten

API-throttling kan per tenant tot 2.000 aanvragen per 10 minuten aan. Daarnaast geldt een limiet van 5.000 records per PowerShell- of API-aanroep. U kunt paginering (@odata.nextLink) en opgesplitste zoekopdrachten gebruiken:

Search-UnifiedAuditLog -StartDate $start -EndDate $end -SessionCommand ReturnLargeSet

Multi-tenant delegatie (MSP’s)

Zet Azure Lighthouse in om het verzamelen van logboeken te centraliseren zonder van context te wisselen: onboard klanttenants via ARM-sjablonen, bevraag alle tenantwijzigingslogboeken vanuit één dashboard en beperk de toegang met RBAC-rollen.

Hoe maakt NinjaOne audit logging een stuk eenvoudiger?

Breng het tenantbrede bijhouden van wijzigingen in de cloud en op endpoints samen en automatiseer het.

1. Geautomatiseerde scriptuitrol: plan PowerShell-scripts in op Windows 11-devices om audittrails uit Microsoft 365, Entra ID en lokale systemen te centraliseren in de repository van NinjaOne.
2. Realtime notificaties en ticketsysteem: activeer meldingen en maak automatisch tickets aan bij kritieke gebeurtenissen:
   • Escalatie van rechten
   • Toegang tot gevoelige postvakken
   • Verwijderde gebruikers
3. Gecombineerde logcorrelatie: combineer tenantwijzigingslogboeken met endpointgebeurtenissen om afwijkingen te detecteren, zoals beheerdersaanmeldingen vanaf nieuwe devices en beleidswijzigingen buiten kantooruren
4. Multi-tenant compliance-dashboard: voor MSP’s: bekijk alle geautomatiseerde wijzigingslogboeken van klanten in één overzicht, filter op ernst of workload en genereer rapporten die klaar zijn voor audits.

Power Automate audit logs: sterke compliance realiseren

Door uw tenantwijzigingslogboek te centraliseren, verandert u verspreide gebeurtenissen in bruikbare beveiligingsinformatie, zodat u klaar bent voor audits en bedreigingen in realtime detecteert.

Pas deze technieken nu toe om inbreuken zoals escalatie van rechten direct te herleiden, tijdens audits moeiteloos compliance aan te tonen en rustig te slapen in de wetenschap dat elke kritieke wijziging wordt vastgelegd.

Gerelateerde onderwerpen

• Volledige gids: zo leest u Windows Update-logboeken
• Zo leest u Windows Update-logboeken – een gids
• Wat is een IT-audit? Een praktische gids
• Geavanceerde automatisering met NinjaOne