{"id":936942,"date":"2026-11-13T14:14:30","date_gmt":"2026-11-13T14:14:30","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/power-automate-audit-logs\/"},"modified":"2026-11-13T14:14:31","modified_gmt":"2026-11-13T14:14:31","slug":"power-automate-audit-logs","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/nl\/blog\/power-automate-audit-logs\/","title":{"rendered":"Zo bouwt u een tenantbreed wijzigingslogboek met audittrails en Power Automate"},"content":{"rendered":"<p>Snelle wijzigingen in uw Microsoft 365-tenant bijhouden \u2013 denk aan aanpassingen van gebruikers, beveiligingsupdates of roltoewijzingen \u2013 lijkt bijna onmogelijk zonder centraal overzicht.<\/p>\n<p>Een oplossing is <strong>Power Automate inzetten voor de audittrails<\/strong> en die omzetten in een helder, bruikbaar overzicht voor verantwoording en beveiliging. In deze gids leest u stap voor stap hoe u dit bouwt met Power Automate en Microsoft Purview.<\/p>\n<p>Liever beeldmateriaal? Bekijk dan onze video <a href=\"https:\/\/www.ninjaone.com\/videos\/security\/how-to-build-a-tenant-wide-change-log-using-audit-logs-and-power-automate\/\">\u201cZo bouwt u een tenantbreed wijzigingslogboek met audittrails en Power Automate\u201d<\/a> voor een uitgebreide uitleg over dit onderwerp.<\/p>\n<h2>Procedures voor het bouwen van een tenantwijzigingslogboek<\/h2>\n<p>Door wijzigingen centraal bij te houden, voorkomt u beveiligingsgaten en vereenvoudigt u compliance-audits in uw hele Microsoft 365-omgeving.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>met een geautomatiseerd tenantwijzigingslogboek controleert u kritieke activiteiten zoals wijzigingen in machtigingen, beleidsupdates en gebeurtenissen in de lifecycle van gebruikers en houdt u historisch overzicht over afdelingen heen. Verspreide audittrails uit Microsoft Purview worden zo \u00e9\u00e9n samenhangende beveiligingsasset.<\/p>\n<p>\ud83d\udccc <strong>Vereisten:<\/strong> zorg voordat u begint dat u beschikt over Microsoft 365 E3\/E5, toegang tot Power Automate, een beheerdersrol in de omgeving (bijvoorbeeld Globale beheerder, Beveiligingsbeheerder of Compliancebeheerder), toegang tot de Microsoft Purview Compliance Portal en PowerShell-modules (specifiek Microsoft Graph en ExchangeOnlineManagement).<\/p>\n<p>We raden u aan \u26a0\ufe0f<a href=\"#things-to-look-out-for\"><em>Waar u op moet letten<\/em><\/a> te lezen voordat u verdergaat.<\/p>\n<p>\ud83d\udccc <strong>Implementatiestrategie\u00ebn:<\/strong><\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center; vertical-align: middle;\">\n<p style=\"text-align: center;\"><strong>Klik om een methode te kiezen<\/strong><\/p>\n<\/td>\n<td style=\"text-align: center;\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Het beste voor individuele gebruikers<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Het beste voor ondernemingen<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-1\"><strong>Methode 1: unified audit logging inschakelen<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-2\"><strong>Methode 2: Power Automate gebruiken om wijzigingen uit auditgebeurtenissen te loggen<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-3\"><strong>Methode 3: PowerShell gebruiken om audittrails te exporteren en op te slaan<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-4\"><strong>Methode 4: logboeken opslaan op een centrale SharePoint- of Teams-locatie<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-5\"><strong>Methode 5: het register gebruiken om endpointgebeurtenissen te taggen of device-metadata toe te voegen<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-6\"><strong>Methode 6: Group Policy toepassen voor het auditen van gebeurtenissen op endpoints<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-7\"><strong>Methode 7: CMD en CLI gebruiken voor validatie en logdiagnostiek<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3 id=\"method-1\">Methode 1: unified audit logging inschakelen<\/h3>\n<p>Met unified auditing zorgt u ervoor dat Microsoft 365 elke kritieke wijziging in uw tenant vastlegt.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>dit is de ideale procedure wanneer u uw tenantwijzigingslogboek voor het eerst instelt of wilt controleren hoe ver de bestaande auditdekking reikt.<\/p>\n<p>Stapsgewijze procedure:<\/p>\n<ol>\n<li>Open de Purview-portal.\n<ul style=\"list-style-type: disc;\">\n<li>Ga naar de <strong>Microsoft Purview Compliance Portal<\/strong> en meld u aan met uw beheerdersaccount.<\/li>\n<\/ul>\n<\/li>\n<li>Ga naar <strong>Auditen<\/strong>.\n<ul style=\"list-style-type: disc;\">\n<li>Selecteer in het linkermenu <strong>Oplossingen &gt; Auditen<\/strong>.<\/li>\n<li>Als u het niet kunt vinden, klik dan eerst op <strong>Alle oplossingen weergeven<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<li>Schakel logging in.\n<ul style=\"list-style-type: disc;\">\n<li>Als auditing is uitgeschakeld, ziet u een duidelijke banner. Klik vervolgens op <strong>Beginnen met het vastleggen van gebruikers- en beheerdersactiviteit<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>\ud83d\udca1 <strong>Let op:<\/strong> als er geen banner verschijnt, is auditing al ingeschakeld.<\/p>\n<ol start=\"4\">\n<li>Controleer de dekking.\n<ul style=\"list-style-type: disc;\">\n<li>Bevestig dat deze services zijn inbegrepen:\n<ol style=\"list-style-type: lower-alpha;\">\n<li>Exchange Online<\/li>\n<li>SharePoint\/OneDrive<\/li>\n<li>Microsoft Teams<\/li>\n<li>Microsoft Entra ID<\/li>\n<\/ol>\n<\/li>\n<\/ul>\n<\/li>\n<li>Wacht op de activering.\n<ul style=\"list-style-type: disc;\">\n<li>Geef het systeem 24 uur de tijd om volledige logboeken te genereren. De eerste gebeurtenissen verschijnen binnen een uur.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Binnen 24 uur begint Microsoft 365 met het vastleggen van gebeurtenissen zoals het aanmaken van gebruikers, wijzigingen in machtigingen en beleidsupdates. Deze audittrails van Microsoft Purview vormen de gegevensbron voor uw Power Automate-workflow.<\/p>\n<h3 id=\"method-2\">Methode 2: Power Automate gebruiken om wijzigingen uit auditgebeurtenissen te loggen<\/h3>\n<p>Automatiseer het tenantbrede bijhouden van wijzigingen door ruwe auditgegevens om te zetten in bruikbare records.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>doe dit wanneer u doorlopend en op maat specifieke wijzigingen wilt loggen, zoals updates van machtigingen of aanpassingen aan postvakken.<\/p>\n<p>Stapsgewijze procedure:<\/p>\n<ol>\n<li>Maak een Azure AD-app-registratie.\n<ul style=\"list-style-type: disc;\">\n<li>Ga naar de <strong>Azure Portal &gt; Entra ID &gt; App-registraties &gt; Nieuwe registratie<\/strong>.<\/li>\n<li>Verleen deze API-machtigingen:\n<ol style=\"list-style-type: lower-alpha;\">\n<li><strong>AuditLog.Read.All (voor Microsoft Graph)<\/strong><\/li>\n<li><strong>ActivityFeed.Read <\/strong>(Office 365 Management APIs)<\/li>\n<\/ol>\n<\/li>\n<\/ul>\n<\/li>\n<li>Maak een nieuwe flow.\n<ul style=\"list-style-type: disc;\">\n<li>Ga naar <strong>Power Automate<\/strong>, klik op <strong>Maken<\/strong> en kies <strong>Geplande cloudstroom<\/strong>.<\/li>\n<li>Geef de flow een naam (bijvoorbeeld Tenant Change Logger).<\/li>\n<li>Stel in dat de flow elk uur wordt uitgevoerd (standaardinstelling) en klik op <strong>Maken<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<li>Haal uw beveiligingstoken op.\n<ul style=\"list-style-type: disc;\">\n<li>Voeg een nieuwe actie toe:\n<ul>\n<li>Klik op <strong>Zoeken<\/strong> en selecteer vervolgens <strong>Azure AD &gt; Get OAuth 2.0 Token<\/strong>.<\/li>\n<li>Vul in:\n<ol style=\"list-style-type: lower-alpha;\">\n<li><strong>Authority URL: https:\/\/login.microsoftonline.com<\/strong><\/li>\n<li><strong>Client ID:<\/strong> [uit uw Azure AD-app]<\/li>\n<li><strong>Client Secret: <\/strong>[uit uw Azure AD-app]<\/li>\n<li><strong>Resource: <\/strong>https:\/\/graph.microsoft.com<\/li>\n<\/ol>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li>Voeg de Audit Log Fetcher toe.\n<ul style=\"list-style-type: disc;\">\n<li>Klik op <strong>+ Nieuwe stap<\/strong>, zoek vervolgens op <strong>HTTP<\/strong> en selecteer <strong>HTTP-HTTP<\/strong>.<\/li>\n<li>Configureer:\n<ol style=\"list-style-type: lower-alpha;\">\n<li><strong>Method: GET<\/strong><\/li>\n<li><strong>URI:<\/strong> plak <a href=\"https:\/\/graph.microsoft.com\/v1.0\/auditLogs\/directoryAudits\" target=\"_blank\" rel=\"noopener\"><strong>https:\/\/graph.microsoft.com\/v1.0\/auditLogs\/directoryAudits<\/strong><\/a><\/li>\n<li>Headers:<\/li>\n<\/ol>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 120px;\"><strong>{<\/strong><br \/>\n<code><strong>\"Authorization\": \"Bearer &lt;PASTE_TOKEN_HERE&gt;\"<\/strong><\/code><br \/>\n<strong>}<\/strong><\/p>\n<ol start=\"5\">\n<li>Filter belangrijke gebeurtenissen.\n<ul style=\"list-style-type: disc;\">\n<li>Klik op <strong>+ Nieuwe stap<\/strong> en zoek op <strong>Matrix filteren<\/strong>.<\/li>\n<li>Selecteer in <strong>Van<\/strong> de waarde <strong>value<\/strong> uit de HTTP-stap.<\/li>\n<li>Plak dit in het filtervak:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>@or(<\/strong><br \/>\n<code><strong>equals(item()?['activityDisplayName'], 'Add member to role'),<\/strong><\/code><br \/>\n<code><strong>equals(item()?['activityDisplayName'], 'Delete user')<\/strong><\/code><br \/>\n<strong>)<\/strong><\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul style=\"list-style-type: disc;\">\n<li>Hiermee vangt u alleen wijzigingen in rollen en machtigingen op \u2013 pas hier uw eigen watchlist aan.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"6\">\n<li>Sla op in uw logboek.\n<ul style=\"list-style-type: disc;\">\n<li>Voeg de laatste actie toe en zoek op <strong>SharePoint &gt; Item toevoegen aan lijst<\/strong>.<\/li>\n<li>Selecteer uw site\/lijst.<\/li>\n<li>Wijs velden toe:\n<ol style=\"list-style-type: lower-alpha;\">\n<li><strong>Timestamp: <\/strong>activityDateTime<\/li>\n<li><strong>User:<\/strong> userPrincipalName<\/li>\n<li><strong>Action:<\/strong> activityDisplayName<\/li>\n<\/ol>\n<\/li>\n<\/ul>\n<\/li>\n<li>Test en activeer.\n<ul style=\"list-style-type: disc;\">\n<li>Voer de flow handmatig uit met de knop <strong>Testen<\/strong>.<\/li>\n<li>Controleer of de gebeurtenissen verschijnen op uw logbestemming.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Uw flow vult uw geautomatiseerde wijzigingslogboek voortaan elk uur met gebeurtenissen zoals verwijderde gebruikers of beleidsupdates. U beschikt nu over een doorzoekbaar, centraal overzicht voor audits of incidentonderzoeken.<\/p>\n<h3 id=\"method-3\">Methode 3: PowerShell gebruiken om audittrails te exporteren en op te slaan<\/h3>\n<p>PowerShell geeft u nauwkeurige controle over het extraheren en opslaan van kritieke wijzigingsrecords.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>gebruik deze methode wanneer u diepgaand wilt filteren, een eigen planning nodig hebt of rechtstreeks CSV-exports wilt voor historische analyse.<\/p>\n<p>Stapsgewijze procedure:<\/p>\n<ol>\n<li>Maak verbinding met Exchange Online.\n<ul style=\"list-style-type: disc;\">\n<li>Open <strong>Windows Terminal (Admin)<\/strong> en voer uit:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Connect-ExchangeOnline -Device<\/strong><br \/>\n<strong># Authenticate with your admin account when prompted<\/strong><\/p>\n<ol start=\"2\">\n<li>Zoek en exporteer logboeken.\n<ul style=\"list-style-type: disc;\">\n<li>Voer deze opdracht uit om de belangrijkste gebeurtenissen vast te leggen:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><code><strong>Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) `<\/strong><strong>-Operations \"Add-MailboxPermission\", \"Update-User\", \"Add-MemberToRole\" `<\/strong><strong>-ResultSize 1000 | Export-Csv \"C:\\AuditLogs\\Changes.csv\" -NoTypeInformation<\/strong><\/code><\/p>\n<ol start=\"3\">\n<li>Automatiseer dagelijkse exports.\n<ul style=\"list-style-type: disc;\">\n<li>Sla het script op als <strong>Export-AuditLogs.ps1<\/strong>.<\/li>\n<li>Maak een taak in <strong>Windows Taakplanner <\/strong>of gebruik uw RMM-platform (bijvoorbeeld NinjaOne) om dit script uit te rollen naar de devices in uw organisatie:\n<ol style=\"list-style-type: lower-alpha;\">\n<li><strong>Trigger:<\/strong> dagelijks om 2 AM (of op het tijdstip dat het beste past bij uw organisatie).<\/li>\n<li><strong>Actie: <\/strong> powershell.exe -File <code>\"C:\\Scripts\\Export-AuditLogs.ps1\"<\/code><\/li>\n<\/ol>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Uw geplande taak genereert dagelijkse CSV-bestanden (bijvoorbeeld Changes_08-15-2023.csv) met records van beheerdersacties voorzien van tijdstempels, klaar voor analyse in Excel (gebruik Power Query om JSON-velden te parseren), langetermijnopslag (Azure Blob\/netwerkshares) en handmatige audits of verwerking in een <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-security-information-and-event-management-siem\/\">SIEM<\/a>.<\/p>\n<h3 id=\"method-4\">Methode 4: logboeken opslaan op een centrale SharePoint- of Teams-locatie<\/h3>\n<p>Bewaar uw wijzigingsgeschiedenis op een plek waar teams er veilig bij kunnen en kunnen samenwerken.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>ideaal voor teams die gedeelde, doorzoekbare audittrails nodig hebben met aanpasbare machtigingen.<\/p>\n<p>Stapsgewijze procedure:<\/p>\n<ol>\n<li>Maak een SharePoint-loglocatie.\n<ul style=\"list-style-type: disc;\">\n<li>Ga naar <strong>SharePoint Online &gt; + Nieuw &gt; Lijst<\/strong>.<\/li>\n<li>Naam: <strong>TenantChangeLog<\/strong>.<\/li>\n<li>Maak deze kolommen aan:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Kolomnaam<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Type<\/strong><\/td>\n<\/tr>\n<tr>\n<td><strong>Timestamp<\/strong><\/td>\n<td>Datum &amp; tijd<\/td>\n<\/tr>\n<tr>\n<td><strong>User<\/strong><\/td>\n<td>Persoon<\/td>\n<\/tr>\n<tr>\n<td><strong>Operation<\/strong><\/td>\n<td>E\u00e9n regel tekst<\/td>\n<\/tr>\n<tr>\n<td><strong>Workload<\/strong><\/td>\n<td>Keuze (opties: Exchange, Teams, Entra ID)<\/td>\n<\/tr>\n<tr>\n<td><strong>Item<\/strong><\/td>\n<td>E\u00e9n regel tekst<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\">\n<li>Vul de lijst automatisch met Power Automate.\n<ul style=\"list-style-type: disc;\">\n<li>Pas uw bestaande <strong>Power Automate-flow<\/strong> aan (uit <em>Methode 2<\/em>):\n<ul>\n<li>Vervang de laatste actie door: <strong>SharePoint &gt; Item toevoegen aan lijst<\/strong>.<\/li>\n<li>Wijs velden toe:\n<ol style=\"list-style-type: lower-alpha;\">\n<li><strong>Timestamp: activityDateTime<\/strong><\/li>\n<li><strong>User:<\/strong> userPrincipalName<\/li>\n<li><strong>Operation: <\/strong>activityDisplayName<\/li>\n<li><strong>Workload:<\/strong> service<\/li>\n<li><strong>Item:<\/strong> targetResources<\/li>\n<\/ol>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li>Stel machtigingen in.\n<ul style=\"list-style-type: disc;\">\n<li>In SharePoint:\n<ol style=\"list-style-type: lower-alpha;\">\n<li>Ga naar <strong>Instellingen &gt; Lijstmachtigingen<\/strong>.<\/li>\n<li>Geef auditors <strong>Lezen<\/strong>-toegang.<\/li>\n<li>Beperk <strong>Bewerken<\/strong> tot beveiligingsbeheerders.<\/li>\n<\/ol>\n<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Uw geautomatiseerde wijzigingslogboek wordt elk uur bijgewerkt met nieuwe gebeurtenissen. Teamleden kunnen nu historische wijzigingen doorzoeken in SharePoint\/Teams, notificaties instellen op kritieke handelingen (bijvoorbeeld \u201cAdd member to role\u201d) en Power BI-dashboards bouwen op basis van de lijst.<\/p>\n<h3 id=\"method-5\">Methode 5: het register gebruiken om endpointgebeurtenissen te taggen of device-metadata toe te voegen<\/h3>\n<p>Voeg endpointcontext toe aan uw audittrails voor nauwkeurig incidentonderzoek.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>gebruik dit wanneer u tijdens beveiligingsonderzoeken handelingen wilt herleiden tot specifieke devices of afdelingen.<\/p>\n<p>Stapsgewijze procedure:<\/p>\n<ol>\n<li>Maak de registersleutels aan.\n<ul style=\"list-style-type: disc;\">\n<li>Open <strong>Uitvoeren (Win + R)<\/strong> en typ <strong>regedit<\/strong> om de <strong>Register-editor<\/strong> te openen.\n<ul>\n<li>Zorg ervoor dat u beheerdersrechten hebt.<\/li>\n<\/ul>\n<\/li>\n<li>Ga naar <strong>HKEY_LOCAL_MACHINE\\SOFTWARE\\Org\\TenantMetadata<\/strong>\n<ul>\n<li>Als de sleutel <strong>TenantMetadata<\/strong> ontbreekt, maakt u die aan (rechtsklik &gt; Nieuw &gt; Sleutel).<\/li>\n<\/ul>\n<\/li>\n<li>Voeg twee <strong>tekenreekswaarden<\/strong> toe <strong>(rechtsklik in de sleutel &gt; Nieuw &gt; Tekenreekswaarde)<\/strong>.\n<ul>\n<li>Noem de ene tekenreeks <strong>DeviceTag<\/strong>.\n<ol style=\"list-style-type: lower-alpha;\">\n<li>Voer als <strong>Waarde<\/strong> <strong>NYC-Laptop-001<\/strong> in.<\/li>\n<\/ol>\n<\/li>\n<li>Noem de andere tekenreeks <strong>Department<\/strong>.\n<ul>\n<li>Voer als <strong>Waarde<\/strong> <strong>Finance<\/strong> in.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li>Automatiseer het uitrollen van tags (Group Policy).\n<ul style=\"list-style-type: disc;\">\n<li>Open de <strong>Groepsbeleidsbeheerconsole<\/strong>.<\/li>\n<li>Maak een nieuw <strong>GPO <\/strong>aan in <strong>Computerconfiguratie &gt; Voorkeuren &gt; Register<\/strong>:\n<ul>\n<li>Voer het volgende in:\n<ol style=\"list-style-type: lower-alpha;\">\n<li><strong>Actie:<\/strong> Maken<\/li>\n<li><strong>Hive:<\/strong> HKEY_LOCAL_MACHINE<\/li>\n<li><strong>Sleutelpad: <\/strong>SOFTWARE\\Org\\TenantMetadata<\/li>\n<li><strong>Waarde:<\/strong> DeviceTag, stel vervolgens Type in op REG_SZ en Gegevens op \u201c%COMPUTERNAME%\u201d<\/li>\n<\/ol>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li>Verrijk de audittrails:\n<ul style=\"list-style-type: disc;\">\n<li>Voeg met <strong>PowerShell<\/strong> het onderstaande script toe aan de export:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<table>\n<tbody>\n<tr>\n<td><code><strong>$deviceTag = (Get-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\TenantMetadata\").DeviceTag<\/strong><\/code><br \/>\n<code><strong>$dept = (Get-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\TenantMetadata\").Department<\/strong><\/code><br \/>\n<strong>[PSCustomObject]@{<\/strong><br \/>\n<strong>       Timestamp = Get-Date<\/strong><br \/>\n<strong>       User = $env:USERNAME<\/strong><br \/>\n<strong>       Device = $deviceTag<\/strong><br \/>\n<strong>       Department= $dept<\/strong><br \/>\n<code><strong>       Event = \"Local Admin Change\"<\/strong><\/code><br \/>\n<strong>} | <code>Export-Csv \"C:\\Logs\\EndpointEvents.csv\" -Append<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul style=\"list-style-type: disc;\">\n<li><strong>Power Automate: <\/strong>voeg een HTTP-actie toe naar de device management-API om tags op te halen tijdens de logverwerking.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<h3 id=\"method-6\">Methode 6: Group Policy toepassen voor het auditen van gebeurtenissen op endpoints<\/h3>\n<p>Breid uw zicht uit naar on-premises devices voor volledige hybride monitoring.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>ideaal voor organisaties met Windows 11-devices in hybride Azure AD-omgevingen die lokale activiteit willen volgen.<\/p>\n<p>Stapsgewijze procedure:<\/p>\n<ol>\n<li>Open Groepsbeleidsbeheer.\n<ul style=\"list-style-type: disc;\">\n<li>Druk op <strong>Win + R<\/strong> en typ <strong>gpmc.msc<\/strong> om de tool te openen.<\/li>\n<li>Ga naar <strong>Forest &gt; Domeinen &gt; [uw domein]<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<li>Maak een nieuw beleid.\n<ul style=\"list-style-type: disc;\">\n<li>Klik met de rechtermuisknop op <strong>Groepsbeleidsobjecten<\/strong> en selecteer <strong>Nieuw<\/strong>.<\/li>\n<li>Noem het <strong>Endpoint-Audit-Policy<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<li>Configureer de auditinstellingen.\n<ul style=\"list-style-type: disc;\">\n<li>Ga naar <strong>Computerconfiguratie &gt; Beleidsregels &gt; Windows-instellingen &gt; Beveiligingsinstellingen &gt; Geavanceerde configuratie van controlebeleid &gt; Controlebeleid<\/strong>.<\/li>\n<li>Schakel het volgende in:\n<ol style=\"list-style-type: lower-alpha;\">\n<li><strong>Accountbeheer: <\/strong>Gebruikersaccountbeheer controleren (Geslaagd)<\/li>\n<li><strong>Accountbeheer:<\/strong> Beveiligingsgroepsbeheer controleren (Geslaagd)<\/li>\n<li><strong>Aanmelden\/Afmelden:<\/strong> Aanmelden controleren (Geslaagd, Mislukt).<\/li>\n<\/ol>\n<\/li>\n<\/ul>\n<\/li>\n<li>Koppel aan een organisatie-eenheid.\n<ul style=\"list-style-type: disc;\">\n<li>Klik met de rechtermuisknop op de gewenste OU (bijvoorbeeld Hybrid-Workstations).<\/li>\n<li>Selecteer <strong>Een bestaand GPO koppelen<\/strong> en kies <strong>Endpoint-Audit-Policy<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Windows 11-devices beginnen de opgegeven gebeurtenissen vast te leggen in hun lokale gebeurtenissenlogboek Beveiliging. U kunt nu gebeurtenissen correleren om lokale aanmeldingen te koppelen aan Entra ID-aanmeldingen, logboeken doorsturen met Azure Monitor voor verwerking in Sentinel\/Purview en cloudlogboeken verrijken met devicecontext via de registertags uit Methode 5.<\/p>\n<h3 id=\"method-7\">Methode 7: CMD en CLI gebruiken voor validatie en logdiagnostiek<\/h3>\n<p>Diagnostiek vanaf de opdrachtregel biedt snelle validatie van uw loginfrastructuur.<\/p>\n<p>\ud83d\udccc <strong>Use case: <\/strong>ideaal voor het oplossen van ontbrekende gebeurtenissen, het testen van connectiviteit of het controleren van loginhoud tijdens implementaties.<\/p>\n<p>Stapsgewijze procedure:<\/p>\n<ol>\n<li>Controleer het auditbeleid.\n<ul style=\"list-style-type: disc;\">\n<li>Open de <strong>Opdrachtprompt (Administrator)<\/strong> door ernaar te zoeken in de taakbalk.<\/li>\n<li>Voer deze opdracht uit: <strong>auditpol \/get \/category:*<\/strong><\/li>\n<li>Kijk bij de categorie\u00ebn <strong>Accountbeheer<\/strong> en <strong>Aanmelden<\/strong> om te bevestigen dat het GPO uit Methode 6 is toegepast.<\/li>\n<\/ul>\n<\/li>\n<li>Controleer lokale beveiligingsgebeurtenissen.\n<ul style=\"list-style-type: disc;\">\n<li>Voer deze opdracht uit:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><code><strong>wevtutil qe Security \"\/q:*[System[(EventID=4720 or EventID=4625)]]\" \/f:text \/c:5<\/strong><\/code><\/p>\n<ol start=\"3\">\n<li>Test de cloudconnectiviteit.\n<ul style=\"list-style-type: disc;\">\n<li>Voer deze opdracht uit:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>nslookup graph.microsoft.com &amp;&amp; ping manage.office.com<\/strong><\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul style=\"list-style-type: disc;\">\n<li>Bevestig de DNS-resolutie voor het ophalen van logboeken via Power Automate\/PowerShell.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"4\">\n<li>Inspecteer ge\u00ebxporteerde logboeken.\n<ul style=\"list-style-type: disc;\">\n<li>Voer deze opdracht uit:<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><code><strong>type \"C:\\Logs\\TenantChangeLog.csv\" | findstr \"Add member\"<\/strong><\/code><\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul style=\"list-style-type: disc;\">\n<li>Hiermee zoekt u naar wijzigingen in machtigingen in de PowerShell-exports.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Na deze diagnostiek weet u zeker dat de GPO- en registerwijzigingen actief zijn, ziet u welke gebeurtenissen ontbreken of welke connectiviteitsproblemen spelen en kunt u uw Power Automate-flows of scripts waar nodig aanpassen.<\/p>\n<h2 id=\"things-to-look-out-for\"><strong>\u26a0\ufe0f <\/strong>Waar u op moet letten<\/h2>\n<p>In dit gedeelte vindt u mogelijke knelpunten om rekening mee te houden terwijl u deze gids volgt.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Risico\u2019s<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Mogelijke gevolgen<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Herstelacties<\/strong><\/td>\n<\/tr>\n<tr>\n<td>1. Onjuiste registerbewerkingen<\/td>\n<td>Het besturingssysteem kan instabiel worden en het opstarten mislukt.<\/td>\n<td><a href=\"https:\/\/www.ninjaone.com\/blog\/back-up-and-restore-windows-registry\/\">Maak een back-up van het register<\/a> <strong>(regedit &gt; Bestand &gt; Exporteren) <\/strong>of <a href=\"https:\/\/www.ninjaone.com\/script-hub\/create-a-restore-point-in-windows-with-powershell\/\">maak een systeemherstelpunt<\/a>.<\/p>\n<p>Bekijk <a href=\"https:\/\/www.ninjaone.com\/videos\/windows\/how-to-back-up-and-restore-windows-registry\/\">Een back-up maken van het Windows-register en het herstellen<\/a> voor meer details.<\/td>\n<\/tr>\n<tr>\n<td>2. Audit logging uitgeschakeld<\/td>\n<td>U mist kritieke wijzigingen (verwijderde gebruikers, roltoewijzingen)<\/td>\n<td>Controleer dit via de banner in de Purview-portal of met PowerShell: Get-AdminAuditLogConfig | fl UnifiedAuditLogIngestionEnabled<\/td>\n<\/tr>\n<tr>\n<td>3. Verlopen Power Automate-token<\/td>\n<td>Flows mislukken; de logverwerking stopt<\/td>\n<td>Richt rotatie via Azure Key Vault en een flow voor tokenvernieuwing in; stel notificaties in voor het verlopen van tokens<\/td>\n<\/tr>\n<tr>\n<td>4. Te brede GPO-auditing<\/td>\n<td>Het gebeurtenissenlogboek loopt vol; kritieke gebeurtenissen vallen niet meer op<\/td>\n<td>Test beleid eerst in een staging-OU; gebruik nauwkeurige filters (bijvoorbeeld alleen <strong>EventID=4720<\/strong>)<\/td>\n<\/tr>\n<tr>\n<td>5. API-throttlinglimieten overschrijden<\/td>\n<td>Gemiste gebeurtenissen; onvolledige wijzigingsrecords<\/td>\n<td>Voeg retry-logica voor HTTP 429 toe in Power Automate; splits grote aanvragen op (&gt;5k records)<\/td>\n<\/tr>\n<tr>\n<td>6. Azure AD-app met te veel machtigingen<\/td>\n<td>Beveiligingsinbreuken via gecompromitteerde referenties<\/td>\n<td>Pas minste voorrecht toe: verleen alleen AuditLog.Read.All en ActivityFeed.<strong>Read<\/strong><\/td>\n<\/tr>\n<tr>\n<td>7. Bewaartermijnen van logboeken negeren<\/td>\n<td>Permanent gegevensverlies (Purview: bewaartermijn van 90 tot 180 dagen)<\/td>\n<td>Richt geautomatiseerde CSV-exports naar Azure Blob Storage in voordat de bewaartermijn verstrijkt.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Belangrijke overwegingen bij het bouwen van een tenantwijzigingslogboek<\/h2>\n<p>Plan strategisch zodat uw oplossing veilig en kosteneffici\u00ebnt kan meegroeien.<\/p>\n<h3>Bewaarbeleid<\/h3>\n<p>De audittrails van Microsoft 365 kennen strikte bewaartermijnen:<\/p>\n<ul>\n<li>E3-licenties: 90 dagen (standaard)<\/li>\n<li>E5\/Audit Premium: 180 dagen tot 10 jaar (met add-ons)<\/li>\n<\/ul>\n<p>Automatiseer wekelijkse exports naar Azure Blob Storage of SharePoint voor archivering op lange termijn.<\/p>\n<h3>Kostenbeheer<\/h3>\n<p>Power Automate-flows zijn gratis tot en met 5.000 acties per maand, maar premium connectors kosten extra: volgens <a href=\"https:\/\/www.microsoft.com\/en-us\/power-platform\/products\/power-automate\/pricing\" target=\"_blank\" rel=\"noopener\">de prijslijst van Microsoft voor Power Automate<\/a> staan die op $15 per gebruiker per maand.<\/p>\n<p>Microsoft Purview Audit Premium is bovendien inbegrepen bij Microsoft 365 E5 of de Microsoft 365 E5 Compliance-add-on, met een vermelde prijs van $12 per gebruiker per maand, en biedt standaard een bewaartermijn van \u00e9\u00e9n jaar voor audittrails met opties tot 10 jaar, aldus <a href=\"https:\/\/learn.microsoft.com\/en-us\/purview\/audit-log-retention-policies\" target=\"_blank\" rel=\"noopener\">Microsoft Learn<\/a> op 11 juli 2025.<\/p>\n<p>\ud83d\udca1 <strong>Tip:<\/strong> filter waardevolle gebeurtenissen vroeg in het proces om het volume te beperken.<\/p>\n<h3>Exportlimieten<\/h3>\n<p>API-throttling kan per tenant tot 2.000 aanvragen per 10 minuten aan. Daarnaast geldt een limiet van 5.000 records per PowerShell- of API-aanroep. U kunt paginering (@odata.nextLink) en opgesplitste zoekopdrachten gebruiken:<\/p>\n<p><strong>Search-UnifiedAuditLog -StartDate $start -EndDate $end -SessionCommand ReturnLargeSet<\/strong><\/p>\n<h3>Multi-tenant delegatie (MSP\u2019s)<\/h3>\n<p>Zet Azure Lighthouse in om het verzamelen van logboeken te centraliseren zonder van context te wisselen: onboard klanttenants via ARM-sjablonen, bevraag alle tenantwijzigingslogboeken vanuit \u00e9\u00e9n dashboard en beperk de toegang met <a href=\"https:\/\/www.ninjaone.com\/endpoint-management\/role-based-access-control\/\">RBAC<\/a>-rollen.<\/p>\n<h2>Hoe maakt NinjaOne audit logging een stuk eenvoudiger?<\/h2>\n<p>Breng het tenantbrede bijhouden van wijzigingen in de cloud en op endpoints samen en automatiseer het.<\/p>\n<ol>\n<li><strong>Geautomatiseerde scriptuitrol: <\/strong>plan PowerShell-scripts in op Windows 11-devices om audittrails uit Microsoft 365, Entra ID en lokale systemen te centraliseren in de repository van NinjaOne.<\/li>\n<li><strong>Realtime notificaties en ticketsysteem: <\/strong>activeer meldingen en maak automatisch tickets aan bij kritieke gebeurtenissen:\n<ul style=\"list-style-type: disc;\">\n<li>Escalatie van rechten<\/li>\n<li>Toegang tot gevoelige postvakken<\/li>\n<li>Verwijderde gebruikers<\/li>\n<\/ul>\n<\/li>\n<li><strong>Gecombineerde logcorrelatie:<\/strong> combineer tenantwijzigingslogboeken met endpointgebeurtenissen om afwijkingen te detecteren, zoals beheerdersaanmeldingen vanaf nieuwe devices en beleidswijzigingen buiten kantooruren<\/li>\n<li><strong>Multi-tenant compliance-dashboard:<\/strong> voor MSP\u2019s: bekijk alle geautomatiseerde wijzigingslogboeken van klanten in \u00e9\u00e9n overzicht, filter op ernst of workload en genereer rapporten die klaar zijn voor audits.<\/li>\n<\/ol>\n<h2>Power Automate audit logs: sterke compliance realiseren<\/h2>\n<p>Door uw tenantwijzigingslogboek te centraliseren, verandert u verspreide gebeurtenissen in bruikbare beveiligingsinformatie, zodat u klaar bent voor audits en bedreigingen in realtime detecteert.<\/p>\n<p>Pas deze technieken nu toe om inbreuken zoals escalatie van rechten direct te herleiden, tijdens audits moeiteloos compliance aan te tonen en rustig te slapen in de wetenschap dat elke kritieke wijziging wordt vastgelegd.<\/p>\n<p><strong>Gerelateerde onderwerpen<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/nl\/blog\/windows-update-logboeken-lezen\/\">Volledige gids: zo leest u Windows Update-logboeken<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/sv\/videos\/windows\/how-to-read-windows-update-logs\/\">Zo leest u Windows Update-logboeken \u2013 een gids<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/what-is-an-it-audit-a-how-to-guide\/\">Wat is een IT-audit? Een praktische gids<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/docs\/endpoint-management\/advanced-automations\/\">Geavanceerde automatisering met NinjaOne<\/a><\/li>\n<\/ul>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Quick-start guide<\/h2><p>NinjaOne biedt verschillende functies:<\/p>\n<ol>\n<li> Systeemactiviteiten volgen\n<ul>\n<li>Het platform volgt uiteenlopende systeemactiviteiten op devices en binnen organisaties<\/li>\n<li>Deze activiteiten omvatten:\n<ul>\n<li>Registraties en verwijderingen van devices<\/li>\n<li>Aan- en afmeldingen van gebruikers<\/li>\n<li>Verplaatsingen van devices tussen organisaties<\/li>\n<li>Activiteiten rond patchbeheer<\/li>\n<li>Uitvoeringen van automatiseringsscripts<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li>Relevante auditmogelijkheden\n<ul>\n<li>Het logboek met patchbeheeractiviteiten laat zien:\n<ul>\n<li>Welke actie is uitgevoerd<\/li>\n<li>Wie de actie heeft uitgevoerd<\/li>\n<li>Wanneer de actie plaatsvond<\/li>\n<li>Welke beleidsregels en devices zijn geraakt<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li>Integratiemogelijkheden\n<ul>\n<li>Hoewel dit niet expliciet is uitgewerkt voor Power Automate, beschikt NinjaOne over API-mogelijkheden waarmee audittrails mogelijk kunnen worden opgehaald<\/li>\n<li>Het systeem biedt exportopties voor activiteiten (CSV-formaat)<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Aanbeveling: om een volledig tenantbreed wijzigingslogboek te bouwen hebt u waarschijnlijk het volgende nodig:<\/p>\n<ul>\n<li>Gebruik de API of de exportfuncties voor activiteiten van NinjaOne<\/li>\n<li>Maak een Power Automate-flow om:\n<ul>\n<li>Periodiek activiteitenlogboeken op te halen<\/li>\n<li>De gegevens samen te voegen en op te maken<\/li>\n<li>Ze op een centrale locatie op te slaan (bijvoorbeeld SharePoint of een database)<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Snelle wijzigingen in uw Microsoft 365-tenant bijhouden \u2013 denk aan aanpassingen van gebruikers, beveiligingsupdates of roltoewijzingen \u2013 lijkt bijna onmogelijk zonder centraal overzicht. Een oplossing is Power Automate inzetten voor de audittrails en die omzetten in een helder, bruikbaar overzicht voor verantwoording en beveiliging. In deze gids leest u stap voor stap hoe u dit [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":536315,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4358],"tags":[],"class_list":["post-936942","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops-nl"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/936942","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/comments?post=936942"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/936942\/revisions"}],"predecessor-version":[{"id":936943,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/936942\/revisions\/936943"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media\/536315"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media?parent=936942"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/categories?post=936942"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/tags?post=936942"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}