Como criar um log de mudanças de todo o tenant com logs de auditoria e o Power Automate

Acompanhar mudanças rápidas no tenant do Microsoft 365 — alterações em usuários, atualizações de segurança ou atribuições de função — parece impossível sem visibilidade centralizada.

Uma saída é usar o Power Automate para os logs de auditoria, transformando-os em um registro claro e acionável para fins de responsabilização e segurança. Neste guia, veja o passo a passo para montar essa estrutura com Power Automate e Microsoft Purview.

Quer um apoio visual? Assista ao vídeo “Como criar um log de mudanças para todo o tenant usando logs de auditoria e o Power Automate” para uma explicação detalhada do tema.

Como criar um log de mudanças do tenant

Centralizar o acompanhamento de mudanças evita falhas de segurança e simplifica as auditorias de conformidade em todo o ambiente Microsoft 365.

📌 Caso de uso: um log automatizado de mudanças do tenant ajuda a monitorar atividades críticas, como alterações de permissões, atualizações de políticas e eventos do ciclo de vida de usuários, além de manter a visibilidade histórica entre departamentos. Ele converte logs de auditoria dispersos do Microsoft Purview em um ativo unificado de segurança.

📌 Pré-requisitos: antes de começar, confirme que tem Microsoft 365 E3/E5, acesso ao Power Automate, uma função de administrador no ambiente (por exemplo, Administrador Global, Administrador de Segurança ou Administrador de Conformidade), acesso ao Portal de Conformidade do Microsoft Purview e os módulos do PowerShell (especificamente Microsoft Graph e ExchangeOnlineManagement).

Recomendamos conferir ⚠️Pontos de atenção antes de prosseguir.

📌 Estratégias de implantação:

Método 1: ativar o log de auditoria unificado

Ativar a auditoria unificada garante que o Microsoft 365 registre toda mudança crítica no tenant.

📌 Caso de uso: é o procedimento ideal ao configurar o log de mudanças do tenant pela primeira vez ou ao verificar a cobertura de auditoria existente..

Passo a passo:

1. Acesse o portal do Purview.
   • Vá para o Portal de Conformidade do Microsoft Purview e entre com a conta de administrador.
2. Navegue até Auditoria.
   • No menu à esquerda, selecione Soluções > Auditoria.
   • Se não encontrar, clique antes em Exibir todas as soluções.
3. Ative o registro em log.
   • Se a auditoria estiver desativada, aparecerá um banner em destaque; clique em Iniciar a gravação da atividade do usuário e do administrador.

💡 Observação: se nenhum banner aparecer, a auditoria já está ativada.

4. Verifique a cobertura.
   • Confirme que estes serviços estão incluídos:
     1. Exchange Online
     2. SharePoint/OneDrive
     3. Microsoft Teams
     4. Microsoft Entra ID
5. Aguarde a ativação.
   • Dê ao sistema 24 horas para gerar todos os logs. Os primeiros eventos aparecem em até uma hora.

Em até 24 horas, o Microsoft 365 começa a registrar eventos como criação de usuários, alterações de permissões e atualizações de políticas. Esses logs de auditoria do Microsoft Purview viram a fonte de dados do fluxo no Power Automate.

Método 2: usar o Power Automate para registrar mudanças a partir de eventos de auditoria

Automatize o acompanhamento em todo o tenant convertendo dados brutos de auditoria em registros acionáveis.

📌 Caso de uso: faça isso quando precisar de registro contínuo e personalizado de mudanças específicas, como atualizações de permissões ou alterações em caixas de correio..

Passo a passo:

1. Crie um registro de aplicativo no Azure AD.
   • Vá para o Portal do Azure > Entra ID > Registros de aplicativo > Novo registro.
   • Conceda estas permissões de API:
     1. AuditLog.Read.All (para o Microsoft Graph)
     2. ActivityFeed.Read (APIs de Gerenciamento do Office 365)
2. Crie um novo fluxo.
   • Acesse o Power Automate, clique em Criar e escolha Fluxo de nuvem agendado.
   • Dê um nome (por exemplo, Tenant Change Logger).
   • Configure a execução a cada uma hora (padrão) e clique em Criar.
3. Obtenha o token de segurança.
   • Adicione uma nova ação:
     • Clique em Pesquisar e selecione Azure AD > Get OAuth 2.0 Token.
     • Preencha:
       1. Authority URL: https://login.microsoftonline.com
       2. Client ID: [do seu aplicativo no Azure AD]
       3. Client Secret: [do seu aplicativo no Azure AD]
       4. Resource: https://graph.microsoft.com
4. Adicione a busca dos logs de auditoria.
   • Clique em + Nova etapa, pesquise HTTP e selecione HTTP-HTTP.
   • Configure:
     1. Método: GET
     2. URI: cole https://graph.microsoft.com/v1.0/auditLogs/directoryAudits
     3. Cabeçalhos:

{
"Authorization": "Bearer <PASTE_TOKEN_HERE>"
}

5. Filtre os eventos importantes.
   • Clique em + Nova etapa e pesquise Filtrar matriz.
   • Em De, selecione value da etapa HTTP.
   • Cole isto na caixa do filtro:

@or(
equals(item()?['activityDisplayName'], 'Add member to role'),
equals(item()?['activityDisplayName'], 'Delete user')
)

• • Isso captura apenas mudanças de função/permissão — personalize a lista de monitoramento aqui.

6. Salve no log.
   • Adicione a ação final e pesquise SharePoint > Criar item.
   • Selecione o site/a lista.
   • Mapeie os campos:
     1. Timestamp: activityDateTime
     2. User: userPrincipalName
     3. Action: activityDisplayName
7. Teste e ative.
   • Execute manualmente com o botão Testar.
   • Confirme que os eventos aparecem no destino do log.

O fluxo vai alimentar o log automatizado de mudanças a cada hora com eventos como exclusões de usuários ou atualizações de políticas. Assim, fica com um registro centralizado e pesquisável para auditorias ou investigações de incidentes.

Método 3: usar o PowerShell para exportar e armazenar logs de auditoria

O PowerShell dá controle preciso para extrair e armazenar registros críticos de mudanças.

📌 Caso de uso: use este método quando precisar de filtragem detalhada, agendamento personalizado ou exportações diretas em CSV para análise histórica.

Passo a passo:

1. Conecte-se ao Exchange Online.
   • Abra o Terminal do Windows (Admin) e execute:

Connect-ExchangeOnline -Device
# Authenticate with your admin account when prompted

2. Pesquise e exporte os logs.
   • Execute este comando para capturar os eventos principais:

Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) `-Operations "Add-MailboxPermission", "Update-User", "Add-MemberToRole" `-ResultSize 1000 | Export-Csv "C:\AuditLogs\Changes.csv" -NoTypeInformation

3. Automatize as exportações diárias.
   • Salve o script como Export-AuditLogs.ps1.
   • Crie uma tarefa no Agendador de Tarefas do Windows ou use sua plataforma de RMM (por exemplo, NinjaOne) para implantar esse script nos dispositivos da empresa:
     1. Gatilho: diariamente às 2h (ou no melhor horário para sua operação).
     2. Ação: powershell.exe -File "C:\Scripts\Export-AuditLogs.ps1"

A tarefa agendada vai gerar arquivos CSV diários (por exemplo, Changes_08-15-2023.csv) com registros de ações administrativas e seus horários, prontos para análise no Excel (use o Power Query para interpretar campos JSON), armazenamento de longo prazo (Azure Blob/compartilhamentos de rede) e auditorias manuais ou ingestão em SIEM.

Método 4: armazenar logs em um local centralizado no SharePoint ou no Teams

Guarde o histórico de mudanças onde as equipes possam acessar e colaborar com segurança.

📌 Caso de uso: ideal para equipes que precisam de trilhas de auditoria compartilhadas e pesquisáveis, com permissões personalizáveis.

Passo a passo:

1. Crie um local de log no SharePoint.
   • Vá para SharePoint Online > + Novo > Lista.
   • Nome: TenantChangeLog.
   • Crie estas colunas:

2. Preencha automaticamente com o Power Automate.
   • Modifique o fluxo do Power Automate já criado (no Método 2):
     • Substitua a ação final por: SharePoint > Criar item.
     • Mapeie os campos:
       1. Timestamp: activityDateTime
       2. User: userPrincipalName
       3. Operation: activityDisplayName
       4. Workload: service
       5. Item: targetResources
3. Defina as permissões.
   • No SharePoint:
     1. Vá para Configurações > Permissões da lista.
     2. Conceda acesso de Leitura aos auditores.
     3. Restrinja a Edição aos administradores de segurança.

O log automatizado de mudanças é atualizado a cada hora com novos eventos. A equipe pode pesquisar mudanças históricas no SharePoint/Teams, configurar alertas para operações críticas (por exemplo, “Add member to role”) e criar painéis no Power BI a partir da lista.

Método 5: usar o Registro para marcar eventos de endpoints ou anexar metadados do dispositivo

Adicione contexto de endpoint às trilhas de auditoria para rastrear incidentes com precisão.

📌 Caso de uso: use quando precisar rastrear ações até dispositivos ou departamentos específicos durante investigações de segurança.

Passo a passo:

1. Crie as chaves do Registro.
   • Abra Executar (Win + R) e digite regedit para abrir o Editor do Registro.
     • Confirme que tem privilégios administrativos.
   • Vá para HKEY_LOCAL_MACHINE\SOFTWARE\Org\TenantMetadata
     • Se a chave TenantMetadata não existir, crie-a (clique com o botão direito > Novo > Chave).
   • Adicione dois Valores de Cadeia de Caracteres (clique com o botão direito dentro da chave > Novo > Valor de Cadeia de Caracteres).
     • Nomeie um deles como DeviceTag.
       1. Informe o Valor como NYC-Laptop-001.
     • Nomeie o outro como Department.
       • Informe o Valor como Finance.
2. Automatize a implantação das marcações (Política de Grupo).
   • Abra o Console de Gerenciamento de Política de Grupo.
   • Crie um novo GPO em Configuração do Computador > Preferências > Registro:
     • Informe o seguinte:
       1. Ação: Criar
       2. Hive: HKEY_LOCAL_MACHINE
       3. Caminho da chave: SOFTWARE\Org\TenantMetadata
       4. Valor: DeviceTag, com Tipo definido como REG_SZ e Dados como “%COMPUTERNAME%”
3. Enriqueça os logs de auditoria:
   • Com o PowerShell, acrescente o script abaixo à exportação:

• • Power Automate: adicione uma ação HTTP à API de gerenciamento de dispositivos para buscar as marcações durante o processamento dos logs.

Método 6: aplicar Política de Grupo para auditoria de eventos nos endpoints

Amplie a visibilidade para dispositivos locais e tenha um monitoramento híbrido completo.

📌 Caso de uso: ideal para organizações com dispositivos Windows 11 em ambientes híbridos do Azure AD que precisam acompanhar a atividade local.

Passo a passo:

1. Abra o Gerenciamento de Política de Grupo.
   • Pressione Win + R e digite gpmc.msc para abrir a ferramenta.
   • Vá para Floresta > Domínios > [Seu Domínio].
2. Crie uma nova política.
   • Clique com o botão direito em Objetos de Política de Grupo e selecione Novo.
   • Dê o nome de Endpoint-Audit-Policy.
3. Configure as opções de auditoria.
   • Vá para Configuração do Computador > Políticas > Configurações do Windows > Configurações de Segurança > Configuração Avançada da Política de Auditoria > Políticas de Auditoria.
   • Ative o seguinte:
     1. Gerenciamento de Contas: Auditar Gerenciamento de Contas de Usuário (Êxito)
     2. Gerenciamento de Contas: Auditar Gerenciamento de Grupos de Segurança (Êxito)
     3. Logon/Logoff: Auditar Logon (Êxito, Falha).
4. Vincule à unidade organizacional.
   • Clique com o botão direito na UO de destino (por exemplo, Hybrid-Workstations).
   • Selecione Vincular um GPO Existente e escolha Endpoint-Audit-Policy.

Os dispositivos Windows 11 passam a registrar os eventos definidos no log de eventos de Segurança local. A partir daí, dá para correlacionar eventos e casar logons locais com entradas no Entra ID, encaminhar logs com o Azure Monitor para ingestão no Sentinel/Purview e enriquecer os logs na nuvem com o contexto do dispositivo pelas marcações de Registro do Método 5.

Método 7: usar CMD e CLI para validação e diagnóstico de logs

Os diagnósticos por linha de comando validam rapidamente sua infraestrutura de registro em log.

📌 Caso de uso: ideal para investigar eventos ausentes, testar conectividade ou verificar o conteúdo dos logs durante implantações.

Passo a passo:

1. Verifique as políticas de auditoria.
   • Abra o Prompt de Comando (Admin) pesquisando na barra de tarefas.
   • Execute este comando: auditpol /get /category:*
   • Procure as categorias Gerenciamento de Contas e Logon para confirmar que o GPO do Método 6 foi aplicado.
2. Confira os eventos de segurança locais.
   • Execute este comando:

wevtutil qe Security "/q:*[System[(EventID=4720 or EventID=4625)]]" /f:text /c:5

3. Teste a conectividade com a nuvem.
   • Execute este comando:

nslookup graph.microsoft.com && ping manage.office.com

• • Confirme a resolução de DNS para as buscas de log do Power Automate/PowerShell.

4. Inspecione os logs exportados.
   • Execute este comando:

type "C:\Logs\TenantChangeLog.csv" | findstr "Add member"

• • Isso busca mudanças de permissão nas exportações do PowerShell.

Depois desses diagnósticos, você confirma que as mudanças de GPO/Registro estão ativas, identifica eventos ausentes ou bloqueios de conectividade e ajusta os fluxos do Power Automate ou os scripts conforme necessário.

⚠️ Pontos de atenção

Esta seção destaca desafios possíveis que vale manter em mente ao seguir o guia.

Pontos essenciais ao criar um log de mudanças do tenant

Planeje com estratégia para que a solução escale com segurança e bom custo.

Políticas de retenção

Os logs de auditoria do Microsoft 365 têm janelas de retenção rígidas:

• Licenças E3: 90 dias (padrão)
• E5/Audit Premium: de 180 dias a 10 anos (com complementos)

Automatize exportações semanais para o Azure Blob Storage ou o SharePoint e garanta o arquivamento de longo prazo.

Gerenciamento de custos

Os fluxos do Power Automate são gratuitos até 5.000 ações mensais, mas os conectores premium custam à parte, a US$ 15 por usuário por mês, segundo a lista de preços da Microsoft para o Power Automate.

O Microsoft Purview Audit Premium também está incluído no Microsoft 365 E5 ou no complemento Microsoft 365 E5 Compliance, por US$ 12 por usuário ao mês, e oferece retenção padrão de 1 ano dos logs de auditoria, com opções de até 10 anos, segundo o Microsoft Learn em 11 de julho de 2025.

💡 Dica: filtre cedo os eventos de maior valor para reduzir o volume.

Limites de exportação

A limitação de API suporta até 2.000 requisições a cada 10 minutos por tenant. Já o limite de registros é de 5.000 entradas por chamada de PowerShell/API. Use paginação (@odata.nextLink) e pesquisas fragmentadas:

Search-UnifiedAuditLog -StartDate $start -EndDate $end -SessionCommand ReturnLargeSet

Delegação multi-tenant (MSPs)

Use o Azure Lighthouse para centralizar a coleta de logs sem trocar de contexto: faça o onboarding dos tenants dos clientes com modelos ARM, consulte todos os logs de mudanças em um único painel e restrinja o acesso com funções de RBAC.

Como NinjaOne facilita o registro de auditoria

Unifique e automatize o acompanhamento de mudanças em todo o tenant, na nuvem e nos endpoints.

1. Implantação automatizada de scripts: agende scripts do PowerShell nos dispositivos Windows 11 para centralizar os logs de auditoria do Microsoft 365, do Entra ID e dos sistemas locais no repositório do NinjaOne.
2. Alertas em tempo real e sistema de tickets: dispare notificações e crie tickets automaticamente para eventos críticos:
   • Escalonamentos de privilégio
   • Acesso a caixas de correio sensíveis
   • Exclusões de usuários
3. Correlação unificada de logs: combine os logs de mudanças do tenant com os eventos de endpoints para detectar anomalias, como logins de administrador em dispositivos novos e alterações de políticas fora do horário
4. Painel de conformidade multi-tenant: para MSPs: visualize todos os logs automatizados de mudanças dos clientes em uma única tela, filtre por severidade/carga de trabalho e gere relatórios prontos para auditoria.

Logs de auditoria com o Power Automate: conformidade sólida

Centralizar o log de mudanças do tenant transforma eventos dispersos em inteligência de segurança acionável, garantindo prontidão para auditorias e detecção de ameaças em tempo real.

Agora é só aplicar essas técnicas para rastrear violações na hora, como escalonamentos de privilégio, comprovar conformidade nas auditorias sem correria e dormir tranquilo sabendo que toda mudança crítica está registrada.

Temas relacionados

• Guia completo: como ler os logs do Windows Update
• Como ler os logs do Windows Update – um guia
• O que é uma auditoria de TI? Um guia prático
• Automações avançadas com NinjaOne