10 · Superviser l'activité d'identité : logs, workbooks et rapports

Version : 1.1 · Date : 2026-10-21 · Domaine 4 de l'examen : Plan and automate identity governance (20 à 25 %)

En une phrase : Microsoft Entra ID enregistre chaque connexion, chaque changement et chaque provisioning ; le portail suffit pour une enquête rapide, mais pour garder, croiser, alerter et piloter la posture il faut envoyer ces journaux vers Log Analytics par des diagnostic settings, puis lire les workbooks et l'Identity Secure Score.

Ce que l'examen demande#

Bloc Monitor identity activity by using logs, workbooks, and reports du guide d'étude SC-300 (compétences au 28/10/2026) :

Le cours SC-500 donne déjà la vue d'ensemble des journaux et de leur rétention (SC-500 · 11.10) et le connecteur Microsoft Entra ID de Sentinel (SC-500 · 11 § 5.2). Ce chapitre va au niveau administrateur : où cliquer, quoi lire, quel rôle, quelle licence, quelle requête.

1. Les bases à maîtriser avant tout#

1.1 Les activity logs de Microsoft Entra ID#

Les entrées des sign-in, audit et provisioning logs sont générées par le système : elles ne peuvent être ni modifiées ni supprimées. Le Microsoft 365 Unified Audit Log est un journal distinct, géré par Microsoft Purview Audit.

1.2 Licences et rôles#

Côté Azure, l'accès au Log Analytics workspace se donne par Azure RBAC : Log Analytics Reader ou Monitoring Reader pour lire, Log Analytics Contributor ou Monitoring Contributor pour modifier. Il faut les deux : un rôle Entra et un rôle sur le workspace.

1.3 La rétention, selon la licence#

2. Analyser les sign-in, audit et provisioning logs dans le portail#

Chemin : Microsoft Entra admin center > Entra ID > Monitoring & health > Sign-in logs / Audit logs / Provisioning logs, au minimum en Reports Reader. Le portail convient aux enquêtes ponctuelles ; au-delà, Log Analytics.

2.1 Les sign-in logs : quatre types#

L'ancienne vue (legacy) ne montre que les connexions interactives. Les agents ont désormais leurs propres journaux (Microsoft Entra Agent ID), dans les audit et sign-in logs.

2.2 Lire une entrée#

Méthode recommandée : partir des trois composants Who (utilisateur), How (client et méthode), What (ressource), puis ouvrir les onglets.

À connaître pour l'examen :

• Success en Conditional Access veut dire que la stratégie a été évaluée pour l'utilisateur et l'application, pas forcément que toutes ses conditions s'appliquaient. Failure : l'utilisateur et l'application correspondaient et les grant controls n'étaient pas satisfaits (ou la stratégie bloque).
• Windows Hello for Business apparaît toujours en Not Applied : Conditional Access protège l'accès aux ressources cloud, pas la connexion à Windows. Certains scénarios d'amorçage (inscription d'appareil, conformité, connecteurs NPS) sont aussi exemptés.
• La date et l'heure sont affichées dans le fuseau de l'administrateur qui consulte, pas de l'utilisateur.
• L'IP ne prouve pas la localisation (VPN, opérateurs mobiles) : la géolocalisation est une estimation.
• Correlation ID regroupe les requêtes d'une même session ; Request ID correspond à un jeton émis.
• Cross-tenant access type : b2bCollaboration, b2bDirectConnect, microsoftSupport, serviceProvider, passthrough… Pour voir les accès d'utilisateurs externes : filtrer les entrées dont le home tenant diffère du resource tenant.
• Authentication requirement : multiFactorAuthentication ou singleFactorAuthentication ; un échec du premier facteur reste en singleFactorAuthentication, puisque Conditional Access n'a pas encore exigé la MFA.
• CAE n'est indiqué à true que sur une des requêtes de l'authentification, dans l'onglet interactif ou non interactif.

Le Sign-in Diagnostic (lancé depuis Basic info) analyse l'échec et propose une correction : c'est le premier réflexe avant d'ouvrir un ticket.

flowchart TD
    A["Un utilisateur ne peut pas se connecter"] --> B["Sign-in logs : filtrer par utilisateur, Status = Failure"]
    B --> C{"Code d'erreur dans Basic info"}
    C --> D["Lancer le Sign-in Diagnostic"]
    D --> E{"Onglet Conditional Access : une stratégie en Failure ?"}
    E -- Oui --> F["Lire les grant controls non satisfaits : MFA, appareil compliant…"]
    E -- Non --> G["Authentication Details : quelle méthode a échoué ?"]
    F --> H["Audit logs : la stratégie a-t-elle été modifiée récemment ?"]
    G --> H

2.3 Les audit logs#

La liste complète des catégories et activités est dans l'Audit activity reference. Pour enquêter sur un changement de Conditional Access, filtrer la catégorie Policy (voir aussi le chapitre 05).

2.4 Les provisioning logs#

Le détail d'une entrée a quatre onglets : Steps (import, matching, scoping, évaluation, provisioning), Troubleshooting & Recommendations (code et raison de l'erreur), Modified Properties (ancienne et nouvelle valeur), Summary. Un statut Skipped vient souvent d'un utilisateur hors scope (scoping filter, utilisateur non affecté à l'application).

2.5 Télécharger, et le piège du throttling#

Chaque vue propose Download en JSON ou CSV : solution manuelle et peu coûteuse pour une archive ponctuelle. Si le portail ou Graph ne renvoient aucun résultat alors que l'activité existe, c'est souvent un throttling (HTTP 429) : réduire la plage de dates par morceaux, ou interroger Log Analytics, qui n'a pas cette limite.

3. Configurer les diagnostic settings#

3.1 La démarche#

1. Créer d'abord la destination (workspace, storage account, Event Hubs namespace et event hub).
2. Microsoft Entra admin center > Entra ID > Monitoring & health > Diagnostic settings (ou Export Settings depuis Sign-in logs ou Audit logs), en Security Administrator.
3. Add diagnostic setting : un nom (non modifiable ensuite), les log categories, une ou plusieurs destinations, Save.
4. Attendre : les premières données peuvent mettre jusqu'à trois jours à apparaître.

On peut créer plusieurs diagnostic settings (par exemple tout vers Log Analytics, et seulement les audit logs vers un storage account de conformité). Brancher les journaux Entra sur Azure Monitor active automatiquement le connecteur Microsoft Entra ID de Microsoft Sentinel sur ce workspace.

3.2 Les catégories#

3.3 Quelle destination#

3.4 Le cas des Microsoft Graph activity logs#

• Licence P1 ou P2 ; seul Security Administrator (rôle le moins privilégié) peut configurer le diagnostic setting.
• Pas de filtre possible dans le diagnostic setting : pour réduire le coût, une workspace transformation ou le plan Basic sur la table MicrosoftGraphActivityLogs.
• Livraison en général sous 30 minutes, parfois jusqu'à 2 heures.
• Ordre de grandeur publié : environ 15 Gio par mois dans Azure Monitor Logs pour 1 000 utilisateurs, environ 1 200 Gio pour 100 000 utilisateurs ; à envoyer dans le même workspace que les sign-in logs pour croiser jetons et appels.
• Le tenant ne voit que ses propres requêtes : pas l'activité d'une application multitenant dans un autre tenant.

4. Superviser avec KQL dans Log Analytics#

4.1 Prérequis et accès#

Licence P1 ou P2, des journaux déjà envoyés par un diagnostic setting, un rôle Entra de lecture (Reports Reader, Security Reader, Global Reader) et un rôle sur le workspace. Accès : Entra ID > Monitoring & health > Log Analytics (une requête par défaut s'exécute), ou directement le workspace dans le portail Azure.

Deux pièges de lecture :

• Plusieurs lignes pour une connexion : chaque requête (échec MFA, nouvel essai, succès) est envoyée séparément, avec le même CorrelationId, alors que le portail les fusionne en une ligne. Regrouper par CorrelationId et prendre le statut final.
• Deux horodatages : CreatedDateTime est l'heure de l'authentification par Entra ID, TimeGenerated l'heure d'ingestion dans le workspace.

4.2 Requêtes à connaître#

// Applications les plus utilisées sur 7 jours
SigninLogs
| where CreatedDateTime >= ago(7d)
| summarize signInCount = count() by AppDisplayName
| sort by signInCount desc

// Échecs et succès par application (top 10 des échecs)
SigninLogs
| where TimeGenerated > ago(7d)
| summarize Attempts = count(), Failed = countif(ResultType != 0), Succeeded = countif(ResultType == 0) by AppDisplayName
| top 10 by Failed

// Connexions refusées par Conditional Access sur 24 heures
SigninLogs
| where TimeGenerated > ago(24h)
| where ConditionalAccessStatus == "failure"
| summarize Echecs = count() by UserPrincipalName, AppDisplayName, IPAddress
| order by Echecs desc

// Connexions à risque
SigninLogs
| where RiskState contains "atRisk"

// Une ligne par connexion, comme dans le portail : regrouper par CorrelationId
SigninLogs
| summarize FirstSeen = min(TimeGenerated), LastSeen = max(TimeGenerated),
            FinalStatus = arg_max(TimeGenerated, ResultType, ConditionalAccessStatus), Count = count()
    by CorrelationId, UserPrincipalName

// Opérations d'audit les plus fréquentes sur 7 jours
AuditLogs
| where TimeGenerated >= ago(7d)
| summarize auditCount = count() by OperationName
| sort by auditCount desc

// Événements de provisioning par jour et par action
AADProvisioningLogs
| where TimeGenerated > ago(7d)
| summarize count() by Action, bin(TimeGenerated, 1d)

// Authentification héritée : tout ce qui n'est ni un navigateur ni un client moderne
// (ClientAppUsed vaut par exemple Exchange ActiveSync, IMAP4, POP3, Authenticated SMTP, Other clients)
SigninLogs
| where TimeGenerated > ago(30d)
| where ClientAppUsed !in ("Browser", "Mobile Apps and Desktop clients")
| summarize Connexions = count() by ClientAppUsed, UserPrincipalName, AppDisplayName
| order by Connexions desc

Les valeurs de ClientAppUsed reprennent les catégories du filtre Client app des sign-in logs (Modern authentication clients : Browser, Mobile apps and desktop clients ; Legacy authentication clients : Exchange ActiveSync, IMAP4, POP3, Authenticated SMTP, MAPI over HTTP, Other clients…). Vérifier les valeurs exactes de votre tenant avec SigninLogs | summarize count() by ClientAppUsed avant de bâtir une alerte ; le workbook Sign-ins using legacy authentication fait le même travail sans KQL.

Une requête devient une alerte par une log search alert rule Azure Monitor (seuil, fréquence, action group) : c'est la méthode recommandée pour surveiller chaque connexion des comptes d'accès d'urgence (SC-500 · 4.5) ou chaque ajout à un rôle privilégié.

4.3 Microsoft Graph et PowerShell#

# Lecture seule : sign-ins des deux dernières semaines d'un utilisateur, exportées en CSV
Connect-MgGraph -Scopes "AuditLog.Read.All"
Get-MgAuditLogSignIn -Filter "userPrincipalName eq '[email protected]' and createdDateTime ge 2026-10-07T00:00:00Z" -All |
    Select-Object CreatedDateTime, AppDisplayName, IPAddress, ConditionalAccessStatus |
    Export-Csv -Path .\signins-alex.csv -NoTypeInformation

À savoir :

• Permission AuditLog.Read.All (l'application peut aussi utiliser Directory.Read.All) ; l'utilisateur délégué doit avoir un rôle comme Reports Reader, Security Reader, Security Operator, Security Administrator ou Global Reader.
• appliedConditionalAccessPolicies n'apparaît que si l'appelant peut lire les données de Conditional Access (rôles Global Reader, Security Reader, Security Administrator, Conditional Access Administrator ; permissions Policy.Read.All ou Policy.Read.ConditionalAccess).
• GET /auditLogs/signIns en v1.0 renvoie les connexions interactives (et les connexions fédérées réussies) ; l'endpoint beta filtre les autres types par signInEventTypes.
• Graph n'est pas fait pour extraire de gros volumes (pagination, throttling) : toujours filtrer sur une plage de dates, et préférer Log Analytics pour l'analyse.

5. Workbooks et rapports#

5.1 Les workbooks Microsoft Entra#

Les workbooks sont des Azure Workbooks limités aux scénarios d'identité (connexions, Conditional Access, MFA, ID Protection). Prérequis : licence P1, un Log Analytics workspace qui reçoit les journaux, un rôle Entra (Reports Reader, Security Reader ou Global Reader pour lire ; Security Administrator pour créer les diagnostic settings) et un rôle Azure Monitor sur le workspace.

Chemin : Entra ID > Monitoring & health > Workbooks, avec trois vues : Workbooks (créés dans le tenant), Public Templates, My Templates.

Créer un workbook : + New (éléments ajoutés un à un, ou JSON collé dans Advanced Editor), ou ouvrir un template, Edit, modifier, puis Save avec titre, subscription, resource group et région (droit d'enregistrer dans ce resource group requis ; stockage du contenu dans un storage account possible).

5.2 Conditional Access insights and reporting#

La vue Policy impact (preview) de Conditional Access donne aussi, en Security Reader, un instantané de l'effet d'une stratégie sur les connexions interactives (24 h, 7 jours, 1 mois), sans Log Analytics.

5.3 Les rapports intégrés, sans Log Analytics#

Health monitoring (preview) suit quatre scénarios — connexions qui exigent la MFA, un appareil managed ou compliant par Conditional Access, connexions SAML — plus une alerte sur les stratégies Conditional Access de blocage. Les signaux sont agrégés toutes les 15 minutes sur 30 jours ; la détection d'anomalie apprend le modèle du tenant (au moins 4 semaines de données) et envoie un e-mail aux destinataires choisis. Voir les signaux demande P1/P2 ; voir et recevoir les alertes demande une licence non-trial et au moins 100 utilisateurs actifs par mois. Une alerte traitée se marque Dismissed.

6. Identity Secure Score et Microsoft Entra recommendations#

6.1 Le principe#

L'Identity Secure Score est un pourcentage qui mesure l'alignement du tenant sur les recommandations de sécurité de Microsoft. Toutes les 24 heures, la configuration est comparée aux bonnes pratiques et un nouveau score est calculé. Il est disponible pour les clients gratuits et payants ; certaines recommandations demandent une licence payante.

Accès : Entra ID > Identity Secure Score, ou Entra ID > Overview > Recommendations avec le filtre Security, au minimum en Global Reader. La page de référence et le tableau Least privileged roles by task précisent aussi : voir une improvement action sans la modifier demande au moins Service Support Administrator, changer son statut au moins SharePoint Administrator (choix surprenant mais documenté tel quel ; Security Administrator et Exchange Administrator conviennent aussi). Pour lire ou mettre à jour les Microsoft Entra recommendations : Reports Reader suffit pour lire, Authentication Policy Administrator est le moindre privilège pour les mettre à jour.

Exemples de recommandations comptées dans le score : Require multifactor authentication (MFA) for administrative roles, Ensure all users can complete MFA, Enable policy to block legacy authentication, Protect all users with a sign-in risk policy et user risk policy, Enable self-service password reset, Designate more than one Global Administrator, Use least privileged administrative roles, Do not allow users to grant consent to unreliable applications, Do not expire passwords, Enable password hash sync if hybrid, et des recommandations Active Directory (Microsoft Entra Connect, LAPS, délégations Kerberos…).

6.2 Comment le score est calculé#

• Binaire : 100 % des points si le réglage est conforme.
• Proportionnel : par exemple une action valant au maximum 10,71 %, avec 5 utilisateurs sur 100 protégés par MFA, donne environ 0,53 %.
• [Not Scored] : action utile mais qui ne rapporte pas de points pour l'instant.
• Le score mesure l'adoption de contrôles, pas la probabilité d'être compromis ; Microsoft conseille de viser les actions à fort impact plutôt qu'un chiffre.
• L'Identity Secure Score est la partie Identity du Microsoft Secure Score (catégories Identity, Data, Devices, Infrastructure, Apps) ; l'historique des changements se lit dans le portail Microsoft Defender XDR.

6.3 Les statuts d'une improvement action#

Une recommandation ignorée ne compte plus dans le calcul.

6.4 Microsoft Entra recommendations#

Les recommendations (Entra ID > Overview > Recommendations) analysent le tenant chaque jour et proposent pour chaque recommandation une description, la valeur attendue, un plan d'action pas à pas et les ressources impactées (utilisateurs, applications, ou Tenant level). Les données reflètent les 24 heures précédentes, avec parfois jusqu'à 72 heures de décalage. C'est l'implémentation propre à Entra d'Azure Advisor.

Des recommandations hors score aident à l'hygiène : Renew expiring application credentials, Remove unused applications, Convert per-user MFA to Conditional Access MFA, Migrate applications from AD FS to Microsoft Entra ID… Les e-mails de notification (preview) partent vers les rôles associés à la recommandation ; avec PIM, seuls les titulaires actifs du rôle les reçoivent.

7. Labs conseillés#

Tenant de test avec une licence P1 ou P2 (un essai suffit pour les journaux ; Health exige une licence non-trial et 100 utilisateurs actifs) et un abonnement Azure de test. Coût principal : l'ingestion dans Log Analytics. Nettoyage : supprimer le diagnostic setting, le resource group du workspace et du storage account.

8. Pièges d'examen#

9. Scénarios d'entraînement#

1. Contoso doit conserver les audit logs Entra deux ans pour un audit externe, sans besoin de requêtes. Que configurer ?

• A. Passer en Microsoft Entra ID P2
• B. Un diagnostic setting AuditLogs vers un storage account
• C. Un diagnostic setting vers Event Hubs
• D. Télécharger les logs chaque mois en CSV

B. La rétention Entra reste 30 jours même en P2 ; le storage account est l'archive la moins chère. D marche mais reste manuel et fragile.

2. Un administrateur doit créer le diagnostic setting avec le moindre privilège. Quel rôle ?

Security Administrator. Reports Reader ne peut que lire ; Global Administrator est trop large.

3. Le SOC veut une alerte dès qu'un compte d'accès d'urgence se connecte. Quelle chaîne ?

Diagnostic setting des sign-in logs vers Log Analytics, requête SigninLogs filtrée sur l'ID des comptes, log search alert rule Azure Monitor avec action group.

4. Une application de paie tourne avec un service principal ; ses connexions n'apparaissent pas dans Sign-in logs. Pourquoi ?

L'onglet par défaut est Interactive user sign-ins ; il faut ouvrir Service principal sign-ins (table AADServicePrincipalSignInLogs dans Log Analytics).

5. Contoso vient de passer de Free à P1 et veut analyser les connexions d'il y a trois semaines. Résultat ?

Impossible : la rétention n'est pas rétroactive, seuls les 7 jours conservés en Free restent visibles.

6. Avant d'activer une stratégie qui exige un appareil compliant, l'équipe veut mesurer son effet sur 30 jours et la comparer aux stratégies actives. Quel outil ?

Stratégie en Report-only, puis le workbook Conditional Access insights and reporting (P1 + sign-in logs dans Log Analytics), qui montre Enabled et Report-only côte à côte.

7. Dans Log Analytics, un utilisateur a trois lignes pour une seule connexion (deux échecs MFA, un succès) alors que le portail n'en montre qu'une. Que faire ?

Comportement normal : regrouper par CorrelationId et garder le statut final (arg_max).

8. Une organisation utilise un outil tiers de MFA pour ses administrateurs ; l'action Require MFA for administrative roles fait baisser son Identity Secure Score. Que faire ?

Passer l'action en Resolved through third party : les points sont accordés.

9. Un script PowerShell doit exporter les sign-ins avec le détail des stratégies Conditional Access appliquées, mais la colonne appliedConditionalAccessPolicies est absente. Pourquoi ?

L'appelant lit les logs (AuditLog.Read.All) mais pas les données de Conditional Access : il faut un rôle comme Security Reader ou Global Reader, et pour une application Policy.Read.All ou Policy.Read.ConditionalAccess.

10. Le portail des sign-in logs ne renvoie soudain aucun résultat sur une plage de 30 jours, alors qu'il y a de l'activité. Que faire ?

Probable throttling (HTTP 429) : réduire la plage par morceaux, ou interroger les mêmes données dans Log Analytics.

10. Pour aller plus loin#

• Microsoft Sentinel sur le même workspace : règles d'analyse, chasse et playbooks sur les journaux Entra (SC-500 · 11).
• Microsoft Graph activity logs pour l'enquête : retrouver les appels d'un compte compromis en croisant SigninLogs et MicrosoftGraphActivityLogs.
• Health alert investigator : une compétence Security Copilot lance, depuis une alerte Health, une analyse de corrélation avec les journaux et la configuration (tenant intégré à Security Copilot, plugin Microsoft Entra activé).
• License usage (Billing > Licenses) : licences P1, P2 et Suite possédées et usage des fonctionnalités, en Reports Reader.
• Agents : journaux Microsoft Entra Agent ID dans les audit et sign-in logs, et catégories RiskyAgents / AgentRiskEvents.

11. Fiche à retenir#

• Sign-in logs en quatre types : interactive, non-interactive, service principal, managed identity (quatre tables KQL).
• Rétention Entra : 7 jours (Free), 30 jours (P1/P2) ; risky sign-ins 90 jours en P2 ; jamais rétroactive.
• Lire les logs : Reports Reader ; diagnostic settings : Security Administrator ; custom security attributes : Attribute Log Administrator.
• Destinations : Log Analytics (KQL, workbooks, alertes, Sentinel), storage (archive), Event Hubs (SIEM tiers).
• Jusqu'à 3 jours avant l'arrivée des premières données ; la destination doit exister avant.
• Graph activity logs : P1/P2, seulement exportés, non filtrables à la source.
• Onglets d'un sign-in : Basic info, Location, Device info, Authentication Details, Conditional Access, Report-only ; Sign-in Diagnostic.
• Success = évaluée ; WHfB toujours Not Applied ; heure dans le fuseau de l'admin.
• Log Analytics : plusieurs lignes par connexion → CorrelationId ; CreatedDateTime ≠ TimeGenerated.
• Workbooks : P1 + workspace alimenté + rôle Entra et rôle Azure Monitor ; CA insights : 4 h à 90 jours.
• Usage & insights, Authentication methods activity, Health : dans le portail, sans export.
• Identity Secure Score : recalcul toutes les 24 h, partie Identity du Microsoft Secure Score ; statuts To address, Planned, Risk accepted, Resolved through third party / alternate mitigation.

Références#

Toutes lues le 21/10/2026 :

• Study guide for Exam SC-300
• What are Microsoft Entra sign-in logs?
• Learn about the sign-in log activity details
• What are Microsoft Entra audit logs?
• What are the Microsoft Entra user provisioning logs?
• How to access activity logs in Microsoft Entra ID
• Microsoft Entra data retention
• Configure Microsoft Entra diagnostic settings for activity logs
• What are the identity logs you can stream to an endpoint?
• Integrate Microsoft Entra logs with Azure Monitor logs
• Analyze Microsoft Entra activity logs with Log Analytics
• How to analyze activity logs with Microsoft Graph
• List signIns (Microsoft Graph v1.0)
• Access Microsoft Graph activity logs
• What are Microsoft Entra workbooks?
• How to use Microsoft Entra Workbooks
• Conditional Access insights and reporting
• Analyze Conditional Access policy impact (report-only)
• What is the Usage and insights report?
• Authentication Methods Activity
• What is Microsoft Entra Health monitoring?
• How to investigate sign-ins requiring Microsoft Entra MFA (Health)
• How to investigate Microsoft Entra Health monitoring alerts
• What is Identity Secure Score?
• What are Microsoft Entra recommendations?