2 mejores métodos para acceder a los registros de auditoría de PC en la nube de Windows 365

En este artículo, le mostraré cómo acceder a los registros de auditoría de Windows 365 Cloud PC. Puede usar PowerShell y Graph API para obtener registros de auditoría de Windows 365. Los registros de auditoría para Windows 365 realizan un seguimiento de lo que cambió en una PC en la nube debido a una acción.

Para un administrador de Intune que administra las PC en la nube, los registros de auditoría de Windows 365 son útiles cuando desea auditar ciertos eventos en las PC en la nube. Los registros de auditoría también son útiles cuando desea solucionar problemas de Cloud PC.

Crear, actualizar (editar), eliminar, asignar y acciones remotas crean eventos de auditoría que los administradores pueden revisar para la mayoría de las acciones de Cloud PC que pasan por Graph. De forma predeterminada, la auditoría está habilitada para todos los clientes que utilizan PC en la nube. No se puede desactivar.

No importa si el dispositivo es una PC en la nube o un dispositivo Windows administrado con Intune, los registros de auditoría contendrán el registro de cada acción iniciada para los dispositivos. Los informes de auditoría están disponibles cuando aprovisiona una PC en la nube o reaprovisiona PC en la nube.

Artículo recomendado: Solucionar problemas de configuración de PC en la nube de Windows 365

Métodos para acceder a los registros de auditoría para PC en la nube

Si desea acceder a los registros de auditoría de las PC en la nube, existen dos métodos que puede utilizar:

• Método 1: acceda a los registros de auditoría de Cloud PC desde Intune Portal.
• Método 2: use Graph API y PowerShell para recuperar eventos de auditoría de Windows 365.

El método más sencillo para acceder a los registros de auditoría de Windows 365 es a través del portal de Intune. Para obtener los datos de auditoría de Cloud PC con el método PowerShell y Graph API, deberá instalar Microsoft Graph SDK. Cubriré ambos métodos para recuperar los eventos de auditoría de Windows 365.

Artículo útil: Cómo acceder a las PC en la nube utilizando múltiples métodos

¿Quién puede acceder a los datos de Cloud PC Audit?

Para acceder a los registros de auditoría de Cloud PC, los usuarios requieren los siguientes permisos:

• Administrador Global.
• Administrador del servicio Intune.
• Administradores asignados a una función de Intune con datos de auditoría: permisos de lectura.

Nota: Si no tiene permiso para iniciar sesión o acceder a partes de Azure Portal, comuníquese con su administrador de TI. Solo cuando tenga los permisos adecuados, podrá recuperar los registros de auditoría de Windows 365.

Recomendado: habilitar el acceso de administrador local de PC en la nube al usuario en Windows 365

¿Dónde puedo encontrar los registros de auditoría de PC en la nube?

Los registros de auditoría de Cloud PC se encuentran en Intune Portal y puede acceder a ellos siguiendo los siguientes pasos:

• Inicie sesión en el portal de Microsoft Intune.
• Vaya a Administración de inquilinos > Registros de auditoría.
• Aquí encontrará todos los registros de auditoría relacionados con las PC en la nube.

¿Qué detalles están disponibles en los registros de auditoría de PC en la nube?

En el portal de Intune, cuando accede a los registros de auditoría de Cloud PC, ve varias columnas. Se incluyen los siguientes detalles para un registro de auditoría de Cloud PC:

1. Fecha: La fecha y hora de la actividad.
2. Iniciado por: la cuenta de usuario que inició la acción. Puede ser un administrador o una aplicación quien inició la acción. El iniciado por (actor) revela quién inició la acción en Cloud PC.
3. Nombre de la aplicación: el nombre de la aplicación, por ejemplo, extensión del Portal de Microsoft Intune.
4. Actividad: los detalles de la actividad muestran qué acción se realizó en la PC en la nube. Por ejemplo, si ha iniciado una acción de sincronización de Cloud PC, se registrará la actividad “syncDevice ManagedDevice”.
5. Destino: el objetivo suele ser el componente para el que se activó la actividad. Por ejemplo, la actividad windowsDefenderScan ManagedDevice se relaciona con el objetivo WindowsDefenderScan.
6. Detalles de categoría: incluye la categoría a la que pertenecen los registros de auditoría. Los ejemplos de categorías incluyen Dispositivo, Configuración del dispositivo, Actualizaciones de software, etc.
7. Estado: la columna de estado muestra el estado de la actividad, que es "Éxito" o "Falló".

Cuando audita los registros de las PC en la nube, tiene la opción de elegir las columnas en Intune Portal. En la sección Registros de auditoría, seleccione Columnas y aquí podrá elegir las columnas que desea incluir o excluir mientras visualiza los registros.

Lea también: Cómo restaurar una PC en la nube con Windows 365 en Intune

Cómo acceder a los registros de auditoría de Windows 365 mediante PowerShell y Graph API

Con PowerShell y Graph API, puede acceder a los registros de auditoría de Windows 365. Hay una serie de pasos que debe seguir antes de poder recuperar los registros de auditoría de las PC en la nube. Voy a ejecutar los siguientes comandos de PowerShell en mi servidor de Configuration Manager. En tu caso, podría ser un portátil que utilizas para trabajar.

1. Instale el SDK de Microsoft Graph PowerShell

El uso del cmdlet Install-Module es el método de instalación preferido para el módulo Microsoft Graph PowerShell. Inicie PowerShell y ejecute el siguiente comando para instalar el módulo Microsoft Graph.

Install-Module Microsoft.Graph -Scope CurrentUser

Ejecute el siguiente comando para verificar si el módulo Microsoft Graph se instaló correctamente. Después de ejecutar el siguiente comando, el resultado debe incluir la versión de Graph API, que en este caso es 1.15.0.

Get-InstalledModule Microsoft.Graph

Una vez que haya instalado el módulo API de Microsoft Graph, puede ejecutar el siguiente comando de PowerShell para obtener todos los puntos finales de Cloud PC Graph.

Get-Command -Module Microsoft.Graph* *virtualEndpoint*

2. Conéctese a Microsoft Graph e inicie sesión

Una vez que haya instalado el SDK de Graph PowerShell, usaremos el SDK de Microsoft Graph PowerShell para realizar algunas tareas básicas. El cmdlet Connect-MgGraph se utiliza para conectarse a Microsoft Graph PowerShell.

Para conectarse a Microsoft Graph e iniciar sesión, puede ejecutar cualquiera de los siguientes comandos en PowerShell.

Connect-MgGraph -Scopes "CloudPC.ReadWrite.All"

Connect-MgGraph -Scopes "CloudPC.Read.All"

Deberá iniciar sesión con una cuenta de administrador para dar su consentimiento a los ámbitos requeridos. En la página web resultante, inicie sesión en su inquilino con una cuenta de usuario que tenga los permisos de lectura y/o escritura adecuados. Estoy usando una cuenta de administrador global en este ejemplo. Para proporcionar el consentimiento, marque la casilla "Consentimiento en nombre de su organización" y haga clic en Aceptar.

Cambie al entorno beta de Graph ejecutando el siguiente comando de PowerShell.

Select-MgProfile -Name "beta"

3. Obtenga los datos de auditoría de las PC en la nube mediante PowerShell y Graph API

En este paso, recuperaremos los datos de auditoría de Windows 365 Cloud PC usando PowerShell y Graph API. Veremos algunos ejemplos de cómo recuperar la lista completa de eventos de auditoría relacionados con las PC en la nube, la lista completa de eventos de auditoría y un evento específico por ID de evento.

Hay varias formas de ver la información de auditoría de las PC en la nube y repasaré cada una con una ilustración. Todos los comandos siguientes funcionarán solo cuando haya instalado Graph API y se haya conectado a su inquilino con las credenciales adecuadas.

4. Obtenga la lista completa de eventos de auditoría de Cloud PC, incluido el actor de auditoría.

Para obtener la lista completa de eventos de auditoría de Cloud PC, incluido el actor (persona que realizó la acción), use el siguiente comando:

Get-MgDeviceManagementVirtualEndpointAuditEvent | Select-Object -Property Actor,ActivityDateTime,ActivityType,ActivityResult -ExpandProperty Actor | Format-Table UserId, UserPrincipalName, ActivityType, ActivityDateTime, ActivityResult

5. Obtenga una lista de eventos de auditoría de Windows 365

Para obtener una lista de eventos de auditoría de Windows 365 sin el actor de auditoría, use el siguiente comando:

Get-MgDeviceManagementVirtualEndpointAuditEvent -All

El resultado mostrará todos los eventos de auditoría para las PC en la nube. Cuando tiene varias PC en la nube en la configuración, el resultado será más largo. Vaya al siguiente paso para filtrar los eventos utilizando el ID de evento.

6. Obtenga un único evento de PC en la nube utilizando el ID de evento

Puede utilizar el siguiente comando para obtener un único evento de auditoría, donde deberá proporcionar el {event ID}:

Get-MgDeviceManagementVirtualEndpointAuditEvent -CloudPcAuditEventId {event ID}