# Monitoring & Berichte Monitoring & Reports

Anmeldeprotokolle, Überwachungsprotokolle, Diagnoseeinstellungen, Log Analytics, KQL-Abfragen und Entra-Empfehlungen im Überblick. Sign-in logs, audit logs, diagnostic settings, Log Analytics, KQL queries, and Entra recommendations at a glance.

Anmeldeprotokolle Sign-in logs

Interaktive, nicht-interaktive, Service-Principal- und Managed-Identity-Anmeldungen mit CA-Auswertung.Interactive, non-interactive, service principal, and managed identity sign-ins with CA evaluation.

Überwachungsprotokolle Audit logs

Alle administrativen Änderungen im Tenant: Benutzer, Gruppen, Richtlinien, Rollen, Apps.All administrative changes in the tenant: users, groups, policies, roles, apps.

Log Analytics / SIEM Log Analytics / SIEM

Logs per Diagnoseeinstellung nach Log Analytics Workspace, Event Hub oder Storage exportieren.Export logs via diagnostic settings to Log Analytics Workspace, Event Hub, or Storage.

Entra-Empfehlungen Entra recommendations

Automatisierte Sicherheitsempfehlungen mit Impact Score und Maßnahmenvorschlägen.Automated security recommendations with impact score and action suggestions.

## Überblick Overview

Microsoft Entra ID stellt verschiedene Protokollquellen bereit, die sowohl für operative Zwecke (Anmeldefehler suchen, CA-Policies prüfen) als auch für Compliance-Anforderungen (Audit-Trails, SIEM-Integration) genutzt werden. Alle Logs sind über das Admin Center, die MS Graph API und Diagnosekonfigurationen abrufbar. Microsoft Entra ID provides several log sources used both for operational purposes (finding sign-in failures, checking CA policies) and compliance requirements (audit trails, SIEM integration). All logs are accessible via the admin center, the MS Graph API, and diagnostic configurations.

ℹ️ Aufbewahrungsfristen ℹ️ Retention periods

Anmeldeprotokolle und Überwachungsprotokolle werden im Entra-Portal je nach Lizenz 7 bis 30 Tage aufbewahrt (Free/P1: 7 Tage; P2: 30 Tage). Für längere Aufbewahrung ist der Export nach Log Analytics, Storage oder Event Hub erforderlich. Sign-in logs and audit logs are retained in the Entra portal for 7 to 30 days depending on license (Free/P1: 7 days; P2: 30 days). Longer retention requires export to Log Analytics, Storage, or Event Hub.

## Anmeldeprotokolle Sign-in logs

Die Anmeldeprotokolle erfassen alle Authentifizierungs- und Autorisierungsereignisse. Sie sind in vier Kategorien aufgeteilt, die unterschiedliche Arten von Principals und Anmeldeszenarien abdecken. The sign-in logs capture all authentication and authorization events. They are split into four categories covering different principal types and sign-in scenarios.

Kategorie Category | Beschreibung Description | Typische Nutzung Typical use
--- | --- | ---
Interaktive Benutzeranmeldungen Interactive user sign-ins | Benutzer gibt Anmeldedaten direkt ein (Browser, App-Anmeldeaufforderung).User enters credentials directly (browser, app sign-in prompt). | Fehlgeschlagene Anmeldungen, CA-Policy-Auswertung, MFA-Nutzung Failed sign-ins, CA policy evaluation, MFA usage
Nicht-interaktive Benutzeranmeldungen Non-interactive user sign-ins | Token-Refresh, Silent SSO durch WAM oder MSAL ohne Benutzerinteraktion.Token refresh, silent SSO through WAM or MSAL without user interaction. | Token-Lebenszeit verstehen, Legacy-Auth-Nutzung erkennen Understand token lifetime, detect legacy auth usage
Service-Principal-Anmeldungen Service principal sign-ins | App- oder Service-Anmeldungen ohne Benutzer (Client Credentials, Cert).App or service sign-ins without a user (client credentials, certificate). | App-Probleme, veraltete Client-Secrets, API-Nutzung App issues, expired client secrets, API usage
Managed Identity-Anmeldungen Managed identity sign-ins | Anmeldungen von Azure-Ressourcen mit verwalteter Identität.Sign-ins from Azure resources with managed identity. | Azure Workload-Identitäten überwachen Monitor Azure workload identities

### Wichtige Felder im Anmeldeprotokoll Key fields in sign-in log

Feld Field | Bedeutung Meaning
--- | ---
errorCode / failureReason errorCode / failureReason | AADSTS-Fehlercode und lesbare Fehlerbeschreibung AADSTS error code and human-readable failure description
conditionalAccessStatus conditionalAccessStatus | success, failure, notApplied, unknownFutureValue success, failure, notApplied, unknownFutureValue
appliedConditionalAccessPolicies appliedConditionalAccessPolicies | Alle bewerteten CA-Policies mit Ergebnis All evaluated CA policies with result
authenticationDetails authenticationDetails | Verwendete Methoden und ihr Ergebnis (success/failure)Methods used and their result (success/failure)
clientAppUsed clientAppUsed | Browser, Mobile Apps, Exchange ActiveSync, Other Clients Browser, mobile apps, Exchange ActiveSync, other clients
riskLevelDuringSignIn / riskLevelAggregated riskLevelDuringSignIn / riskLevelAggregated | Risikostufe aus Identity Protection Risk level from Identity Protection
deviceDetail deviceDetail | deviceId, displayName, trustType, isCompliant deviceId, displayName, trustType, isCompliant
location location | City, state, countryOrRegion City, state, countryOrRegion

## Überwachungsprotokolle Audit logs

Das Überwachungsprotokoll zeichnet alle Änderungen an Objekten im Entra-Tenant auf. Jeder Eintrag enthält Akteur, Ziel, geänderte Attribute und Zeitstempel. The audit log records all changes to objects in the Entra tenant. Each entry contains actor, target, changed attributes, and timestamp.

Service Service | Typische Aktivitäten Typical activities
--- | ---
Core Directory Core Directory | Benutzer/Gruppe erstellen, ändern, löschen; Rollenzuweisung; Attributänderung User/group create, modify, delete; role assignment; attribute change
Conditional Access Conditional Access | Policy erstellen, aktivieren, deaktivieren, löschen Policy create, enable, disable, delete
Application Management Application Management | App-Registrierung, Service Principal, OAuth2-Berechtigungen, Credentials App registration, service principal, OAuth2 permissions, credentials
B2C / External ID B2C / External ID | External Identity Provider-Konfiguration, User Flow External identity provider configuration, user flows
Identity Protection Identity Protection | Risk-Bestätigungen, Remediation-Aktionen Risk confirmations, remediation actions
PIM PIM | Rollenaktivierungen, Rollenänderungen, Genehmigungen Role activations, role changes, approvals
Entitlement Management Entitlement Management | Access-Package-Requests, Approvals, Zuweisung Access package requests, approvals, assignments

## Diagnoseeinstellungen Diagnostic settings

Diagnoseeinstellungen steuern, welche Log-Kategorien wohin exportiert werden. Der Export erfolgt nahezu in Echtzeit (Latenz 5–15 Minuten) und ermöglicht längere Aufbewahrung sowie SIEM-Integration. Diagnostic settings control which log categories are exported where. The export happens near real-time (latency 5–15 minutes) and enables longer retention and SIEM integration.

Log-Kategorie Log category | Schema-Name Schema name | Enthält Contains
--- | --- | ---
Anmeldeprotokolle Sign-in logs | SignInLogs SignInLogs | Interaktive Benutzeranmeldungen Interactive user sign-ins
Nicht-interaktive Anmeldeprotokolle Non-interactive sign-in logs | NonInteractiveUserSignInLogs NonInteractiveUserSignInLogs | Silent Token Renewal Silent token renewal
Service-Principal-Protokolle Service principal logs | ServicePrincipalSignInLogs ServicePrincipalSignInLogs | App-only Anmeldungen App-only sign-ins
Managed Identity-Protokolle Managed identity logs | ManagedIdentitySignInLogs ManagedIdentitySignInLogs | Azure Workload Identities Azure workload identities
Überwachungsprotokolle Audit logs | AuditLogs AuditLogs | Alle Admin-Änderungen All admin changes
Bereitstellungsprotokolle Provisioning logs | AADProvisioningLogs AADProvisioningLogs | SCIM-/HR-Provisionierung SCIM/HR provisioning
Identity Protection-Risikoereignisse Identity Protection risk events | RiskyUsers, UserRiskEvents RiskyUsers, UserRiskEvents | Risikodetektionen und Benutzerstatus Risk detections and user risk state
Network Access Traffic Logs Network Access Traffic Logs | NetworkAccessTrafficLogs NetworkAccessTrafficLogs | Global Secure Access Traffic Global Secure Access traffic

### Diagnoseeinstellung per PowerShell konfigurieren Configure diagnostic setting via PowerShell

PowerShell

    # Diagnoseeinstellung für Entra ID per Azure Monitor API konfigurieren
    # Configure diagnostic setting for Entra ID via Azure Monitor API
    $tenantId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
    $workspaceId = "/subscriptions/.../resourceGroups/.../providers/Microsoft.OperationalInsights/workspaces/myWorkspace"

    $body = @{
        properties = @{
            workspaceId = $workspaceId
            logs = @(
                @{ category = "SignInLogs"; enabled = $true; retentionPolicy = @{ enabled = $false; days = 0 } }
                @{ category = "AuditLogs"; enabled = $true; retentionPolicy = @{ enabled = $false; days = 0 } }
                @{ category = "NonInteractiveUserSignInLogs"; enabled = $true; retentionPolicy = @{ enabled = $false; days = 0 } }
                @{ category = "ServicePrincipalSignInLogs"; enabled = $true; retentionPolicy = @{ enabled = $false; days = 0 } }
                @{ category = "ManagedIdentitySignInLogs"; enabled = $true; retentionPolicy = @{ enabled = $false; days = 0 } }
                @{ category = "AADProvisioningLogs"; enabled = $true; retentionPolicy = @{ enabled = $false; days = 0 } }
            )
        }
    } | ConvertTo-Json -Depth 10

    $uri = "https://management.azure.com/providers/microsoft.aadiam/diagnosticSettings/EntraID-to-LA?api-version=2017-04-01-preview"
    Invoke-RestMethod -Uri $uri -Method Put -Body $body -ContentType "application/json" -Headers @{ Authorization = "Bearer $accessToken" }

## Azure Monitor Integration Azure Monitor integration

Nach dem Export nach Log Analytics stehen die Daten im Azure Monitor für KQL-Abfragen (Kusto Query Language) bereit. Die folgenden Abfragen decken typische operative und sicherheitsrelevante Szenarien ab. After export to Log Analytics the data is available in Azure Monitor for KQL (Kusto Query Language) queries. The following queries cover typical operational and security-relevant scenarios.

KQL – Fehlgeschlagene Anmeldungen der letzten 24 Stunden Failed sign-ins last 24 hours

    SignInLogs
    | where TimeGenerated > ago(24h)
    | where ResultType != "0"
    | summarize Failures = count() by UserPrincipalName, ResultDescription, Location
    | sort by Failures desc
    | take 50

KQL – Legacy-Authentifizierungsnutzung Legacy authentication usage

    SignInLogs
    | where TimeGenerated > ago(7d)
    | where ClientAppUsed in ("Exchange ActiveSync", "IMAP", "POP", "SMTP", "Authenticated SMTP", "Other clients")
    | summarize Count = count() by UserPrincipalName, ClientAppUsed, AppDisplayName
    | sort by Count desc

KQL – CA-Policy-Fehler pro Policy CA policy failures per policy

    SignInLogs
    | where TimeGenerated > ago(24h)
    | where ConditionalAccessStatus == "failure"
    | mv-expand AppliedConditionalAccessPolicies
    | extend PolicyName = tostring(AppliedConditionalAccessPolicies.displayName)
    | extend PolicyResult = tostring(AppliedConditionalAccessPolicies.result)
    | where PolicyResult == "failure"
    | summarize Failures = count() by PolicyName, UserPrincipalName
    | sort by Failures desc

KQL – Admin-Rollenänderungen (Audit)Admin role changes (audit)

    AuditLogs
    | where TimeGenerated > ago(7d)
    | where OperationName in ("Add member to role", "Remove member from role", "Add eligible member to role")
    | extend InitiatedBy = tostring(InitiatedBy.user.userPrincipalName)
    | extend TargetUser = tostring(TargetResources[0].userPrincipalName)
    | extend RoleName = tostring(TargetResources[1].displayName)
    | project TimeGenerated, InitiatedBy, OperationName, TargetUser, RoleName
    | sort by TimeGenerated desc

KQL – Riskante Benutzer Risky users

    AADRiskyUsers
    | where TimeGenerated > ago(24h)
    | where RiskLevel in ("high", "medium")
    | project TimeGenerated, UserPrincipalName, RiskLevel, RiskState, RiskLastUpdatedDateTime
    | sort by RiskLastUpdatedDateTime desc

## Bereitstellungsprotokolle Provisioning logs

Bereitstellungsprotokolle zeichnen SCIM-Synchronisationen, HR-Provisioning (SuccessFactors, Workday) und App-Provisioning auf. Sie enthalten Quelldaten, Zieldaten und den Provisionierungsstatus für jeden Zyklus. Provisioning logs record SCIM synchronizations, HR provisioning (SuccessFactors, Workday), and app provisioning. They contain source data, target data, and provisioning status for each cycle.

Status Status | Bedeutung Meaning | Maßnahme Action
--- | --- | ---
Success Success | Objekt erfolgreich provisioniert Object successfully provisioned | ––
Failure Failure | Fehler beim Provisionieren; Details in errorCode Error during provisioning; details in errorCode | Attributmapping, Berechtigungen prüfen Check attribute mapping, permissions
Skipped Skipped | Objekt bewusst übersprungen (Scope-Filter, kein Change)Object intentionally skipped (scope filter, no change) | Scope und Filtersätze prüfen Check scope and filter sets
Quarantine Quarantine | Provisionierungszyklus unterbrochen; Objekt in Quarantäne Provisioning cycle interrupted; object in quarantine | Konfiguration prüfen, Quarantäne-Ursache analysieren Check configuration, analyze quarantine reason

## Arbeitsmappen (Workbooks)Workbooks

Microsoft stellt im Entra-Admin-Center und in Azure Monitor fertige Arbeitsmappen bereit, die häufige Analysen ohne manuelle KQL-Schreibarbeit abdecken. Microsoft provides ready-made workbooks in the Entra admin center and in Azure Monitor that cover common analyses without manual KQL writing.

Arbeitsmappe Workbook | Zweck Purpose
--- | ---
Sign-in Analysis Sign-in Analysis | Erfolgreiche und fehlgeschlagene Anmeldungen mit Drill-down Successful and failed sign-ins with drill-down
Conditional Access Insights and Reporting Conditional Access Insights and Reporting | CA-Policy-Abdeckung, -Lücken und -Auswertungsresultate CA policy coverage, gaps, and evaluation results
Authentication Methods Activity Authentication Methods Activity | MFA-Methodenverteilung, Registrierungsstand, SSPR-Nutzung MFA method distribution, registration status, SSPR usage
Multifactor Authentication Gaps Multifactor Authentication Gaps | Anmeldungen ohne MFA, Legacy-Auth-Nutzung Sign-ins without MFA, legacy auth usage
Sensitive Operations Report Sensitive Operations Report | Hochprivilegierte Aktionen und riskante Admin-Aktivitäten High-privilege actions and risky admin activities
Identity Secure Score Identity Secure Score | Sicherheitspunkte und Verbesserungsmaßnahmen Security score and improvement actions
Cross-tenant Access Activity Cross-tenant Access Activity | B2B-Zugriffe über Tenant-Grenzen B2B access across tenant boundaries

## Nutzungsberichte & Authentifizierungsanalysen Usage reports & authentication analytics

Die Nutzungsberichte in Entra ID bieten Einblicke in Anmeldungen, MFA-Nutzung, Self-Service-Passwortzurücksetzung und riskante Benutzer. Sie stehen im Entra Admin Center und über die Graph API zur Verfügung. Usage reports in Entra ID provide insights into sign-ins, MFA usage, self-service password reset, and risky users. They are available in the Entra Admin Center and via the Graph API.

Bericht Report | Inhalt Content | Graph-Endpunkt Graph endpoint
--- | --- | ---
Anmeldungsaktivität Sign-in activity | Letzte 30 Tage, pro Benutzer / App Last 30 days, per user / app | /reports/credentialUserRegistrationDetails/reports/credentialUserRegistrationDetails
MFA-Nutzungsbericht MFA usage report | Erfolgreiche und fehlgeschlagene MFA-Versuche Successful and failed MFA attempts | /reports/authenticationMethods/userRegistrationDetails/reports/authenticationMethods/userRegistrationDetails
SSPR SSPR | Zurücksetzungsversuche und Erfolgsrate Reset attempts and success rate | /reports/credentialUserRegistrationDetails/reports/credentialUserRegistrationDetails
Identity Secure Score Identity Secure Score | Sicherheitsbewertung des Tenants Security score of the tenant | /security/secureScores/security/secureScores

## Entra-Empfehlungen Entra recommendations

Entra-Empfehlungen sind automatisierte, tenant-spezifische Sicherheits- und Betriebshinweise. Jede Empfehlung enthält einen Impact Score, eine Begründung und konkrete Aktionsvorschläge. Entra recommendations are automated, tenant-specific security and operational hints. Each recommendation includes an impact score, justification, and concrete action proposals.

Empfehlung Recommendation | Kategorie Category | Typische Maßnahme Typical action
--- | --- | ---
Convert per-user MFA to CA Convert per-user MFA to CA | Security Security | Altlast pro-Benutzer-MFA migrieren Migrate legacy per-user MFA
Migrate from AD FS to Entra ID Migrate from AD FS to Entra ID | Identity Identity | ADFS abbauen und auf Cloud-Auth wechseln Decommission ADFS and switch to cloud auth
Remove unused credentials from apps Remove unused credentials from apps | Security Security | Ablaufende oder ungenutzte Credentials entfernen Remove expiring or unused credentials
Protect all users with MFA Protect all users with MFA | Security Security | CA-Policy für alle Benutzer erstellen Create CA policy for all users
Use least privilege admin roles Use least privilege admin roles | Governance Governance | Global Admin durch spezifischere Rollen ersetzen Replace Global Admin with more specific roles
Enable self-service password reset Enable self-service password reset | Identity Identity | SSPR aktivieren und Helpdesk-Last reduzieren Enable SSPR to reduce helpdesk load

## Monitoring über die Graph API Monitoring via Graph API

PowerShell / HTTP

    Connect-MgGraph -Scopes "AuditLog.Read.All","Directory.Read.All"

    # Letzte 10 interaktive Anmeldungen eines Benutzers
    Get-MgAuditLogSignIn -Filter "userPrincipalName eq 'user@contoso.com' and signInEventTypes/any(t:t eq 'interactiveUser')" -Top 10 |
        Select-Object CreatedDateTime, AppDisplayName, ConditionalAccessStatus, Status

    # Fehlgeschlagene Anmeldungen (letzte Stunde)
    $oneHourAgo = (Get-Date).AddHours(-1).ToString("o")
    Get-MgAuditLogSignIn -Filter "status/errorCode ne 0 and createdDateTime ge $oneHourAgo" |
        Select-Object CreatedDateTime, UserPrincipalName, Status, Location

    # Audit-Events für einen Benutzer
    Get-MgAuditLogDirectoryAudit -Filter "targetResources/any(t:t/userPrincipalName eq 'user@contoso.com')" -Top 20

    # Entra-Empfehlungen lesen
    GET https://graph.microsoft.com/beta/directory/recommendations

## Identity Secure Score Identity Secure Score

Der Identity Secure Score ist ein prozentualer Wert, der die Sicherheitslage des Tenants im Vergleich zu Microsoft-Empfehlungen misst. Er berechnet sich aus einer Reihe von Verbesserungsmaßnahmen mit unterschiedlicher Gewichtung. The Identity Secure Score is a percentage value measuring the tenant's security posture against Microsoft's recommendations. It is calculated from a set of improvement actions with different weights.

✅ Empfehlung✅ Recommendation

Nutzen Sie den Identity Secure Score als Einstiegspunkt für priorisierte Verbesserungen. Kombinieren Sie ihn mit der Conditional Access Insights-Arbeitsmappe, um Abdeckungslücken zu identifizieren und zu schließen. Use the Identity Secure Score as the starting point for prioritized improvements. Combine it with the Conditional Access Insights workbook to identify and close coverage gaps.

## Entra ID Health und Service-Status Entra ID health and service status

Neben den operativen Logs bietet das Microsoft 365 Admin Center und die Azure Status Page Informationen über Dienstverfügbarkeit und Incidents. Für proaktives Monitoring können Service Health-Benachrichtigungen per E-Mail oder Webhook konfiguriert werden. Beyond operational logs, the Microsoft 365 Admin Center and Azure Status Page provide information about service availability and incidents. Service health notifications can be configured via email or webhook for proactive monitoring.

Quelle Source | URL URL | Inhalt Content
--- | --- | ---
M365 Admin Center M365 Admin Center | admin.microsoft.com → Service Health admin.microsoft.com → Service Health | Dienststatus, laufende Incidents, Planned Maintenance Service status, ongoing incidents, planned maintenance
Azure Portal Azure Portal | portal.azure.com → Service Health portal.azure.com → Service Health | Azure-spezifische Incidents und Maintenance Azure-specific incidents and maintenance
Azure Status Page Azure Status Page | status.azure.com status.azure.com | Öffentliche Gesamtstatus-Übersicht Public overall status overview
Graph Service Health Graph Service Health | https://graph.microsoft.com/v1.0/admin/serviceAnnouncement/healthOverviews https://graph.microsoft.com/v1.0/admin/serviceAnnouncement/healthOverviews | Programmatischer Zugriff auf Service Health Programmatic access to service health

## Authentifizierungsmethoden-Monitoring Authentication methods monitoring

Der Bericht über Authentifizierungsmethoden-Aktivitäten zeigt, welche MFA-Methoden Ihre Benutzer registriert haben und tatsächlich verwenden. Dies ist essenziell für die Planung von MFA-Migrationen (z. B. von OATH TOTP zu Passkeys). The authentication methods activity report shows which MFA methods your users have registered and actually use. This is essential for planning MFA migrations (e.g. from OATH TOTP to passkeys).

PowerShell

    Connect-MgGraph -Scopes "AuditLog.Read.All","Reports.Read.All"

    # MFA-Registrierungsbericht abrufen
    $report = Get-MgReportAuthenticationMethodUserRegistrationDetail -All
    $report | Group-Object { $_.MethodsRegistered -join "," } |
        Select-Object Count, Name | Sort-Object Count -Descending

    # Benutzer ohne MFA-Registrierung
    $report | Where-Object { $_.IsMfaRegistered -eq $false } |
        Select-Object UserPrincipalName, IsSsprRegistered, MethodsRegistered

    # Benutzer ohne phishing-resistente Methode
    $phishingResistant = @("windowsHelloForBusiness","fido2","passKeyDeviceBound")
    $report | Where-Object {
        -not ($_.MethodsRegistered | Where-Object { $_ -in $phishingResistant })
    } | Select-Object UserPrincipalName, MethodsRegistered | Measure-Object | Select-Object Count

## Troubleshooting-Workflow für Anmeldefehler Troubleshooting workflow for sign-in errors

Anmeldefehler lassen sich mit einem strukturierten Vorgehen effizient diagnostizieren. Der Fehlercode aus dem Anmeldeprotokoll ist der wichtigste Einstiegspunkt. Sign-in errors can be efficiently diagnosed with a structured approach. The error code from the sign-in log is the most important entry point.

Schritt Step | Werkzeug Tool | Aktion Action
--- | --- | ---
1 1 | Sign-in Log Sign-in Log | errorCode und failureReason lesen; AADSTS-Code notieren Read errorCode and failureReason; note AADSTS code
2 2 | Sign-in Log Sign-in Log | appliedConditionalAccessPolicies expandieren; Policy-Ergebnis prüfen Expand appliedConditionalAccessPolicies; check policy result
3 3 | CA What-If CA What-If | Benutzer, App, Standort und Gerät simulieren; erwartetes Ergebnis vergleichen Simulate user, app, location, and device; compare expected result
4 4 | Log Analytics Log Analytics | KQL-Abfrage für Häufigkeit des Fehlers; Muster und betroffene Benutzer identifizieren KQL query for error frequency; identify pattern and affected users
5 5 | Entra Recommendations Entra Recommendations | Systemempfehlungen prüfen; Korrelation mit dem Fehler suchen Check system recommendations; look for correlation with the error

## PowerShell & Graph API Referenz PowerShell & Graph API reference

Cmdlet Cmdlet | Zweck Purpose | Scope Scope
--- | --- | ---
Get-MgAuditLogSignIn Get-MgAuditLogSignIn | Anmeldeprotokolle abfragen Query sign-in logs | AuditLog.Read.All AuditLog.Read.All
Get-MgAuditLogDirectoryAudit Get-MgAuditLogDirectoryAudit | Überwachungsprotokoll abfragen Query audit log | AuditLog.Read.All AuditLog.Read.All
Get-MgAuditLogProvisioning Get-MgAuditLogProvisioning | Bereitstellungsprotokolle abfragen Query provisioning logs | AuditLog.Read.All AuditLog.Read.All
Get-MgRiskyUser Get-MgRiskyUser | Riskante Benutzer aus Identity Protection Risky users from Identity Protection | IdentityRiskyUser.Read.All IdentityRiskyUser.Read.All
Get-MgIdentityProtectionRiskyUser Get-MgIdentityProtectionRiskyUser | Risikobewertungen für Benutzer Risk assessments for users | IdentityRiskyUser.Read.All IdentityRiskyUser.Read.All
Get-MgReportAuthenticationMethodUserRegistrationDetail Get-MgReportAuthenticationMethodUserRegistrationDetail | MFA-Registrierungsstand aller Benutzer MFA registration status of all users | Reports.Read.All Reports.Read.All
Get-MgDirectoryRecommendation Get-MgDirectoryRecommendation | Entra-Empfehlungen abrufen Retrieve Entra recommendations | DirectoryRecommendations.Read.All DirectoryRecommendations.Read.All

## Microsoft Sentinel Integration Microsoft Sentinel integration

Entra ID-Logs können über Event Hub in beliebige SIEM-Systeme integriert werden. Microsoft Sentinel bietet native Entra-ID-Connectors mit vordefinierten Analyseregeln für häufige Angriffsmuster. Entra ID logs can be integrated into any SIEM system via Event Hub. Microsoft Sentinel provides native Entra ID connectors with predefined analytics rules for common attack patterns.

SIEM SIEM | Verbindung Connection
--- | ---
Microsoft Sentinel Microsoft Sentinel | Native Connector (Diagnoseeinstellung + Activity Connector)Native connector (Diagnostic settings + Activity Connector)
Splunk Splunk | Azure Monitor Add-on for Splunk (Event Hub)Azure Monitor Add-on for Splunk (Event Hub)
IBM QRadar IBM QRadar | Microsoft Azure DSM (Event Hub)Microsoft Azure DSM (Event Hub)
ArcSight ArcSight | Azure Event Hub Integration Azure Event Hub Integration

## Entra ID Service Health Entra ID service health

Quelle Source | URL URL
--- | ---
M365 Admin Center M365 Admin Center | admin.microsoft.com → Service Health admin.microsoft.com → Service Health
Azure Status Azure Status | status.azure.com status.azure.com
Graph API Graph API | graph.microsoft.com/v1.0/admin/serviceAnnouncement/healthOverviews graph.microsoft.com/v1.0/admin/serviceAnnouncement/healthOverviews

## Verwandte Seiten Related pages

- Conditional Access Conditional Access
- Identity Protection Identity Protection
- Governance & Lifecycle Governance & Lifecycle
- Anmeldefehler-Troubleshooting Sign-in error troubleshooting
- Graph API Graph API