I en Microsoft 365-lejer er logningen styret af to ting, I skal kontrollere hver for sig: om den samlede auditlog overhovedet er slået til, og hvor længe Entra ID og Microsoft 365 gemmer posterne. Ifølge Microsofts dokumentation, læst november 2026, kan svaret på begge spørgsmål være overraskende kort for en mindre lejer.
Kontrollen tager kort tid, kræver kun læseadgang og giver et klart ja eller nej. Tallene nedenfor er Microsofts, og de kan ændre sig. Læs dem derfor igen i dokumentationen, når I gennemfører kontrollen.
To logs, der lever hver sit liv
Entra ID har sin egen logon-log og auditlog. Microsoft 365 har en samlet auditlog, ofte kaldet UAL, som samler hændelser fra bl.a. Exchange, SharePoint, OneDrive og Entra. Microsoft beskriver dem som adskilte, og de har hver deres opbevaringstid. En kontrol, der kun ser på den ene, efterlader et hul.
Er auditloggen slået til?
Microsoft skriver, at den samlede auditlog som udgangspunkt er slået til for organisationer. Men for licenserne Business Basic, Business Standard og Business Premium og for ikke-administrerede lejere med prøvelicenser er den ifølge dokumentationen ikke slået til som standard og skal slås til manuelt. Mindre virksomheder har ofte netop de licenser.
Kontrollen køres i Exchange Online PowerShell:
Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled
Svaret True betyder, at loggen er slået til. Microsoft gør opmærksom på en fælde: kører I samme cmdlet i Security & Compliance PowerShell, viser den altid False. Et forkert nej kan altså komme af, at kommandoen er kørt i den forkerte session.
Ændringer af auditstatus logges selv. Med Search-UnifiedAuditLog -Operations Set-AdminAuditLogConfig kan I se, om nogen har slået loggen til eller fra, og hvornår. Det er et nyttigt bevis, hvis status har skiftet undervejs.
Hvor længe gemmes posterne?
Ifølge Microsofts dokumentation, læst november 2026:
- Entra ID gemmer auditlog og logon-log i 7 dage med Entra ID Free og i 30 dage med P1 eller P2. Risikable logon gemmes i 7, 30 eller 90 dage afhængigt af licensen.
- Microsoft 365’s samlede auditlog gemmes i 180 dage med Audit (Standard) for logs fra og med 17. oktober 2023. Ældre poster havde 90 dage.
- Med Audit (Premium) gemmes poster fra Exchange, SharePoint, OneDrive og Entra i ét år efter standardpolitikken, når brugeren har E5-licens eller tilsvarende tilkøb. Andre brugere har 180 dage.
- Opbevaring op til 10 år kræver et særskilt tilkøb.
Egne opbevaringspolitikker kan ses med Get-UnifiedAuditLogRetentionPolicy. Standardpolitikken vises ikke af cmdlet’en, så et tomt svar betyder ikke, at der ingen opbevaring er.
Holdt op mod de 13 måneder
Den danske målestok er SAMSIK’s anbefaling om mindst 13 måneders opbevaring, hvis ikke anden lovgivning sætter en anden grænse. Det er vejledning og ikke lov. Men den viser, hvor langt platformens standard ligger fra den danske målestok. 7 eller 30 dage i Entra ID og 180 dage i den samlede auditlog rækker ikke til at finde begyndelsen på en hændelse, der blev opdaget efter et halvt år.
Entra ID-data kan opbevares længere ved at sende dem til en lagerkonto via Azure Monitor. Microsoft understreger, at ændringer i opbevaring ikke virker bagud. Data, der allerede er udløbet, kan ikke genskabes, medmindre de er arkiveret. Jo før eksporten sættes op, jo længere rækker historikken.
Hvem må læse og ændre
Kontrollen af logningen hænger sammen med spørgsmålet om, hvem der kan slå den fra. En konto med rettighed til at ændre auditkonfigurationen kan også slukke for sporet. Træk derfor listen over de roller, der kan ændre auditindstillingerne, og se, om den svarer til de personer, der har brug for det. Brug søgningen på Set-AdminAuditLogConfig til at se, hvem der faktisk har ændret status, og om ændringen var aftalt.
Notér også, hvem der kan søge i auditloggen. Den indeholder oplysninger om alle brugeres aktivitet, og adgangen til den bør være lige så afgrænset som adgangen til postkasserne selv.
Sådan dokumenteres kontrollen
Gem resultatet af Get-AdminAuditLogConfig med dato og lejerens navn. Notér licenstypen for Entra ID og for revision, så opbevaringstiden kan slås op. Dokumentér, om der er en eksport af Entra-loggene, og hvor den ender. Find den ældste post i den samlede auditlog ved en søgning, så den faktiske dækning er målt. Måling af den ældste post er praksis, og den er den bedste bekræftelse af, at tallene i dokumentationen også gælder jeres lejer.
Hvordan resten af lejeren gennemgås, står i gennemgang af Microsoft 365.
Hvad det kræver, og hvad det koster at lade være
Kontrollen kræver en konto med læseret i Exchange Online og i Entra ID og en times arbejde. Længere opbevaring kan kræve eksport eller en anden licens, og det er en beslutning, der skal træffes på grundlag af kontrollen.
Er auditloggen ikke slået til, findes der intet spor af, hvem der læste en postkasse eller delte en fil. Det kan ikke rettes bagefter, fordi der ikke blev skrevet noget.
Det skal I lade være med
- At gå ud fra, at auditloggen er slået til i en lejer med Business-licenser · kør kontrollen.
- At læse et False fra Security & Compliance PowerShell som svar · kommandoen skal køres i Exchange Online PowerShell.
- At vente med eksporten, til der er brug for loggen · opbevaring virker ikke bagud.
Det skal gennemgangen kunne vise
- ☐ Udtræk af UnifiedAuditLogIngestionEnabled med dato.
- ☐ Licenstype for Entra ID og for revision med den opbevaringstid, Microsoft angiver.
- ☐ Eksport af Entra-loggene, hvis I har besluttet en længere periode.
- ☐ Den ældste post i den samlede auditlog, målt på gennemgangsdagen.
Kilder
- Microsoft, Microsoft Entra data retention, læst 13. november 2026.
- Microsoft, Turn auditing on or off, læst 13. november 2026.
- Microsoft, Manage audit log retention policies, læst 13. november 2026.
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave januar 2023, s. 8-10, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Kør Get-AdminAuditLogConfig i Exchange Online PowerShell i dag, og gem svaret med dato.
Læs også: Postsystemet i skyen · Beskyttelse af loggen mod administratoren selv
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
