azure - Active Directory 应用程序内使用的 Azure Graph API 的事件/审核日志

Question

背景:我们开发了 Active Directory 企业应用程序。开发此应用程序是为了从 Active Directory 中用户的 Outlook 日历中读取忙/闲信息。此应用程序使用 Get Schedule Graph API 用于获取用户的忙/闲信息。身份验证机制是通过管理员同意。

问题:我们有一位客户将使用此应用程序并将其安装在其事件目录中。他们希望在自己这边查看该应用程序使用 Graph API 执行的事件/操作。我不确定是否可以获取每个已安装应用程序执行的事件。我知道有一种方法可以知道谁安装/授权了实际应用程序，但除此之外，我在 Azure 门户上看不到查看每个 API 调用日志的方法。

简而言之，客户端希望了解企业应用程序正在进行的每个 API 调用，并验证它没有获取敏感数据。

感谢此处的任何指导。

更新 - 2020 年 11 月 17 日

通过各种 channel 联系微软支持后，我们终于得到了答复，称无法获取我们正在寻找的信息。无法审核上述图形 API 的使用情况。

问候，巴维克

Answer 1

至少从Azure AD的角度来看，微软还没有提供这样的工具或方法来实现这一点。

您的客户似乎非常担心其他租户(例如您的租户)的人员会通过此企业应用程序访问其公司的数据。我认为您的客户不了解企业应用程序的工作原理。

当您的企业应用程序通过管理员同意安装到他的租户中时，这意味着他们可以使用此企业应用程序来访问此应用程序范围内自己的数据。但作为开发人员，您无权访问他们的数据。正在使用您的企业应用程序的任何其他租户也将无法访问其他租户的数据。

Multi-Tenancy 应用程序用于向许多组织提供软件即服务 (SaaS) 应用程序。客户的数据在他们自己的租户中访问。了解更多信息here .

此外，企业应用程序应遵循“最小权限原则”，因此如果您的应用程序仅根据Permissions分配Calendars.Read ，它将无法获取日历数据以外的数据。