Como administrador de OneDrive para la Empresa, necesita realizar un seguimiento del acceso a archivos, los eventos de uso compartido y las acciones de los usuarios en todo el inquilino. Microsoft Purview proporciona un registro de auditoría unificado que captura toda la actividad de OneDrive, pero encontrar los eventos correctos entre miles de registros puede llevar mucho tiempo. Este artículo explica cómo usar el portal de cumplimiento de Microsoft Purview para buscar, filtrar y exportar registros de actividad de OneDrive. Aprenderá los pasos exactos para localizar operaciones específicas de archivos, eventos de uso compartido y actividad de sincronización sin salir de la interfaz de Purview.
Puntos clave: Auditar acciones de OneDrive en Microsoft Purview
- Portal de cumplimiento de Microsoft Purview > Auditoría > Búsqueda: Ubicación central para buscar toda la actividad de archivos y carpetas de OneDrive en todo el inquilino.
- Filtrar por Carga de trabajo = OneDrive: Limite los resultados de auditoría solo a eventos de OneDrive, excluyendo los registros de SharePoint y Exchange.
- Exportar resultados de auditoría a CSV: Descargue los resultados de la búsqueda para análisis sin conexión, informes o retención a largo plazo.
Qué capturan los registros de auditoría de Microsoft Purview para OneDrive
Microsoft Purview Audit (Estándar) y Audit (Premium) registran cada acción del usuario realizada en archivos y carpetas almacenados en OneDrive para la Empresa. El registro de auditoría captura eventos como archivo visto, archivo modificado, archivo eliminado, archivo compartido externamente, vínculo creado, vínculo usado y actividad de sincronización. Cada evento incluye el usuario que realizó la acción, la marca de tiempo exacta, la ruta del archivo, la dirección IP del dispositivo cliente y el nombre detallado de la operación.
Antes de poder buscar en los registros de auditoría, verifique que la auditoría esté habilitada para su inquilino de Microsoft 365. El registro de auditoría está activado de forma predeterminada para todas las organizaciones con una licencia elegible. Necesita el rol Registro de auditoría en Microsoft Purview o el rol Registros de auditoría de solo vista para acceder a la página de búsqueda de auditoría. Se puede auditar a los usuarios con licencias de Exchange Online, SharePoint Online o OneDrive para la Empresa. Los registros de auditoría se conservan durante 90 días para Audit (Estándar) y hasta un año para Audit (Premium).
Licencias y permisos necesarios
Para revisar la actividad de OneDrive en Microsoft Purview, debe tener una de las siguientes suscripciones de Microsoft 365: E3, E5, A3, A5, G3, G5 o Business Premium. Las características de Audit (Premium) requieren una licencia E5 o A5. También necesita el rol Registro de auditoría asignado en el portal de cumplimiento de Microsoft Purview. Los administradores globales tienen este rol de forma predeterminada.
Pasos para buscar la actividad de OneDrive en Microsoft Purview
Estos pasos muestran cómo ejecutar una búsqueda de auditoría específica para eventos de OneDrive. El proceso tarda unos cinco minutos.
- Abra el portal de cumplimiento de Microsoft Purview
Inicie sesión en https://compliance.microsoft.com con sus credenciales de administrador. En la navegación izquierda, seleccione Auditoría en la sección Soluciones. Se abre la página de búsqueda de auditoría. - Establezca el intervalo de fechas
En la pestaña Búsqueda, haga clic en el campo Intervalo de fecha y hora. Seleccione una fecha de inicio y de fin. Los registros de auditoría están disponibles hasta 90 días para Audit (Estándar) o hasta un año para Audit (Premium). Para una prueba rápida, establezca el intervalo en las últimas 24 horas. - Filtre por carga de trabajo
Haga clic en Carga de trabajo y seleccione OneDrive en la lista desplegable. Esto excluye SharePoint, Exchange, Azure AD y otras cargas de trabajo. También puede dejar el valor predeterminado Mostrar resultados para todas las cargas de trabajo si desea una vista más amplia. - Agregue filtros de actividad específicos
Haga clic en Actividades para limitar la búsqueda. Escriba una palabra clave como FileModified, FileDeleted, Sharing o Sync. Seleccione una o varias actividades de la lista. Por ejemplo, elija Archivo modificado para ver todas las ediciones realizadas en archivos de OneDrive. - Escriba un usuario o una ruta de archivo
En el campo Usuarios, escriba la dirección de correo electrónico del usuario cuya actividad desea revisar. Déjelo en blanco para ver las actividades de todos los usuarios. En el campo Archivo, carpeta o sitio, puede escribir un nombre de archivo parcial o una URL de OneDrive para filtrar los resultados a una ubicación específica. - Ejecute la búsqueda
Haga clic en Buscar en la parte inferior de la página. Purview muestra una lista de registros de auditoría coincidentes. Cada fila muestra la fecha, el usuario, la actividad, el elemento y la carga de trabajo. Haga clic en cualquier fila para ver los detalles completos del evento en el panel de detalles. - Exporte los resultados
Para descargar los resultados de la búsqueda como un archivo CSV, haga clic en Exportar en la parte superior de la página de resultados. Elija Exportar todos los resultados o Exportar resultados mostrados. El archivo CSV incluye todas las columnas visibles en los resultados de la búsqueda, además de campos adicionales como ClientIPAddress, CreationTime, Operation y ObjectId.
Errores comunes al revisar la actividad de OneDrive
Incluso con los permisos correctos, los administradores a menudo pasan por alto eventos relevantes o generan informes incompletos. Estos son los errores más frecuentes y cómo evitarlos.
Buscar sin un filtro de carga de trabajo
Si no selecciona OneDrive como carga de trabajo, la búsqueda de auditoría devuelve registros de SharePoint, Exchange y Teams. Los eventos de OneDrive se mezclan con otros datos, lo que dificulta aislar las acciones a nivel de archivo. Aplique siempre el filtro Carga de trabajo = OneDrive cuando necesite solo la actividad de OneDrive.
Usar nombres de actividad incorrectos
La lista desplegable Actividades usa nombres de operación internos como FileModified, FileDeleted y SharingInvitationCreated. Si escribe un término genérico como edit o share, no se devuelven coincidencias. Use el cuadro de búsqueda dentro del campo Actividades para encontrar el nombre exacto de la operación. Como alternativa, deje el campo Actividades en blanco para ver todos los eventos de OneDrive.
No especificar un usuario o una ruta de archivo
Una búsqueda sin usuario y sin ruta de archivo devuelve todos los eventos de OneDrive en el intervalo de fechas. Para un inquilino con muchos usuarios, esto puede generar miles de registros. Para reducir el ruido, escriba siempre al menos un correo electrónico de usuario o un nombre de archivo parcial. Puede combinar ambos filtros para obtener los resultados más precisos.
Exportar solo los resultados mostrados
La página de búsqueda de auditoría muestra hasta 5000 registros por página. Si hace clic en Exportar resultados mostrados, solo descarga la página actual. Para una exportación completa, elija Exportar todos los resultados. Esta opción descarga todos los registros coincidentes hasta el límite de retención.
Audit (Estándar) frente a Audit (Premium): diferencias clave para la actividad de OneDrive
| Elemento | Audit (Estándar) | Audit (Premium) |
|---|---|---|
| Período de retención | 90 días | 1 año (hasta 10 años con complemento) |
| Tipos de eventos | Operaciones CRUD principales (ver, editar, eliminar, compartir) | Todos los eventos Estándar, además de búsqueda de contenido, actividad de sincronización y uso de vínculos para compartir |
| Ancho de banda por registro | Detalles básicos del evento (usuario, hora, operación, ID de archivo) | Detalles completos del evento, incluidos dispositivo cliente, explorador y versión del archivo |
| Formato de exportación | CSV con columnas estándar | CSV con columnas extendidas (ClientIPAddress, ClientDevice, etc.) |
Después de completar la búsqueda de auditoría, puede descargar el archivo CSV y abrirlo en Excel para realizar más análisis. Use los filtros de Excel para agrupar eventos por usuario, fecha o tipo de operación. Por ejemplo, puede crear una tabla dinámica para mostrar cuántos archivos modificó cada usuario en los últimos 30 días.
Para automatizar las auditorías recurrentes, guarde su consulta de búsqueda en Purview haciendo clic en el botón Guardar de la página de búsqueda de auditoría. Después puede ejecutar la búsqueda guardada a petición o programarla mediante el Centro de administración de Microsoft 365. Esto ahorra tiempo cuando necesita revisar la actividad de OneDrive semanal o mensualmente.
Un consejo avanzado es usar la API Graph de búsqueda de registros de auditoría para recuperar registros de auditoría de OneDrive mediante programación. Esto le permite integrar los datos de auditoría en sus propios paneles de informes o herramientas SIEM sin exportar archivos CSV manualmente cada vez.