Journal d'audit

Ce que fait le journal d'audit

Le journal d'audit répond à une seule question : qui a fait quoi, quand, et depuis où ?

La plateforme y écrit une entrée pour chaque action qui change l'état de votre MSP : une connexion, une invitation, un changement de rôle, une politique modifiée, une restauration demandée, une suppression demandée, un jeton révoqué, une règle d'alerte changée.

Une entrée ne peut être ni modifiée ni supprimée. La base la refuse. Le journal est donc une preuve, pas une liste de travail.

Le journal porte les actions des personnes, des clés API et de la plateforme elle-même. Il ne porte pas le déroulement des sauvegardes : pour cela, lisez l'activité de la machine. Voir Suivre une tâche de sauvegarde.

Prérequis

• Le rôle Lecture seule, Technicien, Administrateur ou Administrateur plateforme pour ouvrir le journal. Tous les rôles le lisent. Voir Rôles et droits.
• Le rôle Administrateur ou Administrateur plateforme pour filtrer par utilisateur. Les autres rôles filtrent par action, par objet et par période.

Ouvrir le journal et lire une entrée

1. Ouvrez le portail.
2. Dans le menu Administration, cliquez Journal d'audit.
3. Lisez le tableau. L'entrée la plus récente est en haut.
4. Cliquez Voir plus pour la suite de la liste, par tranches de 50 entrées.

Le tableau porte six colonnes.

Colonne	Ce qu'elle donne
Date	La date et l'heure de l'action, en heure locale.
Utilisateur	L'email de la personne, Système, ou Clé API : <nom>.
Action	Ce qui a été fait, en français.
Objet	Le type de l'objet touché, et les 8 premiers caractères de son identifiant.
Adresse IP	L'adresse d'où venait la demande, ou —.
Détails	Un résumé d'une ligne, ou — quand l'entrée n'a pas de détail.

La colonne Utilisateur dit Système pour une action de la plateforme sans personne devant l'écran : une tâche de fond, ou le lien d'un email. Pour une clé API, elle donne le nom de la clé, puis l'email de l'administrateur qui l'a créée. Une clé API n'a pas d'email.

Quand l'objet est une machine ou un tenant, la cellule Objet est un lien : il ouvre la fiche de l'endpoint.

Sur un écran de moins de 768 pixels de large, chaque ligne devient une carte. Entre 768 et 1 023 pixels, la colonne Adresse IP est masquée, pour que les autres colonnes tiennent.

Quand le journal est vide, le portail écrit « Aucune entrée pour l'instant. »

Lire les détails d'une entrée

1. Sur la ligne de l'entrée, cliquez le bouton de la colonne Détails.
2. Lisez le titre du panneau. Il donne l'action, puis la date et l'heure.
3. Lisez les lignes Utilisateur, Objet et Adresse IP, sous le titre.
4. Lisez la section Modifications, si elle est présente. Elle donne une ligne par champ, avec Champ, Avant et Après. Les champs modifiés sont en premier.
5. Cliquez Afficher les champs inchangés pour voir le reste.
6. Lisez la section Détails. Elle donne les autres valeurs de l'entrée.
7. Ouvrez la section Technique pour les identifiants et le code de l'action. Chaque valeur a un bouton Copier.
8. Cliquez la croix Fermer, en haut du panneau.

Le panneau s'ouvre sur le côté. La ligne du tableau ne change pas de hauteur.

La section Modifications n'existe que pour une entrée qui porte une valeur avant et une valeur après. Quand les deux valeurs sont les mêmes, le portail écrit « Aucun champ modifié. »

Une restauration demandée depuis le portail porte en plus la section Chemins à restaurer. Elle donne les chemins demandés dans la forme du système de la machine source.

Le résumé de la colonne Détails donne le premier changement, par exemple « Rétention : 3 000 jours → 2 557 jours », puis +n pour les autres. Sans changement, il donne le premier champ, par exemple « Raison : decommissioned ».

Le portail met les valeurs au format français : les nombres, les tailles en Kio ou Gio, les jours et les dates. Une entrée sans aucune valeur n'a pas de bouton : la cellule dit —.

Chercher qui a fait quoi

1. Dans le journal d'audit, cliquez Filtres, en haut à droite.
2. Dans la liste Utilisateur, choisissez la personne. Cette liste demande le rôle Administrateur.
3. Dans la liste Action, choisissez l'action, par exemple Restauration demandée depuis le portail.
4. Dans la liste Type d'objet, choisissez le type, par exemple Politique de sauvegarde.
5. Dans les champs Du et Au, saisissez la date et l'heure de début et de fin.
6. Cliquez Filtrer.

Les filtres se combinent : une entrée doit répondre à tous. La date Du est incluse, la date Au est exclue.

Chaque filtre actif s'affiche sous le titre, sous la forme Action : Connexion. Cliquez la croix d'une étiquette pour retirer ce filtre seul. Cliquez Effacer les filtres pour tous les retirer.

Quand aucune entrée ne répond, le portail écrit « Aucune entrée ne correspond à ces filtres. » et propose Effacer les filtres.

Les filtres restent dans l'adresse de la page. Vous pouvez donc garder l'adresse dans vos favoris, ou l'envoyer à un collègue : il ouvrira la même recherche.

Ouvrir le journal d'une machine

1. Ouvrez Parc, puis la machine.
2. Ouvrez l'onglet Paramètres.
3. Cliquez Voir dans le journal d'audit.

Le portail ouvre le journal avec le filtre de cette machine. L'étiquette du filtre porte son nom. La fiche d'un tenant Microsoft 365 porte le même bouton.

Ce que le journal ne montre pas

Ce qui n'y est pas	Où le lire
Le résultat d'une sauvegarde ou d'une restauration	L'activité de la machine. Le journal porte la demande, par exemple Annulation de tâche demandée, pas le déroulement. Voir Suivre une tâche de sauvegarde.
Les actions de la plateforme : licence, stockage, versions de l'agent, administrateurs de la plateforme, déplacement d'un dépôt	Le journal de la plateforme. Ces entrées n'appartiennent à aucun MSP : elles n'apparaissent jamais dans votre journal.
Un mot de passe, un code de secours, un code de vérification, un jeton, une clé de dépôt, un mot de passe de partage	Nulle part. La plateforme ne les écrit jamais. Une entrée dit seulement qu'une valeur a changé, par exemple Mot de passe modifié : Oui.
Le contenu d'un fichier sauvegardé	Nulle part. Le journal garde la demande d'une lecture, jamais ce qui a été lu.
L'état actuel d'un objet	La fiche de l'objet. Le journal donne la valeur avant et la valeur après un changement, à sa date.

Le journal garde la trace d'une lecture du contenu d'une sauvegarde : Dossier d'un point de restauration consulté, Recherche dans un point de restauration, Dossier de la machine parcouru. Pour le rôle Lecture seule, ces entrées s'affichent, mais les noms des fichiers et des dossiers sont remplacés par Masqué pour votre rôle. Une clé API sans la portée browse reçoit le même masquage. Voir Rôles et droits.

Limites et précautions

• Le journal n'a pas d'export. Vous ne pouvez pas le télécharger en CSV.
• La liste Action ne porte que les actions du cœur du produit. Une action Microsoft 365 s'affiche dans le tableau, mais elle n'est pas dans la liste du filtre.
• Un appel de l'API avec une clé API ou avec un accès MCP écrit une entrée par appel : Appel de l'API avec une clé API, ou Appel de l'API via MCP. Ces entrées peuvent remplir le journal. Filtrez par action pour les écarter.
• Un assistant IA qui lit le journal n'obtient jamais les détails d'une entrée, quel que soit le rôle de la personne derrière lui.
• La liste Utilisateur du filtre porte les 50 premiers membres du MSP. Quand le filtre porte un membre absent de cette liste, l'étiquette donne les 8 premiers caractères de son identifiant à la place de son email.
• La fenêtre Filtres n'a pas de champ pour l'identifiant d'un objet, ni pour une machine. Ces deux filtres viennent d'un lien du portail, par exemple du bouton Voir dans le journal d'audit.
• La colonne Objet ne donne pas le nom de l'objet, sauf pour une machine. Elle donne son type et le début de son identifiant.
• Le journal ne porte que le MSP actif. Pour lire le journal d'un autre MSP, changez d'abord de MSP actif. Voir Administrer son MSP.
• Une connexion, réussie ou refusée, est écrite dans le MSP actif de la session, ou dans le seul MSP du compte. Une connexion d'un compte qui appartient à plusieurs MSP, avant le choix d'un MSP actif, n'appartient à aucun MSP : elle n'apparaît dans aucun journal de MSP.
• Une connexion refusée avec un email inconnu n'appartient à aucun MSP non plus. Elle n'apparaît pas dans votre journal.

Référence

• API : Monitoring, route GET /audit-log.
• Outil MCP : get_audit_log, pour lire le journal depuis un assistant IA. Les détails d'une entrée ne sont jamais renvoyés.