Microsoft Entra ID ne conserve nativement les journaux d’audit et de connexion que 7 jours avec Entra ID Free et 30 jours avec les licences P1 ou P2. Pour aller au-delà, il est possible d’exporter ces données vers un workspace Azure Log Analytics à l’aide des paramètres de diagnostic Entra ID.
L’article détaille la création du workspace, l’activation des principaux journaux comme AuditLogs, SignInLogs, NonInteractiveUserSignInLogs ou ServicePrincipalSignInLogs, puis leur exploitation avec des requêtes KQL. Une attention particulière est également portée à MicrosoftGraphActivityLogs, très utile en investigation mais potentiellement volumineux.
Log Analytics permet d’étendre la rétention interactive jusqu’à 730 jours et d’utiliser une rétention longue durée pouvant atteindre 12 ans. Une solution intéressante pour disposer d’un historique exploitable lors d’un incident de sécurité, d’un audit ou d’un contrôle de conformité.