用途：Microsoft Purview Audit 记录 Microsoft 365 各服务中的用户与管理员活动，并支持检索，用于安全事件调查、取证和合规。适用于事件调查、支持 eDiscovery/合规、满足 Microsoft 365 服务的监管日志要求。不适用于登录/身份日志（应使用 Entra ID 登录日志或 Defender XDR），也不适用于 Azure 资源活动（应使用 Azure Activity Log 或 Sentinel）。
主要能力与层级：Audit（标准版）提供核心管理/用户操作日志，默认保留约 180 天；Audit（高级版）默认保留 1 年，可通过附加组件延长至最多 10 年，并提供更高带宽及关键高价值事件（如 MailItemsAccessed、Send、SearchQueryInitiated）。长期 SIEM/UEBA 关联可通过 Office 365 连接器流式传输到 Sentinel。
使用方式：先确认层级与保留期，验证高级版事件（如 MailItemsAccessed）对已知用户可返回结果；确认租户已启用审核（可用 Get-AdminAuditLogConfig 或门户查看）；按调查剧本配置审核日志保留策略；在 Purview 门户使用审核搜索，或通过 Office 365 管理活动 API / Microsoft Graph 审核 API 按用户、活动、工作负载和时间查询；将审核数据流式传输到 Sentinel/SIEM 进行关联与长期分析；用审核日志开展桌面演练。
限制与注意事项：审核搜索存在延迟，迭代分析热数据宜用 Sentinel/KQL；高级版事件需确认每个用户的许可；默认保留期可能不足以满足行业监管或发现泄露所需时间；审核数据敏感，应使用 eDiscovery/Audit 角色组而非全局管理员，并严格控制访问范围；审核配置应作为安全控制纳入变更管理，关闭审核必须可审计并告警。常见反模式包括假设高级版事件自动流转、仅用默认保留期、在压力下于门户调查而非使用预建 KQL、关键事件无保留策略、向大范围群体授予租户级审核读取权限。
参考文档：Audit solutions overview、Audit Standard vs Premium、Search the audit log、Audit log retention policies、Office 365 Management Activity API。