Microsoft 365 審計日誌保留期限：是否開啟、保留多久

一句話結論： Microsoft 365 審計日誌的保留期限，標準版（Audit Standard）為 180 天；持有 E5 級許可證的用戶，其 Exchange、SharePoint、OneDrive 和 Entra 記錄在高級版（Audit Premium）下預設保留一年。多數企業版租戶預設已開啓審計，但 Business Basic、Business Standard、Business Premium 預設沒有開啓，需要管理員手動打開。用一條 PowerShell 命令就能知道您屬於哪種情況，再對比您可能需要回溯的時間。

多數租戶是在最糟糕的時刻才發現審計日誌設定的：出現可疑登入，或郵箱裡多了一條沒人創建的規則，有人問「發生了什麼、什麼時候發生的」。如果審計從未開啓，就沒有任何東西可查；如果已開啓但只保留 180 天，而事件發生在七個月前，證據已經過期。

本文是一份約 30 分鐘可以完成的自查：Microsoft 365 統一審計日誌是否開啓、不同許可證的保留期限、獨立且短得多的 Entra ID 登入日誌，以及保留期不夠時該怎麼改。保留期數字於 2026 年 11 月 5 日對照 Microsoft Learn 核對；Microsoft 會不定期調整這些數字，因此每一節都寫明瞭依據的頁面。

Microsoft 365 審計日誌在您的租戶裡開啓了嗎？

不一定，取決於許可證。Microsoft 說明，Microsoft 365 組織的審計預設開啓，但中小企業（SMB）許可證，包括 Business Basic、Business Standard 和 Business Premium，預設沒有開啓；使用企業版試用授權建立的未受管理租戶也一樣，需要管理員手動開啓。

這對小公司很重要，因為 Business Premium 是中小企業的常見選擇。如果您是其中之一，在檢查之前不要想當然。

驗證方法：連接 Exchange Online PowerShell（不是 Security & Compliance PowerShell），運行：

Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled

返回 True 表示審計已開啓，False 表示未開啓。Microsoft 提醒，同一條命令在 Security & Compliance PowerShell 中無論審計是否開啓都會返回 False，所以務必在正確的會話中運行，免得白白排查一個不存在的問題。

如果返回 False，可以運行 Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true，或在 Microsoft Purview 門戶的「審計」頁面點擊提示橫幅開始記錄用戶和管理員活動。Microsoft 表示最多需要 60 分鐘生效，記錄可能要幾個小時後才能搜索。審計不會追溯記錄，關閉的每一天，都是日後無法調查的一天。

修改該設定需要 Exchange Online 的「Audit Logs」角色，預設情況下 Compliance Management 和 Organization Management 角色組擁有該角色。

Microsoft 365 審計記錄保留多久？

保留期在記錄寫入時確定，並跟隨執行該操作的用戶所持有的許可證。依據 Microsoft Purview 文檔：

審計標準版：180 天。 2023 年 10 月 17 日及之後產生的記錄保留 180 天，之前的保留 90 天。這是所有未持有 E5 級許可證的用戶以及來賓用戶的基準。
審計高級版的預設策略：四個工作負載保留一年。 Microsoft Entra、Exchange、OneDrive 和 SharePoint 的審計記錄保留一年。該預設策略無法修改，適用於持有 Microsoft 365 E5 或 Office 365 E5 許可證，或 Microsoft Purview Suite、E5 eDiscovery and Audit 附加許可證的用戶。
審計高級版的其他記錄：預設 180 天。 Teams 等其他工作負載保持 180 天，除非您創建自定義保留策略。
加購附加許可證最長 10 年。 想把某用戶的記錄保留 10 年，除 E5 級許可證外，還需要為該用戶分配 10 年審計日誌保留附加許可證。該策略不追溯，無法保留策略創建之前的記錄。
非用戶活動：固定一年。 服務主體的操作、系統事件和應用程序活動固定保留一年，不可更改。

有一個細節常被忽略：保留期跟隨的是*產生記錄的用戶*，而不是搜索的人。一個只有少數 E5 許可證、多數是 Business Premium 的租戶，部分人有一年曆史，其餘人只有 180 天。Microsoft 還說明，更改許可證會改變此後數據的到期時間，但不會改變已寫入的條目。

按許可證看是什麼情況？

下面是一張工作地圖，請再到 Microsoft 365 管理中心核對您自己的分配情況。

Business Basic、Business Standard 和 Business Premium

預設沒有開啓審計，所以先檢查。開啓後可得到 180 天的標準版記錄。審計日誌保留策略屬於高級版，這一檔沒有。

Microsoft 365 E3 和 Office 365 E3

標準版預設開啓，保留 180 天。大多數中型租戶屬於這一類；如果保險公司或調查需要回看過去十二個月，180 天就是可搜索歷史的上限。

Microsoft 365 E5、Office 365 E5，或 E5 Compliance / Purview Suite / eDiscovery and Audit 附加許可證

對已授權用戶適用審計高級版。Exchange、SharePoint、OneDrive 和 Entra 記錄預設保留一年，其他記錄 180 天，並可創建自定義保留策略延長。最多可有 50 條自定義審計日誌保留策略，創建需要 Purview 門戶中的「Organization Configuration」角色。

自定義策略會覆蓋預設策略，雙向都是如此。Microsoft 的例子是：為 Exchange 郵箱活動創建一條短於一年的策略，這些記錄的保留期就會縮短，所以在假設能得到一年之前，先檢查現有策略。

Entra ID 登入日誌是同一回事嗎？

不是，這是第二個容易出問題的地方。Microsoft Entra 的審計日誌和登入日誌與 Microsoft 365 統一審計日誌相互獨立，保留期取決於 Entra ID 的版本，而不是 Purview 審計。依據 Microsoft Learn（2026 年 11 月 5 日核對）：

Entra ID Free： 審計日誌和登入日誌 7 天。
Entra ID P1 和 P2： 審計日誌和登入日誌 30 天。
風險登入： Free 為 7 天，P1 為 30 天，P2 為 90 天。
Microsoft Graph 活動日誌： 除非發送到存儲或分析工具，否則不保留。

Business Premium 包含 Entra ID P1，因此在 Entra 內可看到 30 天登入歷史；如果下個月才發現可疑登入，這個時間就太短了。Microsoft 說明，E5 級許可證的組織可使用審計高級版把 Entra 審計日誌保留得比預設更久，任何組織也都可以通過 Azure Monitor 把 Entra 日誌導出到 Azure 存儲帳戶。

對疑似帳號被盜用的調查，實際影響很簡單：您可能只有 30 天的詳細登入數據，卻有 180 天或一年的審計活動。在需要之前先弄清楚哪個是哪個。

怎樣查出您實際擁有什麼？

按順序做以下步驟，每步幾分鐘。

確認審計已開啓。 在 Exchange Online PowerShell 中運行上面的 Get-AdminAuditLogConfig 命令，記錄結果和日期。
做一次測試搜索。 在 Microsoft Purview 門戶打開「審計」，選擇最近七天，搜索您自己的登入或打開過的文件。沒有結果，說明審計未開啓或尚不可搜索。
找出最早的記錄。 選擇工具允許的最大範圍，限定到某一位用戶，記下最早的記錄。如果本以為有一年的用戶最早記錄只有約 180 天，說明他的許可證或某條自定義策略縮短了保留期。
列出自定義保留策略。 在 Security & Compliance PowerShell 中運行 Get-UnifiedAuditLogRetentionPolicy。Microsoft 說明該命令不會返回預設策略，所以列表為空是正常的。
把用戶和許可證對應起來。 記下誰持有 E5 級許可證。管理員、高管等特權帳號，是最值得把歷史保留更久的。
檢查 Entra 版本和日誌導出。 在 Entra 管理中心確認是 Free、P1 還是 P2，以及登入和審計日誌是否被發送到別處長期保存。
記錄誰能搜索。 審計搜索需要單獨的權限，確認負責調查的人能搜索，也確認沒有人關閉了該設定。Microsoft 說明關閉審計這個動作本身也會被記錄，可以用 Search-UnifiedAuditLog -Operations Set-AdminAuditLogConfig 查到。

請保留這些輸出，它們證明您的租戶在檢查當天被配置成什麼樣。

保留期太短，該怎麼改？

目標取決於您需要回答什麼問題。經驗做法是先確定需要回溯多久，再找最省錢的辦法。

先開啓審計。 沒有它什麼都無法恢復；在預設關閉的 SMB 授權上，Microsoft 的做法是在 Purview 門戶或用一條 PowerShell 命令手動開啟。
在到期前導出。 Office 365 Management Activity API 可把記錄拉到您自己的存儲或 SIEM，Microsoft 稱這是把數據保留得比預設 180 天更久的方式。Entra 日誌可通過 Azure Monitor 歸檔到存儲帳戶。
只為關鍵用戶延長。 自定義保留策略要求其覆蓋的用戶有審計高級版許可。通常給一小批管理員、財務和高管帳號就夠了，不必給所有人。
謹慎使用 10 年附加許可證。 它按用戶計費，只有法規、法律或合同要求才值得，不要想當然。
複查策略列表。 刪除或更正悄悄縮短預設值的自定義策略。

更長的期限是否「必須」，該問保險公司、審計師或法律顧問，而不是本文。本文給您的是事實基礎：開了什麼、保留什麼、保留多久。

這和 Microsoft 365 保安審計有什麼關係？

審計日誌狀態和保留期是配置審計會檢查的項目之一，因為它決定事件發生後還剩下什麼證據，在發現項中與郵件轉發、身份驗證和共享設定並列。Brocent 的 Microsoft 365 保安審計只讀取配置：審計是否開啓、適用什麼保留期，從不讀取郵件或文檔內容。發現項如何呈現，請看示例報告（英文頁），其他檢查領域見保安審計清單。

這對問卷也很重要。網絡保險表格常問「是否記錄管理員活動並將日誌保留一定期限？」，答案應來自上面的檢查，而不是憑記憶。收集方法見網絡保險問卷背後的 Microsoft 365 證據。

常見問題

Microsoft 365 審計日誌預設開啓嗎？

多數企業版租戶是的。Microsoft 說明，Business Basic、Business Standard、Business Premium 以及使用企業版試用授權建立的未受管理租戶預設未開啟。在 Exchange Online PowerShell 運行 Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled 即可查看自己的狀態。