Microsoft 365 审计日志保留期限：是否开启、保留多久

一句话结论： Microsoft 365 审计日志的保留期限，标准版（Audit Standard）为 180 天；持有 E5 级许可证的用户，其 Exchange、SharePoint、OneDrive 和 Entra 记录在高级版（Audit Premium）下默认保留一年。多数企业版租户默认已开启审计，但 Business Basic、Business Standard、Business Premium 默认没有开启，需要管理员手动打开。用一条 PowerShell 命令就能知道您属于哪种情况，再对比您可能需要回溯的时间。

多数租户是在最糟糕的时刻才发现审计日志设置的：出现可疑登录，或邮箱里多了一条没人创建的规则，有人问“发生了什么、什么时候发生的”。如果审计从未开启，就没有任何东西可查；如果已开启但只保留 180 天，而事件发生在七个月前，证据已经过期。

本文是一份约 30 分钟可以完成的自查：Microsoft 365 统一审计日志是否开启、不同许可证的保留期限、独立且短得多的 Entra ID 登录日志，以及保留期不够时该怎么改。保留期数字于 2026 年 11 月 5 日对照 Microsoft Learn 核对；Microsoft 会不定期调整这些数字，因此每一节都写明了依据的页面。

Microsoft 365 审计日志在您的租户里开启了吗？

不一定，取决于许可证。Microsoft 说明，Microsoft 365 组织的审计默认开启，但中小企业（SMB）许可证，包括 Business Basic、Business Standard 和 Business Premium，默认没有开启；使用企业版试用许可证创建的未受管理租户也一样，需要管理员手动开启。

这对小公司很重要，因为 Business Premium 是中小企业的常见选择。如果您是其中之一，在检查之前不要想当然。

验证方法：连接 Exchange Online PowerShell（不是 Security & Compliance PowerShell），运行：

Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled

返回 True 表示审计已开启，False 表示未开启。Microsoft 提醒，同一条命令在 Security & Compliance PowerShell 中无论审计是否开启都会返回 False，所以务必在正确的会话中运行，免得白白排查一个不存在的问题。

如果返回 False，可以运行 Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true，或在 Microsoft Purview 门户的“审计”页面点击提示横幅开始记录用户和管理员活动。Microsoft 表示最多需要 60 分钟生效，记录可能要几个小时后才能搜索。审计不会追溯记录，关闭的每一天，都是日后无法调查的一天。

修改该设置需要 Exchange Online 的“Audit Logs”角色，默认情况下 Compliance Management 和 Organization Management 角色组拥有该角色。

Microsoft 365 审计记录保留多久？

保留期在记录写入时确定，并跟随执行该操作的用户所持有的许可证。依据 Microsoft Purview 文档：

审计标准版：180 天。 2023 年 10 月 17 日及之后产生的记录保留 180 天，之前的保留 90 天。这是所有未持有 E5 级许可证的用户以及来宾用户的基准。
审计高级版的默认策略：四个工作负载保留一年。 Microsoft Entra、Exchange、OneDrive 和 SharePoint 的审计记录保留一年。该默认策略无法修改，适用于持有 Microsoft 365 E5 或 Office 365 E5 许可证，或 Microsoft Purview Suite、E5 eDiscovery and Audit 附加许可证的用户。
审计高级版的其他记录：默认 180 天。 Teams 等其他工作负载保持 180 天，除非您创建自定义保留策略。
加购附加许可证最长 10 年。 想把某用户的记录保留 10 年，除 E5 级许可证外，还需要为该用户分配 10 年审计日志保留附加许可证。该策略不追溯，无法保留策略创建之前的记录。
非用户活动：固定一年。 服务主体的操作、系统事件和应用程序活动固定保留一年，不可更改。

有一个细节常被忽略：保留期跟随的是*产生记录的用户*，而不是搜索的人。一个只有少数 E5 许可证、多数是 Business Premium 的租户，部分人有一年历史，其余人只有 180 天。Microsoft 还说明，更改许可证会改变此后数据的到期时间，但不会改变已写入的条目。

按许可证看是什么情况？

下面是一张工作地图，请再到 Microsoft 365 管理中心核对您自己的分配情况。

Business Basic、Business Standard 和 Business Premium

默认没有开启审计，所以先检查。开启后可得到 180 天的标准版记录。审计日志保留策略属于高级版，这一档没有。

Microsoft 365 E3 和 Office 365 E3

标准版默认开启，保留 180 天。大多数中型租户属于这一类；如果保险公司或调查需要回看过去十二个月，180 天就是可搜索历史的上限。

Microsoft 365 E5、Office 365 E5，或 E5 Compliance / Purview Suite / eDiscovery and Audit 附加许可证

对已授权用户适用审计高级版。Exchange、SharePoint、OneDrive 和 Entra 记录默认保留一年，其他记录 180 天，并可创建自定义保留策略延长。最多可有 50 条自定义审计日志保留策略，创建需要 Purview 门户中的“Organization Configuration”角色。

自定义策略会覆盖默认策略，双向都是如此。Microsoft 的例子是：为 Exchange 邮箱活动创建一条短于一年的策略，这些记录的保留期就会缩短，所以在假设能得到一年之前，先检查现有策略。

Entra ID 登录日志是同一回事吗？

不是，这是第二个容易出问题的地方。Microsoft Entra 的审计日志和登录日志与 Microsoft 365 统一审计日志相互独立，保留期取决于 Entra ID 的版本，而不是 Purview 审计。依据 Microsoft Learn（2026 年 11 月 5 日核对）：

Entra ID Free： 审计日志和登录日志 7 天。
Entra ID P1 和 P2： 审计日志和登录日志 30 天。
风险登录： Free 为 7 天，P1 为 30 天，P2 为 90 天。
Microsoft Graph 活动日志： 除非发送到存储或分析工具，否则不保留。

Business Premium 包含 Entra ID P1，因此在 Entra 内可看到 30 天登录历史；如果下个月才发现可疑登录，这个时间就太短了。Microsoft 说明，E5 级许可证的组织可使用审计高级版把 Entra 审计日志保留得比默认更久，任何组织也都可以通过 Azure Monitor 把 Entra 日志导出到 Azure 存储账户。

对疑似账号被盗用的调查，实际影响很简单：您可能只有 30 天的详细登录数据，却有 180 天或一年的审计活动。在需要之前先弄清楚哪个是哪个。

怎样查出您实际拥有什么？

按顺序做以下步骤，每步几分钟。

确认审计已开启。 在 Exchange Online PowerShell 中运行上面的 Get-AdminAuditLogConfig 命令，记录结果和日期。
做一次测试搜索。 在 Microsoft Purview 门户打开“审计”，选择最近七天，搜索您自己的登录或打开过的文件。没有结果，说明审计未开启或尚不可搜索。
找出最早的记录。 选择工具允许的最大范围，限定到某一位用户，记下最早的记录。如果本以为有一年的用户最早记录只有约 180 天，说明他的许可证或某条自定义策略缩短了保留期。
列出自定义保留策略。 在 Security & Compliance PowerShell 中运行 Get-UnifiedAuditLogRetentionPolicy。Microsoft 说明该命令不会返回默认策略，所以列表为空是正常的。
把用户和许可证对应起来。 记下谁持有 E5 级许可证。管理员、高管等特权账号，是最值得把历史保留更久的。
检查 Entra 版本和日志导出。 在 Entra 管理中心确认是 Free、P1 还是 P2，以及登录和审计日志是否被发送到别处长期保存。
记录谁能搜索。 审计搜索需要单独的权限，确认负责调查的人能搜索，也确认没有人关闭了该设置。Microsoft 说明关闭审计这个动作本身也会被记录，可以用 Search-UnifiedAuditLog -Operations Set-AdminAuditLogConfig 查到。

请保留这些输出，它们证明您的租户在检查当天被配置成什么样。

保留期太短，该怎么改？

目标取决于您需要回答什么问题。经验做法是先确定需要回溯多久，再找最省钱的办法。

先开启审计。 没有它什么都无法恢复；在默认关闭的 SMB 许可证上，Microsoft 的做法是在 Purview 门户或用一条 PowerShell 命令手动开启。
在到期前导出。 Office 365 Management Activity API 可把记录拉到您自己的存储或 SIEM，Microsoft 称这是把数据保留得比默认 180 天更久的方式。Entra 日志可通过 Azure Monitor 归档到存储账户。
只为关键用户延长。 自定义保留策略要求其覆盖的用户有审计高级版许可。通常给一小批管理员、财务和高管账号就够了，不必给所有人。
谨慎使用 10 年附加许可证。 它按用户计费，只有法规、法律或合同要求才值得，不要想当然。
复查策略列表。 删除或更正悄悄缩短默认值的自定义策略。

更长的期限是否“必须”，该问保险公司、审计师或法律顾问，而不是本文。本文给您的是事实基础：开了什么、保留什么、保留多久。

这和 Microsoft 365 安全审计有什么关系？

审计日志状态和保留期是配置审计会检查的项目之一，因为它决定事件发生后还剩下什么证据，在发现项中与邮件转发、身份验证和共享设置并列。Brocent 的 Microsoft 365 安全审计只读取配置：审计是否开启、适用什么保留期，从不读取邮件或文档内容。发现项如何呈现，请看示例报告（英文页），其他检查领域见安全审计清单。

这对问卷也很重要。网络保险表格常问“是否记录管理员活动并将日志保留一定期限？”，答案应来自上面的检查，而不是凭记忆。收集方法见网络保险问卷背后的 Microsoft 365 证据。

常见问题

Microsoft 365 审计日志默认开启吗？

多数企业版租户是的。Microsoft 说明，Business Basic、Business Standard、Business Premium 以及使用企业版试用许可证创建的未受管理租户默认未开启。在 Exchange Online PowerShell 运行 Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled 即可查看自己的状态。