Propiedades de actividad detalladas en el registro de auditoría

Al exportar los resultados de una búsqueda de registros de auditoría desde el portal de Microsoft Purview o desde el portal de cumplimiento Microsoft Purview, puede descargar todos los resultados que cumplan los criterios de búsqueda. Para exportar esta información, seleccione Exportar resultados>Descargar todos los resultados en la página Búsqueda de registros de auditoría . Para obtener más información, consulte Búsqueda el registro de auditoría.

Al exportar todos los resultados de una búsqueda de registros de auditoría, los datos sin procesar del registro de auditoría unificado se copian en un archivo de valores separados por comas (CSV) que se descarga en el equipo local. Este archivo contiene información de propiedad adicional de cada registro de actividad de auditoría de una columna denominada AuditData. Esta columna contiene una propiedad de varios valores para varias propiedades del registro de auditoría. Cada una de las propiedades: los pares de valores de esta propiedad multivalor se separan por comas.

En la tabla siguiente se describen las propiedades de actividad que se incluyen (en función del servicio en el que se produce una actividad) en la columna AuditData de varias propiedades. El servicio de Microsoft 365 que tiene esta columna de propiedad indica el servicio y el tipo de actividad (usuario o administrador) que incluye la propiedad. Para obtener información más detallada sobre estas propiedades o sobre las propiedades que pueden no aparecer en este artículo, consulte Esquema de api de actividad de administración.

Sugerencia

Puede usar la característica de transformación JSON en Power Query en Excel para dividir la columna AuditData en varias columnas para que cada propiedad tenga su propia columna. Esto le permitirá ordenar y filtrar en una o más de estas propiedades. Para obtener información sobre cómo hacerlo, consulte Exportación, configuración y visualización de registros de auditoría.

Propiedad	Descripción	Servicio de Microsoft 365 que tiene esta propiedad
Actor	La cuenta de usuario o servicio que realizó la acción.	Azure Active Directory
AddOnName	Nombre de un complemento que se agregó, quitó o actualizó en un equipo. El tipo de complementos de Microsoft Teams es un bot, un conector o una pestaña.	Microsoft Teams
AddOnType	Tipo de un complemento que se agregó, quitó o actualizó en un equipo. Los siguientes valores indican el tipo de complemento. 1 : indica un bot. 2 : indica un conector. 3 : indica una pestaña.	Microsoft Teams
AppAccessContext	El contexto de aplicación para el usuario o la entidad de servicio que realizó la acción.	Microsoft Teams
ArtifactShared	Archivos o contenido compartidos por el usuario.	Microsoft Teams
AzureActiveDirectoryEventType	Tipo de actividad de Azure Active Directory. Los valores siguientes indican el tipo de actividad. 0 : indica una actividad de inicio de sesión de cuenta. 1 : indica una actividad de seguridad de la aplicación de Azure.	Azure Active Directory
ChannelGuid	Identificador de un canal de Microsoft Teams. El equipo en el que se encuentra el canal se identifica mediante las propiedades TeamName y TeamGuid .	Microsoft Teams
ChannelName	Nombre de un canal de Microsoft Teams. El equipo en el que se encuentra el canal se identifica mediante las propiedades TeamName y TeamGuid .	Microsoft Teams
Cliente	El dispositivo cliente, el sistema operativo del dispositivo y el explorador del dispositivo utilizado para la actividad de inicio de sesión (por ejemplo, Nokia Lumia 920; Windows Phone 8; IE Mobile 11).	Azure Active Directory
ClientInfoString	Información sobre el cliente de correo electrónico que se usó para realizar la operación, como una versión del explorador, la versión de Outlook y la información del dispositivo móvil	Exchange (actividad de buzón)
ClientIP	La dirección IP del dispositivo que se ha usado cuando la actividad se ha registrado. La dirección IP se muestra en el formato de dirección IPv4 o IPv6. Para ciertos servicios, el valor que se visualiza en esta propiedad puede ser la dirección IP de una aplicación de confianza (por ejemplo, Office en las aplicaciones web) que llama al servicio en nombre de un usuario y no la dirección IP del dispositivo utilizado por la persona que realizó la actividad. Además, para la actividad de administrador (o actividad realizada por una cuenta del sistema) para las actividades relacionadas con Azure Active Directory, la dirección IP no se registra y el valor de la propiedad ClientIP es null.	Azure Active Directory, Exchange, SharePoint
CreationTime	La fecha y hora en formato Hora universal coordinada (UTC) en las que el usuario ha realizado la actividad.	todas
CurrentProtectionType	Un tipo de propiedad complejo que contiene campos para describir el estado de protección actual de un documento. Incluye lo siguiente: ProtectionType: enumera el tipo de protección aplicado al documento. Estos valores y sus significados se aplican: 0 (sin protección), 1 (protección basada en plantillas), 2 (no reenviar, para correo electrónico), 3 (solo cifrar) y 4 (protección personalizada configurada por el usuario) Propietario: dirección de correo electrónico del usuario que configuró la protección. TemplateId: cuando ProtectionType se establece en 1 (plantilla), este campo contiene el GUID de la plantilla aplicada al documento. Cuando el valor de ProtectionType no es igual a 1, este campo está en blanco. DocumentEncrypted: marca booleana que indica si se aplica algún tipo de cifrado al documento. Los valores son True o False.	todas
DestinationFileExtension	La extensión del archivo que se copia o mueve. Esta propiedad solo se muestra para las actividades de usuario FileCopied y FileMoved.	SharePoint
DestinationFileName	El nombre del archivo se copia o mueve. Esta propiedad solo se muestra para las acciones FileCopied y FileMoved.	SharePoint
DestinationRelativeUrl	La dirección URL de la carpeta de destino donde se copia o se mueve un archivo. La combinación de los valores de SiteURL, DestinationRelativeURL y la propiedad DestinationFileName es la misma que el valor de la propiedad ObjectID , que es el nombre de la ruta de acceso completa del archivo que se copió. Esta propiedad solo se muestra para las actividades de usuario FileCopied y FileMoved.	SharePoint
EventSource	Identifica que se ha producido una actividad en SharePoint. Los valores posibles son SharePoint y ObjectModel.	SharePoint
ExternalAccess	En el caso de la actividad de administrador de Exchange, especifica si el cmdlet lo ejecutó un usuario de su organización, el personal del centro de datos de Microsoft o una cuenta de servicio del centro de datos, o un administrador delegado. El valor False indica que el cmdlet lo ejecutó algún usuario de su organización. El valor True indica que el cmdlet lo ejecutó el personal del centros de datos, una cuenta de servicio del centro de datos o un administrador delegado. En el caso de la actividad de buzón de Exchange, especifica si un usuario fuera de la organización ha accedido a un buzón de correo.	Exchange
ExtendedProperties	Propiedades extendidas de una actividad de Azure Active Directory.	Azure Active Directory
Id.	Identificador de la entrada del informe. El identificador identifica de forma única la entrada del informe.	todas
InternalLogonType	Reservado para uso interno.	Exchange (actividad de buzón)
ItemType	El tipo de objeto al que se obtuvo acceso o que se modificó. Entre los valores posibles se incluyen File, Folder, Web, Site, Tenant y DocumentLibrary.	SharePoint
IsJoinedFromLobby	Independientemente de si el usuario se unió a una sesión de Teams desde la sala de espera.	Microsoft Teams
LoginStatus	Identifica los errores de inicio de sesión que podrían haberse producido.	Azure Active Directory
LogonType	Tipo de acceso al buzón. Los siguientes valores indican el tipo de usuario que ha accedido al buzón. 0 : indica el propietario de un buzón. 1 : indica un administrador. 2 : indica un delegado. 3 : indica el servicio de transporte en el centro de datos de Microsoft. 4 : indica una cuenta de servicio en el centro de datos de Microsoft. 6 : indica un administrador delegado.	Exchange (actividad de buzón)
MailboxGuid	El GUID de Exchange del buzón al que se obtuvo acceso.	Exchange (actividad de buzón)
MailboxOwnerUPN	La dirección de correo electrónico del propietario del buzón al que se obtuvo acceso.	Exchange (actividad de buzón)
Members	Listas los usuarios que se han agregado o quitado de un equipo. Los siguientes valores indican el tipo de rol asignado al usuario. 1 - Indica el rol del propietario. 2 - Indica el rol del miembro. 3- Indica el rol del invitado. La propiedad Miembros también incluye el nombre de su organización y la dirección de correo electrónico del miembro.	Microsoft Teams
ModifiedProperties (Name, NewValue, OldValue)	La propiedad se incluye para actividades de administración, como agregar un usuario como miembro de un sitio o un grupo de administración de colección de sitios. La propiedad incluye el nombre de la propiedad que se modificó (por ejemplo, el grupo De sitio Administración) el nuevo valor de la propiedad modificada (por ejemplo, el usuario que se agregó como administrador del sitio y el valor anterior del objeto modificado).	Todo (actividad de administrador)
ObjectFullyQualifiedName	Nombre completo de una entidad.	Microsoft Purview (gobernanza)
ObjectId	Para el registro de auditoría de Exchange, el nombre del objeto modificado por el cmdlet. Para la actividad de SharePoint, el nombre completo de la ruta de acceso url del archivo o carpeta al que accede un usuario. Para la actividad de Azure AD, el nombre de la cuenta de usuario que se modificó.	todas
ObjectName	Nombre de la entidad principal.	Microsoft Purview (gobernanza)
ObjectType	Tipo de entidad.	Microsoft Purview (gobernanza)
OldValue	El valor antes de un cambio incluye todas las propiedades actualizadas o eliminadas.	Microsoft Purview (gobernanza)
Operación	El nombre de la actividad de usuario o administrador. El valor de esta propiedad corresponde al valor que se seleccionó en la lista desplegable Actividades . Si se seleccionó Mostrar resultados para todas las actividades , el informe incluirá entradas para todas las actividades de usuario y administrador de todos los servicios. Para obtener una descripción de las operaciones o actividades que se registran en el registro de auditoría, consulte la pestaña Actividades auditadas en Búsqueda el registro de auditoría en el Office 365. Esta propiedad identifica el nombre del cmdlet ejecutado para la actividad de administración de Exchange.	todas
OrganizationId	GUID de la organización.	todas
NewValue	El valor después de un cambio incluye todas las propiedades actualizadas o eliminadas.	Microsoft Purview (gobernanza)
Ruta de acceso	El nombre de la carpeta del buzón donde se encuentra el mensaje al que se obtuvo acceso. Esta propiedad también identifica la carpeta en la que se crea un mensaje o se copia o se mueve a.	Exchange (actividad de buzón)
Parameters	Para la actividad de administrador de Exchange, el nombre y el valor de todos los parámetros que se usaron con el cmdlet que se identifica en la propiedad Operation.	Exchange (actividad de administrador)
ParticipantInfo	Propiedades adicionales sobre la identidad del participante.	Microsoft Teams
ParticipatingDomainInformation	Información de dominio sobre el participante.	Microsoft Teams
PreviousProtectionType	Un tipo de propiedad complejo que contiene campos para describir el estado de protección anterior de un documento. Incluye lo siguiente: ProtectionType: enumera el tipo de protección aplicado al documento. Estos valores y sus significados se aplican: 0 (sin protección), 1 (protección basada en plantillas), 2 (no reenviar, para correo electrónico), 3 (solo cifrar) y 4 (protección personalizada configurada por el usuario) Propietario: dirección de correo electrónico del usuario que configuró la protección. TemplateId: cuando ProtectionType se establece en 1 (plantilla), este campo contiene el GUID de la plantilla aplicada al documento. Cuando el valor de ProtectionType no es igual a 1, este campo está en blanco. DocumentEncrypted: marca booleana que indica si se aplica algún tipo de cifrado al documento. Los valores son True o False.	todas
ProtectionEventType	Enumera cómo cambió la protección la operación que se está auditando. Se aplican los siguientes valores y significados: 0 : indica sin cambios. 1 : indica que se ha agregado. 2 : indica que se ha cambiado. 3 : indica que se ha quitado.	todas
RecordType	El tipo de operación indicado por el registro. Esta propiedad indica el servicio o característica en el que se desencadenó la operación. Para obtener una lista de tipos de registro y su valor ENUM correspondiente (que es el valor mostrado en la propiedad RecordType en un registro de auditoría), consulte Tipo de registro de auditoría.
ResultStatus	Indica si la acción (especificada en la propiedad Operation ) se realizó correctamente o no. Para la actividad de administrador de Exchange, el valor es True (correcto) o False (error).	todas
SecurityComplianceCenterEventType	Indica que la actividad era un portal de Microsoft Purview y una actividad del portal de cumplimiento. Todas las actividades del portal de Microsoft Purview y del portal de cumplimiento tendrán un valor de 0 para esta propiedad.	Portal Microsoft Purview Portal de cumplimiento de Microsoft Purview.
SensitivityLabel	Etiqueta de confidencialidad asignada a un elemento de correo específico.	Exchange
SharingType	Tipo de permisos de uso compartido que se asignaron al usuario con el que se compartió el recurso. Este usuario se identifica en la propiedad UserSharedWith .	SharePoint
Site	El GUID del sitio donde se encuentra el archivo o la carpeta a la que obtuvo acceso el usuario.	SharePoint
SiteUrl	La dirección URL del sitio donde se encuentra el archivo o la carpeta a la que obtuvo acceso el usuario.	SharePoint
SourceFileExtension	La extensión del archivo al que obtuvo acceso el usuario. Esta propiedad está en blanco si el objeto al que se obtuvo acceso es una carpeta.	SharePoint
SourceFileName	El nombre del archivo o carpeta al que obtuvo acceso el usuario.	SharePoint
SourceRelativeUrl	La dirección URL de la carpeta que contiene el archivo al que obtuvo acceso el usuario. La combinación de los valores de SiteURL, SourceRelativeURL y la propiedad SourceFileName es la misma que el valor de la propiedad ObjectID , que es el nombre de la ruta de acceso completa para el archivo al que accede el usuario.	SharePoint
Asunto	La línea de asunto del mensaje al que se obtuvo acceso.	Exchange (actividad de buzón)
TabType	Tipo de pestaña agregada, quitada o actualizada en un equipo. Los valores posibles de esta propiedad son: Pin de Excel : una pestaña de Excel. Extensión : todas las aplicaciones de terceros y de terceros; como programación de clases, VSTS y Forms. Notas : pestaña De OneNote. Pdfpin : una pestaña PDF. Powerbi : una pestaña de Power BI. Powerpointpin : una pestaña de PowerPoint. Sharepointfiles : una pestaña de SharePoint. Página web : pestaña de sitio web anclado. Wiki-tab : una pestaña wiki. Wordpin: pestaña Word.	Microsoft Teams
Target	El usuario en el que se realizó la acción (identificada en la propiedad Operation ). Por ejemplo, si se agrega un invitado a SharePoint o a un equipo de Microsoft, ese usuario aparecería en esta propiedad.	Azure Active Directory
TeamGuid	Identificador de un equipo en Microsoft Teams.	Microsoft Teams
TeamName	Nombre de un equipo en Microsoft Teams.	Microsoft Teams
UserAgent	Información sobre el explorador del usuario. Esta información la proporciona el explorador.	SharePoint
UserDomain	Información de identidad sobre la organización del inquilino del usuario (actor) que realizó la acción.	Azure Active Directory
UserId	El usuario que realizó la acción (especificada en la propiedad Operation ) que provocó que se registrara el registro. Los registros de auditoría de la actividad realizada por las cuentas del sistema (como SHAREPOINT\system o NT AUTHORITY\SYSTEM) también se incluyen en el registro de auditoría. Otro valor común para la propiedad UserId es app@sharepoint. Esto indica que el "usuario" que llevó a cabo esta actividad era una aplicación que tiene los permisos necesarios en SharePoint para realizar acciones en toda la organización (como buscar en un sitio de SharePoint o en una cuenta de OneDrive) en nombre de un usuario, un administrador o un servicio. Para obtener más información, consulte: El usuario app@sharepoint en los registros de auditoría o Cuentas del sistema en registros de auditoría de buzones de Exchange.	todas
UserKey	Contiene un identificador de objeto de Azure Active Directory válido en formato GUID o hexadecimal. En escenarios en los que el actor principal no es un usuario, UserKey es una cadena vacía. Consulte Escenarios UserType y UserKey para obtener más información sobre varios escenarios userkey .	todas
UserType	El tipo de usuario que llevó a cabo la operación. Consulte los escenarios UserType y UserKey para obtener más información sobre varios escenarios de UserType .	todas
Versión	Indica el número de versión de la actividad (identificada por la propiedad Operation ) que se registra.	todas
Carga de trabajo	Servicio de Microsoft 365 donde se produjo la actividad.	todas

Escenarios UserType y UserKey

En la tabla siguiente se proporcionan detalles para los escenarios UserType y UserKey :

Valor	Nombre del miembro UserType	Descripción	UserKey
0	Regular	Un usuario normal sin permisos de administrador.	Microsoft Entra id. de objeto en formato GUID
2	Admin	Administrador de la organización de Microsoft 365. 1	Microsoft Entra id. de objeto en formato GUID
3	DCAdmin	Una cuenta de sistema de centro de datos o administrador del centro de datos de Microsoft.	Microsoft Entra id. de objeto en formato GUID
4	Sistema	Un evento de auditoría desencadenado por la lógica del lado servidor. Por ejemplo, servicios de Windows o procesos en segundo plano.	Guid.Empty.ToString() (o el valor '000000000-0000-0000-0000-0000000000000000').
5	Application	Evento de auditoría desencadenado por una aplicación de Microsoft Entra.	Microsoft Entra nombre de aplicación o identificador de aplicación (cuando esté disponible). De lo contrario, una cadena vacía.
6	ServicePrincipal	Un servicio principal.	Guid.Empty.ToString() (o el valor '000000000-0000-0000-0000-0000000000000000').
7	CustomPolicy	Directiva administrada o creada por un cliente.	Guid.Empty.ToString() (o el valor '000000000-0000-0000-0000-0000000000000000').
8	SystemPolicy	Una directiva de sistema o administrada por Microsoft.	Guid.Empty.ToString() (o el valor '000000000-0000-0000-0000-0000000000000000').
9	PartnerTechnician	Usuario de un inquilino asociado que trabaja en nombre del inquilino del cliente (en escenarios de GDAP ).	Guid.Empty.ToString() (o el valor '000000000-0000-0000-0000-0000000000000000').
10	Guest	Un invitado o un usuario anónimo.	Guid.Empty.ToString() (o el valor '000000000-0000-0000-0000-0000000000000000').

Nota:

¹ Para Microsoft Entra eventos relacionados, el valor de un administrador no se usa en un registro de auditoría. Los registros de auditoría de las actividades realizadas por los administradores indicarán que un usuario normal (por ejemplo, UserType: 0) realizó la actividad. La propiedad UserID identificará a la persona (usuario o administrador normal) que realizó la actividad.