Click on "Deploy Server".
Wait a few minutes for the server to deploy. Once ready, it will show a "Started" state.
In the chat, type @ followed by the MCP server name and your instructions, e.g., "@Unified Audit Log MCP Did alice@contoso.com access the budget.xlsx file in SharePoint?"
That's it! The server will respond to your query, and you can continue using it as needed.
Here is a step-by-step guide with screenshots.
Microsoft Purview'ın birleşik denetim günlüğü (unified audit log) hakkında
salt-okunur bir Model Context Protocol
sunucusu — Exchange PowerShell'deki Search-UnifiedAuditLog cmdlet'inin
modern Graph REST karşılığını sarmalar.
ArubaCentralMCP /
JamfMCP /
DefenderCloudAppsMCP /
TeamsCallsMCP /
IntuneMCP /
EntraIDMCP /
M365HealthMCP ile aynı
mimari desenle yazılmıştır ve NetRadar Copilot Studio ajan ailesinin bir
parçasıdır.
EntraIDMCP'nin list_signins_by_user tool'u yalnızca Entra ID sign-in
olaylarını kapsar. Bu servis ise gerçekten birleşik (unified) —
Exchange, SharePoint, OneDrive, Teams, Entra ID ve diğer tüm M365
workload'larındaki denetim kayıtlarını tek sorguda arar. "Bu kullanıcı
şu dosyaya eriştin mi", "bu işlemi kim yaptı" gibi çapraz-servis/kanıt
amaçlı sorular için tercih edilmelidir.
Related MCP server: ms-365-admin-mcp-server
Diğer MCP sunucularımızdan farklı olarak, bu API asenkron çalışır:
flowchart LR
A["1. POST /security/auditLog/queries<br/>(sorguyu oluştur)"] --> B["2. GET .../queries/{id}<br/>(durumu kontrol et — polling)"]
B -->|"succeeded"| C["3. GET .../queries/{id}/records<br/>(sonuçları al)"]
B -->|"running"| Bsearch_unified_audit_log tool'u bu üç adımı tek bir çağrı arkasında
(en fazla ~45 saniyelik bir polling ile) gizler. Sorgu 45 saniyede
tamamlanmazsa (gerçek dünyada ilk sorgular için 2-3 dakikaya kadar
sürebiliyor — Purview backend'inin "soğuk başlangıç" gecikmesi), tool bir
queryId ile birlikte "status": "running" döner; bu durumda
get_audit_log_results(query_id) ile birkaç saniye/dakika sonra tekrar
sorulmalıdır.
Barındırma: aruba-mcp-vm üzerinde sekizinci bir systemd servisi
(unified-auditlog-mcp.service, port 8427) ve Caddy'de sekizinci bir
site block'u olarak çalışır. Dedike, ayrıcalıksız auditlogmcp sistem
kullanıcısı altında.
Microsoft Entra ID, Doğuş Grubu tenant'ı. Ayrı bir Entra ID App
Registration (UnifiedAuditLogMCP), OAuth2 client_credentials akışı,
tek bir application permission: AuditLogsQuery.Read.All (admin
consent almış) — kasıtlı olarak en geniş kapsamlı seçenek: Exchange,
SharePoint, OneDrive, Teams, Entra ID, DLP dahil TÜM workload'ları
kapsayan gerçek "unified" arama için bu gerekli. Daha dar
AuditLogsQuery-Entra.Read.All yalnızca Entra ID kayıtlarını döndürür.
Tool | Açıklama |
| Ana tool — sorguyu oluşturur, ~45 saniye bekler, sonuçları döndürür (veya |
| Önceki bir sorgunun sonucunu tekrar kontrol eder/getirir |
Denetim verisine erişim, tenant'ın Purview Audit lisansına bağlıdır: standart lisansta 180 gün, premium lisansta 365 gün geriye dönük arama.
Yazma/aksiyon işlemi içermez — Graph'ta zaten bu alanda bir yazma uç
noktası yok. auditData alanı (ham, kayıt tipine göre değişen JSON)
800 karaktere kırpılarak döndürülür; gereksiz büyük yanıtları önler.
This server cannot be deployed
Official Microsoft MCP Server to query Microsoft Entra data using natural language
MCP server for mandates, delegation, policy-gated execution, credential grants, and audit.
Authenticated MCP server for ClearPolicy policy and compliance workflows.
A paid remote MCP for AI SDK data query MCP, built to return verdicts, receipts, usage logs, and aud