Unified Audit Log MCP Sunucusu

Microsoft Purview'ın birleşik denetim günlüğü (unified audit log) hakkında salt-okunur bir Model Context Protocol sunucusu — Exchange PowerShell'deki Search-UnifiedAuditLog cmdlet'inin modern Graph REST karşılığını sarmalar. ArubaCentralMCP / JamfMCP / DefenderCloudAppsMCP / TeamsCallsMCP / IntuneMCP / EntraIDMCP / M365HealthMCP ile aynı mimari desenle yazılmıştır ve NetRadar Copilot Studio ajan ailesinin bir parçasıdır.

Neden ayrı bir servis (EntraIDMCP'nin sign-in tool'undan farkı ne)

EntraIDMCP'nin list_signins_by_user tool'u yalnızca Entra ID sign-in olaylarını kapsar. Bu servis ise gerçekten birleşik (unified) — Exchange, SharePoint, OneDrive, Teams, Entra ID ve diğer tüm M365 workload'larındaki denetim kayıtlarını tek sorguda arar. "Bu kullanıcı şu dosyaya eriştin mi", "bu işlemi kim yaptı" gibi çapraz-servis/kanıt amaçlı sorular için tercih edilmelidir.

Related MCP server: ms-365-admin-mcp-server

Mimari — asenkron sorgu deseni

Diğer MCP sunucularımızdan farklı olarak, bu API asenkron çalışır:

flowchart LR
    A["1. POST /security/auditLog/queries<br/>(sorguyu oluştur)"] --> B["2. GET .../queries/{id}<br/>(durumu kontrol et — polling)"]
    B -->|"succeeded"| C["3. GET .../queries/{id}/records<br/>(sonuçları al)"]
    B -->|"running"| B

search_unified_audit_log tool'u bu üç adımı tek bir çağrı arkasında (en fazla ~45 saniyelik bir polling ile) gizler. Sorgu 45 saniyede tamamlanmazsa (gerçek dünyada ilk sorgular için 2-3 dakikaya kadar sürebiliyor — Purview backend'inin "soğuk başlangıç" gecikmesi), tool bir queryId ile birlikte "status": "running" döner; bu durumda get_audit_log_results(query_id) ile birkaç saniye/dakika sonra tekrar sorulmalıdır.

Barındırma: aruba-mcp-vm üzerinde sekizinci bir systemd servisi (unified-auditlog-mcp.service, port 8427) ve Caddy'de sekizinci bir site block'u olarak çalışır. Dedike, ayrıcalıksız auditlogmcp sistem kullanıcısı altında.

Kimlik Doğrulama

Microsoft Entra ID, Doğuş Grubu tenant'ı. Ayrı bir Entra ID App Registration (UnifiedAuditLogMCP), OAuth2 client_credentials akışı, tek bir application permission: AuditLogsQuery.Read.All (admin consent almış) — kasıtlı olarak en geniş kapsamlı seçenek: Exchange, SharePoint, OneDrive, Teams, Entra ID, DLP dahil TÜM workload'ları kapsayan gerçek "unified" arama için bu gerekli. Daha dar AuditLogsQuery-Entra.Read.All yalnızca Entra ID kayıtlarını döndürür.

Araçlar

Veri Saklama Notu

Denetim verisine erişim, tenant'ın Purview Audit lisansına bağlıdır: standart lisansta 180 gün, premium lisansta 365 gün geriye dönük arama.

Gizlilik

Yazma/aksiyon işlemi içermez — Graph'ta zaten bu alanda bir yazma uç noktası yok. auditData alanı (ham, kayıt tipine göre değişen JSON) 800 karaktere kırpılarak döndürülür; gereksiz büyük yanıtları önler.