调用Graph API同一时间范围返回行数不一致问题咨询

这是预期行为吗？ #

这是预期行为，Microsoft Graph的登录审计日志（signIns）存在数据延迟写入的特性，并非实时同步到查询端点。

原因分析 #

• 登录事件从生成、经过后台处理到最终写入Graph API的审计日志存储，存在一定的延迟周期。不同类型的登录事件（如交互式登录、应用程序服务登录）处理链路不同，延迟时长也有差异，短则几秒，长可达数分钟。
• 你指定的时间范围是固定的，但在事件完成后台处理前，部分符合条件的登录事件还未被纳入可查询的数据集，因此多次查询时会看到结果行数逐步增加，直到所有符合条件的事件都完成写入后，行数才会稳定。

通用解决办法 #

• 延迟查询：若要获取该时间范围内的完整数据，建议在时间范围结束后等待5-15分钟（可根据实际场景调整时长）再执行查询，确保所有事件都已完成处理和写入。
• 校验数据完整性：可通过对比多次查询的结果行数，当连续两次及以上查询返回的行数一致时，即可判定数据已完整。
• 采用增量查询：如果需要持续获取登录日志，可使用Graph API的增量查询（delta query）功能，跟踪新增的事件，避免重复查询全量数据。

内容的提问来源于stack exchange，提问作者hello