如何查找Azure DevOps项目删除操作的实际发起者

根据你提供的审计日志，Project.HardDeleteQueued是Azure DevOps后台JobAgent执行的异步删除步骤，执行者显示为Azure DevOps Service是系统执行环节的正常标识，并非实际发起删除的用户。要找到真正的触发者，可以按以下方向排查：

• 关联同一CorrelationId的审计日志条目
  日志中的CorrelationId是串联整个删除流程的唯一标识。在组织级审计日志中搜索这个CorrelationId，你会找到更早的、由具体用户触发的删除发起记录（比如ActionId为Project.Delete或Project.SoftDelete的条目），该条目中的Actor就是实际发起删除的人。

• 回溯项目删除的前置操作记录
  手动删除Azure DevOps项目的流程是：用户发起删除请求→系统标记项目待删除→JobAgent执行实际资源清理（即你看到的HardDeleteQueued）。按时间倒序查找该项目的相关操作日志，定位在HardDeleteQueued之前的删除发起动作，对应的执行者就是触发人。

• 排查自动化工具或API调用
  如果删除是通过API、脚本、自动化管道触发的：

  • 检查组织内所有管道的执行记录，找是否有调用项目删除API的任务，查看管道的触发者（手动触发的用户ID、或触发管道的事件发起者）
  • 查看Azure DevOps的个人访问令牌（PAT）使用日志，排查是否有令牌调用了项目删除接口，关联到令牌的创建者

• 核对Azure AD审核日志
  如果你的Azure DevOps组织使用Azure AD身份验证，登录Azure AD查看审核日志，搜索该项目删除时间范围内的相关操作，找到对应登录用户或服务主体的操作记录，辅助确认发起者。

内容的提问来源于stack exchange，提问作者PatrykD