能否通过Azure Data Explorer（Kusto）查询Microsoft Entra管理中心的用户/组数据？

首先明确：可以通过将Microsoft Entra日志集成到Azure Monitor日志的方式，用Kusto查询相关的组数据，但并非直接连接Microsoft Entra原生数据，而是基于导出的日志数据进行分析。

关键说明： #

• 数据来源：需要先把Microsoft Entra的目录活动日志等导出到Azure Monitor日志工作区，这些数据会以Kusto表的形式存储，供查询使用。
• 可用Kusto表：
  • AADDirectoryEvents：包含组管理相关的操作日志（比如组创建、成员增减、组属性修改等事件）
  • AADGroups：部分配置下会同步组的基础信息（如组ID、名称、创建时间等）
• 查询示例：
  1. 查询所有组的基础信息：

  AADGroups
  | project GroupId, DisplayName, Description, CreatedDateTime
  | sort by CreatedDateTime desc
  

  2. 查询最近的组成员变更事件：

  AADDirectoryEvents
  | where Category == "GroupManagement"
  | where OperationName in ("Add member to group", "Remove member from group")
  | project TimeGenerated, OperationName, GroupName = TargetResources[0].displayName, Operator = InitiatedBy.user.userPrincipalName
  

• 局限性：Kusto查询的是已导出到Azure Monitor的日志/历史数据，如果需要实时获取组的当前状态（比如当前所有成员列表），更推荐使用Microsoft Graph API，Kusto更适合做日志回溯、趋势分析类的操作。

（注：你提供的截图展示了Microsoft Entra管理中心内的组查询UI界面，包含搜索筛选栏、组列表及操作按钮，这类UI的实时查询能力无法直接通过Kusto替代，Kusto侧重日志类数据的分析。）

内容的提问来源于stack exchange，提问作者timepp