AzureAD审计日志同一CorrelationID对应不同Audit ID问题求助

首先明确：correlationId并不是单个审计活动的唯一标识，它的作用是关联同一业务流程下的多个相关操作，用来追踪一个完整业务事件的全链路动作。

你遇到的情况完全正常，结合动态用户组的场景来看：当用户满足动态组规则自动加入时，这个业务流程往往包含多个连续的操作步骤——比如先评估用户的部门属性是否符合组规则，再执行将用户添加到组的操作。这两个步骤属于同一个业务事件，所以会共用同一个correlationId，但每个步骤是独立的审计事件，因此会有不同的Audit ID。

从你给出的日志可以看到：

• 两条记录的targetResources都是同一个用户ID，说明是针对同一个用户的操作
• Audit ID末尾的序列号差1（26019271和26019272），证明是连续的两步操作

补充几个关键点：

• Audit ID才是单个审计事件的唯一标识，每个独立操作都会生成唯一的Audit ID
• correlationId的核心价值是帮你梳理完整的业务流程：比如通过它可以找到某个用户加入动态组的所有关联操作（规则评估、成员添加等）
• 在Azure AD的动态组、权限变更等场景中，多操作共享correlationId是常见现象

附上你提供的日志内容：

Value 1:
id: Directory_f606e2f6-4f88-43bb-8172-83e945533d1f_6LW2D_26019271
correlationId:f606e2f6-4f88-43bb-8172-83e945533d1f
targetResources:  {id=9f9ee398-e2d2-4e5b-949f-7e79ce0087c0}

Value 2:
id: Directory_f606e2f6-4f88-43bb-8172-83e945533d1f_6LW2D_26019272
correlationId:f606e2f6-4f88-43bb-8172-83e945533d1f
targetResources:  {id=9f9ee398-e2d2-4e5b-949f-7e79ce0087c0}

内容的提问来源于stack exchange，提问作者SamTn