Search-UnifiedAuditLog仅返回100条结果的原因及扩展方案咨询

一、为什么仅返回100条数据 #

Search-UnifiedAuditLog的-ResultSize参数默认值为100，即便指定了SessionId和SessionCommand ReturnLargeSet，如果没有显式设置更大的ResultSize，仍会仅返回默认的100条数据。微软文档中提到的50000条上限是该参数的最大可取值，并非自动返回的数量。

二、扩展返回结果数量的方法 #

1. 显式设置单次查询上限 #

结合SessionId和ReturnLargeSet，将-ResultSize设为最大支持的50000（或你需要的具体数值，不超过50000），示例代码：

$sessionId = [Guid]::NewGuid().ToString()
$auditLogs = Search-UnifiedAuditLog -SessionId $sessionId `
    -SessionCommand ReturnLargeSet `
    -ResultSize 50000 `
    -Operations FileAccessed,FileDownloaded,FileDeleted `
    -SharePointSiteUrl "https://yourtenant.sharepoint.com/sites/site1","https://yourtenant.sharepoint.com/sites/site2"

2. 分页获取超过50000条的日志 #

若日志总量超过50000条，需通过循环分页迭代获取，核心是使用-SessionCommand NextPage复用同一个SessionId继续拉取下一批数据：

$sessionId = [Guid]::NewGuid().ToString()
$allLogs = @()

# 首次拉取
$currentLogs = Search-UnifiedAuditLog -SessionId $sessionId `
    -SessionCommand ReturnLargeSet `
    -ResultSize 50000 `
    -Operations FileAccessed,FileDownloaded,FileDeleted `
    -SharePointSiteUrl "https://yourtenant.sharepoint.com/sites/site1","https://yourtenant.sharepoint.com/sites/site2"
$allLogs += $currentLogs

# 循环拉取下一页，直到不足50000条（说明已取完）
while ($currentLogs.Count -eq 50000) {
    $currentLogs = Search-UnifiedAuditLog -SessionId $sessionId `
        -SessionCommand NextPage `
        -ResultSize 50000
    $allLogs += $currentLogs
}

3. 时间范围过滤（可选优化） #

若无需全量日志，通过-StartDate和-EndDate缩小查询范围，既能减少返回数据量，也能提升查询效率：

$startDate = (Get-Date).AddDays(-7) # 查询最近7天日志
$endDate = Get-Date
$auditLogs = Search-UnifiedAuditLog -SessionId $sessionId `
    -SessionCommand ReturnLargeSet `
    -ResultSize 50000 `
    -StartDate $startDate `
    -EndDate $endDate `
    -Operations FileAccessed,FileDownloaded,FileDeleted `
    -SharePointSiteUrl "https://yourtenant.sharepoint.com/sites/site1","https://yourtenant.sharepoint.com/sites/site2"

三、额外注意事项 #

• 权限要求：执行账号需具备查看审核日志权限（如全局管理员、合规管理员、安全管理员等角色），否则可能返回不完整数据或报错。
• 日志延迟：审计日志生成存在几小时到24小时的延迟，查询最近操作可能无法立即获取结果。
• 性能提示：数据量极大时，建议按时间分片查询，避免单次请求超时或性能卡顿。

内容的提问来源于stack exchange，提问作者John John