如何定位Microsoft Teams中执行频道删除操作的用户

查询频道删除的操作记录需要账号具备全局管理员、审计管理员或Teams服务管理员权限，普通账号无权限访问审计日志数据，具体操作流程如下：

审计日志查询步骤 #

• 登录Microsoft 365 Defender管理中心，在左侧导航栏展开「解决方案」分类，找到「审计」功能入口
• 在审计搜索页先设置时间范围，精准匹配频道被删除的大致时间段，避免时间范围过大产生过多冗余记录
• 在「活动」筛选搜索框中，找到并勾选Teams频道已删除这一操作类型
• 可选筛选：如果明确被删频道所属的团队，可以补充填写团队名称、相关操作人范围等条件进一步缩小搜索范围，设置完成后点击「搜索」
• 搜索结果加载完成后，点击单条操作记录查看详情，详情页的「用户」字段即为执行删除操作的账号，同时还能看到被删频道名称、操作时间、操作IP等关联信息

注意事项：

1. 若此前从未开启过Microsoft 365审计功能，首次开启后需要等待24小时左右才能正常采集操作日志，开启前的历史操作无法回溯
2. 标准Microsoft 365许可证下审计日志默认留存90天，若删除操作发生在90天前且未配置长期日志留存策略，将无法查询到对应记录

后续优化建议 #

• 针对误操作的用户可以同步操作指引：Teams中隐藏频道无需执行删除操作，只需点击频道右侧的「...」更多按钮，选择「隐藏」即可，隐藏操作仅对当前账号生效，不会影响频道内的内容和其他成员访问
• 若需要降低误删概率，可以在Teams管理中心调整对应团队的权限配置，关闭普通成员的频道删除权限，仅保留团队所有者的频道管理权限，从权限层面避免普通用户误删

内容的提问来源于stack exchange，提问作者bd_iii