將稽核事件串流至 SIEM
設定 HTTPS 或 Splunk HEC 接收端，並檢查傳遞與復原。
連接接收端
以擁有者或管理員身分開啟「組織 → 互聯服務 → SIEM」。新增名稱、公開 HTTPS 接收網址與權杖。一般 HTTPS 可選擇 JSON 陣列或 NDJSON。Splunk 請使用 HEC 權杖與以 /services/collector/event 結尾的事件端點。儲存目的地並測試傳遞，待測試被接受後啟用串流。
了解事件內容
串流會傳送租戶治理稽核日誌中每一筆已提交的事件，包括該日誌記錄的決策、執行結果與管理事件。內容包含識別碼與稽核中繼資料，不包含擷取的訊息、原始引數或憑證。權限已撤銷使用者的歷程仍然可見。獨立的供應商與控制平面稽核日誌不會自動納入。
監控傳遞
檢查待處理、已接受、失敗與到期數量，最早已指派但仍待處理的事件，以及最近一次接受情況。暫時失敗會從事件發生時間起重試七天。憑證無效會暫停傳遞。終態傳遞紀錄與計數自指派或重播起保留三十天，以便調查缺漏。來源稽核日誌遵循獨立的保留政策。
暫停、輪替憑證或重播
暫停會保留復原期間內的待處理工作。輪替憑證會暫停串流，直到新權杖通過測試。使用「恢復與憑證」要求重播指定 UTC 時段內保留的稽核事件。重播保留原始事件 ID，因此可能重複傳送已接收的事件。暫停前已送出的請求仍可能在暫停後完成。
故障排除
傳遞已暫停或不再推進
檢查目的地的錯誤與待處理數量。憑證無效時，請輪替權杖、測試並重新啟用串流。暫時失敗時，請檢查接收端是否可用。重播保留的事件，以復原失敗或到期的傳遞。
常見問題
串流會包含啟用前的事件嗎？
首次啟用時會從新的稽核事件開始。若需傳送較早的事件，請要求重播仍在保留期間內的 UTC 時段。重播保留事件 ID，因此接收端必須處理重複事件。