审查组织的审� �日志

访问审� �日志

The audit log lists events triggered by activities that affect your organization within the current month and previous six months. 只有所有者才能访问组织的审� �日志。

By default, only events from the past three months are displayed. To view older events, you must specify a date range with the created parameter. 更多信息请参阅“了解搜索语法”。

1. In the top right corner of GitHub Enterprise Server, click your profile photo, then click Your organizations.

2. 在组织旁边，单击 Settings（设置）。

3. 在 Setting（设置）边� �中，单击 Audit log（审� �日志）。

搜索审� �日志

日志列出每个操作的以下信息：

• 执行操作的仓库
• 执行操作的用户
• 执行的操作内容
• 发生操作的国家/地区
• 操作发生的日期和时间

请注意，� 法使用文本搜索条目。 但是，您可以使用各种过滤器构建搜索查询。 查询日志时使用的许多运算符，如 -、> 或 <，与在 GitHub Enterprise Server 上搜索时的� �式相同。 更多信息请参阅“在 GitHub 上搜索”。

基于操作搜索

使用操作限定符将操作限于特定类型的操作。 例如：

• operation:access 查找其中资源被访问过的所有事件。
• operation:authentication 查找其中执行了身份验证事件的所有事件。
• operation:create 查找在其中创建了资源的所有事件。
• operation:modify 查找在其中修改了现有资源的所有事件。
• operation:remove 查找在其中� 除的现有资源的所有事件。
• operation:restore 查找在其中恢复了现有资源的所有事件。
• operation:transfer 查找在其中转移了现有资源的所有事件。

基于仓库搜索

使用 repo 限定符将操作限于特定仓库。 例如：

• repo:my-org/our-repo 会找到在 my-org 组织的 our-repo 仓库中发生的所有事件。
• repo:my-org/our-repo repo:my-org/another-repo 会找到在 my-org 组织的 our-repo 和 another-repo 仓库中发生的所有事件。
• -repo:my-org/not-this-repo 会排除在 my-org 组织的 not-this-repo 仓库中发生的所有事件。

请注意，您必须在 repo 限定符中包含帐户名称；仅搜索 repo:our-repo 将不起作用。

基于用户搜索

actor 限定符可将事件范围限于执行操作的人员。 例如：

• actor:octocat 会找到 octocat 执行的所有事件。
• actor:octocat actor:hubot 会找到 octocat 和 hubot 执行的所有事件。
• -actor:hubot 会排除 hubot 执行的所有事件。

请注意，只能使用 GitHub Enterprise Server 用户名，而不是个人的真实姓名。

基于执行的操作搜索

要搜索特定事件，请在查询中使用 action 限定符。 审� �日志中列出的操作分为以下类别：

类别名称	描述
discussion_post	包含与发布到团队页面的讨论相关的所有活动。
discussion_post_reply	包含与发布到团队页面的讨论回复相关的所有活动。
企业	包含与企业设置相关的活动。
挂钩	包含与 web 挂钩相关的所有活动。
integration_installation_request	包含与组织成员请求所有者批准用于组织的集成相关的所有活动。
ip_allow_list	Contains activities related to enabling or disabling the IP allow list for an organization.
ip_allow_list_entry	Contains activities related to the creation, deletion, and editing of an IP allow list entry for an organization.
议题	包含与� 除议题相关的活动。
org	包含与组织成员身份相关的活动。
organization_label	包含与组织中仓库的默认� �签相关的所有活动。
oauth_application	包含与 OAuth 应用程序相关的所有活动。
profile_picture	包含与组织的头像相关的所有活动。
project	包含与项目板相关的所有活动。
protected_branch	包含与受保护分支相关的所有活动。
repo	包含与组织拥有的仓库相关的所有活动。
repository_secret_scanning	包含与密� �扫描相关的仓库级活动。 更多信息请参阅“关于密钥扫描”。
repository_vulnerability_alert	包含与有漏洞依赖项的 Dependabot 警报相关的所有活动。
secret_scanning	包含现有仓库中密� �扫描的组织级配置活动。 更多信息请参阅“关于密钥扫描”。
secret_scanning_new_repos	包含组织新建仓库中密� �扫描的组织级配置活动。
团队	包含与您的组织中的团队相关的所有活动。
team_discussions	Contains activities related to managing team discussions for an organization.

您可以使用这些词搜索特定的操作集。 例如：

• action:team 会找到团队类别中的所有事件。
• -action:hook 会排除 web 挂钩类别中的所有事件。

每个类别都有一组可进行过滤的关联操作。 例如：

• action:team.create 会找到团队创建处的所有事件。
• -action:hook.events_changed 会排除 web 挂钩上事件已经改动的所有事件。

基于操作时间搜索

使用 created 限定符在审� �日志中� �据事件发生的时间过滤事件。 日期� �式必须遵循 ISO8601� �准，即 YYYY-MM-DD（年-月-日）。 您也可以在日期后添� 可选的时间信息 THH:MM:SS+00:00，以便按小时、分钟和秒进行搜索。 这是 T，随后是 HH:MM:SS（时-分-秒）和 UTC 偏移 (+00:00)。

搜索日期时，可以使用大于、小于和范围限定符来进一步筛选结果。 更多信息请参阅“了解搜索语法”。

例如：

• created:2014-07-08 会找到在 2014 年 7 月 8 日发生的所有事件。
• created:>=2014-07-08 查找在 2014 年 7 月 8 日或之后发生的所有事件。
• created:<=2014-07-08 查找在 2014 年 7 月 8 日或之前发生的所有事件。
• created:2014-07-01..2014-07-31 会找到在 2014 年 7 月发生的所有事件。

基于位置搜索

使用限定符 country，您可以在审� �日志中� �据发生事件的国家/地区过滤事件。 您可以使用国家/地区的两字母短代� �或完整名称。 请注意，名称中包含空� �的国家/地区需要� 引号。 例如：

• country:de 会找到在德国发生的所有事件。
• country:Mexico 会找到在墨西哥发生的所有事件。
• country:"United States" 会找到在美国发生的所有事件。

使用审� �日志 API

您可以使用 GraphQL API 与审� �日志交互。

为确保知识产权得到保护并保持组织的合规，您可以使用审� �日志 GraphQL API 保留审� �日志数据的副本并监控：

• 对组织或仓库设置的访问
• 权限更改
• 组织、仓库或团队中添� 或� 除的用户
• 被提升为管理员的用户
• GitHub 应用程序 权限的更改

GraphQL 响应可包含长达 90 至 120 天的数据。

例如，您可以创建 GraphQL 请求以查看添� 到组织的所有新组织成员。 更多信息请参阅“GraphQL API 审� �日志”。

审� �日志操作

审� �日志中记录为事件的一些最常见操作的概述。

business 类操作

操作	描述
set_actions_retention_limit	为企业改变 GitHub Actions 构件和日志的保留期时触发。 更多信息请参阅“在企业中执行 GitHub Actions 的策略”。
set_fork_pr_workflows_policy	更改私有仓库复刻上的工作流程策略时触发。 For more information, see "Enabling workflows for private repository forks."

discussion_post 类操作

操作	描述
update	当团队讨论帖子被编辑时触发。
destroy	当团队讨论帖子被� 除时触发。

discussion_post_reply 类操作

操作	描述
update	当团队讨论帖子的回复被编辑时触发。
destroy	当团队讨论帖子的回复被� 除时触发。

enterprise 类别操作

操作	描述
remove_self_hosted_runner	当自托管运行器被移除时触发。
register_self_hosted_runner	在注册新的自托管运行器时触发。 更多信息请参阅“添� 自托管的运行器”。
runner_group_created	在创建自托管运行器组时触发。 更多信息请参阅“关于自托管运行器组”。
runner_group_removed	当自托管运行器组被移除时触发。 更多信息请参阅“移除自托管运行器组”。
runner_group_runner_removed	当 REST API 用于从组中� 除自托管运行器时触发。
runner_group_runners_added	当自托管运行器添� 到组时触发。 更多信息请参阅“将自托管运行器移动到组”。
runner_group_runners_updated	当运行器组成员列表更新时触发。 更多信息请参阅“为组织设置组中的自托管运行器”。
runner_group_updated	当自托管运行器组的配置改变时触发。 更多信息请参阅“更改自托管运行器组的访问策略”。
self_hosted_runner_updated	当运行器应用程序更新时触发。 可以使用 REST API 和 UI 查看；在 JSON /CSV 导出中不可见。 更多信息请参阅“关于自托管的运行器”。

hook 类操作

操作	描述
create	当新挂钩被添� 到组织拥有的仓库时触发.
config_changed	当现有挂钩的配置发生更改时触发。
destroy	从仓库中� 除现有挂钩时触发。
events_changed	当挂钩上的事件发生更改时触发。

integration_installation_request 类操作

操作	描述
create	当组织成员请求组织所有者安装集成以用于组织时触发。
close	当安装集成以用于组织的请求被组织所有者批准或拒绝，或者被提出请求的组成成员取消时触发。

ip_allow_list 类操作

操作	描述
启用	为组织启用 IP 允许列表时触发。
禁用	为组织禁用 IP 允许列表时触发。
enable_for_installed_apps	为已安装的 GitHub 应用程序 启用 IP 允许列表时触发。
disable_for_installed_apps	为已安装的 GitHub 应用程序 禁用 IP 允许列表时触发。

ip_allow_list_entry 类操作

操作	描述
create	IP 地址添� 到 IP 允许列表中时触发。
update	Triggered when an IP address or its description was changed.
destroy	Triggered when an IP address was deleted from an IP allow list.

issue 类操作

操作	描述
destroy	当组织所有者或仓库中具有管理员权限的人从组织拥有的仓库中� 除议题时触发。

org 类操作

操作	描述
add_member	Triggered when a user joins an organization.
create_actions_secret	为组织创建 GitHub Actions 机密时触发。 更多信息请参阅“为组织创建� 密密� �”。
disable_member_team_creation_permission	当组织所有者将团队创建限于所有者时触发。 更多信息请参阅“设置组织中的团队创建权限”。
disable_two_factor_requirement	当所有者对组织中的所有成员 和外部协作者禁用双重身份验证要求时触发。
enable_member_team_creation_permission	当组织所有者允许成员创建团队时触发。 更多信息请参阅“设置组织中的团队创建权限”。
enable_two_factor_requirement	Triggered when an owner requires two-factor authentication for all members and outside collaborators in an organization.
register_self_hosted_runner	在注册新的自托管运行器时触发。 更多信息请参阅“将自托管运行器添� 到组织”。
remove_actions_secret	当 GitHub Actions 密� �� 除时触发。
remove_member	当所有者从组织中� 除成员， 或者当组织中要求使用双重身份验证但组织成员未使用 2FA 或禁用 2FA 时触发。 当组织成员从组织中� 除自己时也会触发。
remove_outside_collaborator	当所有者从组织中� 除外部协作者， 或者当组织中要求使用双重身份验证但外部协作者未使用 2FA 或禁用 2FA 时触发。
remove_self_hosted_runner	当自托管运行器被移除时触发。 更多信息请参阅“从组织移除运行器”。
runner_group_created	在创建自托管运行器组时触发。 更多信息请参阅“为组织创建自托管运行器组”。
runner_group_removed	当自托管运行器组被移除时触发。 更多信息请参阅“移除自托管运行器组”。
runner_group_updated	当自托管运行器组的配置改变时触发。 更多信息请参阅“更改自托管运行器组的访问策略”。
runner_group_runners_added	当自托管运行器添� 到组时触发。 更多信息请参阅“将自托管运行器移动到组”。
runner_group_runner_removed	当 REST API 用于从组中� 除自托管运行器时触发。 更多信息请参阅“为组织从组中� 除自托管运行器”。
runner_group_runners_updated	当运行器组成员列表更新时触发。 更多信息请参阅“为组织设置组中的自托管运行器”。
self_hosted_runner_updated	当运行器应用程序更新时触发。 可以使用 REST API 和 UI 查看；在 JSON /CSV 导出中不可见。 更多信息请参阅“关于自托管的运行器”。
set_actions_retention_limit	改变 GitHub Actions 构件和日志的保留期时触发。 更多信息请参阅“在企业中执行 GitHub Actions 的策略”。
set_fork_pr_workflows_policy	更改私有仓库复刻上的工作流程策略时触发。 更多信息请参阅“为私有仓库复刻启用工作流程”。
update_actions_secret	当 GitHub Actions 密� �更新时触发。
update_new_repository_default_branch_setting	当所有者更改组织中新仓库的默认分支名称时触发。 更多信息请参阅“管理组织中仓库的默认分支名称”。
update_default_repository_permission	当所有者更改组织成员的默认仓库权限级别时触发的。
update_member	当所有者将某人的角色从所有者更改为成员或者从成员更改为所有者时触发。
update_member_repository_creation_permission	当所有者更改组织成员创建仓库的权限时触发。

organization_label 类操作

操作	描述
create	创建默认� �签时触发。
update	编辑默认� �签时触发。
destroy	� 除默认� �签时触发。

oauth_application 类操作

操作	描述
create	在创建新 OAuth 应用程序 时触发。
destroy	当现有 OAuth 应用程序 被� 除时触发。
reset_secret	当 OAuth 应用程序 的客户端密钥被重置时触发。
revoke_tokens	当 OAuth 应用程序 的用户令牌被撤销时触发。
转让	当现有 OAuth 应用程序 被转让到新组织时触发。

profile_picture 类操作

操作	描述
update	在设置或更新组织的资料图片时触发。

project 类操作

操作	描述
create	在创建项目板时触发。
link	当仓库被链接到项目板时触发。
rename	当项目板被重命名时触发。
update	当项目板被更新时触发。
delete	在� 除项目板时触发。
unlink	当仓库从项目板解除链接时触发。
update_org_permission	当所有组织成员的基本级别权限被更改或� 除时触发。
update_team_permission	当团队的项目板权限级别被更改，或者在项目板中添� 或� 除团队时触发。
update_user_permission	在项目板中添� 或� 除组织成员或外部协作者时，或者他们的权限级别被更改时触发。

protected_branch 类操作

操作	描述
create	在分支上启用分支保护时触发。
destroy	在分支上禁用分支保护时触发。
update_admin_enforced	为仓库管理员实施分支保护时触发。
update_require_code_owner_review	在分支上更新必需代� �所有者审查的实施时触发。
dismiss_stale_reviews	在分支上更新忽略旧拉取请求的实施时触发。
update_signature_requirement_enforcement_level	在分支上更新必需提交签名的实施时触发。
update_pull_request_reviews_enforcement_level	在分支上更新必需拉取请求审查的实施时触发。 可以是 0（已停用）、1（非管理员）2（所有人）之一。
update_required_status_checks_enforcement_level	在分支上更新必需状态检查的实施时触发。
update_strict_required_status_checks_policy	当分支在合并之前保持最新的要求被更改时触发。
rejected_ref_update	当分支更新尝试被拒绝时触发。
policy_override	当仓库管理员重写分支保护要求时触发。
update_allow_force_pushes_enforcement_level	对受保护分支启用或禁用强制推送时触发。
update_allow_deletions_enforcement_level	对受保护分支启用或禁用分支� 除时触发。
update_linear_history_requirement_enforcement_level	对受保护分支启用或禁用必要线性提交历史记录时触发。

repo 类操作

操作	描述
access	当用户更改组织中仓库的可见性时触发。
actions_enabled	为仓库启用 GitHub Actions 时触发。 可以使用用户界面查看。 当您使用 REST API 访问审计日志时，不包括此事件。 更多信息请参阅“使用 REST API”。
add_member	当用户接受邀请以获取仓库协作权限时触发。
add_topic	当仓库管理员向仓库添� 主题时触发。
archived	当仓库管理员存档仓库时触发。
config.disable_anonymous_git_access	当公共仓库中禁用匿名 Git 读取权限时触发。
config.enable_anonymous_git_access	当公共仓库中启用匿名 Git 读取权限时触发。
config.lock_anonymous_git_access	当仓库的匿名 Git 读取权限设置被锁定时触发。
config.unlock_anonymous_git_access	当仓库的匿名 Git 读取权限设置被解锁时触发。
create	在创建新仓库时触发。
create_actions_secret	为仓库创建 GitHub Actions 密� �时触发。 更多信息请参阅“为仓库创建� 密密� �”。
destroy	当仓库被� 除时触发。
启用	在重新启用仓库时触发。
remove_actions_secret	当 GitHub Actions 密� �被移除时触发。
remove_member	从仓库中� 除用户的协作者身份时触发。
register_self_hosted_runner	在注册新的自托管运行器时触发。 更多信息请参阅“将自托管运行器添� 到仓库”。
remove_self_hosted_runner	当自托管运行器被移除时触发。 更多信息请参阅“从仓库移除运行器”。
remove_topic	当仓库管理员从仓库中� 除主题时触发。
rename	在新仓库重命名时触发。
self_hosted_runner_updated	当运行器应用程序更新时触发。 可以使用 REST API 和 UI 查看；在 JSON /CSV 导出中不可见。 更多信息请参阅“关于自托管的运行器”。
set_actions_retention_limit	改变 GitHub Actions 构件和日志的保留期时触发。 更多信息请参阅“管理仓库的 GitHub Actions 设置”。
set_fork_pr_workflows_policy	更改私有仓库复刻上的工作流程策略时触发。 更多信息请参阅“管理仓库的 GitHub Actions 设置”。
转让	当仓库被转让时触发。
transfer_start	在仓库转让即将发生时触发。
unarchived	当仓库管理员取消存档仓库时触发。
update_actions_secret	当 GitHub Actions 密� �更新时触发。

repository_secret_scanning 类操作

操作	描述
禁用	Triggered when a repository owner or person with admin access to the repository disables secret scanning for a repository. 更多信息请参阅“关于密钥扫描”。
启用	Triggered when a repository owner or person with admin access to the repository enables secret scanning for a repository.

repository_vulnerability_alert 类操作

操作	描述
create	Triggered when GitHub Enterprise Server creates a Dependabot alert for a repository that uses a vulnerable dependency. 更多信息请参阅“关于易受攻击的依赖项的警报”。
忽略	Triggered when an organization owner or person with admin access to the repository dismisses a Dependabot alert about a vulnerable dependency.
解决	当对仓库具有写入权限的人推送更改以更新和解决项目依赖项中的漏洞时触发。

secret_scanning 类操作

操作	描述
禁用	Triggered when an organization owner disables secret scanning for all existing repositories. 更多信息请参阅“关于密钥扫描”。
启用	Triggered when an organization owner enables secret scanning for all existing repositories.

secret_scanning_new_repos 类操作

操作	描述
禁用	Triggered when an organization owner disables secret scanning for all new repositories. 更多信息请参阅“关于密钥扫描”。
启用	Triggered when an organization owner enables secret scanning for all new repositories.

team 类操作

操作	描述
add_member	当组织成员被添� 到团队时触发。
add_repository	当团队被授予控制仓库的权限时触发。
change_parent_team	在创建子团队或更改子团队的父级时触发。
change_privacy	当团队的隐私级别发生更改时触发。
create	在创建新团队时触发。
demote_maintainer	Triggered when a user was demoted from a team maintainer to a team member. For more information, see "Assigning the team maintainer role to a team member."
destroy	从组织中� 除团队时触发。
team.promote_maintainer	Triggered when a user was promoted from a team member to a team maintainer. For more information, see "Assigning the team maintainer role to a team member."
remove_member	从团队中� 除组织成员时触发。
remove_repository	当仓库不再受团队控制时触发。

team_discussions 类操作

操作	描述
禁用	当组织所有者对组织禁用团队讨论时触发。 更多信息请参阅“对组织禁用团队讨论”。
启用	当组织所有者对组织启用团队讨论时触发。

延伸阅读

• "Keeping your organization secure"