Qué registra el tenant y por cuánto tiempo

La actividad de un tenant se reparte en almacenes distintos. El registro de inicios de sesión y el registro de auditoría de Microsoft Entra describen la identidad: quién entró y qué cambió en el directorio. El registro de auditoría unificado de Microsoft Purview recoge la actividad de servicios como Exchange, SharePoint, OneDrive y Teams.

Son registros separados. Su plazo depende de la licencia que tenga el tenant, y el de uno no cambia por lo que se contrate para el otro. Por eso un inventario empieza preguntando fuente por fuente, no «cuánto guarda Microsoft 365».

Los plazos publicados por el fabricante cambian con el tiempo y con la licencia, así que un respondedor no los recita de memoria: los lee del tenant en el que trabaja y los contrasta con la documentación oficial vigente. En la auditoría unificada, además, la licencia se asigna por persona, y las acciones de aplicaciones (entidades que no son personas) tienen un plazo fijo propio.

En el laboratorio, la tabla de fuentes dice cuántos días conserva cada una en esta cooperativa.

Cada fuente cuenta su plazo desde que se escribió el evento. El último día en que una huella todavía existe es su fecha más el plazo de su fuente, y eso se calcula con el calendario, no a ojo. Para fijar prioridades, la huella más antigua de cada fuente es la que primero se pierde.

La tabla de primeras huellas trae la más antigua conocida en cada fuente. Para la fuente de inicios de sesión de Entra, con su plazo de la tarea anterior, calcula el día en que se pierde.

Se copia primero lo que antes caduca y no tiene otra copia. Mirar solo la fecha de la huella no basta: hay que cruzarla con el plazo de la fuente y con las exportaciones que ya existan. Una fuente con plazo largo puede esperar unas horas; una con plazo corto y sin copia externa no.