稽核記錄檔
稽核記錄檔讓企業版組織擁有者能夠存取詳細的安全與安全相關活動資訊，有助於識別潛在的安全問題、調查可疑行為，以及排解存取問題 🔦
提示： 稽核記錄檔功能僅提供給企業版的 組織擁有者 使用。如果您升級至企業版，稽核記錄檔事件將從升級時開始記錄。之前的事件將不會包含在稽核記錄檔中。
稽核記錄檔提供您有關組織工作空間中發生的事件資訊，以及誰在何時執行了特定動作。若有提供，亦會包含 IP 位址。
預設情況下，所有事件均以反向時間順序顯示。您可以使用稽核記錄檔頂端的篩選器，依日期、人員、事件類型或相關活動縮小事件範圍。
若要查看您的稽核記錄檔：
開啟工作空間切換器並選取
設定。如果您尚未設定，可能需要先設定組織。在此 瞭解更多 →前往
管理員區段並選取稽核記錄檔。
某些稽核記錄檔事件群組是因同一個使用者動作而產生的。
若要檢查個別稽核記錄檔事件以查看它們是否屬於某個群組，請將滑鼠游標懸停在稽核記錄檔列上，並選擇放大鏡以篩選相關事件。
稽核記錄檔頂端提供四個篩選器：
日期：將事件篩選為特定日期或日期範圍。稽核記錄檔歷史記錄最多保留 365 天，因此您可以選取過去一年內的任何範圍。
人員或代理程式：依執行該動作的使用者、整合或代理程式進行篩選。已從工作空間移除的使用者仍可搜尋，並會顯示
已移除標籤。事件：依一或多個事件類型進行篩選。事件依類別（頁面、資料來源、團隊協作區、工作空間、帳號 和 Workers）組織。
相關：篩選由相同基礎動作觸發的事件。某些工作空間變更會產生一組相關事件：例如，移動頁面可能會同時記錄頁面移動事件與權限更新。若要篩選相關事件，請將游標懸停在任何稽核記錄檔列上，並選取放大鏡圖示。
注意：「相關」篩選器僅適用於包含相關活動中繼資料的事件。如果某列未出現放大鏡圖示，則該事件沒有相關事件。
您可以使用 Notion 的自訂 SIEM 整合，透過 Webhook 將稽核記錄檔事件的連續串流即時傳送至您的 SIEM 平台。這包含所有相同的稽核記錄檔事件類型。
若要設定自訂 SIEM 整合：
開啟工作空間切換器並選取
Settings按鈕。前往
連接分頁並選取自訂 SIEM 整合。您可能需要使用搜尋列或選取全部顯示才能看到此選項。選取
連接按鈕，然後在Webhook URL欄位中輸入您的 Webhook URL。您可以從您的 SIEM 帳戶設定中取得此資訊。選取
連接按鈕以完成程序。稽核記錄檔中的所有事件都會以 JSON 負載形式即時傳送至您的 SIEM 端點。
注意事項：
每個工作空間單一 Webhook — 每個工作空間一次只能設定一個自訂 SIEM Webhook。
重試行為 — 如果您的端點無法接收事件，Notion 將在約 24 小時內重試最多七次。
無頁面內容 — 事件負載包含關於動作的中繼資料（誰在何時、從何處做了什麼），但不包含頁面內容。
不支援 syslog — 僅限 Webhook；不支援 syslog。
如需特定合作夥伴的 SIEM 設定說明（Datadog、Panther、Splunk、Sumo Logic），請參閱 新增安全性與合規性連接 →
事件分為以下類別：
頁面事件： 包含關於單一 Notion 頁面的事件。
工作空間事件：包含關於整個 Notion 工作空間的事件，包括「Workers 已暫停」與「Workers 已恢復」。
Workers 事件：包含關於您工作空間中 Notion Workers 的事件。
帳號事件：包含關於工作空間中使用者帳號的事件。
團隊協作區事件：包含使用者在一個或多個團隊協作區中採取的事件。
表單事件：包含關於連接至資料庫之表單的事件。
資料來源事件： 包含關於資料庫中資料來源的事件。
頁面已編輯： 使用者、整合工具或外部 AI 工具編輯了頁面內容。
頁面屬性已編輯： 使用者、整合工具或外部 AI 工具編輯了頁面屬性，例如頁面標題或資料庫屬性。
頁面已檢視： 使用者檢視了頁面，或整合工具或外部 AI 工具讀取了頁面資料。
頁面已建立： 使用者、整合工具或外部 AI 工具建立了新頁面或資料庫。
頁面已移至垃圾桶： 使用者或整合工具將頁面移至垃圾桶。
頁面已從垃圾桶刪除： 使用者將頁面從垃圾桶刪除。
頁面已永久刪除： 頁面已從垃圾桶永久移除。這可由使用者執行，亦可由 Notion 在 30 天後自動執行，或在企業版的 自訂時間範圍內執行。
頁面已還原： 使用者或整合工具將先前刪除的頁面從垃圾桶中還原。
頁面已匯出： 使用者匯出了頁面。
頁面已移動： 使用者、整合工具或外部 AI 工具移動了頁面。
頁面權限已更新： 成員或訪客的頁面權限已更新。
頁面分享到網路： 使用者啟用（或停用）將頁面分享到網路。
檔案已上傳： 使用者或整合工具上傳了檔案。
檔案已下載： 使用者開啟或下載了特定頁面中的
檔案名稱。私人內容已轉移： 離開工作空間的使用者，其私人頁面已轉移至目前的使用者。進一步了解 請點此 →
自動化已建立： 使用者建立了新的自動化設定。
自動化已編輯： 使用者編輯了自動化設定。
已新增留言： 使用者在頁面上新增了留言。
留言已更新： 使用者或整合工具編輯了留言。
留言已刪除： 使用者或整合工具刪除了留言。
已讀取留言： 外部 AI 工具讀取了頁面上的留言。
已建立頁面建議： 使用者在頁面中提出了編輯建議。
頁面建議已接受： 使用者接受了頁面中的編輯建議。
頁面建議已拒絕： 使用者拒絕了頁面中的編輯建議。
已建立頁面建議留言： 使用者針對頁面中的編輯建議新增了留言。
頁面建議留言已更新： 使用者更新了頁面中編輯建議的留言。
頁面建議留言已刪除： 使用者刪除了頁面中編輯建議的留言。
頁面已鎖定： 使用者或整合工具鎖定了頁面。
頁面已解鎖： 使用者或整合工具解鎖了頁面。
從 {page name} 中的 AI 筆記寫手區塊下載音訊錄音：使用者從 AI 筆記寫手區塊下載了音訊錄音。
開始 AI 筆記寫手區塊的初始轉錄：使用者已開始進行 AI 筆記寫手轉錄。
從 {page name} 中的 AI 筆記寫手區塊刪除逐字稿： AI 筆記寫手的逐字稿已根據工作空間設定永久刪除。
頁面事件受眾
對於頁面活動，工作空間擁有者也可以瀏覽每個目標頁面的受眾或可見度層級。
若要瀏覽受眾，請將滑鼠游標懸停在與頁面相關的稽核記錄檔活動上。稽核記錄檔中擷取的受眾將為下列其中之一：
私人：頁面未與其他使用者分享。
內部共享：頁面僅與工作空間的其他成員共享。
外部共享：頁面與工作空間外的一位或多位訪客及/或整合機器人共享。
分享到網路：頁面已分享到網路。
頁面活動受眾也會以欄形式匯出至 CSV 檔案中。
成員已受邀：工作空間擁有者或成員資格管理員邀請使用者加入工作空間。
若新使用者受邀為工作空間擁有者，其角色將顯示為
工作空間擁有者；若受邀為成員資格管理員，則顯示為成員資格管理員。
成員已加入：使用者已加入工作空間。
成員角色已更新：工作空間擁有者更新了使用者的角色。
成員已移除：工作空間擁有者或成員資格管理員已將使用者從工作空間中移除。
訪客已移除：訪客已從工作空間中移除。
已建立訪客邀請請求：已請求工作空間擁有者核准頁面的訪客邀請。
邀請連結已切換：使用者啟用或停用了邀請連結。
邀請連結已重設：使用者已重設邀請連結。
工作空間名稱已變更：使用者已更新工作空間名稱。
工作空間圖示已變更：工作空間圖示已變更。
工作空間網域已變更：工作空間的網域已變更。
頁面存取要求已切換：使用者已啟用或停用非工作空間成員的頁面存取要求。
公開頁面共用已切換：工作空間擁有者已開啟或關閉公開頁面共用。
工作空間側邊欄編輯已切換：工作空間擁有者已啟用或停用使用者變更工作空間側邊欄的功能。
停用訪客已切換：工作空間擁有者已啟用或停用將訪客新增至工作空間的功能。
頁面移動至其他工作空間功能已切換： 工作空間擁有者已停用或啟用將頁面移動至其他工作空間的功能。
匯出已切換：工作空間擁有者已停用或啟用匯出功能。
工作空間內容已匯出：使用者已從頁面或整個工作空間匯出內容。
整合安裝已切換：工作空間擁有者已停用或啟用整合限制。
已建立整合： 工作空間已新增一項整合。
已刪除整合： 一項整合已被刪除。
已重設整合密鑰： 一項整合的密鑰權杖已被刷新。
整合設定已更新：整合的基本設定（例如名稱或圖示）已變更。
整合權限已更新：整合的功能（讀取內容、插入留言等）已變更。
已新增允許的電子郵件網域：使用者已將允許的電子郵件網域新增至工作空間。
已移除允許的電子郵件網域：使用者已從工作空間移除允許的電子郵件網域。
已設定公開首頁：工作空間擁有者已變更公開首頁。
已清除公開首頁連結：工作空間擁有者已清除公開首頁連結。
已產生 SCIM 權杖：工作空間擁有者已產生 SCIM API 權杖。
已撤銷 SCIM 權杖：工作空間擁有者已撤銷 SCIM API 權杖。
已更新 IdP 中繼資料 URL：工作空間擁有者已設定或更新 IdP 中繼資料 URL。
已更新 IdP 中繼資料 XML：工作空間擁有者已更新 IdP 中繼資料 XML。
已移除 IdP 中繼資料 XML：工作空間擁有者已移除 IdP 中繼資料 XML。
已切換組織內所有空間的 SAML 啟用狀態：組織擁有者已停用或啟用 SAML。
已切換組織內所有空間的強制執行 SAML 狀態：組織擁有者已停用或啟用強制執行 SAML。
已切換登入時自動建立帳號：工作空間擁有者已啟用登入時自動建立帳號。
已更新工作空間建立設定：工作空間擁有者已限制擁有已宣告企業電子郵件網域的使用者建立新工作空間。
已建立群組：已建立新群組。
已刪除群組：已刪除群組。
已變更群組名稱：群組名稱已變更。
已將成員新增至群組：工作空間擁有者或成員資格管理員已將使用者新增至群組。
已將成員從群組移除：工作空間擁有者或成員資格管理員已將使用者從群組移除。
可宣告工作空間轉移狀態變更：可宣告工作空間的擁有權轉移狀態已變更。
可宣告工作空間升級狀態變更：可宣告工作空間的宣告及升級至企業版的狀態已變更。
可宣告工作空間刪除狀態變更：可宣告工作空間的刪除狀態已變更。
已切換成員資格請求：使用者已啟用或停用新工作空間成員資格請求。
成員資格請求已解決：使用者已解決工作空間成員資格請求。
稽核記錄檔已匯出：使用者已匯出稽核記錄檔。
使用者分析已匯出：使用者已匯出 工作空間數據分析 的使用者分析表格。
內容分析已匯出：使用者已匯出 工作空間數據分析 的內容分析表格。
已切換工作空間數據分析追蹤：使用者已啟用或停用工作空間內的工作空間數據分析。
已暫停 Workers：工作空間管理員或 Notion 管理員已暫停工作空間的 Workers。
已恢復 Workers：工作空間管理員或 Notion 管理員已恢復工作空間的 Workers。
已查詢內容搜尋：工作空間擁有者、整合或外部 AI 工具已使用內容搜尋功能來尋找工作空間內容。
已匯出內容搜尋結果：工作空間擁有者已匯出 內容搜尋 查詢的結果。
已切換工作空間的 Notion AI：使用者已啟用或停用工作空間中的 Notion AI。
已開始整合工作空間：Notion 員工已啟動從此來源或至此目標工作空間的整合。
已完成整合工作空間：來源或目標工作空間已完成整合。
整合工作空間失敗：來源或目標工作空間的整合失敗。
使用者已停權：管理員已將受管理使用者帳號停權。
使用者已復權：管理員已將受管理使用者帳號復權。
登出所有受管理使用者：管理員已登出所有受管理使用者帳號。
登出單一受管理使用者：管理員已登出單一受管理使用者帳號。
清除所有受管理使用者的密碼：管理員已清除所有受管理使用者帳號的密碼。
清除單一受管理使用者的密碼：管理員已清除單一受管理使用者帳號的密碼。
已將整合新增至已核准的連接：已將整合新增至工作空間的已核准連接列表中。
Integration removed from approved connections:工作空間的已核准連接列表中已移除整合。
已啟用 HIPAA 合規性：表示工作空間擁有者透過接受 Notion 的商業版合作夥伴協議 (Business Associate Agreement) 啟用了 HIPAA 合規性。
已停用 HIPAA 合規性：表示工作空間擁有者停用了 HIPAA 合規性。
已建立自訂表情符號： 表示建立了自訂表情符號。
已更新自訂表情符號： 表示更新了自訂表情符號。
已刪除自訂表情符號： 表示刪除了自訂表情符號。
已讀取使用者資訊： 表示整合或外部 AI 工具讀取了工作空間中的使用者資訊。
已連線 MCP 伺服器： 表示外部 AI 工具已連線至工作空間。
已停用 MCP 允許清單： 表示工作空間擁有者停用了 MCP 允許清單。
外部 AI 工具名稱已變更： 表示使用者變更了外部 MCP AI 工具的名稱。
已啟用 MCP 允許清單： 表示工作空間擁有者啟用了 MCP 允許清單。
已將 MCP 用戶端新增至允許清單： 表示工作空間擁有者將外部 AI 工具新增至允許清單。
已讀取團隊資訊： 表示外部 AI 工具讀取了工作空間中的團隊資訊。
已從允許清單中移除 MCP 用戶端： 表示工作空間擁有者從允許清單中移除了某個整合或外部 AI 工具。
已建立 Worker： 表示使用者建立了新的 Worker。
已重新命名 Worker： 表示使用者重新命名了 Worker。
已刪除 Worker： 表示使用者刪除了 Worker。
已啟用 Worker： 表示使用者啟用了 Worker。
已停用 Worker： 表示管理員或工作空間擁有者停用了 Worker。
Worker 部署成功： 使用者成功部署了 Worker。
Worker 部署失敗： 使用者的 Worker 部署失敗。
Worker 執行完成： Worker 在經由手動、自動化、同步、Webhook 或自訂代理程式觸發後執行完成。
Worker 執行失敗： Worker 在經由手動、自動化、同步、Webhook 或自訂代理程式觸發後執行失敗。
Worker 密鑰已新增或更新： 使用者建立或更新了 Worker 密鑰。
Worker 密鑰已刪除： 使用者刪除了 Worker 密鑰。
Worker 環境已提取： 已為 Worker 提取設定好的環境變數。
Worker 存取權限已授予： 使用者授予了某人對 Worker 的存取權限。
Worker 存取角色已更新： 使用者更新了某人對 Worker 的存取角色。
Worker 存取權限已撤銷： 使用者撤銷了某人對 Worker 的存取權限。
登入： 使用者登入的時間與來源。
登出： 使用者登出的時間與來源。
密碼已設定： 使用者建立了密碼。
密碼已清除： 使用者清除了他們的密碼。
密碼已變更： 使用者變更了他們的密碼。
MFA SMS 已切換： 使用者更新了他們的簡訊 MFA 設定。進一步了解這裡
MFA TOTP 已切換： 使用者更新了他們的 TOTP（時效性一次性密碼）應用程式 MFA 設定。進一步了解 這裡
MFA 備用代碼已切換： 使用者更新了他們的 MFA 備用代碼設定。
電子郵件已變更： 使用者的電子郵件已變更。
已變更圖片：使用者的個人檔案相片已變更。
已刪除使用者： 特定使用者帳號已遭刪除。
已授予支援存取權：使用者的帳戶已獲授予 Notion 支援存取權。
已撤銷支援存取權：使用者的帳戶已遭撤銷 Notion 支援存取權。
已變更偏好名稱： 使用者已更新其帳戶的偏好名稱。
透過 SAML SSO 驗證工作空間存取權。
注意：如果您嘗試尋找已刪除的使用者，或是已變更名稱的使用者，最好的方法是透過匯出的稽核記錄檔來查詢。
已將成員新增至團隊協作區：使用者已將另一位使用者新增至團隊協作區。若使用者是以團隊協作區擁有者身分受邀，將會註明「作為團隊協作區擁有者」。
已從團隊協作區移除成員：團隊協作區擁有者已將團隊協作區成員從團隊協作區中移除。
已將群組新增至團隊協作區：使用者已將權限群組新增至團隊協作區。
已從團隊協作區移除群組：團隊協作區擁有者已將權限群組從團隊協作區中移除。
成員已加入團隊協作區：使用者已加入開放團隊協作區。
成員已離開團隊協作區：使用者已離開團隊協作區。
已建立團隊協作區：使用者已建立團隊協作區。
已封存團隊協作區：團隊協作區擁有者已封存團隊協作區。
已還原團隊協作區：團隊協作區擁有者已還原團隊協作區。
已變更團隊協作區名稱：使用者已更新團隊協作區的名稱。
已變更團隊協作區說明：團隊協作區說明已變更。
已變更團隊協作區圖示：團隊協作區圖示已變更。
已變更團隊協作區隱私類型：團隊協作區擁有者已變更團隊協作區的隱私類型。
已切換團隊協作區預設值：使用者已啟用或停用將某個團隊協作區設為預設團隊協作區。
團隊協作區建立設定已切換：使用者已啟用或停用工作空間中所有人建立團隊協作區的功能。
團隊協作區成員預設頁面權限已更新：團隊協作區成員的預設頁面權限已變更。
工作空間中所有人預設頁面權限已更新：工作空間中所有人的預設頁面權限已變更。
成員團隊協作區角色已更新：使用者已更新團隊協作區成員在團隊協作區中的角色。
團隊協作區成員的自訂權限已更新：團隊協作區擁有者修改了團隊協作區成員的存取權限。進一步了解請點選這裡
團隊協作區群組的自訂權限已更新：團隊協作區擁有者修改了群組的存取權限。進一步了解請點選這裡
團隊協作區邀請存取權限已變更：使用者已更新關於誰可以邀請團隊協作區成員的設定。
團隊協作區停用訪客已切換：團隊協作區擁有者已啟用或停用將訪客新增至團隊協作區的功能。
團隊協作區匯出已切換：團隊協作區擁有者已停用或啟用團隊協作區的匯出功能。
團隊協作區的公開頁面分享已切換：團隊協作區擁有者已開啟或關閉團隊協作區的公開頁面分享功能。
團隊協作區側邊欄編輯已切換：團隊協作區擁有者已啟用或停用使用者變更團隊協作區側邊欄區段的功能。
已啟用團隊協作區：使用者已在工作空間上啟用團隊協作區功能。
已建立表單回覆： 已提交表單回覆。
已建立表單： 使用者建立了表單。
已更新表單內容：使用者更新了表單內容。
已檢視表單： 使用者檢視了表單。
已更新表單權限： 使用者更新了表單權限。
已建立資料來源： 使用者、整合應用程式或外部 AI 工具在資料庫中建立了新的資料來源。
資料來源已移至垃圾桶： 使用者或整合工具將資料來源移至垃圾桶。
資料來源已從垃圾桶刪除： 使用者已將資料來源從垃圾桶刪除。
資料來源已從垃圾桶還原： 使用者或整合工具已將先前刪除的資料來源從垃圾桶還原。
資料來源已移動： 使用者已將資料來源從一個資料庫移動到另一個資料庫。
資料來源權限規則已更新： 使用者已新增、移除或變更資料來源的權限規則。
資料來源已永久刪除： 資料來源已從垃圾桶永久移除。這可由使用者執行，也可由 Notion 在 30 天後自動執行，或在企業版中於 自訂時間範圍內 執行。
資料來源結構描述已編輯： 使用者、整合工具或外部 AI 工具已新增、移除或變更資料來源結構描述中的屬性。
稽核記錄檔會記錄關鍵的自訂代理程式設定與存取變更，以便企業管理員和安全性團隊追蹤誰建立或修改了代理程式、它擁有什麼存取權，以及其設定隨時間的變化。
設定事件：
已建立代理程式草稿： 在工作空間中建立了自訂代理程式草稿。
已更新代理程式： 代理程式的名稱、說明或圖示已變更。
已更新代理程式指示： 代理程式的指示頁面已編輯。
已更新代理程式模型設定： 代理程式的模型選擇已變更。
代理程式連接新增/移除/更新： 已對代理程式新增、更新或移除連接。
已新增/移除/更新代理程式 Notion 存取權： 代理程式可存取的頁面或資料庫已變更。
已更新代理程式網路存取權： 代理程式的網路存取權已啟用或停用。
已新增/移除/更新代理程式觸發條件： 代理程式的觸發條件已新增、移除或變更。
已更新代理程式額度限制：已設定、移除或變更代理程式的額度限制。
已發布代理程式： 自訂代理程式已發布並開放給工作空間成員使用。
存取事件：
自訂代理程式權限已更新： 自訂代理程式的共用權限已變更。
代理程式已啟用/停用： 代理程式已啟用或停用。
自訂代理程式已刪除： 自訂代理程式已刪除。
自訂代理程式已還原： 已刪除的自訂代理程式已還原。
執行事件：
代理程式已觸發：自訂代理程式執行已啟動（透過觸發、排程或手動）。
執行已完成：自訂代理程式執行已成功完成。
執行失敗：自訂代理程式執行因錯誤而未完成。
頁面與內容事件：
代理程式建立頁面 / 編輯頁面 / 刪除頁面： 當自訂代理程式在執行期間建立、編輯或刪除內容時，這些動作會記錄為稽核記錄檔中的標準頁面事件，並歸因於該代理程式。觸發該次執行的使用者也會被記錄在事件中繼資料中。
工作空間設定事件
自訂代理程式建立原則已更新： 控制誰可以建立自訂代理程式的工作空間原則已變更。
預設代理程式額度限制已設定 / 移除： 已設定或移除工作空間層級的自訂代理程式預設額度限制。
群組代理程式建立原則已更新： 特定成員群組的自訂代理程式建立權限已變更。
提示： 不包含記錄代理程式在特定執行期間所執行的動作。
想要在試算表中分析您的稽核記錄檔資料，或將其傳送到外部工具嗎？您可以將工作空間稽核記錄檔匯出為 CSV 檔案。您的匯出內容將僅包含符合您所設定篩選條件的事件，讓您能取得更小、更具針對性的檔案，以進行調查、稽核與合規性審查。
若要匯出您的稽核記錄檔：
開啟您的工作空間切換器並選取
管理組織。前往
資料與合規性分頁並選取稽核記錄檔。可選擇依組織、日期、人員或事件進行篩選。
選取
匯出。
注意：匯出內容將包含匯出時套用的任何有效篩選器。您可以檢視匯出時間前 2 小時回溯至 365 天內的資料。若要儲存歷史資料，建議您定期 匯出 稽核記錄檔事件。
