1Password

info

Aperçu

Lakewatch est en aperçu privé. Pour demander l’accès, contactez l’équipe de votre compte Databricks.

Lakewatch fournit un connecteur API pour ingérer des données depuis 1Password. Le connecteur prend en charge trois types d'événements : les événements d'audit, l'utilisation des éléments et les tentatives de connexion. Cette page couvre les prérequis, les instructions de configuration, les schémas de connecteur et les observables du parser Lakewatch.

Prérequis

Le connecteur nécessite :

1. Serverless Lakeflow Spark Declarative Pipelines activé dans votre espace de travail.
2. Unity Catalog, avec des privilèges pour créer ou utiliser une connexion Unity Catalog. Voir les autorisations de connexion.
3. Un compte 1Password avec l’autorisation de créer une intégration de rapports d’événements et d’émettre un jeton porteur. Voir Rapports d’événements 1Password.
4. Accès à l’API Events pour la région de votre compte. Consultez l’ API 1Password Events.

Limitations connues

• L'historique rétrospectif ne peut pas dépasser 180 jours. Voir Choisir la période à ingérer.

Configurer 1Password pour l'ingestion

1Password authentifie les requêtes de l’API Events à l’aide d’un jeton porteur que le connecteur envoie dans l’en-tête Authorization. Le connecteur ne refresh pas le jeton. Émettez un jeton de longue durée et faites-le pivoter dans la connexion Unity Catalog si vous le révoquez.

1. Connectez-vous à votre compte 1Password en tant que propriétaire ou administrateur.
2. Dans la barre latérale, cliquez sur Intégrations .
3. Ouvrez le tab Répertoire . Dans Rapports d'événements , cliquez sur Autres .
4. Entrez un Nom du système , puis cliquez sur Ajouter l'intégration .
5. Saisissez un Nom de jeton . Définissez une expiration qui correspond à votre politique de sécurité. Sous Événements à signaler , activez tous les types d'événements afin que le connecteur puisse ingérer audit_events, item_usages et sign_in_attempts.
6. Cliquez sur Émettre un jeton .
7. Copiez le jeton d’accès. 1Password n’affiche plus le jeton complet. Vous devez saisir cette valeur comme Jeton Bearer lors de la création d'une connexion dans Databricks.

astuce

Lors de la création d'une connexion via l'interface utilisateur de Lakewatch, vous avez besoin du jeton d'accès et de l' URL de base obtenus précédemment. L'URL de base peut être identifiée à l'aide de la documentation de l'API des événements.

Étapes suivantes

Une fois la configuration ci-dessus terminée, créez une source de données avec le connecteur 1Password dans l'interface utilisateur de Lakewatch. Voir Connecteurs d'API pour les instructions.

---

Connecteur et schémas Lakewatch

Le connecteur ingère les tables sources suivantes à partir du schéma source default :

Table source	Données 1Password	Analyseur Lakewatch intégré
audit_events	Actions de compte, y compris les modifications apportées aux utilisateurs, aux coffres-forts et aux éléments	onepassword_audit_event
item_usages	Événements d’accès aux éléments à partir de coffres partagés	onepassword_item_usage
sign_in_attempts	Tentatives d’authentification	onepassword_sign_in_attempt

Table source	Données 1Password	Analyseur Lakewatch intégré
audit_events	Actions de compte, y compris les modifications apportées aux utilisateurs, aux coffres-forts et aux éléments	onepassword_audit_event
item_usages	Événements d’accès aux éléments à partir de coffres partagés	onepassword_item_usage
sign_in_attempts	Tentatives d’authentification	onepassword_sign_in_attempt

Le connecteur écrit les tables sources dans la destination brute de la source de données. Chaque analyseur intégré écrit une table analysée distincte portant le nom de l’analyseur, sauf si vous définissez une destination analysée lors de la configuration de la source de données.

Colonnes gérées par Lakewatch

Le connecteur ajoute les colonnes suivantes à chaque ligne de la source brute :

• lw_id: chaîne non nulle que Lakewatch utilise comme clé primaire. Le connecteur dérive un ID stable et triable par heure à partir des champs timestamp et uuid de 1Password. Cet ID prend en charge la déduplication lors des synchronisations incrémentielles.
• time: un timestamp non nul analysé à partir du champ timestamp de 1Password en tant que timestamp RFC 3339. Le connecteur utilise time comme champ de curseur pour l’ingestion incrémentielle.

Chaque table analysée reporte lw_id. L'analyseur assigne également la colonne time analysée et ajoute :

• lw_meta: métadonnées de traitement Lakewatch standard.
• lw_observables: Valeurs extraites des champs marqués comme observables de sécurité dans l’analyseur.

Pour plus d’informations, consultez la référence du parser.

Schémas de table de connecteur brut

Les schémas suivants incluent les champs de l’API 1Password Events et les colonnes du connecteur gérées par Lakewatch.

audit_events

Schéma

Colonne	Type de données
lw_id	STRING
time	TIMESTAMP
uuid	STRING
timestamp	STRING
actor_uuid	STRING
actor_details	STRUCT<uuid: STRING, name: STRING, email: STRING>
actor_type	STRING
actor_account_uuid	STRING
account_uuid	STRING
action	STRING
object_type	STRING
object_uuid	STRING
object_details	STRUCT<uuid: STRING, name: STRING, email: STRING>
aux_id	INT
aux_uuid	STRING
aux_details	STRUCT<uuid: STRING, name: STRING, email: STRING>
aux_info	STRING
session	STRUCT<uuid: STRING, login_time: STRING, device_uuid: STRING, ip: STRING>
location	STRUCT<country: STRING, region: STRING, city: STRING, longitude: DOUBLE, latitude: DOUBLE>

Colonne	Type de données
lw_id	STRING
time	TIMESTAMP
uuid	STRING
timestamp	STRING
actor_uuid	STRING
actor_details	STRUCT<uuid: STRING, name: STRING, email: STRING>
actor_type	STRING
actor_account_uuid	STRING
account_uuid	STRING
action	STRING
object_type	STRING
object_uuid	STRING
object_details	STRUCT<uuid: STRING, name: STRING, email: STRING>
aux_id	INT
aux_uuid	STRING
aux_details	STRUCT<uuid: STRING, name: STRING, email: STRING>
aux_info	STRING
session	STRUCT<uuid: STRING, login_time: STRING, device_uuid: STRING, ip: STRING>
location	STRUCT<country: STRING, region: STRING, city: STRING, longitude: DOUBLE, latitude: DOUBLE>

item_usages

Schéma

Colonne	Type de données
lw_id	STRING
time	TIMESTAMP
uuid	STRING
timestamp	STRING
used_version	INT
vault_uuid	STRING
item_uuid	STRING
action	STRING
user	STRUCT<uuid: STRING, name: STRING, email: STRING, user_type: STRING, user_account_uuid: STRING>
client	STRUCT<app_name: STRING, app_version: STRING, platform_name: STRING, platform_version: STRING, os_name: STRING, os_version: STRING, ip_address: STRING>
location	STRUCT<country: STRING, region: STRING, city: STRING, longitude: DOUBLE, latitude: DOUBLE>
account_uuid	STRING

Colonne	Type de données
lw_id	STRING
time	TIMESTAMP
uuid	STRING
timestamp	STRING
used_version	INT
vault_uuid	STRING
item_uuid	STRING
action	STRING
user	STRUCT<uuid: STRING, name: STRING, email: STRING, user_type: STRING, user_account_uuid: STRING>
client	STRUCT<app_name: STRING, app_version: STRING, platform_name: STRING, platform_version: STRING, os_name: STRING, os_version: STRING, ip_address: STRING>
location	STRUCT<country: STRING, region: STRING, city: STRING, longitude: DOUBLE, latitude: DOUBLE>
account_uuid	STRING

sign_in_attempts

Schéma

Colonne	Type de données
lw_id	STRING
time	TIMESTAMP
uuid	STRING
session_uuid	STRING
timestamp	STRING
category	STRING
type	STRING
country	STRING
details	STRUCT<value: STRING>
target_user	STRUCT<uuid: STRING, name: STRING, email: STRING, user_type: STRING, user_account_uuid: STRING>
client	STRUCT<app_name: STRING, app_version: STRING, platform_name: STRING, platform_version: STRING, os_name: STRING, os_version: STRING, ip_address: STRING>
location	STRUCT<country: STRING, region: STRING, city: STRING, longitude: DOUBLE, latitude: DOUBLE>
account_uuid	STRING

Colonne	Type de données
lw_id	STRING
time	TIMESTAMP
uuid	STRING
session_uuid	STRING
timestamp	STRING
category	STRING
type	STRING
country	STRING
details	STRUCT<value: STRING>
target_user	STRUCT<uuid: STRING, name: STRING, email: STRING, user_type: STRING, user_account_uuid: STRING>
client	STRUCT<app_name: STRING, app_version: STRING, platform_name: STRING, platform_version: STRING, os_name: STRING, os_version: STRING, ip_address: STRING>
location	STRUCT<country: STRING, region: STRING, city: STRING, longitude: DOUBLE, latitude: DOUBLE>
account_uuid	STRING

Observables de l'analyseur

Les analyseurs intégrés écrivent des objets imbriqués sous la forme VARIANT et extraient les champs suivants dans lw_observables.

onepassword_audit_event

Observables

Zone	Observable
actor_uuid	actor_id
actor_details.uuid	actor_id
actor_details.name	username
actor_details.email	email
actor_account_uuid	actor_id
account_uuid	actor_id
object_details.uuid	actor_id
object_details.name	username
object_details.email	email
aux_details.uuid	actor_id
aux_details.name	username
aux_details.email	email
session.ip	ip

Zone	Observable
actor_uuid	actor_id
actor_details.uuid	actor_id
actor_details.name	username
actor_details.email	email
actor_account_uuid	actor_id
account_uuid	actor_id
object_details.uuid	actor_id
object_details.name	username
object_details.email	email
aux_details.uuid	actor_id
aux_details.name	username
aux_details.email	email
session.ip	ip

onepassword_item_usage

Observables

Zone	Observable
user.uuid	actor_id
user.email	email
client.ip_address	ip
account_uuid	actor_id

Zone	Observable
user.uuid	actor_id
user.email	email
client.ip_address	ip
account_uuid	actor_id

onepassword_sign_in_attempt

Observables

Zone	Observable
target_user.uuid	actor_id
target_user.email	email
client.ip_address	ip
account_uuid	actor_id

Zone	Observable
target_user.uuid	actor_id
target_user.email	email
client.ip_address	ip
account_uuid	actor_id