Logs d’audit Microsoft Entra ID
Aperçu
Lakewatch est en aperçu privé. Pour demander l'accès, contactez l'équipe de votre compte Databricks.
Présentation
Les logs d’audit de Microsoft Entra ID capturent les changements liés au répertoire et à l’administration, tels que les changements apportés aux utilisateurs, aux groupes, aux applications, aux rôles et aux politiques. Les changements de politique de mot de passe sont enregistrés dans le même log. Lakewatch ingère la catégorie de diagnostic AuditLogs depuis le stockage cloud à l’aide d’Auto Loader et schématise les données avec l’analyseur azure_audit intégré. Il s’agit d’une source de stockage cloud, pas d’un connecteur API.
Les Logs de connexion, d'activité Microsoft Graphe, d'Identity Protection et de provisionnement ont leurs propres parsers. Voir Logs pris en charge.
Intégrer les logs d'audit de Microsoft Entra ID
Pour ingérer les logs d'audit de Microsoft Entra ID, créez une source de données de stockage cloud pour eux et attachez le parser azure_audit intégré pour que les événements soient écrits dans une table parsée schématisée. Pour les prérequis, l’accès au Unity Catalog et les étapes complètes de configuration de la source de données, voir Stockage cloud.
L’analyseur ne réclame que des événements dont category est AuditLogs. Si un emplacement de stockage mélange plusieurs catégories de logs Azure, attachez chaque analyseur Azure correspondant à la même source de données, avec l’analyseur générique azure_monitor_activity en dernier. Voir Ingérer plusieurs catégories de logs Azure depuis un seul emplacement.
Mise à niveau à partir de la version 1
La version 1 de l’analyseur azure_audit correspondait à toutes les catégories de diagnostic de Microsoft Entra ID, y compris la connexion, l’activité de Microsoft Graphe et les événements de protection de l’identité. À partir de la version 2, il ne correspond qu’aux événements AuditLogs. Les sources de données conservent la version de l’analyseur à laquelle elles font référence. Par conséquent, les sources de données existantes ne sont pas affectées tant que vous ne les mettez pas à jour. Avant de déplacer une source de données qui reçoit d’autres catégories vers la version 2, attachez-lui les analyseurs correspondants, faute de quoi ces événements seront acheminés vers le serveur de lettres mortes.
Schéma analysé et observables
Le parser azure_audit intégré schématise les logs d’audit Microsoft Entra ID dans une table analysée. Chaque table analysée comporte également les colonnes gérées par Lakewatch :
lw_id: Chaîne non nulle que Lakewatch utilise comme clé primaire, prenant en charge la déduplication lors des lectures incrémentielles.time: un timestamp d'événement non nul attribué par le parser.lw_meta: métadonnées de traitement Lakewatch standard.lw_observables: Valeurs extraites des champs marqués comme observables de sécurité dans l’analyseur.
La charge utile complète de l’événement est conservée dans la colonne properties en tant que VARIANT, de sorte que les champs que l’analyseur ne promeut pas vers leurs propres colonnes restent interrogeables. Pour plus d’informations, consultez la Référence de l’analyseur.
Schéma de table analysé
Le parser azure_audit écrit les colonnes suivantes (générées à partir de la définition du parser) :
Colonne | Type de données |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Observables de l’analyseur
L’analyseur extrait les champs suivants dans lw_observables (généré à partir de la définition de l’analyseur) :
Champ | Observable |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Les VARIANT champs suivants sont analysés à la recherche d’observables en faisant correspondre les noms de clés imbriquées ; les types d’observables extraits de chacun :
Champ | Types observables analysés |
|---|---|
|
|