Logs de connexion Microsoft Entra ID

info

Aperçu

Lakewatch est en version d’aperçu privé. Pour demander l’accès, contactez votre équipe chargée de votre compte Databricks.

Présentation

Les logs de connexion Microsoft Entra ID enregistrent l'activité d'authentification dans votre tenant. Lakewatch importe les cinq catégories de diagnostic de connexion à partir du stockage cloud en utilisant Auto Loader et les schématise avec l'analyseur intégré azure_signin :

SignInLogs: Connexions utilisateur interactives.
NonInteractiveUserSignInLogs: Connexions effectuées par un client pour le compte d’un utilisateur, par exemple des refresh de jetons.
ServicePrincipalSignInLogs: Connexions par des applications et des Service Principal.
ManagedIdentitySignInLogs: connexions par des identités managées.
MicrosoftServicePrincipalSignInLogs: Connexions par des services principaux tiers Microsoft.

Les connexions de Service Principal et de managed identity ne contiennent pas de nom principal utilisateur. Utilisez les colonnes appId, servicePrincipalId et userId, qui sont extraites en tant qu’observables actor_id, pour les corréler. Il s’agit d’une source de stockage cloud, pas d’un connecteur API.

Intégrer les logs de connexion Microsoft Entra ID

Pour ingérer les logs de connexion Microsoft Entra ID, créez une datasource de stockage cloud pour ceux-ci et attachez le parseur intégré azure_signin afin que les événements soient écrits dans une table analysée schématisée. Pour les prérequis, l’accès à Unity Catalog et les étapes complètes de configuration de la datasource, consultez Stockage cloud.

L'analyseur ne réclame que les événements dont category est SignInLogs, NonInteractiveUserSignInLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs ou MicrosoftServicePrincipalSignInLogs. Si un emplacement de stockage mélange plusieurs catégories de logs Azure, attachez chaque analyseur Azure correspondant à la même source de données, avec l'analyseur générique azure_monitor_activity en dernier. Consultez Ingérer plusieurs catégories de logs Azure à partir d'un seul emplacement.

Schéma et observables analysés

L’analyseur azure_signin intégré schématise les logs de connexion Microsoft Entra ID en une table analysée. Chaque table analysée comporte également des colonnes gérées par Lakewatch :

lw_id: Chaîne non nulle utilisée par Lakewatch comme clé primaire, prenant en charge la déduplication lors des lectures incrémentielles.
time: Un timestamp d’événement non nul assigné par l’analyseur.
lw_meta: Métadonnées de traitement standard de Lakewatch.
lw_observables: Valeurs extraites des champs marqués comme observables de sécurité dans le parser.

La charge utile complète de l’événement est conservée dans la colonne properties en tant que VARIANT, de sorte que les champs que l’analyseur ne promouvra pas vers leurs propres colonnes restent interrogeables. Pour plus d’informations, consultez la référence de l’analyseur.

Schéma de table analysé

Le parser azure_signin écrit les colonnes suivantes (générées à partir de la définition du parser) :

Colonne	Type de données
`time`	`TIMESTAMP`
`resourceId`	`STRING`
`operationName`	`STRING`
`operationVersion`	`STRING`
`category`	`STRING`
`tenantId`	`STRING`
`resultType`	`STRING`
`resultSignature`	`STRING`
`resultDescription`	`STRING`
`durationMs`	`DOUBLE`
`callerIpAddress`	`STRING`
`correlationId`	`STRING`
`identity`	`STRING`
`level`	`STRING`
`location`	`STRING`
`signInId`	`STRING`
`userPrincipalName`	`STRING`
`userDisplayName`	`STRING`
`userId`	`STRING`
`appId`	`STRING`
`appDisplayName`	`STRING`
`servicePrincipalId`	`STRING`
`ipAddress`	`STRING`
`clientAppUsed`	`STRING`
`userAgent`	`STRING`
`locationCity`	`STRING`
`locationState`	`STRING`
`locationCountryOrRegion`	`STRING`
`locationLatitude`	`DOUBLE`
`locationLongitude`	`DOUBLE`
`deviceId`	`STRING`
`deviceOperatingSystem`	`STRING`
`deviceBrowser`	`STRING`
`deviceIsCompliant`	`BOOLEAN`
`deviceIsManaged`	`BOOLEAN`
`statusErrorCode`	`BIGINT`
`conditionalAccessStatus`	`STRING`
`isInteractive`	`BOOLEAN`
`riskLevelDuringSignIn`	`STRING`
`riskLevelAggregated`	`STRING`
`riskState`	`STRING`
`riskDetail`	`STRING`
`properties`	`VARIANT`

Colonne	Type de données
`time`	`TIMESTAMP`
`resourceId`	`STRING`
`operationName`	`STRING`
`operationVersion`	`STRING`
`category`	`STRING`
`tenantId`	`STRING`
`resultType`	`STRING`
`resultSignature`	`STRING`
`resultDescription`	`STRING`
`durationMs`	`DOUBLE`
`callerIpAddress`	`STRING`
`correlationId`	`STRING`
`identity`	`STRING`
`level`	`STRING`
`location`	`STRING`
`signInId`	`STRING`
`userPrincipalName`	`STRING`
`userDisplayName`	`STRING`
`userId`	`STRING`
`appId`	`STRING`
`appDisplayName`	`STRING`
`servicePrincipalId`	`STRING`
`ipAddress`	`STRING`
`clientAppUsed`	`STRING`
`userAgent`	`STRING`
`locationCity`	`STRING`
`locationState`	`STRING`
`locationCountryOrRegion`	`STRING`
`locationLatitude`	`DOUBLE`
`locationLongitude`	`DOUBLE`
`deviceId`	`STRING`
`deviceOperatingSystem`	`STRING`
`deviceBrowser`	`STRING`
`deviceIsCompliant`	`BOOLEAN`
`deviceIsManaged`	`BOOLEAN`
`statusErrorCode`	`BIGINT`
`conditionalAccessStatus`	`STRING`
`isInteractive`	`BOOLEAN`
`riskLevelDuringSignIn`	`STRING`
`riskLevelAggregated`	`STRING`
`riskState`	`STRING`
`riskDetail`	`STRING`
`properties`	`VARIANT`

Observables de l’analyseur

L’analyseur extrait les champs suivants dans lw_observables (généré à partir de la définition de l’analyseur) :

Champ	Observable
`callerIpAddress`	`ip`
`correlationId`	`trace_id`
`userPrincipalName`	`username`
`userPrincipalName`	`email`
`userDisplayName`	`username`
`userId`	`actor_id`
`appId`	`actor_id`
`servicePrincipalId`	`actor_id`
`ipAddress`	`ip`

Les VARIANT champs suivants sont analysés à la recherche d'observables en faisant correspondre les noms de clés imbriquées ; les types observables extraits de chacun :

Champ	Types d’observables analysés
`properties`	`ip`: `username`, `actor_id`, `trace_id`, `url`

Présentation​

Intégrer les logs de connexion Microsoft Entra ID​

Schéma et observables analysés​

Présentation

Intégrer les logs de connexion Microsoft Entra ID

Schéma et observables analysés