Logs d'audit OpenAI

info

Aperçu

Lakewatch est en Aperçu privé. Pour demander l’accès, contactez votre équipe de compte Databricks.

Utilisez le connecteur d’API Lakewatch pour ingérer les événements de log d’audit de l’organisation à partir de la plateforme d’API OpenAI. Cette page couvre les prérequis, les instructions de configuration, le schéma du connecteur et les observables de l’analyseur Lakewatch.

Prérequis

Le connecteur nécessite :

LakeFlow Pipelines Serverless activés dans votre Workspace.
Unity Catalog, avec les privilèges pour créer ou utiliser une connexion Unity Catalog. Voir Autorisations de connexion.
La journalisation d'audit est activée pour votre organisation OpenAI. Une fois la journalisation d'audit activée, seul le support OpenAI peut la désactiver. Voir Documentation de l'API Admin et Logs d'audit d'OpenAI.
Le rôle de propriétaire de l’organisation dans votre organisation OpenAI pour créer la clé API d’administration qui authentifie le connecteur. Voir le guide des APIs d’administration d’OpenAI.

Limitations connues

Les dimensions à évolution lente (SCD) de type 2 ne sont pas prises en charge.
Le connecteur prend en charge l’authentification par clé API administrateur OpenAI. Les clés API de projet standard et OAuth ne sont pas prises en charge.
La période de rétrospection historique ne peut pas dépasser 365 jours. Voir Choisir la période d’ingestion.

Configurer OpenAI pour l’ingestion

Le connecteur s’authentifie auprès de l’API d’administration OpenAI avec une clé API d’administration, qu’il envoie sous forme de jeton Bearer. Les clés API d’administration ne fonctionnent qu’avec les Endpoint de l’API d’administration. Pour obtenir les étapes complètes, consultez Configurer l’authentification auprès d’OpenAI.

Connectez-vous à la plateforme OpenAI en tant que propriétaire d'organisation.
Ouvrez la page Clés d’administration pour votre organisation.
Créez une clé d’API d’administration et définissez ses autorisations sur Lecture seule . L’accès en lecture seule est suffisant pour l’ingestion. Consultez le guide d’OpenAI sur l’attribution des autorisations de clé API.
Copiez la clé d’API d’administration. OpenAI affiche la clé complète une seule fois.

astuce

Lorsque vous créez une connexion via l’interface utilisateur Lakewatch, entrez la clé API administrateur que vous avez copiée à l’étape précédente.

Étapes suivantes

Une fois OpenAI configuré, créez une source de données avec le connecteur OpenAI dans l’interface utilisateur Lakewatch. Voir Connecteurs API pour obtenir des instructions.

Schémas de connecteur et de Lakewatch

Lakewatch ingère les événements de logs d'audit de l'organisation OpenAI dans une table unique nommée audit_log_entries.

Table source	Données OpenAI	Analyseur Lakewatch intégré
`audit_log_entries`	Événements de log d’audit d’organisation, tels que les modifications de clé API, d’utilisateur, de projet et de paramètre d’organisation	`openai_audit`

Table source	Données OpenAI	Analyseur Lakewatch intégré
`audit_log_entries`	Événements de log d’audit d’organisation, tels que les modifications de clé API, d’utilisateur, de projet et de paramètre d’organisation	`openai_audit`

Le connecteur écrit la table source dans la destination brute de la source de données. L’analyseur intégré écrit une table analysée distincte nommée d’après l’analyseur, sauf si vous définissez une destination analysée lors de la configuration de la source de données.

Colonnes gérées par Lakewatch

Le connecteur utilise le champ source id comme clé primaire non nulle et le champ source effective_at comme curseur pour l’ingestion incrémentielle. Contrairement aux connecteurs qui synthétisent un ID Lakewatch, ce connecteur n’ajoute pas de colonne lw_id. L’analyseur attribue la colonne time analysée à partir du champ source effective_at.

Pour les pipelines créés par Lakewatch, le connecteur ajoute également ces colonnes à la table brute, et la table analysée les transfère :

lw_meta: Métadonnées de traitement Lakewatch standard.
lw_observables: Valeurs extraites des champs marqués comme observables de sécurité dans l’analyseur.

Voir Référence de l’analyseur.

Schéma de table de connecteur brut

La table audit_log_entries écrit une ligne par événement de log d'audit. Chaque ligne contient l'ID de l'événement, son type et son heure, ainsi que l'acteur et le projet auxquels l'événement est associé. La colonne data stocke l'enregistrement de log d'audit original complet sous forme de VARIANT, y compris l'objet details nommé d'après l'événement type, tel que project.updated.

Schéma

Column	Data type
`id`	`STRING`
`type`	`STRING`
`effective_at`	`TIMESTAMP`
`actor`	`VARIANT`
`project`	`STRUCT<id: STRING, name: STRING>`
`data`	`VARIANT`

Pour les définitions de champ, voir Documentation de l'objet journal d'audit d'OpenAI.

Observables de l’analyseur

Le parseur openai_audit écrit les objets imbriqués comme VARIANT et extrait ces champs dans lw_observables:

Observables

Field	Observable
`actor.session.user.id`	`actor_id`
`actor.session.user.email`	`email`
`actor.session.ip_address`	`ip`
`actor.api_key.user.id`	`actor_id`
`actor.api_key.user.email`	`email`
`actor.api_key.service_account.id`	`actor_id`

Field	Observable
`actor.session.user.id`	`actor_id`
`actor.session.user.email`	`email`
`actor.session.ip_address`	`ip`
`actor.api_key.user.id`	`actor_id`
`actor.api_key.user.email`	`email`
`actor.api_key.service_account.id`	`actor_id`

Les champs dans data dépendent de l’événement type. L’analyseur scanne data et extrait les valeurs dans lw_observables en faisant correspondre les noms des sous-champs. La correspondance est insensible à la casse.

Observables de données

`data` subfield name	Observable
`email`	`email`
`allowed_ips`	`ip`
`principal_id`, `service_account_id`	`actor_id`
`role_arn`	`aws_arn`
`account_id`	`aws_account_id`

Prérequis​

Limitations connues​

Configurer OpenAI pour l’ingestion​

Étapes suivantes​

Schémas de connecteur et de Lakewatch​

Colonnes gérées par Lakewatch​

Schéma de table de connecteur brut​

Observables de l’analyseur​