Atlassian監査Logsのオンボード

備考

プレビュー

Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。

Lakewatchは、Atlassianから組織の監査ログイベントを取り込むためのAPIコネクターを提供します。この記事では、前提条件、構成手順、コネクター スキーマ、および Lakewatch パーサーのオブザーバブルについて説明します。

前提条件

コネクターには次のものが必要です：

1. Serverless Lakeflow Spark Declarative Pipelines は、ワークスペースで有効になっています。
2. Unity Catalog。Unity Catalog 接続を作成または使用する権限が必要です。接続パーミッションを参照してください。
3. Atlassian Guard Standard、Atlassian Guard Premium、またはクラウド Enterpriseのサブスクリプション。これらのいずれかがないと、Atlassianの組織監査Logsにデータは記録されません。Atlassianの監査ログアクティビティに関するドキュメントを参照してください。
4. コネクタを認証するAPIキーを作成するための組織管理者権限。AtlassianのOrganizations REST API ドキュメントを参照してください。

既知の制限事項

• SCDタイプ2はサポートされていません。
• コネクタは、Atlassian組織のAPIキー認証をサポートしています。OAuthおよび基本ユーザー名とパスワード認証はサポートされていません。
• Atlassian APIキーの有効期限は最大1年です。現在のキーの有効期限が切れる前に、新しいキーを作成し、Unity Catalog接続を更新してください。
• 履歴のルックバックは180日を超えてはなりません。取り込む期間を選択するを参照してください。

取り込み用にAtlassianを構成する

Atlassianは、コネクタがベアラートークンとして送信するAPIキーで管理者APIリクエストを認証します。情報については、 管理者APIsを使用して組織を管理するためのAtlassianのガイドを参照してください。

1. 組織管理者権限を持つユーザーとしてAtlassian管理にサインインします。複数の組織を管理している場合は、組織を選択します。
2. 組織設定 を選択し、 APIキー を選択します。
3. スコープ付き API キー を選択し、 API キーの作成 を選択します。
4. キーの 名前 を入力し、有効期限を選択してください。キーの有効期限は1年以内にする必要があります。
5. read:events:admin 範囲を選択します（ イベント に対して 読み取り として表示されます）。これは、コネクタが必要とする唯一のスコープです。AtlassianのOrganizations REST APIイベントのドキュメントを参照してください。
6. キーを確認してから、 作成 を選択します。
7. 組織ID と APIキー をコピーします。Atlassianはこれらの値を再度表示しません。それらを使用して、Databricksで Unity Catalog接続を作成します。

注記

Atlassian APIキーは最大1年で有効期限が切れるため、自動更新されません。キーの有効期限が切れる前に、新しい組織APIキーを作成し、既存のUnity Catalog接続の APIキー を更新してください。新しい接続を作成しないでください。

ヒント

Lakewatch UIを通じて接続を作成するときに、収集した 組織ID と APIキー を入力します。

情報については、「Atlassian への認証を構成する」を参照してください。

次のステップ

上記の構成が完了したら、Lakewatch UIのAtlassianコネクタでデータソースを作成します。手順については、 API コネクター を参照してください。

---

コネクタとLakewatchスキーマ

コネクタは、default ソーススキーマから次のソーステーブルを取り込みます：

ソーステーブル	アトラシアンのデータ	組み込みLakewatchパーサー
audit_logs	組織ユーザー、セキュリティ、および構成の変更イベント	atlassian_audit

ソーステーブル	アトラシアンのデータ	組み込みLakewatchパーサー
audit_logs	組織ユーザー、セキュリティ、および構成の変更イベント	atlassian_audit

コネクタは、ソーステーブルをデータソースの未加工の宛先に書き込みます。組み込みパーサーは、データソースの設定時に解析された宛先を設定しない限り、パーサーの名前を持つ個別の解析済みテーブルに書き込みます。

Lakewatch管理列

コネクタは、ソースidフィールドをNULL以外の主キーとして使用し、ソースtimeフィールドを増分取り込みのカーソルとして使用します。Lakewatch IDを合成するコネクタとは異なり、このコネクタはlw_id列を追加しません。パーサーは、解析されたtime列を割り当てます。

Lakewatchで作成されたパイプラインの場合、コネクタはRAWテーブルにこれらの列も追加し、解析されたテーブルはそれらを引き継ぎます。

• lw_meta: 標準のLakewatch処理メタデータ。
• lw_observables: パーサーでセキュリティ観測可能としてマークされたフィールドから抽出された値。

情報については、 パーサーのリファレンスを参照してください。

Rawコネクタテーブルスキーマ

次のスキーマには、Atlassian組織の監査イベントフィールドが含まれています。フィールドの定義については、「Atlassian Audit Logsコネクターのリファレンス」を参照してください。

スキーマ

列	データ型
id	STRING
type	STRING
time	TIMESTAMP
action	STRING
actor	STRUCT<id: STRING, name: STRING, email: STRING, picture: STRING, links: STRUCT<self: STRING, alt: STRING>>
context	VARIANT
container	VARIANT
location	STRUCT<ip: STRING, geo: STRING, countryName: STRING, regionName: STRING, city: STRING>
message	STRUCT<content: STRING, format: STRING>
links	STRUCT<self: STRING, alt: STRING>
relations	VARIANT

列	データ型
id	STRING
type	STRING
time	TIMESTAMP
action	STRING
actor	STRUCT<id: STRING, name: STRING, email: STRING, picture: STRING, links: STRUCT<self: STRING, alt: STRING>>
context	VARIANT
container	VARIANT
location	STRUCT<ip: STRING, geo: STRING, countryName: STRING, regionName: STRING, city: STRING>
message	STRUCT<content: STRING, format: STRING>
links	STRUCT<self: STRING, alt: STRING>
relations	VARIANT

パーサー観測可能値

atlassian_auditパーサーは、入れ子になったオブジェクトをVARIANTとして書き込み、以下のフィールドをlw_observablesに抽出します。

可観測項目

フィールド	可観測
actor.id	actor_id
actor.name	username
actor.email	email
actor.links.self	url
actor.links.alt	url
location.ip	ip
links.self	url
links.alt	url

フィールド	可観測
actor.id	actor_id
actor.name	username
actor.email	email
actor.links.self	url
actor.links.alt	url
location.ip	ip
links.self	url
links.alt	url