Microsoft Entra ID監査 Logs
プレビュー
Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。
概要
Microsoft Entra ID監査Logsには、ユーザー、グループ、アプリケーション、ロール、ポリシーの変更など、ディレクトリおよび管理者レベルの変更がキャプチャされます。パスワードポリシーの変更も同じログに記録されます。Lakewatchは、Auto Loaderを使用してクラウドストレージからAuditLogs診断カテゴリを取り込み、組み込みのazure_auditパーサーでデータをスキーマ化します。これはクラウドストレージソースであり、APIコネクタではありません。
サインイン、Microsoft Graphアクティビティ、Identity Protection、プロビジョニングのLogsには、独自のパーサーがあります。サポートされているLogsを参照してください。
Microsoft Entra ID監査Logsをオンボードする
Microsoft Entra ID監査Logsを取り込むには、それらのクラウドストレージのデータソースを作成し、組み込みの azure_audit パーサーをアタッチして、イベントがスキーマ化された解析テーブルに書き込まれるようにします。前提条件、Unity Catalog アクセス、および完全なデータソース設定のステップについては、クラウドストレージを参照してください。
パーサーは、category が AuditLogs であるイベントのみを要求します。1 つのストレージ場所で複数の Azure ログ カテゴリが混合している場合は、すべての対応する Azure パーサーを同じデータソースに添付し、最後に汎用 azure_monitor_activity パーサーを配置します。1 つの場所から複数の Azure Logs カテゴリを取り込むを参照してください。
バージョン 1 からのアップグレード
azure_audit パーサーのバージョン 1 は、サインイン、Microsoft Graph アクティビティ、Identity Protection イベントを含むすべての Microsoft Entra ID 診断カテゴリと一致しました。バージョン 2 からは、AuditLogs イベントのみと一致します。データソースは参照するパーサー バージョンを保持するため、更新するまで既存のデータソースは影響を受けません。他のカテゴリを受信するデータソースをバージョン 2 に移動する前に、それに対応するパーサーを接続してください。そうしないと、それらのイベントはデッドレター センチネルにルーティングされます。
解析されたスキーマと観測対象
組み込みのazure_auditパーサーは、Microsoft Entra ID監査Logsを解析済みテーブルにスキーマ化します。すべての解析済みテーブルには、Lakewatchで管理される列も含まれています:
lw_id: Lakewatchが主キーとして使用する非null文字列。増分読み取り全体の重複排除をサポートします。time: パーサーによって割り当てられたNULL以外のイベントTimestamp。lw_meta：標準的なLakewatch処理メタデータ。lw_observables: パーサーでセキュリティ観測可能としてマークされたフィールドから抽出された値。
イベント ペイロード全体がVARIANTとしてpropertiesカラムに保持されるため、パーサーが独自のカラムにプロモートしないフィールドは引き続きクエリ可能です。情報については、 パーサーリファレンスを参照してください。
解析されたテーブルスキーマ
azure_auditパーサーは、次の列を書き込みます（パーサー定義から生成）：
列 | データ型 |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
パーサーのオブザーバブル
パーサーは、以下のフィールドをlw_observablesに抽出します（パーサー定義から生成）。
フィールド | 可観測項目 |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
ネストされたキー名を照合することによって観測値がスキャンされる VARIANT フィールドと、各フィールドから抽出される観測値のタイプを以下に示します。
フィールド | スキャンされた可観測項目タイプ |
|---|---|
|
|