Microsoft Entra IDプロビジョニングLogs

備考

プレビュー

Lakewatch はプライベートプレビュー段階です。アクセスをリクエストするには、Databricks アカウントチームに連絡してください。

概要

Microsoft Entra ID プロビジョニング Logs は、Microsoft Entra ID プロビジョニングサービスが接続されたアプリケーション内のユーザーとグループを作成、更新、削除する方法を記録します。これには、スキップしたイベントや、ターゲットアプリケーションから返されたエラーも含まれます。Lakewatchは、Auto Loaderを使用してクラウドストレージからProvisioningLogs診断カテゴリを取り込み、組み込みのazure_provisioningパーサーでスキーマ化します。これはクラウドストレージのソースであり、APIコネクタではありません。

各イベントには、プロビジョニングサービスが実行したステップがproperties.provisioningSteps配列に、ターゲットアプリケーションに送信した属性値がproperties.modifiedPropertiesに一覧表示されます。

Microsoft Entra ID プロビジョニング Logs のオンボード

Microsoft Entra ID プロビジョニング Logs を取り込むには、そのクラウドストレージデータソースを作成し、組み込みの azure_provisioning パーサーをアタッチして、イベントがスキーマ化されたパース済みテーブルに書き込まれるようにします。前提条件、Unity Catalogのアクセス権、完全なデータソースの設定ステップについては、クラウドストレージを参照してください。

パーサーは、category が ProvisioningLogs であるイベントのみを要求します。1 つのストレージ場所に複数の Azure log カテゴリが混在している場合は、すべての対応する Azure パーサーを同じデータソースにアタッチし、汎用 azure_monitor_activity パーサーを最後に配置します。単一の場所から複数の Azure Log カテゴリを取り込むを参照してください。

解析されたスキーマと観測可能なもの

組み込みのazure_provisioningパーサーは、Microsoft Entra ID プロビジョニング Logs を解析済みテーブルにスキーマ化します。すべての解析済みテーブルには、Lakewatchで管理される列も含まれています。

lw_id: Lakewatchが主キーとして使用する非NULL文字列。増分読み取り全体で重複排除をサポートします。
time: パーサーによって割り当てられた null 以外のイベントTimestamp。
lw_meta: 標準のLakewatch処理メタデータ。
lw_observables: パーサーでセキュリティオブザーバブルとしてマークされたフィールドから抽出された値。

完全なイベントペイロードはproperties列にVARIANTとして保持されるため、パーサーが独自の列に昇格させないフィールドもクエリ可能です。情報については、パーサーリファレンスを参照してください。

解析されたテーブルスキーマ

azure_provisioningパーサーは次の列を書き込みます（パーサー定義から生成）：

列	データ型
`time`	`TIMESTAMP`
`resourceId`	`STRING`
`operationName`	`STRING`
`operationVersion`	`STRING`
`category`	`STRING`
`tenantId`	`STRING`
`resultType`	`STRING`
`resultSignature`	`STRING`
`resultDescription`	`STRING`
`durationMs`	`DOUBLE`
`correlationId`	`STRING`
`identity`	`STRING`
`level`	`STRING`
`provisioningId`	`STRING`
`jobId`	`STRING`
`cycleId`	`STRING`
`provisioningAction`	`STRING`
`provisioningStatus`	`STRING`
`errorCode`	`STRING`
`errorCategory`	`STRING`
`errorReason`	`STRING`
`initiatedById`	`STRING`
`initiatedByName`	`STRING`
`initiatedByType`	`STRING`
`servicePrincipalId`	`STRING`
`servicePrincipalName`	`STRING`
`sourceSystemName`	`STRING`
`targetSystemName`	`STRING`
`sourceIdentityId`	`STRING`
`sourceIdentityName`	`STRING`
`sourceIdentityType`	`STRING`
`sourceIdentityUserPrincipalName`	`STRING`
`targetIdentityId`	`STRING`
`targetIdentityName`	`STRING`
`targetIdentityType`	`STRING`
`properties`	`VARIANT`

列	データ型
`time`	`TIMESTAMP`
`resourceId`	`STRING`
`operationName`	`STRING`
`operationVersion`	`STRING`
`category`	`STRING`
`tenantId`	`STRING`
`resultType`	`STRING`
`resultSignature`	`STRING`
`resultDescription`	`STRING`
`durationMs`	`DOUBLE`
`correlationId`	`STRING`
`identity`	`STRING`
`level`	`STRING`
`provisioningId`	`STRING`
`jobId`	`STRING`
`cycleId`	`STRING`
`provisioningAction`	`STRING`
`provisioningStatus`	`STRING`
`errorCode`	`STRING`
`errorCategory`	`STRING`
`errorReason`	`STRING`
`initiatedById`	`STRING`
`initiatedByName`	`STRING`
`initiatedByType`	`STRING`
`servicePrincipalId`	`STRING`
`servicePrincipalName`	`STRING`
`sourceSystemName`	`STRING`
`targetSystemName`	`STRING`
`sourceIdentityId`	`STRING`
`sourceIdentityName`	`STRING`
`sourceIdentityType`	`STRING`
`sourceIdentityUserPrincipalName`	`STRING`
`targetIdentityId`	`STRING`
`targetIdentityName`	`STRING`
`targetIdentityType`	`STRING`
`properties`	`VARIANT`

パーサーの観測対象

パーサーは、以下のフィールドを lw_observables に抽出します（パーサー定義から生成されます）。

フィールド	可観測項目
`correlationId`	`trace_id`
`cycleId`	`trace_id`
`initiatedById`	`actor_id`
`servicePrincipalId`	`actor_id`
`sourceIdentityUserPrincipalName`	`username`
`sourceIdentityUserPrincipalName`	`email`

次のVARIANTフィールドは、ネストされたキー名を照合することによって観測可能オブジェクトをスキャンされます。抽出された観測可能オブジェクトの種類は次のとおりです。

フィールド	スキャンされた観察可能なタイプ
`properties`	`username`, `email`

概要​

Microsoft Entra ID プロビジョニング Logs のオンボード​

解析されたスキーマと観測可能なもの​

概要

Microsoft Entra ID プロビジョニング Logs のオンボード

解析されたスキーマと観測可能なもの