Microsoft Entra IDサインインLogs

備考

プレビュー

Lakewatchはプライベートプレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームに問い合わせてください。

概要

Microsoft Entra IDのサインインLogsは、テナント内の認証アクティビティを記録します。Lakewatchは、Auto Loaderを使用してクラウドストレージから5つすべてのサインイン診断カテゴリを取り込み、組み込みの azure_signin パーサーでスキーマ化します。

SignInLogs：インタラクティブユーザーのサインイン。
NonInteractiveUserSignInLogs：ユーザーに代わってクライアントが実行したサインイン（トークンの更新など）。
ServicePrincipalSignInLogs: アプリケーションおよびService Principalによるサインイン。
ManagedIdentitySignInLogs: マネージドIDによるサインイン。
MicrosoftServicePrincipalSignInLogs: MicrosoftのファーストパーティService Principalによるサインイン。

Service PrincipalおよびマネージドIDのサインインには、ユーザープリンシパル名は含まれません。appId、servicePrincipalId、およびuserId列（actor_idオブザーバブルとして抽出）を使用して、それらを相関付けます。これはクラウドストレージソースであり、APIコネクタではありません。

Microsoft Entra ID サインイン Logs をオンボードする

Microsoft Entra ID のサインイン Logs を取り込むには、それらのためのクラウドストレージデータソースを作成し、組み込みの azure_signin パーサーをアタッチして、イベントがスキーマ化された解析済みテーブルに書き込まれるようにします。前提条件、Unity Catalogへのアクセス、およびデータソースの完全なセットアップステップについては、クラウドストレージをご覧ください。

パーサーは、category が SignInLogs、NonInteractiveUserSignInLogs、ServicePrincipalSignInLogs、ManagedIdentitySignInLogs、または MicrosoftServicePrincipalSignInLogs であるイベントのみを要求します。1つのストレージ・ロケーションに複数の Azure Logs カテゴリが混在している場合は、一致するすべての Azure パーサーを同じデータソースに接続し、汎用的な azure_monitor_activity パーサーを最後に配置します。1つのロケーションから複数の Azure Logs カテゴリを取り込む方法を参照してください。

パース済みスキーマおよび監視可能オブジェクト

組み込みの azure_signin パーサーは、Microsoft Entra ID サインイン Logs を解析済みテーブルにスキーマ化します。すべての解析済みテーブルには、Lakewatch が管理する列も含まれています：

lw_id: Lakewatch が主キーとして使用する NULL でない文字列。増分読み取り全体で重複除外をサポートします。
time：パーサーによって割り当てられた null 以外のイベント Timestamp。
lw_meta：標準的なLakewatch処理メタデータ。
lw_observables: パーサーでセキュリティ観測可能としてマークされたフィールドから抽出された値。

完全なイベントペイロードはproperties列にVARIANTとして保持されるため、パーサーが独自の列に昇格させないフィールドもクエリ可能です。情報については、パーサーリファレンスを参照してください。

解析されたテーブルスキーマ

azure_signin パーサーは、パーサー定義から生成された次の列を書き込みます：

列	データ型
`time`	`TIMESTAMP`
`resourceId`	`STRING`
`operationName`	`STRING`
`operationVersion`	`STRING`
`category`	`STRING`
`tenantId`	`STRING`
`resultType`	`STRING`
`resultSignature`	`STRING`
`resultDescription`	`STRING`
`durationMs`	`DOUBLE`
`callerIpAddress`	`STRING`
`correlationId`	`STRING`
`identity`	`STRING`
`level`	`STRING`
`location`	`STRING`
`signInId`	`STRING`
`userPrincipalName`	`STRING`
`userDisplayName`	`STRING`
`userId`	`STRING`
`appId`	`STRING`
`appDisplayName`	`STRING`
`servicePrincipalId`	`STRING`
`ipAddress`	`STRING`
`clientAppUsed`	`STRING`
`userAgent`	`STRING`
`locationCity`	`STRING`
`locationState`	`STRING`
`locationCountryOrRegion`	`STRING`
`locationLatitude`	`DOUBLE`
`locationLongitude`	`DOUBLE`
`deviceId`	`STRING`
`deviceOperatingSystem`	`STRING`
`deviceBrowser`	`STRING`
`deviceIsCompliant`	`BOOLEAN`
`deviceIsManaged`	`BOOLEAN`
`statusErrorCode`	`BIGINT`
`conditionalAccessStatus`	`STRING`
`isInteractive`	`BOOLEAN`
`riskLevelDuringSignIn`	`STRING`
`riskLevelAggregated`	`STRING`
`riskState`	`STRING`
`riskDetail`	`STRING`
`properties`	`VARIANT`

列	データ型
`time`	`TIMESTAMP`
`resourceId`	`STRING`
`operationName`	`STRING`
`operationVersion`	`STRING`
`category`	`STRING`
`tenantId`	`STRING`
`resultType`	`STRING`
`resultSignature`	`STRING`
`resultDescription`	`STRING`
`durationMs`	`DOUBLE`
`callerIpAddress`	`STRING`
`correlationId`	`STRING`
`identity`	`STRING`
`level`	`STRING`
`location`	`STRING`
`signInId`	`STRING`
`userPrincipalName`	`STRING`
`userDisplayName`	`STRING`
`userId`	`STRING`
`appId`	`STRING`
`appDisplayName`	`STRING`
`servicePrincipalId`	`STRING`
`ipAddress`	`STRING`
`clientAppUsed`	`STRING`
`userAgent`	`STRING`
`locationCity`	`STRING`
`locationState`	`STRING`
`locationCountryOrRegion`	`STRING`
`locationLatitude`	`DOUBLE`
`locationLongitude`	`DOUBLE`
`deviceId`	`STRING`
`deviceOperatingSystem`	`STRING`
`deviceBrowser`	`STRING`
`deviceIsCompliant`	`BOOLEAN`
`deviceIsManaged`	`BOOLEAN`
`statusErrorCode`	`BIGINT`
`conditionalAccessStatus`	`STRING`
`isInteractive`	`BOOLEAN`
`riskLevelDuringSignIn`	`STRING`
`riskLevelAggregated`	`STRING`
`riskState`	`STRING`
`riskDetail`	`STRING`
`properties`	`VARIANT`

パーサーの観測可能な情報

パーサーは、以下のフィールドをlw_observablesに抽出します（パーサー定義から生成）。

フィールド	観測可能
`callerIpAddress`	`ip`
`correlationId`	`trace_id`
`userPrincipalName`	`username`
`userPrincipalName`	`email`
`userDisplayName`	`username`
`userId`	`actor_id`
`appId`	`actor_id`
`servicePrincipalId`	`actor_id`
`ipAddress`	`ip`

フィールド	観測可能
`callerIpAddress`	`ip`
`correlationId`	`trace_id`
`userPrincipalName`	`username`
`userPrincipalName`	`email`
`userDisplayName`	`username`
`userId`	`actor_id`
`appId`	`actor_id`
`servicePrincipalId`	`actor_id`
`ipAddress`	`ip`

次の VARIANT フィールドは、ネストされたキー名を照合することで監視可能オブジェクトをスキャンされます。各フィールドから抽出される監視可能オブジェクトのタイプは次のとおりです。

フィールド	スキャンされた観察可能なタイプ
`properties`	`ip`、`username`、`actor_id`、`trace_id`、 `url`

概要​

Microsoft Entra ID サインイン Logs をオンボードする​

パース済みスキーマおよび監視可能オブジェクト​

概要

Microsoft Entra ID サインイン Logs をオンボードする

パース済みスキーマおよび監視可能オブジェクト