Logs de auditoria do Microsoft Entra ID
Visualização
Lakewatch está em Prévia privada. Para solicitar acesso, entre em contato com a equipe da sua account Databricks.
Visão geral
Os logs de auditoria do Microsoft Entra ID capturam alterações de diretório e administrativas, como alterações em usuários, grupos, aplicativos, funções e políticas. As alterações na política de senha são registradas no mesmo log. O Lakewatch ingere a categoria de diagnóstico AuditLogs do armazenamento em cloud usando o Auto Loader e esquematiza os dados com o analisador azure_audit integrado. Esta é uma fonte de armazenamento em cloud, não um conector de API.
Logs de entrada, atividade do Microsoft Graph, proteção de identidade e provisionamento têm seus próprios analisadores. Consulte Logs compatíveis.
Integrar logs de auditoria do Microsoft Entra ID
Para ingerir logs de auditoria do Microsoft Entra ID, crie uma fonte de dados de armazenamento em cloud para eles e associe o parser integrado azure_audit para que os eventos sejam gravados em uma tabela analisada com esquema. Para ver os pré-requisitos, obter acesso ao Unity Catalog e consultar os passos completos de configuração da fonte de dados, consulte Armazenamento em cloud.
O parser reivindica apenas eventos cujo category é AuditLogs. Se um local de armazenamento misturar várias categorias de log do Azure, anexe todos os parsers do Azure correspondentes à mesma fonte de dados, com o parser genérico azure_monitor_activity por último. Consulte Ingerir várias categorias de log do Azure de um local.
Atualizar da versão 1
A versão 1 do analisador azure_audit correspondeu a todas as categorias de diagnóstico de ID do Microsoft Entra, incluindo entrada, atividade do Microsoft gráfico e eventos de Proteção de Identidade. A partir da versão 2, ele corresponde apenas a eventos AuditLogs. As fontes de dados mantêm a versão do analisador a que se referem, portanto, as fontes de dados existentes não serão afetadas até que você as atualize. Antes de mover uma fonte de dados que recebe outras categorias para a versão 2, anexe os analisadores correspondentes a ela, caso contrário, esses eventos serão roteados para o sentinela de carta morta.
Esquema analisado e observáveis
O parser azure_audit integrado transforma os logs de auditoria do Microsoft Entra ID em uma tabela analisada. Cada tabela analisada também contém as colunas gerenciadas pelo Lakewatch:
lw_id: Uma strings não nula que o Lakewatch usa como chave primária key, permitindo a desduplicação em leituras incrementais.time: Um Timestamp de evento não nulo atribuído pelo analisador.lw_meta: Metadados de processamento padrão do Lakewatch.lw_observables: Valores extraídos de campos marcados como observáveis de segurança no analisador.
A carga útil completa do evento é mantida na coluna properties como VARIANT, para que os campos que o analisador não promove para suas próprias colunas permaneçam consultáveis. Para mais informação, consulte a referência do Parser.
Esquema de tabela analisado
O analisador azure_audit escreve as seguintes colunas (geradas a partir da definição do analisador):
Coluna | Tipo de dados |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Observáveis do analisador
O analisador extrai os seguintes campos em lw_observables (gerados a partir da definição do analisador):
campo | Observável |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Os seguintes campos VARIANT são verificados para observáveis correspondendo a nomes de key aninhadas; os tipos observáveis extraídos de cada:
campo | Tipos observáveis verificados |
|---|---|
|
|