Logs de entrada do Microsoft Entra ID

info

Visualização

O Lakewatch está em Prévia privada. Para solicitar acesso, entre em contato com a equipe da account da Databricks.

Visão geral

Os logs de entrada do Microsoft Entra ID registram a atividade de autenticação no seu tenant. O Lakewatch ingere todas as cinco categorias de diagnóstico de entrada do armazenamento em cloud usando o Auto Loader e as esquematiza com o parser azure_signin integrado:

SignInLogs: Sign-ins de usuários interativos.
NonInteractiveUserSignInLogs: Entradas realizadas por um cliente em nome de um usuário, como refresh de token.
ServicePrincipalSignInLogs: Entradas de aplicativos e Service Principal.
ManagedIdentitySignInLogs: Entradas por identidades gerenciadas.
MicrosoftServicePrincipalSignInLogs: Entradas por Service Principal de primeira parte da Microsoft.

Os logons de Service Principal e identidade gerenciada não têm um user principal name. Use as colunas appId, servicePrincipalId e userId, que são extraídas como observáveis actor_id, para correlacioná-las. Essa é uma fonte de armazenamento em cloud, não um conector de API.

Integrar logs de entrada do Microsoft Entra ID

Para ingerir logs de entrada do Microsoft Entra ID, crie uma fonte de dados de armazenamento em cloud para eles e anexe o analisador azure_signin integrado para que os eventos sejam gravados em uma tabela analisada esquematizada. Para pré-requisitos, acesso ao Unity Catalog e os passos completos de configuração da fonte de dados, consulte Armazenamento em cloud.

O parser reivindica apenas eventos cujo category é SignInLogs, NonInteractiveUserSignInLogs, ServicePrincipalSignInLogs, ManagedIdentitySignInLogs ou MicrosoftServicePrincipalSignInLogs. Se um local de armazenamento mistura várias categorias de log do Azure, anexe cada parser do Azure correspondente à mesma fonte de dados, com o parser genérico azure_monitor_activity por último. Consulte Ingerir várias categorias de log do Azure de um local.

Esquema e observáveis analisados

O analisador azure_signin integrado esquematiza os logs de entrada do Microsoft Entra ID em uma tabela analisada. Cada tabela analisada também carrega as colunas gerenciadas pelo Lakewatch:

lw_id: Uma string não nula que o Lakewatch usa como key primária, permitindo a eliminação de duplicatas em leituras incrementais.
time: um timestamp de evento não nulo atribuído pelo parser.
lw_meta: Metadados de processamento padrão do Lakewatch.
lw_observables: Valores extraídos de campos marcados como observáveis de segurança no analisador.

O payload completo do evento é mantido na coluna properties como VARIANT, portanto, os campos que o analisador não promove para suas próprias colunas permanecem consultáveis. Para obter mais informações, consulte a referência do analisador.

Esquema da tabela analisado

O analisador azure_signin escreve as seguintes colunas (geradas a partir da definição do analisador):

Coluna	Tipo de dados
`time`	`TIMESTAMP`
`resourceId`	`STRING`
`operationName`	`STRING`
`operationVersion`	`STRING`
`category`	`STRING`
`tenantId`	`STRING`
`resultType`	`STRING`
`resultSignature`	`STRING`
`resultDescription`	`STRING`
`durationMs`	`DOUBLE`
`callerIpAddress`	`STRING`
`correlationId`	`STRING`
`identity`	`STRING`
`level`	`STRING`
`location`	`STRING`
`signInId`	`STRING`
`userPrincipalName`	`STRING`
`userDisplayName`	`STRING`
`userId`	`STRING`
`appId`	`STRING`
`appDisplayName`	`STRING`
`servicePrincipalId`	`STRING`
`ipAddress`	`STRING`
`clientAppUsed`	`STRING`
`userAgent`	`STRING`
`locationCity`	`STRING`
`locationState`	`STRING`
`locationCountryOrRegion`	`STRING`
`locationLatitude`	`DOUBLE`
`locationLongitude`	`DOUBLE`
`deviceId`	`STRING`
`deviceOperatingSystem`	`STRING`
`deviceBrowser`	`STRING`
`deviceIsCompliant`	`BOOLEAN`
`deviceIsManaged`	`BOOLEAN`
`statusErrorCode`	`BIGINT`
`conditionalAccessStatus`	`STRING`
`isInteractive`	`BOOLEAN`
`riskLevelDuringSignIn`	`STRING`
`riskLevelAggregated`	`STRING`
`riskState`	`STRING`
`riskDetail`	`STRING`
`properties`	`VARIANT`

Coluna	Tipo de dados
`time`	`TIMESTAMP`
`resourceId`	`STRING`
`operationName`	`STRING`
`operationVersion`	`STRING`
`category`	`STRING`
`tenantId`	`STRING`
`resultType`	`STRING`
`resultSignature`	`STRING`
`resultDescription`	`STRING`
`durationMs`	`DOUBLE`
`callerIpAddress`	`STRING`
`correlationId`	`STRING`
`identity`	`STRING`
`level`	`STRING`
`location`	`STRING`
`signInId`	`STRING`
`userPrincipalName`	`STRING`
`userDisplayName`	`STRING`
`userId`	`STRING`
`appId`	`STRING`
`appDisplayName`	`STRING`
`servicePrincipalId`	`STRING`
`ipAddress`	`STRING`
`clientAppUsed`	`STRING`
`userAgent`	`STRING`
`locationCity`	`STRING`
`locationState`	`STRING`
`locationCountryOrRegion`	`STRING`
`locationLatitude`	`DOUBLE`
`locationLongitude`	`DOUBLE`
`deviceId`	`STRING`
`deviceOperatingSystem`	`STRING`
`deviceBrowser`	`STRING`
`deviceIsCompliant`	`BOOLEAN`
`deviceIsManaged`	`BOOLEAN`
`statusErrorCode`	`BIGINT`
`conditionalAccessStatus`	`STRING`
`isInteractive`	`BOOLEAN`
`riskLevelDuringSignIn`	`STRING`
`riskLevelAggregated`	`STRING`
`riskState`	`STRING`
`riskDetail`	`STRING`
`properties`	`VARIANT`

Observáveis do analisador

O analisador extrai os seguintes campos em lw_observables (gerados a partir da definição do analisador):

campo	Observável
`callerIpAddress`	`ip`
`correlationId`	`trace_id`
`userPrincipalName`	`username`
`userPrincipalName`	`email`
`userDisplayName`	`username`
`userId`	`actor_id`
`appId`	`actor_id`
`servicePrincipalId`	`actor_id`
`ipAddress`	`ip`

Os seguintes campos VARIANT são verificados em busca de key pela correspondência de nomes de key aninhados; os tipos de key extraídos de cada:

campo	Tipos observáveis verificados
`properties`	`ip`, `username`, `actor_id`, `trace_id`, `url`

Visão geral​

Integrar logs de entrada do Microsoft Entra ID​

Esquema e observáveis analisados​

Visão geral

Integrar logs de entrada do Microsoft Entra ID

Esquema e observáveis analisados