Logs de auditoria do Box
O Lakewatch fornece um conector de API para ingerir eventos de auditoria corporativa do Box. Este artigo aborda pré-requisitos, instruções de configuração, o esquema do conector e indicadores de parser do Lakewatch.
Pré-requisitos
O conector requer:
- LakeFlow Pipelines Serverless ativados em seu Workspace.
- Unity Catalog, com privilégios para criar ou usar uma conexão do Unity Catalog. Consulte Permissões de conexão.
- Autenticação multifatorial (MFA) habilitada na account Box que cria o aplicativo. Box requer MFA antes de mostrar o segredo do cliente. Consulte Configuração com autorização de credenciais de cliente.
- Um administrador empresarial ou um coadministrador com a permissão Executar novos relatórios e acessar relatórios existentes . A API de eventos requer essa permissão. Consulte Obter eventos corporativos. Para um coadministrador, habilite essa permissão na seção Permissão de Função e Acesso da página de detalhes do coadministrador. Consulte Permissões de coadministrador necessárias para execução de relatórios.
Limitações conhecidas
- Dimensões que mudam lentamente (SCD) tipo 2 não são suportadas porque o esquema de destino inclui colunas VARIANT.
- O conector oferece suporte à autenticação OAuth machine-to-machine (M2M) com um aplicativo de autenticação de servidor do Box que usa a concessão de credenciais de cliente. Não há suporte para autenticação OAuth user-to-machine e básica.
- O Box retém
admin_logs_streamingeventos por 14 dias. A primeira sincronização começa na posição de transmissão0e as sincronizações posteriores continuam a partir do último_stream_position.
Configurar o Box para ingestão
O conector autentica-se com um aplicativo de autenticação de servidor Box que usa a concessão de credenciais de cliente. Veja Configuração com Concessão de Credenciais de Cliente.
-
Entre no Box e abra o Console do Desenvolvedor.
-
Selecione Novo Aplicativo .
-
Selecione Server como o tipo de aplicativo.
-
Deixe Concessão de Credenciais do Cliente selecionada em Selecionar Método .
-
Selecione Criar .
-
Na Configuração tab, defina o Nível de acesso do aplicativo como Acesso ao aplicativo + empresa . O escopo Gerenciar propriedades corporativas requer Acesso ao aplicativo + empresa. Consulte Escopos.
-
Em Escopos do Aplicativo , selecione Gerenciar propriedades corporativas . Este é o único escopo que o conector requer. Consulte Obter eventos.
-
Selecione Salvar no canto superior direito.
-
Se Detalhes do aplicativo não mostrar Autorização como Autorizado , autorize o aplicativo. Os aplicativos de autenticação de servidor devem ser autorizados antes do uso. Consulte Aprovação do aplicativo de plataforma.
- Se você é um administrador corporativo ou coadministrador e a tab Configuração solicita autorização, autorize o aplicativo nela.
- Se você não for um administrador ou coadministrador, selecione Enviar aplicativo para autorização quando solicitado. Em seguida, dê a um administrador a ID do cliente .
- Como administrador, você também pode autorizar o aplicativo no Admin Console. Selecione Plataforma na navegação à esquerda e, em seguida, Aplicativos da plataforma . Selecione Adicionar no canto superior direito ou selecione ... na linha do aplicativo e, em seguida, insira o ID do cliente .
-
Em Detalhes do aplicativo , em Acesso :
- Copie o ID do Cliente .
- Selecione Buscar segredo . Se o Box solicitar que você faça login novamente, faça login e copie o Segredo do cliente .
-
Selecione o ícone da sua account no canto superior direito e, em seguida, selecione Copiar ID da empresa . Veja Localizando IDs.
Ao criar uma conexão por meio da interface do usuário do Lakewatch, insira o ID do cliente , o segredo do cliente e o ID da empresa coletados acima.
Os passos seguintes
Após concluir a configuração acima, crie uma fonte de dados com o conector Box na interface do usuário do Lakewatch. Consulte Conectores de API para obter instruções.
Esquemas de conector e Lakewatch
O conector ingere a seguinte tabela de origem do esquema de origem default:
Tabela de origem | Dados do Box | Analisador Lakewatch integrado |
|---|---|---|
| Eventos de auditoria empresarial, como atividade do usuário e de arquivo |
|
O conector grava a tabela de origem no destino bruto da fonte de dados. O analisador integrado grava uma tabela analisada separada com o nome do analisador, a menos que você defina um destino analisado ao configurar a fonte de dados.
Colunas gerenciadas pelo Lakewatch
O conector usa o campo de origem event_id como key primária não nula e o campo de origem created_at como cursor para ingestão incremental. Diferente dos conectores que sintetizam um ID do Lakewatch, este conector não adiciona uma coluna lw_id. O offset da API _stream_position não está no esquema de destino.
Para pipelines criados pelo Lakewatch, o conector também adiciona lw_meta e lw_observables à tabela bruta. lw_meta contém metadados de processamento padrão do Lakewatch. lw_observables contém valores extraídos de campos marcados como indicadores de segurança. A tabela analisada carrega essas colunas para frente. Consulte Referência do parser.
Esquema de tabela de conector bruto
O esquema a seguir inclui os campos de evento de auditoria empresarial do Box.
Esquema
Coluna | Tipo de dados |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Indicadores do analisador
O analisador box_event_logs grava objetos aninhados como VARIANT e extrai os seguintes campos em lw_observables.
Indicadores
campo | Indicador |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|