Logs de provisionnement Microsoft Entra ID
Aperçu
Lakewatch est en Aperçu privé. Pour demander l’accès, contactez votre équipe de compte Databricks.
Présentation
Les logs de provisionnement de Microsoft Entra ID enregistrent la manière dont le service de provisionnement de Microsoft Entra ID crée, met à jour et supprime des utilisateurs et des groupes dans des applications connectées, y compris les événements qu'il ignore et les erreurs renvoyées par l'application cible. Lakewatch importe la catégorie de diagnostic ProvisioningLogs depuis le stockage cloud à l'aide d'Auto Loader et la schématise avec l'analyseur azure_provisioning intégré. Il s'agit d'une source de stockage cloud, pas d'un connecteur API.
Chaque événement répertorie les étapes effectuées par le service de provisionnement dans le tableau properties.provisioningSteps, ainsi que les valeurs d'attribut envoyées à l'application cible dans properties.modifiedProperties.
Intégrer les logs de provisionnement Microsoft Entra ID
Pour ingérer les logs de provisionnement de Microsoft Entra ID, créez une source de données de stockage cloud pour ceux-ci et attachez l'analyseur azure_provisioning intégré afin que les événements soient écrits dans une table analysée schématisée. Pour les prérequis, l’accès à Unity Catalog et les étapes complètes de configuration de la source de données, voir Stockage cloud.
Le parser revendique uniquement les événements dont category est ProvisioningLogs. Si un emplacement de stockage mélange plusieurs catégories de logs Azure, attachez chaque parser Azure correspondant à la même source de données, avec le parser générique azure_monitor_activity en dernier. Voir Ingérer plusieurs catégories de logs Azure depuis un emplacement.
Schéma analysé et observables
L’analyseur azure_provisioning intégré schématise les logs de provisionnement Microsoft Entra ID dans une table analysée. Chaque table analysée contient également les colonnes gérées par Lakewatch :
lw_id: une chaîne de caractères non nulle que Lakewatch utilise comme clé primaire, prenant en charge la déduplication lors des lectures incrémentielles.time: un timestamp d’événement non nul affecté par le parser.lw_meta: métadonnées de traitement Lakewatch standard.lw_observables: Valeurs extraites des champs marqués comme observables de sécurité dans l’analyseur.
La charge utile complète de l’événement est conservée dans la colonne properties en tant que VARIANT, de sorte que les champs que l’analyseur ne promeut pas dans leurs propres colonnes restent interrogeables. Pour plus d’informations, consultez la référence de l’analyseur.
Schéma de table analysé
L’analyseur azure_provisioning écrit les colonnes suivantes (générées à partir de la définition de l’analyseur) :
Colonne | Type de données |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Observables de l’analyseur
L’analyseur extrait les champs suivants dans lw_observables (générés à partir de la définition de l’analyseur) :
Champ | Observable |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
Les VARIANT champs suivants sont analysés à la recherche d’observables en faisant correspondre les noms des clés imbriquées ; les types d’observables extraits de chacun :
Champ | Types observables scannés |
|---|---|
|
|