Microsoft Graph アクティビティ Logs
プレビュー
Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。
概要
Microsoft Graph アクティビティ Logs は、あなたのテナントの Microsoft Graph に対して行われた各 HTTP リクエストを、リクエストメソッドと URI、レスポンスステータス、および呼び出し元のアプリケーションまたはユーザーとともに記録します。Lakewatchは、Auto Loaderを使用してクラウドストレージからMicrosoftGraphActivityLogs診断カテゴリを取り込み、組み込みのazure_graph_activityパーサーでスキーマ化します。これはクラウドストレージソースであり、APIコネクタではありません。
Microsoft Graph アクティビティ Logs をオンボードする
Microsoft Graph アクティビティ Logs を取り込むには、それらのクラウドストレージ データソースを作成し、組み込みの azure_graph_activity パーサーを添付して、イベントがスキーマ化された解析済みテーブルに書き込まれるようにします。前提条件、Unity Catalog アクセス、および完全なデータソース設定ステップについては、クラウドストレージを参照してください。
パーサーは category が MicrosoftGraphActivityLogs であるイベントのみを要求します。1つのストレージの場所に複数の Azure log カテゴリが混在している場合、すべての対応する Azure パーサーを同じデータソースにアタッチし、汎用 azure_monitor_activity パーサーを最後に配置します。1つの場所から複数の Azure log カテゴリを取り込む を参照してください。
パースされたスキーマとオブザーバブル
組み込みの azure_graph_activity パーサーは、Microsoft Graph アクティビティLogsをスキーマ化してパース済みテーブルにします。すべてのパース済みテーブルには、Lakewatch管理下のカラムも含まれます：
lw_id: Lakewatchがプライマリキーとして使用する非null文字列。増分読み取り全体の重複排除をサポートします。time：パーサーによって割り当てられた非nullイベントTimestamp。lw_meta：標準のLakewatch処理メタデータ。lw_observables: パーサーでセキュリティオブザーバブルとしてマークされたフィールドから抽出された値。
完全なイベント ペイロードは properties 列に VARIANT として保持されるため、パーサーが独自の列に昇格させないフィールドでもクエリを実行できます。情報については、 パーサー リファレンスを参照してください。
解析されたテーブル スキーマ
azure_graph_activityパーサーは次の列を書き込みます（パーサー定義から生成）：
列 | データ型 |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
パーサーの監視対象
パーサーは、以下のフィールドをlw_observablesに抽出します（パーサー定義から生成）。
フィールド | 可観測項目 |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
以下の VARIANT フィールドは、ネストされたキー名を照合することで観測可能な情報についてスキャンされます。各フィールドから抽出される観測可能な型は次のとおりです：
フィールド | スキャンされた可観測項目タイプ |
|---|---|
|
|