Boxの監査Logs

Lakewatchは、Boxからエンタープライズ監査イベントを取り込むためのAPIコネクタを提供します。この記事では、前提条件、構成手順、コネクタ スキーマ、およびLakewatchパーサー インジケーターについて説明します。

前提条件

このコネクターには以下が必要です。

1. ワークスペースでServerless LakeFlow Pipelinesが有効になっています。
2. Unity Catalog接続を作成または使用する権限を持つUnity Catalog接続の権限を参照してください。
3. アプリを作成する Box アカウントで多要素認証 (MFA) が有効になっています。Box では、クライアントシークレットを表示する前に MFA が必要です。「クライアント資格情報付与の設定」を参照してください。
4. エンタープライズ管理者、または 新しいレポートをランし、既存のレポートにアクセスする 権限を持つ共同管理者。イベント API にはこの権限が必要です。エンタープライズイベントの取得を参照してください。共同管理者の場合、共同管理者詳細ページの ロールとアクセス権限 セクションでその権限を有効にしてください。レポートのランに必要な共同管理者の権限を参照してください。

既知の制限事項

• 宛先スキーマに VARIANT 列が含まれているため、slowly changing dimensions (SCD) タイプ 2 はサポートされていません。
• コネクタは、クライアント資格情報付与を使用する Box サーバー認証アプリによる OAuth マシン間 (M2M) 認証をサポートします。OAuth ユーザーマシン間認証および基本認証はサポートされていません。
• Boxはadmin_logs_streamingイベントを14日間保持します。最初の同期はストリーム位置0で起動され、以降の同期は最後の_stream_positionから再開されます。

インジェスト用に Box を構成する

コネクタは、クライアント資格情報付与を使用するBoxサーバー認証アプリで認証します。クライアント資格情報付与による設定を参照してください。

1. Boxにサインインし、開発者コンソールを開きます。

2. 新しいアプリ を選択します。

3. アプリの種類として サーバー を選択します。

4. 選択方法 で クライアント資格情報の許可 を選択したままにします。

5. 作成 を選択します。

6. 構成 tabで、 アプリのアクセスレベル を アプリ + エンタープライズアクセス に設定します。 エンタープライズプロパティの管理 スコープには、「アプリ + エンタープライズアクセス」が必要です。スコープを参照してください。

7. アプリケーションスコープ で、 エンタープライズプロパティの管理 を選択します。これは、コネクタに必要な唯一のスコープです。イベントの取得を参照してください。

8. 右上の [保存] を選択します。

9. アプリの詳細 で 認可 が 認可済み として表示されない場合は、アプリを認可します。サーバー認証アプリは、使用する前に認可する必要があります。「プラットフォームアプリの承認」を参照してください。

   • エンタープライズ管理者または共同管理者で、 [設定] tabで認可のプロンプトが表示される場合は、そこでアプリを認可します。
   • 管理者または共同管理者ではない場合は、プロンプトが表示されたら アプリの承認を送信する を選択します。次に、管理者に クライアントID を渡します。
   • 管理者として、管理コンソールでアプリを承認することもできます。左側のナビゲーションで 「プラットフォーム」 を選択し、 「プラットフォームアプリ」 を選択します。右上の 追加 を選択するか、アプリの行にある ... を選択してから、 クライアントID を入力します。

10. アプリの詳細 の アクセス の下：

    • クライアントID をコピーします。
    • シークレットの取得 を選択します。Boxから再度サインインするように求められた場合は、サインインしてから クライアント シークレット をコピーします。

11. 右上隅にあるアカウントアイコンを選択し、[ エンタープライズIDのコピー ]を選択します。IDの確認を参照してください。

ヒント

Lakewatch UI から接続を作成するときに、上記の クライアント ID 、 クライアント シークレット 、および エンタープライズ ID を入力します。

次のステップ

上記の設定を完了したら、Lakewatch UIでBoxコネクタを使用してデータソースを作成します。手順については、APIコネクタを参照してください。

---

コネクタとLakewatchのスキーマ

コネクタは、defaultソーススキーマから次のソーステーブルを取り込みます：

ソーステーブル	Boxのデータ	組み込みLakewatchパーサー
event_logs	ユーザーおよびファイルのアクティビティなどのエンタープライズ監査イベント	box_event_logs

ソーステーブル	Boxのデータ	組み込みLakewatchパーサー
event_logs	ユーザーおよびファイルのアクティビティなどのエンタープライズ監査イベント	box_event_logs

コネクタは、ソーステーブルをデータソースの未加工の宛先に書き込みます。組み込みパーサーは、データソースの構成時に解析済み宛先を設定しない限り、パーサーの名前が付いた個別の解析済みテーブルに書き込みます。

Lakewatch管理列

コネクタは、ソース event_id フィールドをヌル以外のプライマリ・キーとして使用し、ソース created_at フィールドを増分取り込みのカーソルとして使用します。Lakewatch IDを合成するコネクタとは異なり、このコネクタは lw_id 列を追加しません。APIオフセット _stream_position は宛先スキーマ内にありません。

Lakewatchで作成されたパイプラインの場合、コネクタはlw_metaとlw_observablesをrawテーブルに追加します。lw_metaには、標準のLakewatch処理メタデータが含まれています。lw_observablesには、セキュリティインジケーターとしてマークされたフィールドから抽出された値が含まれています。解析されたテーブルは、これらの列を前に運びます。パーサーのリファレンスを参照してください。

Raw コネクタテーブルスキーマ

次のスキーマには、Boxエンタープライズ監査イベントのフィールドが含まれています。

スキーマ

列	データ型
event_id	STRING
event_type	STRING
type	STRING
created_at	TIMESTAMP
recorded_at	TIMESTAMP
session_id	STRING
ip_address	STRING
created_by	VARIANT
action_by	VARIANT
source	VARIANT
additional_details	VARIANT

列	データ型
event_id	STRING
event_type	STRING
type	STRING
created_at	TIMESTAMP
recorded_at	TIMESTAMP
session_id	STRING
ip_address	STRING
created_by	VARIANT
action_by	VARIANT
source	VARIANT
additional_details	VARIANT

パーサーインジケーター

box_event_logs パーサーは、入れ子になったオブジェクトを VARIANT として書き込み、次のフィールドを lw_observablesに抽出します。

インジケーター

フィールド	インジケーター
ip_address	ip
created_by.login	email
action_by.login	email
source.login	email
source.owned_by.login	email
created_by.id	actor_id
action_by.id	actor_id

フィールド	インジケーター
ip_address	ip
created_by.login	email
action_by.login	email
source.login	email
source.owned_by.login	email
created_by.id	actor_id
action_by.id	actor_id