Logs de atividade do Microsoft Graph
Visualização
O Lakewatch está em Prévia privada. Para solicitar acesso, entre em contato com a equipe da sua account da Databricks.
Visão geral
Os logs de atividade do Microsoft Graph registram cada requisição HTTP feita ao Microsoft Graph no seu tenant, com o método e URI da requisição, o status da resposta e o aplicativo ou usuário que fez a chamada. O Lakewatch ingere a categoria de diagnóstico MicrosoftGraphActivityLogs do armazenamento na cloud usando o Auto Loader e a esquematiza com o parser azure_graph_activity integrado. Esta é uma fonte de armazenamento na cloud, não um conector de API.
Onboard de Logs de atividades do Microsoft gráfico
Para ingerir Logs de atividade do Microsoft gráfico, crie uma fonte de dados de armazenamento em cloud para eles e anexe o analisador azure_graph_activity integrado para que os eventos sejam gravados em uma tabela analisada esquematizada. Para pré-requisitos, acesso ao Unity Catalog e os passos completos de configuração da fonte de dados, consulte Cloud storage.
O parser processa apenas eventos cujo category é MicrosoftGraphActivityLogs. Se um local de armazenamento mistura várias categorias de log do Azure, anexe cada parser do Azure correspondente à mesma fonte de dados, com o parser azure_monitor_activity genérico por último. Veja Ingerir várias categorias de log do Azure de um local.
Esquema e observáveis analisados
O analisador azure_graph_activity integrado esquematiza os Logs de atividade do Microsoft gráfico em uma tabela analisada. Todas as tabelas analisadas também contêm colunas gerenciadas pelo Lakewatch:
lw_id: uma string não nula que o Lakewatch usa como key primária, permitindo a deduplicação entre leituras incrementais.time: Um timestamp de evento não nulo atribuído pelo parser.lw_meta: Metadados de processamento padrão do Lakewatch.lw_observables: Valores extraídos de campos marcados como observáveis de segurança no analisador.
O payload completo do evento é mantido na coluna properties como VARIANT, portanto, os campos que o analisador não promove para suas próprias colunas permanecem consultáveis. Para obter mais informações, consulte a referência do analisador.
Esquema da tabela analisada
O parser azure_graph_activity escreve as seguintes colunas (geradas a partir da definição do parser):
Coluna | Tipo de dados |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Observáveis do analisador
O analisador extrai os seguintes campos para lw_observables (gerados a partir da definição do analisador):
campo | Observável |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Os seguintes VARIANT campos são verificados quanto a observáveis combinando nomes de key aninhados; os tipos de observáveis extraídos de cada um:
campo | Tipos observáveis verificados |
|---|---|
|
|