Logs de provisionamento do Microsoft Entra ID
Visualização
O Lakewatch está na Prévia privada. Para solicitar acesso, entre em contato com a equipe da sua account da Databricks.
Visão geral
Os logs de provisionamento do Microsoft Entra ID registram como o serviço de provisionamento do Microsoft Entra ID cria, atualiza e exclui usuários e grupos em aplicativos conectados, incluindo os eventos que ele ignora e os erros retornados pelo aplicativo de destino. O Lakewatch ingere a categoria de diagnóstico ProvisioningLogs do armazenamento em cloud usando o Auto Loader e esquematiza-a com o parser azure_provisioning integrado. Esta é uma fonte de armazenamento em cloud, não um conector de API.
Cada evento lista os passos que o serviço de provisionamento executou na matriz properties.provisioningSteps e os valores de atributo que ele enviou ao aplicativo de destino em properties.modifiedProperties.
Integrar logs de provisionamento do Microsoft Entra ID
Para ingerir logs de provisionamento do Microsoft Entra ID, crie uma fonte de dados de armazenamento em cloud para eles e anexe o analisador azure_provisioning integrado para que os eventos sejam gravados em uma tabela analisada esquematizada. Para pré-requisitos, acesso ao Unity Catalog e os passos completos de configuração da fonte de dados, consulte Cloud storage.
O parser reivindica apenas eventos cujo category é ProvisioningLogs. Se um local de armazenamento mistura várias categorias de log do Azure, anexe cada parser do Azure correspondente à mesma fonte de dados, com o parser genérico azure_monitor_activity por último. Consulte Ingerir várias categorias de log do Azure de um local.
Schema e observáveis analisados
O parser azure_provisioning integrado esquematiza os logs de provisionamento do Microsoft Entra ID em uma tabela analisada. Cada tabela analisada também carrega as colunas gerenciadas pelo Lakewatch:
lw_id: Uma strings não nula que o Lakewatch usa como chave primária key, permitindo a desduplicação em leituras incrementais.time: um timestamp de evento não nulo atribuído pelo parser.lw_meta: Metadados de processamento padrão do Lakewatch.lw_observables: Valores extraídos dos campos marcados como observáveis de segurança no parser.
O payload completo do evento é mantido na coluna properties como VARIANT, portanto, os campos que o parser não promove para suas próprias colunas permanecem passíveis de consulta. Para obter mais informações, consulte a Referência do parser.
Esquema da tabela analisada
O parser azure_provisioning escreve as seguintes colunas (geradas a partir da definição do parser):
Coluna | Tipo de dados |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Observáveis do parser
O parser extrai os seguintes campos para lw_observables (gerados a partir da definição do parser):
campo | Observável |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
Os campos VARIANT a seguir são verificados em busca de observáveis correspondendo a nomes de key aninhados; os tipos de observáveis extraídos de cada um:
campo | Tipos observáveis verificados |
|---|---|
|
|