Microsoft Azure アクティビティ ログと Entra ID ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Security Operations フィードを設定して Microsoft Azure アクティビティと Entra ID のログを収集する方法について説明します。取り込みは、次の 2 つの方法で構成できます。

• 方法 1: Microsoft Azure Event Hub（推奨）: Azure 診断設定により、アクティビティ ログと Entra ID ログが Azure Event Hub 名前空間にストリーミングされ、Google SecOps はそこからほぼリアルタイムでログを取り込みます。（推奨）。
• 方法 2: Microsoft Azure Blob Storage V2: Azure 診断設定により、ログが Azure ストレージ アカウントにアーカイブされ、Google SecOps がスケジュールに従って blob コンテナをポーリングします。

Microsoft Azure アクティビティ ログは、ストレージ アカウントの作成、イベントハブの削除、仮想マシンの変更など、Azure リソースに対して実行されたサブスクリプション レベルのオペレーションに関する分析情報を提供します。Microsoft Entra ID（旧 Azure Active Directory）ログは、ユーザーのログイン、監査ログ、プロビジョニング アクティビティ、セキュリティ リスクの検出など、Identity and Access Management のイベントをキャプチャします。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• Microsoft Azure ポータルへの特権アクセス。次の権限が必要です。
  • Event Hub 名前空間（方法 1）またはストレージ アカウント（方法 2）を作成する
  • Azure Monitor と Entra ID の診断設定を構成する
  • Event Hub アクセス ポリシー（方法 1）またはストレージ アクセスキー（方法 2）を管理する
• Entra ID のセキュリティ管理者ロール以上（Entra ID の診断設定用）

注: Google SecOps インスタンスごとに、アクティブなフィードと非アクティブなフィードの両方を含めて、最大 10 個の Azure Event Hub フィードを作成できます。方法 1 で説明したように、ログカテゴリを Google SecOps ログタイプ別にグループ化すると、Event Hubs とフィードの数をこの上限内に抑えることができます。正規の Azure Event Hub フィードの設定の詳細については、Azure Event Hub フィードを作成するをご覧ください。

方法 1: Microsoft Azure Event Hub（推奨）

この方法では、Azure 診断設定によって Microsoft Azure アクティビティ ログと Entra ID ログが Azure Event Hubs の名前空間にストリーミングされ、Google SecOps が Event Hubs からほぼリアルタイムで直接取り込みます。

各 Google SecOps フィードは、単一の Event Hub を単一のログタイプにマッピングします。Google SecOps ログタイプごとに 1 つの Event Hub を作成し、一致する Azure ログカテゴリをその Event Hub に転送します。

イベントハブ	Azure ログのカテゴリ	Google SecOps のログタイプ
azure-activity	Azure アクティビティ ログ	Microsoft Azure Activity
entra-id	SignInLogs、NonInteractiveUserSignInLogs、ServicePrincipalSignInLogs、ManagedIdentitySignInLogs、ProvisioningLogs、RiskyUsers、UserRiskEvents	Azure AD
entra-id-audit	AuditLogs	Azure AD ディレクトリ監査
entra-id-graph	MicrosoftGraphActivityLogs	Microsoft Graph アクティビティ ログ

Event Hub 名前空間を作成する

Event Hubs 名前空間は、1 つ以上の Event Hubs の管理コンテナです。

1. Azure ポータルで、Event Hubs を検索します。
2. [+ 作成] をクリックします。

3. 次の構成情報を提供してください。

   設定	値
   サブスクリプション	Azure サブスクリプションを選択する
   リソース グループ	既存のものを選択するか、新しいものを作成
   Namespace name	一意の名前を入力します（例: secops-azure-logs）。
   ロケーション	Google SecOps インスタンスと同じリージョンを選択します（別のリージョンにデプロイすると、取り込みスループットが低下します）。
   料金ティア	Standard 以上（Basic は名前空間ごとに 1 つの Event Hub のみをサポート）
   スループット単位	1 から始めて、[自動拡張] を有効にします。

4. [確認 + 作成]、[作成] の順にクリックします。

5. デプロイが完了するまで待ちます。

   注: Event Hub の名前空間は、Google SecOps インスタンスと同じリージョンに存在する必要があります。別のリージョンにデプロイすると、取り込みスループットが低下する可能性があります。1 つのスループット ユニット（TU）は、最大 1 MB/秒の上り（内向き）をサポートします。自動拡張を有効にして、ログの量が増加すると名前空間がスケールアップし、イベントが Google SecOps に到達する前に失われないようにします。

Event Hubs を作成する

前の表に記載されている Google SecOps ログタイプごとに 1 つの Event Hub を作成します。

1. Namespace をデプロイしたら、Event Hub Namespace に移動します。
2. 左側のナビゲーションで、[エンティティ] の [Event Hubs] を選択します。

3. [+ Event Hub] をクリックし、次の設定で Event Hub を作成します。

   設定	値
   名前	azure-activity
   パーティション数	40（Google SecOps の最適なスケーリングに推奨。Standard ティアとベーシック ティアでは作成後に変更できません）
   メッセージの保持	7 日以上（割り当てスロットル後に取り込みが再開される前にログが削除されないように、可能な限り長い保持期間を設定します）
   キャプチャ	無効（Event Hub への直接取り込みには不要）

4. [確認 + 作成]、[作成] の順にクリックします。

5. この手順を繰り返して、entra-id、entra-id-audit、entra-id-graph の Event Hub を作成します。

   注: Azure ログは常に既存の Event Hub にストリーミングします。診断設定で [イベント ハブ名] を空白のままにすると、Azure はログカテゴリごとに個別の Event Hub（insights-logs-<category> という名前）を作成します。これにより、名前空間の Event Hub の割り当てと Google SecOps フィードの割り当てが使い果たされる可能性があります。

Event Hub 接続文字列を取得する

Google SecOps では、Event Hub に対する認証を行うための接続文字列が必要です。Namespace レベルの接続文字列を使用して、作成したすべての Event Hub で 1 つの認証情報が機能するようにします。

1. [Event Hub namespace] に移動します。
2. 左側のナビゲーションで、[設定] の [共有アクセス ポリシー] を選択します。
3. RootManageSharedAccessKey ポリシーをクリックするか、[+ 追加] をクリックして、Listen 権限を持つ専用のポリシーを作成します。
4. 接続文字列の主キーをコピーします。

5. この接続文字列は安全に保存してください。

   注: 名前空間レベルの接続文字列には EntityPath パラメータは含まれません。ターゲットの Event Hub は各フィードの [Event Hub Name] フィールドで個別に指定するため、同じ接続文字列がすべてのフィードで再利用されます。

Azure アクティビティ ログの診断設定を構成する（Event Hub）

Azure アクティビティ ログを azure-activity Event Hub にストリーミングするには:

1. Azure ポータルで、[モニタリング] を検索します。
2. 左側のナビゲーションで [アクティビティ ログ] をクリックします。
3. ウィンドウの上部にある [アクティビティ ログをエクスポート] をクリックします。
4. [診断設定を追加] をクリックします。
5. 次の構成情報を指定します。
   • 診断設定名: わかりやすい名前を入力します（例: activity-logs-to-eventhub）。
   • [ログ] セクションで、次のカテゴリを選択します。
     • 管理
     • セキュリティ
     • Service Health
     • アラート
     • 推奨事項
     • ポリシー
     • 自動スケーリング
     • リソースの健全性
   • [宛先の詳細] セクションで、[イベント ハブにストリーミングする] チェックボックスをオンにします。
   • サブスクリプション: Event Hubs の名前空間を含むサブスクリプションを選択します。
   • イベント ハブの名前空間: 前に作成した名前空間を選択します（secops-azure-logs など）。
   • イベントハブ名: azure-activity を選択します。
   • イベントハブ ポリシー名: 共有アクセス ポリシー（RootManageSharedAccessKey など）を選択します。
6. [保存] をクリックします。

Entra ID の診断設定を構成する（Event Hub）

各診断設定は単一の Event Hub にストリーミングされるため、Entra ID Event Hub ごとに 1 つの診断設定を作成し、Google SecOps ログタイプ別にカテゴリをグループ化します。

1. Azure ポータルで、Microsoft Entra ID または Azure Active Directory を検索します。
2. 左側のナビゲーションで、[モニタリングと正常性] > [診断設定] に移動します。

3. [診断設定を追加] をクリックし、次の設定を 1 つずつ作成します。

   entra-id Event Hub の診断設定（ログタイプ Azure AD）:

   • 診断設定名: entraid-azuread-to-eventhub
   • [ログ] セクションで、次のカテゴリを選択します。
     • SignInLogs
     • NonInteractiveUserSignInLogs
     • ServicePrincipalSignInLogs
     • ManagedIdentitySignInLogs
     • ProvisioningLogs
     • RiskyUsers
     • UserRiskEvents
   • [宛先の詳細] セクションで、[イベントハブにストリーミングする]、Event Hubs の名前空間、entra-id Event Hubs とその共有アクセス ポリシーを選択します。

   entra-id-audit Event Hub の診断設定（ログタイプ Azure AD ディレクトリ監査）:

   • 診断設定名: entraid-audit-to-eventhub
   • [ログ] セクションで、[AuditLogs] を選択します。
   • [Destination details] セクションで、[Stream to an event hub]、Event Hubs の名前空間、entra-id-audit Event Hub を選択します。

   entra-id-graph Event Hub の診断設定（ログタイプ Microsoft Graph アクティビティ ログ）:

   • 診断設定名: entraid-graph-to-eventhub
   • [ログ] セクションで、[MicrosoftGraphActivityLogs] を選択します。
   • [宛先の詳細] セクションで、[イベント ハブにストリーミングする]、Event Hub 名前空間、entra-id-graph Event Hub を選択します。

4. 各設定を構成したら、[保存] をクリックします。

注: 取り込むカテゴリのみを構成します。カテゴリが不要な場合は、診断設定から省略し、対応するフィードをスキップします。ログが Event Hubs へのストリーミングを開始するまで数分かかることがあります。

（省略可）専用のコンシューマー グループを作成する

デフォルトでは、各 Event Hub に $Default という名前のコンシューマ グループが用意されています。本番環境では、各 Event Hub に Google SecOps 専用のコンシューマー グループを作成することをおすすめします。

1. （名前空間ではなく）Event Hub に移動します。
2. 左側のナビゲーションで [コンシューマー グループ] を選択します。
3. [+ コンシューマー グループ] をクリックし、名前（chronicle など）を入力して、[作成] をクリックします。

4. Event Hub ごとに繰り返します。

   注意: Google SecOps コンシューマー グループに追加のサブスクライバーを作成しないでください。また、使用中に Azure ポータルの [データ エクスプローラ] タブからプログラムでデータを取得しないでください。どちらのアクションでも、データが読み取られると Event Hub コンシューマ グループのオフセットが進むため、データが失われる可能性があります。

Google SecOps でフィードを構成する（Event Hub）

Event Hub ごとに 1 つのフィードを作成します。すべてのフィードは同じ名前空間レベルの接続文字列を使用し、Event Hub Name と Log type のみが異なります。

フィード名	イベントハブ名	Google SecOps ログタイプ
Microsoft Azure Activity Logs	azure-activity	Microsoft Azure Activity
Azure AD Logs	entra-id	Azure AD
Azure AD Directory Audit Logs	entra-id-audit	Azure AD ディレクトリ監査
Microsoft Graph Activity Logs	entra-id-graph	Microsoft Graph アクティビティ ログ

テーブルの各行について:

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一のフィードを構成する] をクリックします。
4. [フィード名] フィールドに、フィード名を入力します（例: Azure Activity Logs）。
5. [ソースタイプ] として [Microsoft Azure Event Hub] を選択します。
6. 対応する [ログタイプ]（Microsoft Azure Activity など）を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を指定します。

   • Event Hub Name: テーブルから Event Hub 名を入力します（例: azure-activity）。
   • Event Hub コンシューマー グループ: $Default を入力するか、作成した専用のコンシューマー グループ（chronicle など）を入力します。
   • Event Hub 接続文字列: 以前に取得した名前空間レベルの接続文字列を入力します。
   • Azure Storage 接続文字列（省略可）: Event Hub チェックポイント ストレージのレガシー フィールド。空白のままにします。
   • Azure Storage Container Name（省略可）: Event Hub チェックポイント ストレージの以前のフィールド。空白のままにします。
   • Azure SAS トークン（省略可）: セキュリティ ポリシーで Event Hub 接続文字列の共有が禁止されている場合の Event Hub への代替認証。上記の接続文字列を指定する場合は空白のままにします。
   • Asset namespace: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。
   注: Google SecOps は、Azure Event Hub フィードの独自のチェックポイントを管理します。Event Hub 接続文字列（または Azure SAS トークン）のみが必要です。Azure Storage 接続文字列フィールドと Azure Storage コンテナ名フィールドは、取り込みに影響しないレガシーのチェックポイント フィールドです。標準のデプロイでは、これらのフィールドは空白のままにする必要があります。

9. [次へ] をクリックします。

10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

    注: 診断設定で有効にしたログカテゴリのフィードのみを作成します。

方法 2: Microsoft Azure Blob Storage V2

この方法では、Azure 診断設定によって Azure アクティビティ ログと Entra ID ログが Azure Storage アカウントにアーカイブされ、Google SecOps がスケジュールに従って BLOB コンテナをポーリングします。この方法は、準リアルタイムの取り込みが不要な場合や、環境が Blob Storage で標準化されている場合に使用します。

Azure Storage アカウントを構成する

ストレージ アカウントを作成する

1. Azure ポータルで、[ストレージ アカウント] を検索します。
2. [+ 作成] をクリックします。

3. 次の構成情報を提供してください。

   設定	値
   サブスクリプション	Azure サブスクリプションを選択する
   リソース グループ	既存のスケジュールを選択するか、新しいスケジュールを作成する
   ストレージ アカウント名	一意の名前を入力します（例: secops-azure-logs）。
   リージョン	リージョンを選択します（例: East US）。
   パフォーマンス	標準（推奨）
   冗長性	GRS（地理冗長ストレージ）または LRS（ローカル冗長ストレージ）

4. [Review + create] をクリックします。

5. アカウントの概要を確認し、[作成] をクリックします。

6. デプロイが完了するまで待ちます。

ストレージ アカウントの認証情報を取得する

1. 作成したストレージ アカウントに移動します。
2. 左側のナビゲーションで、[セキュリティとネットワーキング] の [アクセスキー] を選択します。
3. [キーを表示] をクリックします。
4. 後で使用するために、次の情報をコピーして保存します。
   • ストレージ アカウント名: ストレージ アカウント名（例: secops-azure-logs）
   • Key 1 または Key 2: 共有アクセスキー（base-64 でエンコードされた 512 ビットのランダムな文字列）

Blob サービスのエンドポイントを取得する

1. 同じストレージ アカウントで、左側のナビゲーションから [エンドポイント] を選択します。
2. Blob サービスのエンドポイント URL をコピーして保存します。
   • 例: https://secops-azure-logs.blob.core.windows.net/

Azure アクティビティ ログの診断設定を構成する

Azure アクティビティ ログをストレージ アカウントにエクスポートするには:

1. Azure ポータルで、[モニタリング] を検索します。
2. 左側のナビゲーションで [アクティビティ ログ] をクリックします。
3. ウィンドウの上部にある [アクティビティ ログをエクスポート] をクリックします。
4. [診断設定を追加] をクリックします。
5. 次の構成情報を指定します。
   • 診断設定名: わかりやすい名前を入力します（例: activity-logs-to-secops）。
   • [ログ] セクションで、次のカテゴリを選択します。
     • 管理
     • セキュリティ
     • Service Health
     • アラート
     • 推奨事項
     • ポリシー
     • 自動スケーリング
     • Resource Health
   • [宛先の詳細] セクションで、[ストレージ アカウントにアーカイブする] チェックボックスをオンにします。
   • Subscription: ストレージ アカウントを含むサブスクリプションを選択します。
   • ストレージ アカウント: 先ほど作成したストレージ アカウント（secops-azure-logs など）を選択します。
6. [保存] をクリックします。

注: 構成後、ログは insights-activity-logs という名前のコンテナに自動的にエクスポートされます。最初のログが表示されるまでに最大 15 分かかることがあります。

Entra ID の診断設定を構成する

Entra ID ログをストレージ アカウントにエクスポートするには:

1. Azure ポータルで、Microsoft Entra ID または Azure Active Directory を検索します。
2. 左側のナビゲーションで、[モニタリングと正常性] > [診断設定] に移動します。
3. [診断設定を追加] をクリックします。
4. 次の構成情報を指定します。
   • 診断設定名: わかりやすい名前を入力します（例: entraid-logs-to-secops）。
   • [ログ] セクションで、エクスポートするログカテゴリを選択します。
     • SignInLogs: インタラクティブ ユーザー ログイン
     • NonInteractiveUserSignInLogs: 非インタラクティブ ユーザーのサインイン（サービス プリンシパル、ユーザーに代わって動作するマネージド ID）
     • ServicePrincipalSignInLogs: サービス プリンシパルとアプリケーションのサインイン
     • ManagedIdentitySignInLogs: マネージド ID のログイン
     • AuditLogs: Entra ID でのすべての変更（ユーザーの作成、ロールの割り当てなど）の監査証跡。
     • ProvisioningLogs: ユーザーとグループのプロビジョニング イベント
     • RiskyUsers: Identity Protection によってフラグが付けられたユーザー
     • UserRiskEvents: ユーザー アカウントのリスク検出
     • MicrosoftGraphActivityLogs: Microsoft Graph API アクティビティ ログ
   • [宛先の詳細] セクションで、[ストレージ アカウントにアーカイブする] チェックボックスをオンにします。
   • Subscription: ストレージ アカウントを含むサブスクリプションを選択します。
   • ストレージ アカウント: 先ほど作成したストレージ アカウント（secops-azure-logs など）を選択します。

5. [保存] をクリックします。

   注: Entra ID ログがストレージ アカウントに表示されるまでには、最大で 72 時間かかることがあります。選択したログカテゴリごとに、命名パターン insights-logs-{category-name} を使用して個別のコンテナが作成されます。

Google SecOps サービス アカウントを取得する

Google SecOps は、一意のサービス アカウントを使用して Azure Blob Storage からデータを読み取ります。このサービス アカウントにストレージ アカウントへのアクセス権を付与する必要があります。

サービス アカウントのメールアドレスを取得する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. [単一フィードを設定] をクリックします。
4. [フィード名] フィールドに仮の名前を入力します。
5. [ソースタイプ] で [Microsoft Azure Blob Storage V2] を選択します。
6. 任意のログタイプを選択します（この設定は後で変更できます）。
7. [サービス アカウントを取得する] をクリックします。

8. 一意のサービス アカウントのメールアドレスが表示されます（例:）。

   [e-mail]
   

9. このメールアドレスをコピーします。次のステップでこれを使用します。

10. [キャンセル] をクリックしてフィードの作成を終了します（実際のフィードは後で作成します）。

注: 各 Google SecOps インスタンスには一意のサービス アカウントがあります。他のドキュメントや例のサービス アカウントは使用しないでください。

Google SecOps サービス アカウントに IAM 権限を付与する

Google SecOps サービス アカウントには、ストレージ アカウントに対する Storage Blob データ閲覧者ロールが必要です。

1. Azure ポータルで、[ストレージ アカウント] に移動します。
2. ストレージ アカウント名（secops-azure-logs など）をクリックします。
3. [アクセス制御（IAM）] タブに移動します。
4. [+ 追加> ロールの割り当てを追加] をクリックします。
5. [ロール] タブで、[Storage Blob Data Reader] を検索して選択します。
6. [次へ] をクリックします。
7. [メンバー] タブで、[+ メンバーを選択] をクリックします。
8. 検索ボックスに、Google SecOps サービス アカウントのメールアドレスを貼り付けます。
9. 検索結果からサービス アカウントを選択します。
10. [選択] をクリックします。
11. [レビュー + 割り当て] をクリックします。

12. 割り当てを確認し、もう一度 [レビュー + 割り当て] をクリックします。

    注: 削除オプション「転送されたファイルを削除する」または「転送されたファイルと空のディレクトリを削除する」を使用する場合は、Storage Blob Data Reader ではなく Storage Blob Data Contributor ロールを付与します。

Google SecOps でフィードを構成する

ログタイプとコンテナごとに個別のフィードを作成する必要があります。次の表に、Azure コンテナと Google SecOps ログタイプのマッピングを示します。

コンテナ名	Chronicle のログタイプ	データソース
insights-activity-logs	Microsoft Azure Activity	Azure アクティビティ ログ
insights-logs-signinlogs	Azure AD	Entra ID のインタラクティブ サインイン
insights-logs-noninteractiveusersigninlogs	Azure AD	Entra ID の非対話型サインイン
insights-logs-serviceprincipalsigninlogs	Azure AD	Entra ID サービス プリンシパルのサインイン
insights-logs-managedidentitysigninlogs	Azure AD	Entra ID マネージド ID のサインイン
insights-logs-auditlogs	Azure AD ディレクトリ監査	Entra ID 監査ログ
insights-logs-provisioninglogs	Azure AD	Entra ID プロビジョニング ログ
insights-logs-riskyusers	Azure AD	Entra ID のリスクの高いユーザー
insights-logs-userriskevents	Azure AD	Entra ID ユーザー リスク イベント
insights-logs-microsoftgraphactivitylogs	Microsoft Graph アクティビティ ログ	Microsoft Graph アクティビティ

Microsoft Azure アクティビティ ログのフィードを作成する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに「Microsoft Azure Activity Logs」と入力します。
5. [ソースタイプ] として [Microsoft Azure Blob Storage V2] を選択します。
6. [ログタイプ] として [Microsoft Azure Activity] を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を指定します。

   • Azure URI: コンテナパスを含む Blob Service エンドポイント URL を入力します。

     https://secops-azure-logs.blob.core.windows.net/insights-activity-logs/
     

   secops-azure-logs は、Azure ストレージ アカウント名に置き換えます。

   注: URI の末尾にスラッシュ（/）を含めます。
   • Source deletion option: 必要に応じて削除オプションを選択します。
     • なし: 転送後にファイルを削除しません。
     • 転送されたファイルを削除する: 転送が完了した後にファイルを削除します。
     • 転送されたファイルと空のディレクトリを削除する: 転送が成功した後にファイルと空のディレクトリを削除します。
   注: 削除オプションを選択する場合は、サービス アカウントに Storage Blob Data Contributor ロールが付与されていることを確認してください。
   • ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。

   • 認証プルダウン（デフォルトは [アクセスキー/共有キー]）から、使用するメソッドを選択し、対応する認証情報を指定します。

     • アクセスキー/共有キー: [キー] フィールドに、以前にキャプチャしたストレージ アカウントのアクセスキー（キー 1 またはキー 2）を貼り付けます。
     • SAS トークン: [トークン] フィールドに、コンテナ用に発行された Shared Access Signature（SAS）トークンを貼り付けます。
     • Azure V2 Workload Identity 連携: Microsoft Entra アプリケーションのクライアント ID とテナント ID を入力します。フィードに表示される読み取り専用のサブジェクト ID をコピーし、Azure 側でストレージ アカウントに一致する ID アクセス権を付与します。
     注: フィードの右側に表示される Chronicle サービス アカウントは読み取り専用です。Azure V2 Workload Identity 連携を使用する場合は、このサービス アカウントを信頼するように Microsoft Entra 連携認証情報を構成します。

   • アセットの名前空間: アセットの名前空間。

   • Ingestion labels: このフィードのイベントに適用されるラベル。

9. [次へ] をクリックします。

10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

Entra ID ログのフィードを作成する

診断設定で構成した Entra ID ログタイプごとに、次の手順を繰り返します。

インタラクティブ ログインログの場合:

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. [単一フィードを設定] をクリックします。
4. [フィード名] フィールドに「Azure AD Interactive Sign-in Logs」と入力します。
5. [ソースタイプ] で [Microsoft Azure Blob Storage V2] を選択します。
6. [ログタイプ] として [Azure AD] を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を指定します。

   • Azure URI:

     https://secops-azure-logs.blob.core.windows.net/insights-logs-signinlogs/
     

   注: URI の末尾にスラッシュ（/）を含めます。
   • Source deletion option: 必要に応じて選択します。
   • 最大ファイル存続期間: 180 日（デフォルト）。

   • 認証プルダウン（デフォルトは [アクセスキー/共有キー]）から、使用するメソッドを選択し、対応する認証情報を指定します。

     • アクセスキー/共有キー: [キー] フィールドに、以前にキャプチャしたストレージ アカウントのアクセスキー（キー 1 またはキー 2）を貼り付けます。
     • SAS トークン: [トークン] フィールドに、コンテナ用に発行された Shared Access Signature（SAS）トークンを貼り付けます。
     • Azure V2 Workload Identity 連携: Microsoft Entra アプリケーションのクライアント ID とテナント ID を入力します。フィードに表示される読み取り専用のサブジェクト ID をコピーし、Azure 側でストレージ アカウントに一致する ID アクセス権を付与します。
     注: フィードの右側に表示される Chronicle サービス アカウントは読み取り専用です。Azure V2 Workload Identity 連携を使用する場合は、このサービス アカウントを信頼するように Microsoft Entra 連携認証情報を構成します。

   • アセットの名前空間: アセットの名前空間。

   • Ingestion labels: 適用するラベル。

9. [次へ]、[送信] の順にクリックします。

非インタラクティブなログインログの場合:

次の設定で別のフィードを作成します。

• フィード名: Azure AD Non-interactive Sign-in Logs
• ログタイプ: Azure AD
• Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-noninteractiveusersigninlogs/

サービス プリンシパルのログインログの場合:

次の設定で別のフィードを作成します。

• フィード名: Azure AD Service Principal Sign-in Logs
• ログタイプ: Azure AD
• Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-serviceprincipalsigninlogs/

マネージド ID のログインログの場合:

次の設定で別のフィードを作成します。

• フィード名: Azure AD Managed Identity Sign-in Logs
• ログタイプ: Azure AD
• Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-managedidentitysigninlogs/

監査ログの場合:

次の設定で別のフィードを作成します。

• フィード名: Azure AD Audit Logs
• ログタイプ: Azure AD Directory Audit
• Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-auditlogs/

プロビジョニング ログの場合:

次の設定で別のフィードを作成します。

• フィード名: Azure AD Provisioning Logs
• ログタイプ: Azure AD
• Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-provisioninglogs/

リスクの高いユーザーの場合:

次の設定で別のフィードを作成します。

• フィード名: Azure AD Risky Users
• ログタイプ: Azure AD
• Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-riskyusers/

ユーザー リスク イベントの場合:

次の設定で別のフィードを作成します。

• フィード名: Azure AD User Risk Events
• ログタイプ: Azure AD
• Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-userriskevents/

Microsoft Graph アクティビティ ログの場合:

次の設定で別のフィードを作成します。

• フィード名: Microsoft Graph Activity Logs
• ログタイプ: Microsoft Graph Activity Logs

• Azure URI: https://secops-azure-logs.blob.core.windows.net/insights-logs-microsoftgraphactivitylogs/

  注: フィードは、Entra ID の診断設定で選択したログ カテゴリに対してのみ作成します。特定のログカテゴリを有効にしていない場合は、対応するフィードの作成をスキップします。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。