收集 Microsoft Entra ID 目录审核日志（以前称为 Azure Active Directory）
解析器版本：28.0
支持的平台：
Google SecOps
SIEM
本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Microsoft Entra ID（以前称为 Azure Active Directory）目录审核日志。您可以使用以下两种方法配置数据提取：Azure Event Hub（推荐）或第三方 API。
Entra ID 目录审核日志会捕获租户内所做的更改，包括用户和群组管理、应用更新、目录角色更改和政策修改。
准备工作
请确保您满足以下前提条件：
- Google SecOps 实例。
- 对 Microsoft Azure 门户的特权访问权限。
- Microsoft Entra ID 中的安全管理员或全局管理员角色（诊断设置需要此角色）。
方法 1：Azure 事件中心（推荐）
此方法通过启用了捕获功能的 Azure 事件中心来流式传输 Entra ID 审核日志，并将数据写入 Azure Blob Storage。然后，Google SecOps 使用 Azure Blob Storage V2 Feed 类型从 Blob 存储中提取日志。
配置 Azure 存储账号
创建存储账号
- 在 Azure 门户中，搜索存储账号。
- 点击 + 创建。
提供以下配置详细信息：
设置 值 订阅 选择您的 Azure 订阅 资源组 选择现有组或创建新组 存储账号名称 输入唯一名称（例如 secopsauditlogs）区域 选择离您的事件中心命名空间最近的区域 性能 标准（推荐） 冗余 LRS（本地冗余存储）或 GRS（地理位置冗余存储） 点击 Review + create（检查 + 创建）。
查看概览，然后点击创建。
等待部署完成。
获取存储账号凭据
- 前往您创建的存储账号。
- 在左侧导航栏中，选择安全性 + 网络下的访问密钥。
- 点击显示密钥。
- 复制并保存以下内容：
- 存储账号名称
- 密钥 1 或密钥 2：共享访问密钥。
创建事件中心命名空间和事件中心
创建事件中心命名空间
- 在 Azure 门户中，搜索事件中心。
- 点击 + 创建。
提供以下配置详细信息：
设置 值 订阅 选择您的 Azure 订阅 资源组 选择与存储账号相同的资源组 命名空间名称 输入唯一名称（例如 secops-entraid-audit）位置 选择与存储账号相同的区域 价格层级 标准（对于事件中心捕获是必需的） 点击审核 + 创建，然后点击创建。
等待部署完成。
创建事件中心
- 前往您创建的事件中心命名空间。
- 点击顶部的 + 活动中心。
- 提供以下配置详细信息：
- 名称：输入一个名称（例如
entraid-audit-logs）。 - 分区数：2（默认值，增加可提高吞吐量）。
- 清理政策：删除。
- 保留时间（小时）：24（最低值，如果需要提高弹性，可以增加）。
- 名称：输入一个名称（例如
- 点击审核 + 创建，然后点击创建。
启用事件中心捕获
- 前往您创建的事件中心（位于命名空间内）。
- 在左侧导航栏中，选择拍摄。
- 将捕获设置为开启。
提供以下配置详细信息：
设置 值 时间范围（分钟） 5（或更低，以实现近乎实时） 大小窗口（MB） 300 拍摄提供程序 Azure Blob Storage Azure 订阅 选择订阅 存储账号 选择您创建的存储账号 Blob 容器 创建或选择容器（例如 entraid-audit-capture）点击保存。
配置 Entra ID 诊断设置
- 以至少安全管理员身份登录 Microsoft Entra 管理中心。
- 依次前往 Entra ID > 监控和运行状况 > 诊断设置。
- 点击添加诊断设置。
- 提供以下配置详细信息：
- 诊断设置名称：输入一个描述性名称（例如
audit-logs-to-eventhub）。 - 在日志部分，选择 AuditLogs。
- 在目标详细信息部分中，选择流式传输到事件中心。
- 订阅：选择包含 Event Hub 命名空间的订阅。
- 事件中心命名空间：选择您创建的命名空间（例如
secops-entraid-audit）。 - 事件中心名称：选择您创建的事件中心（例如
entraid-audit-logs）。 - 事件中心政策名称：选择 RootManageSharedAccessKey。
- 诊断设置名称：输入一个描述性名称（例如
点击保存。
设置 Feed
您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：
- SIEM 设置 > Feed > 添加新 Feed
- 内容中心 > 内容包 > 开始
在 Google SecOps 中配置 Feed 以注入 Entra ID 审核日志
- 依次前往 SIEM 设置 > Feed。
- 点击添加新 Feed。
- 在下一页上，点击配置单个 Feed。
- 在 Feed 名称字段中，输入 Feed 的名称（例如
Entra ID Audit Logs - Event Hub）。 - 选择 Microsoft Azure Blob Storage V2 作为来源类型。
- 选择 Azure AD Directory Audit 作为日志类型。
- 点击下一步。
为以下输入参数指定值：
- Azure URI：输入 Blob 服务端点网址以及捕获容器路径：
https://<storage-account>.blob.core.windows.net/entraid-audit-capture/将
<storage-account>替换为您的 Azure 存储账号名称。- 来源删除选项：根据您的偏好选择删除选项：
- 永不：转移后永不删除任何文件。
- 删除已转移的文件：在成功转移后删除文件。
- 删除已转移的文件和空目录：成功转移后删除文件和空目录。
- 文件存在时间上限：包含在过去指定天数内修改的文件。默认值为 180 天。
- 共享密钥：输入存储账号中的共享访问密钥值。
- 资产命名空间：资产命名空间。
- 注入标签：要应用于此 Feed 中事件的标签。
点击创建 Feed。
创建 Feed 后，日志可能需要 5-10 分钟才会开始显示在 Google SecOps 中。
如需详细了解如何为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。
如需详细了解 Google Security Operations Feed，请参阅 Google Security Operations Feed 文档。如需了解每种 Feed 类型的要求，请参阅按类型划分的 Feed 配置。 如果您在创建 Feed 时遇到问题，请与 Google 安全运营支持团队联系。
配置 Azure 存储防火墙（如果已启用）
如果您的 Azure 存储账号使用防火墙，则必须添加 Google SecOps IP 范围。
- 在 Azure 门户中，前往您的存储账号。
- 在安全性 + 网络下，选择网络。
- 在防火墙和虚拟网络下，选择从所选虚拟网络和 IP 地址启用。
- 在防火墙部分的地址范围下，点击 + 添加 IP 范围。
- 以 CIDR 表示法添加每个 Google SecOps IP 范围。
- 请参阅 IP 许可名单文档。
- 或者使用 Feed Management API 以编程方式检索这些信息。
- 点击保存。
方法 2：第三方 API
此方法使用 Microsoft Graph API 直接从 Microsoft 租户检索 Entra ID 目录审核日志。
配置 IP 许可名单
在创建 Feed 之前，您必须在 Microsoft Azure 网络设置或条件访问政策中将 Google SecOps IP 范围列入许可名单。
获取 Google SecOps IP 范围
- 依次前往 SIEM 设置 > Feed。
- 点击添加新 Feed。
- 记下 Feed 创建界面中显示的 IP 范围。
- 或者，您也可以使用 Feed Management API 以编程方式检索 IP 范围。
为工作负载身份配置条件访问权限（如果需要）
如果您的组织使用按位置限制访问权限的条件访问政策，请执行以下操作：
- 在 Microsoft Entra 管理中心内，依次前往保护 > 条件访问 > 命名位置。
- 点击 + 新地点。
- 提供以下配置详细信息：
- 名称：输入
Google SecOps IP Ranges。 - 标记为可信位置：可选，具体取决于您的安全政策。
- IP 范围：以 CIDR 表示法添加每个 Google SecOps IP 范围。
- 名称：输入
- 点击创建。
- 前往条件访问> 政策。
- 对于适用于工作负载身份的任何政策，请为
Google SecOps IP Ranges命名位置或特定服务正文配置排除对象。
配置 Microsoft Entra 应用注册
创建应用注册
- 登录 Microsoft Entra 管理中心或 Azure 门户。
- 依次前往身份 > 应用 > 应用注册。
- 点击 New registration（新注册）。
- 提供以下配置详细信息：
- 名称：输入一个描述性名称（例如
Google SecOps Audit Logs Integration）。 - 支持的账号类型：选择仅此组织目录中的账号（单租户）。
- 重定向 URI：留空（服务正文身份验证不需要此字段）。
- 名称：输入一个描述性名称（例如
- 点击注册。
- 注册后，复制并保存以下值：
- 应用（客户端）ID
- 目录（租户）ID
配置 API 权限
- 在应用注册中，前往 API 权限。
- 点击添加权限。
- 依次选择 Microsoft Graph > 应用权限。
- 搜索并选择以下权限：
- AuditLog.Read.All - 读取目录审核日志所需的权限。
- Directory.Read.All - Microsoft Graph API 需要此权限才能访问审核日志。
- 点击添加权限。
- 点击为 [您的组织]授予管理员同意书。
验证状态列是否针对所有权限显示已向 [您的组织]授予。
| 权限 | 类型 | 说明 |
|---|---|---|
| AuditLog.Read.All | 应用 | 读取所有审核日志数据 |
| Directory.Read.All | 应用 | 读取目录数据（API 访问权限必需） |
创建客户端密钥
- 在应用注册中，前往证书和密钥。
- 点击 New client secret（新建客户端密钥）。
提供以下配置详细信息：
- 说明：输入描述性名称（例如
Google SecOps Feed）。 - 失效：选择失效期限。
- 说明：输入描述性名称（例如
点击 Add（添加）。
立即复制客户端密钥值。
重要提示：密钥值仅显示一次，离开此页面后便无法检索。如果您丢失了该值，则必须创建新的客户端密钥。
设置 Feed
您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：
- SIEM 设置 > Feed > 添加新 Feed
- 内容中心 > 内容包 > 开始 ### 在 Google SecOps 中配置 Feed 以注入 Entra ID 审核日志
- 依次前往 SIEM 设置 > Feed。
- 点击添加新 Feed。
- 在下一页上，点击配置单个 Feed。
- 在 Feed 名称字段中，输入 Feed 的名称（例如
Entra ID Directory Audit Logs）。 - 选择第三方 API 作为来源类型。
- 选择 Azure AD Directory Audit 作为日志类型。
- 点击下一步。
为以下输入参数指定值：
- OAuth 客户端 ID：输入应用注册中的应用（客户端）ID。
- OAuth 客户端密钥：输入您之前复制的客户端密钥值。
- 租户 ID：以 UUID 格式（例如
0fc279f9-fe30-41be-97d3-abe1d7681418）输入应用注册中的目录（租户）ID。 - API 完整路径：输入 Microsoft Graph REST API 端点网址：
graph.microsoft.com/v1.0/auditLogs/directoryAudits- API 身份验证端点：输入 Microsoft Active Directory 身份验证端点：
login.microsoftonline.com- 资产命名空间：资产命名空间。
- 注入标签：要应用于此 Feed 中事件的标签。
点击创建 Feed。
如需详细了解如何为相应产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。
如需详细了解 Google Security Operations Feed，请参阅 Google Security Operations Feed 文档。如需了解每种 Feed 类型的要求，请参阅按类型划分的 Feed 配置。 如果您在创建 Feed 时遇到问题，请与 Google 安全运营支持团队联系。
区域端点
对于主权云中的 Microsoft Entra ID 部署，请使用相应的区域端点：
| 云环境 | API 完整路径 | API 身份验证端点 |
|---|---|---|
| 全球 | graph.microsoft.com/v1.0/auditLogs/directoryAudits |
login.microsoftonline.com |
| 美国政府 L4 | graph.microsoft.us/v1.0/auditLogs/directoryAudits |
login.microsoftonline.us |
| 美国政府 L5 (DOD) | dod-graph.microsoft.us/v1.0/auditLogs/directoryAudits |
login.microsoftonline.us |
| 中国（世纪互联） | microsoftgraph.chinacloudapi.cn/v1.0/auditLogs/directoryAudits |
login.chinacloudapi.cn |
UDM 映射表
| 日志字段 | UDM 映射 | 逻辑 |
|---|---|---|
grouptypelabel |
about.group.attribute.labels |
已合并 |
targetResourceType |
about.group.attribute.labels |
已映射：Group → grouptypelabel |
target.displayName |
about.group.group_display_name |
直接映射 |
target.id |
about.group.product_object_id |
直接映射 |
resultField |
about.labels |
已合并 |
target.displayName |
about.resource.name |
直接映射 |
target.id |
about.resource.product_object_id |
直接映射 |
targetResourceType |
about.resource.resource_subtype |
直接映射 |
target.id |
about.user.product_object_id |
直接映射 |
initiatedBy.user.displayName |
about.user.user_display_name |
直接映射 |
policies.displayName |
about.user.user_display_name |
直接映射 |
target.displayName |
about.user.user_display_name |
直接映射 |
policies.id |
about.user.userid |
直接映射 |
userPrincipalName |
about.user.userid |
直接映射 |
AdditionalDetail_label |
additional.fields |
已合并 |
ReleaseVersion_label |
additional.fields |
已合并 |
Stamp_label |
additional.fields |
已合并 |
_field |
additional.fields |
已合并 |
add_about_field |
additional.fields |
已合并 |
add_about_label |
additional.fields |
已合并 |
additional_applicationFilter |
additional.fields |
已合并 |
additional_applicationFilter_new |
additional.fields |
已合并 |
additional_builtInControls |
additional.fields |
已合并 |
additional_builtInControls_new |
additional.fields |
已合并 |
additional_category |
additional.fields |
已合并 |
additional_clientAppTypes |
additional.fields |
已合并 |
additional_clientAppTypes_new |
additional.fields |
已合并 |
additional_createdDateTime_new |
additional.fields |
已合并 |
additional_createdDateTime_old |
additional.fields |
已合并 |
additional_customAuthenticationFactors |
additional.fields |
已合并 |
additional_customAuthenticationFactors_new |
additional.fields |
已合并 |
additional_displayName |
additional.fields |
已合并 |
additional_displayName_new |
additional.fields |
已合并 |
additional_displayname |
additional.fields |
已合并 |
additional_excludeApplications |
additional.fields |
已合并 |
additional_excludeApplications_new |
additional.fields |
已合并 |
additional_excludeGroups |
additional.fields |
已合并 |
additional_excludeGroups_new |
additional.fields |
已合并 |
additional_excludeLocations |
additional.fields |
已合并 |
additional_excludeLocations_new |
additional.fields |
已合并 |
additional_excludePlatform |
additional.fields |
已合并 |
additional_excludePlatforms_new |
additional.fields |
已合并 |
additional_excludeUsers |
additional.fields |
已合并 |
additional_excludeUsers_new |
additional.fields |
已合并 |
additional_fields |
additional.fields |
已合并 |
additional_id |
additional.fields |
已合并 |
additional_id_new |
additional.fields |
已合并 |
additional_includeApplications |
additional.fields |
已合并 |
additional_includeApplications_new |
additional.fields |
已合并 |
additional_includeAuthenticationContextClassReferences |
additional.fields |
已合并 |
additional_includeAuthenticationContextClassReferences_new |
additional.fields |
已合并 |
additional_includeGroups |
additional.fields |
已合并 |
additional_includeGroups_new |
additional.fields |
已合并 |
additional_includeLocations |
additional.fields |
已合并 |
additional_includeLocations_new |
additional.fields |
已合并 |
additional_includePlatform |
additional.fields |
已合并 |
additional_includePlatforms_new |
additional.fields |
已合并 |
additional_includeRoles |
additional.fields |
已合并 |
additional_includeRoles_new |
additional.fields |
已合并 |
additional_includeUserActions |
additional.fields |
已合并 |
additional_includeUserActions_new |
additional.fields |
已合并 |
additional_includeUsers |
additional.fields |
已合并 |
additional_includeUsers_new |
additional.fields |
已合并 |
additional_includeuserRiskLevel |
additional.fields |
已合并 |
additional_label |
additional.fields |
已合并 |
additional_loggedByService |
additional.fields |
已合并 |
additional_modifiedDateTime_new |
additional.fields |
已合并 |
additional_modifiedDateTime_old |
additional.fields |
已合并 |
additional_newValue |
additional.fields |
已合并 |
additional_oldValue |
additional.fields |
已合并 |
additional_old_operator |
additional.fields |
已合并 |
additional_operator |
additional.fields |
已合并 |
additional_resourceId |
additional.fields |
已合并 |
additional_servicePrincipalRiskLevels |
additional.fields |
已合并 |
additional_servicePrincipalRiskLevels_new |
additional.fields |
已合并 |
additional_signInRiskLevels |
additional.fields |
已合并 |
additional_signInRiskLevels_new |
additional.fields |
已合并 |
additional_state |
additional.fields |
已合并 |
additional_state_new |
additional.fields |
已合并 |
additional_termsOfUses |
additional.fields |
已合并 |
additional_termsOfUses_new |
additional.fields |
已合并 |
additional_userRiskLevels_new |
additional.fields |
已合并 |
agentSubjectType_label |
additional.fields |
已合并 |
agentType_label |
additional.fields |
已合并 |
agent_type_label |
additional.fields |
已合并 |
aio_label |
additional.fields |
已合并 |
appDisplayName_label |
additional.fields |
已合并 |
appId_label |
additional.fields |
已合并 |
app_owner_tenant_id_label |
additional.fields |
已合并 |
app_service_principal_id_label |
additional.fields |
已合并 |
appidacr_label |
additional.fields |
已合并 |
aud_label |
additional.fields |
已合并 |
authentication_processing_details_label |
additional.fields |
已合并 |
authentication_protocol_label |
additional.fields |
已合并 |
authentication_strengths_label |
additional.fields |
已合并 |
changed_applicationFilter_label |
additional.fields |
已合并 |
changed_builtInControls_new |
additional.fields |
已合并 |
changed_clientAppTypes_label |
additional.fields |
已合并 |
changed_createdDateTime_label |
additional.fields |
已合并 |
changed_customAuthenticationFactors_new |
additional.fields |
已合并 |
changed_displayName_label |
additional.fields |
已合并 |
changed_excludeApplications_new |
additional.fields |
已合并 |
changed_excludeGroups_new |
additional.fields |
已合并 |
changed_excludeLocations_new |
additional.fields |
已合并 |
changed_excludePlatforms_new |
additional.fields |
已合并 |
changed_excludeUsers_new |
additional.fields |
已合并 |
changed_id_label |
additional.fields |
已合并 |
changed_includeApplications_label |
additional.fields |
已合并 |
changed_includeAuthenticationContextClassReferences_new |
additional.fields |
已合并 |
changed_includeGroups_new |
additional.fields |
已合并 |
changed_includeLocations_label |
additional.fields |
已合并 |
changed_includePlatforms_new |
additional.fields |
已合并 |
changed_includeRoles_new |
additional.fields |
已合并 |
changed_includeUserActions_new |
additional.fields |
已合并 |
changed_includeUsers_new |
additional.fields |
已合并 |
changed_modifiedDateTime_label |
additional.fields |
已合并 |
changed_operator_label |
additional.fields |
已合并 |
changed_servicePrincipalRiskLevels_new |
additional.fields |
已合并 |
changed_signInRiskLevels_new |
additional.fields |
已合并 |
changed_state_label |
additional.fields |
已合并 |
changed_termsOfUses_new |
additional.fields |
已合并 |
changed_userRiskLevels_new |
additional.fields |
已合并 |
claims_tenantid_label |
additional.fields |
已合并 |
client_credential_type_label |
additional.fields |
已合并 |
durationMs_label |
additional.fields |
已合并 |
duration_ms_label |
additional.fields |
已合并 |
eventCategory_label |
additional.fields |
已合并 |
event_name_label |
additional.fields |
已合并 |
exp_label |
additional.fields |
已合并 |
hierarchy_label |
additional.fields |
已合并 |
home_tenant_id_label |
additional.fields |
已合并 |
iat_label |
additional.fields |
已合并 |
identity_label |
additional.fields |
已合并 |
idtyp_label |
additional.fields |
已合并 |
incoming_token_type_label |
additional.fields |
已合并 |
initiatedBy_label |
additional.fields |
已合并 |
initiatedBy_type_label |
additional.fields |
已合并 |
isTenantRestricted_label |
additional.fields |
已合并 |
isThroughGlobalSecureAccess_label |
additional.fields |
已合并 |
iss_label |
additional.fields |
已合并 |
map_field |
additional.fields |
已合并 |
mfaAuthDetail_label |
additional.fields |
已合并 |
mfa_auth_method_label |
additional.fields |
已合并 |
modified_property_displayname |
additional.fields |
已映射：userPrincipalName → old_value_label、userPrincipalName → new_value_label |
nameidentifier_label |
additional.fields |
已合并 |
nbf_label |
additional.fields |
已合并 |
new_value_label |
additional.fields |
已合并 |
old_clientAppTypes |
additional.fields |
已映射：new_clientAppTypes → changed_clientAppTypes_label |
old_createdDateTime |
additional.fields |
已映射：new_createdDateTime → changed_createdDateTime_label |
old_displayName_value |
additional.fields |
已映射：new_displayName_value → changed_displayName_label |
old_grantControls |
additional.fields |
已映射：new_grantControls → changed_operator_label |
old_id_value |
additional.fields |
已映射：new_id_value → changed_id_label |
old_includeLocations |
additional.fields |
已映射：new_includeLocations → changed_includeLocations_label |
old_include_applications |
additional.fields |
已映射：new_include_applications → changed_includeApplications_label，`new_include_appli... |
old_modifiedDateTime |
additional.fields |
已映射：new_modifiedDateTime → changed_modifiedDateTime_label |
old_state_value |
additional.fields |
已映射：new_state_value → changed_state_label |
old_value_label |
additional.fields |
已合并 |
operationType_label |
additional.fields |
已合并 |
originalRequestId_label |
additional.fields |
已合并 |
prop_isInteractive_label |
additional.fields |
已合并 |
prop_log_version_label |
additional.fields |
已合并 |
prop_processingTimeInMilliseconds_label |
additional.fields |
已合并 |
prop_signInIdentifierType_label |
additional.fields |
已合并 |
properties_category_label |
additional.fields |
已合并 |
properties_correlationId_label |
additional.fields |
已合并 |
provisioningAction_label |
additional.fields |
已合并 |
removed_builtInControls_label |
additional.fields |
已合并 |
removed_customAuthenticationFactors_label |
additional.fields |
已合并 |
removed_excludeApplications_label |
additional.fields |
已合并 |
removed_excludeGroups_label |
additional.fields |
已合并 |
removed_excludeLocations_label |
additional.fields |
已合并 |
removed_excludeUsers_label |
additional.fields |
已合并 |
removed_includeAuthenticationContextClassReferences_label |
additional.fields |
已合并 |
removed_includeGroups_label |
additional.fields |
已合并 |
removed_includePlatform_label |
additional.fields |
已合并 |
removed_includeRoles_label |
additional.fields |
已合并 |
removed_includeUserActions_label |
additional.fields |
已合并 |
removed_includeUsers_label |
additional.fields |
已合并 |
removed_includeuserRiskLevel_label |
additional.fields |
已合并 |
removed_servicePrincipalRiskLevels_label |
additional.fields |
已合并 |
removed_signInRiskLevels_label |
additional.fields |
已合并 |
removed_termsOfUses_label |
additional.fields |
已合并 |
resourceId_label |
additional.fields |
已合并 |
resource_owner_tenant_id_label |
additional.fields |
已合并 |
resource_service_principal_id_label |
additional.fields |
已合并 |
resource_tenant_id_label |
additional.fields |
已合并 |
result_signature_label |
additional.fields |
已合并 |
rh_label |
additional.fields |
已合并 |
riskEventType_label |
additional.fields |
已合并 |
roleAssignmentId_label |
additional.fields |
已合并 |
roleAssignmentScope_label |
additional.fields |
已合并 |
roleDefinitionId_label |
additional.fields |
已合并 |
serviceRequestId_label |
additional.fields |
已合并 |
session_id_label |
additional.fields |
已合并 |
signInEventTypes_label |
additional.fields |
已合并 |
sign_in_token_protection_status_label |
additional.fields |
已合并 |
signin_session_status_label |
additional.fields |
已合并 |
statusCode_label |
additional.fields |
已合并 |
targetResourceType |
additional.fields |
已映射："Device", "User", "Directory", "Application", "Group", "ServicePrincipal", "Role"… |
targetResources_agentType_label |
additional.fields |
已合并 |
tenantId_Label |
additional.fields |
已合并 |
tenantId_label |
additional.fields |
已合并 |
tenant_id_label |
additional.fields |
已合并 |
tokenIssuerType_label |
additional.fields |
已合并 |
token_protection_type_label |
additional.fields |
已合并 |
trustType_label |
additional.fields |
已合并 |
unique_token_identifier_label |
additional.fields |
已合并 |
uti_label |
additional.fields |
已合并 |
ver_label |
additional.fields |
已合并 |
xms_ftd_label |
additional.fields |
已合并 |
xms_idrel_label |
additional.fields |
已合并 |
xms_rd_label |
additional.fields |
已合并 |
xms_tcdt_label |
additional.fields |
已合并 |
operationName |
extensions.auth.type |
已映射：Sign-in activity → SSO |
target_userid_present |
extensions.auth.type |
已映射：true → MACHINE |
logged_by_service |
intermediary.application |
直接映射 |
ActivityDisplayName |
metadata.description |
直接映射 |
record_properties_message |
metadata.description |
当 record_properties_message != `` 时进行映射 |
resultDescription |
metadata.description |
直接映射 |
ActivityDateTime |
metadata.event_timestamp |
解析为 yyyy-MM-ddTHH:mm:ss.SSSSSSSZ |
TimeGenerated |
metadata.event_timestamp |
解析为 yyyy-MM-ddTHH:mm:ss.SSSSSSSZ |
_TimeReceived |
metadata.event_timestamp |
解析为 yyyy-MM-ddTHH:mm:ss.SSSSSSSZ |
logcollector_timestamp |
metadata.event_timestamp |
解析为 ISO8601 |
properties.activityDateTime |
metadata.event_timestamp |
解析为 ISO8601 |
record.time |
metadata.event_timestamp |
解析为 ISO8601 |
time |
metadata.event_timestamp |
解析为 ISO8601 |
time_1 |
metadata.event_timestamp |
解析为 UNIX |
when |
metadata.event_timestamp |
解析为 ISO8601 |
activityDisplayName |
metadata.event_type |
映射的值（总共 96 个，例如 Admin deleted security info → USER_DELETION，`添加应用... |
category |
metadata.event_type |
映射的值（总共 98 个，例如 AdministrativeUnit → USER_RESOURCE_CREATION，“Administrati... |
eventType |
metadata.event_type |
已映射：USER_UNCATEGORIZED → USER_RESOURCE_ACCESS |
has_principal |
metadata.event_type |
已映射：true → STATUS_UPDATE |
has_target_hostname |
metadata.event_type |
已映射：true → NETWORK_CONNECTION |
has_target_resource |
metadata.event_type |
已映射：true → USER_RESOURCE_ACCESS |
has_user |
metadata.event_type |
已映射：true → USER_UNCATEGORIZED |
loggedByService |
metadata.event_type |
映射值（总共 31 个，例如 Application proxy → SERVICE_CREATION、Application proxy ... |
operationName |
metadata.event_type |
已映射：Sign-in activity → USER_LOGIN |
principal_ip_present |
metadata.event_type |
映射值（总共 7 个，例如 true → USER_UNCATEGORIZED、true → NETWORK_CONNECTION、`... |
principal_userid_present |
metadata.event_type |
映射的值（共 6 个，例如 false → USER_RESOURCE_ACCESS、true → USER_UNCATEGORIZED... |
target_userid_present |
metadata.event_type |
已映射：true → USER_CHANGE_PERMISSIONS、true → USER_CREATION、true → USER_LOGIN |
AADTenantId |
metadata.product_deployment_id |
直接映射 |
OperationName |
metadata.product_event_type |
直接映射 |
activityDisplayName |
metadata.product_event_type |
直接映射 |
operationName |
metadata.product_event_type |
直接映射 |
record_operationName |
metadata.product_event_type |
当 record_operationName != `` 时进行映射 |
Id |
metadata.product_log_id |
直接映射 |
id |
metadata.product_log_id |
直接映射 |
properties.AuditEventId |
metadata.product_log_id |
直接映射 |
properties_id |
metadata.product_log_id |
直接映射 |
OperationVersion |
metadata.product_version |
直接映射 |
operationVersion |
metadata.product_version |
直接映射 |
kv.value |
network.http.parsed_user_agent |
直接映射 |
properties.userAgent |
network.http.parsed_user_agent |
直接映射 |
kv.value |
network.http.user_agent |
直接映射 |
properties.userAgent |
network.http.user_agent |
直接映射 |
correlationId |
network.session_id |
直接映射 |
record_correlationId |
network.session_id |
当 record_correlationId != `` 时进行映射 |
domain |
principal.administrative_domain |
直接映射 |
InitiatedBy.app.displayName |
principal.application |
直接映射 |
clientAppUsed |
principal.application |
直接映射 |
initiatedBy.app.displayName |
principal.application |
直接映射 |
properties.Actor.ApplicationName |
principal.application |
直接映射 |
properties.servicePrincipal.Name |
principal.application |
直接映射 |
properties.servicePrincipalName |
principal.application |
直接映射 |
properties_initiatedBy_app_displayName |
principal.application |
直接映射 |
properties.deviceDetail.deviceId |
principal.asset.asset_id |
直接映射 |
isCompliant_label |
principal.asset.attribute.labels |
已合并 |
isManaged_label |
principal.asset.attribute.labels |
已合并 |
service_principal_id_label |
principal.asset.attribute.labels |
已合并 |
sourceSystem_label |
principal.asset.attribute.labels |
已合并 |
hardware |
principal.asset.hardware |
已合并 |
ip |
principal.asset.ip |
已合并 |
ip_addr |
principal.asset.ip |
已合并 |
ip_address |
principal.asset.ip |
已合并 |
ip_value |
principal.asset.ip |
已合并 |
principal_ip |
principal.asset.ip |
已合并 |
properties.sourceSystem.Id |
principal.asset.product_object_id |
直接映射 |
properties.deviceDetail.deviceId |
principal.asset_id |
直接映射 |
principal_hostname |
principal.hostname |
直接映射 |
ip |
principal.ip |
已合并 |
ip_addr |
principal.ip |
已合并 |
ip_address |
principal.ip |
已合并 |
ip_value |
principal.ip |
已合并 |
principal_ip |
principal.ip |
已合并 |
location.city |
principal.location.city |
已重命名/已映射 |
prop_loc_city |
principal.location.city |
直接映射 |
location.countryOrRegion |
principal.location.country_or_region |
已重命名/已映射 |
prop_loc_countryOrRegion |
principal.location.country_or_region |
直接映射 |
record_RoleLocation |
principal.location.name |
当 record_RoleLocation != `` 时进行映射 |
location.geoCoordinates.latitude |
principal.location.region_latitude |
已重命名/已映射 |
prop_loc_latitude |
principal.location.region_latitude |
直接映射 |
location.geoCoordinates.longitude |
principal.location.region_longitude |
已重命名/已映射 |
prop_loc_longitude |
principal.location.region_longitude |
直接映射 |
location.state |
principal.location.state |
已重命名/已映射 |
prop_loc_state |
principal.location.state |
直接映射 |
properties.deviceDetail.operatingSystem |
principal.platform_version |
直接映射 |
Identity_label |
principal.resource.attribute.labels |
已合并 |
_field |
principal.resource.attribute.labels |
已合并 |
activityDisplayName |
principal.resource.attribute.labels |
已映射：`"添加用户"、"更新 StsRefreshTokenValidFrom 时间戳"、"停用账号"、"启用... |
app_id |
principal.resource.attribute.labels |
已合并 |
browser_label |
principal.resource.attribute.labels |
已合并 |
key |
principal.resource.attribute.labels |
已映射："IsDelegatedAdmin", "Actor_Name", "PartnerTenantId" → map_field，`"resource_grou... |
map_field |
principal.resource.attribute.labels |
已合并 |
prop_clientAppType_label |
principal.resource.attribute.labels |
已合并 |
properties_initiatedBy_app_appId_label |
principal.resource.attribute.labels |
已合并 |
user_principal_name_label |
principal.resource.attribute.labels |
已合并 |
Resource |
principal.resource.name |
直接映射 |
ResourceId |
principal.resource.product_object_id |
直接映射 |
properties.Actor.Application |
principal.resource.product_object_id |
直接映射 |
record_identity_evidence_authorization_principalType |
principal.resource.resource_subtype |
当 record_identity_evidence_authorization_principalType != `` 时进行映射 |
Type |
principal.resource.type |
已映射：(?i)AuditLogs → AUDIT_LOG |
role |
principal.user.attribute.roles |
已合并 |
role_label |
principal.user.attribute.roles |
已合并 |
user_role |
principal.user.attribute.roles |
已合并 |
InitiatedBy.user.userPrincipalName |
principal.user.email_addresses |
已合并 |
activityDisplayName |
principal.user.email_addresses |
已映射：`"添加用户"、"更新 StsRefreshTokenValidFrom 时间戳"、"停用账号"、"启用... |
email |
principal.user.email_addresses |
已合并 |
initiatedBy.user.userPrincipalName |
principal.user.email_addresses |
已合并 |
properties.sourceIdentity.details.UserPrincipalName |
principal.user.email_addresses |
已合并 |
properties_Actor_UPN |
principal.user.email_addresses |
已合并 |
CorrelationId |
principal.user.product_object_id |
直接映射 |
initiatedBy.app.servicePrincipalId |
principal.user.product_object_id |
直接映射 |
initiatedBy.user.id |
principal.user.product_object_id |
直接映射 |
properties.Actor.ObjectId |
principal.user.product_object_id |
直接映射 |
properties.servicePrincipalId |
principal.user.product_object_id |
直接映射 |
properties.sourceIdentity.Id |
principal.user.product_object_id |
直接映射 |
properties.sourceIdentity.details.id |
principal.user.product_object_id |
直接映射 |
properties_initiatedBy_app_servicePrincipalId |
principal.user.product_object_id |
直接映射 |
InitiatedBy.user.displayName |
principal.user.user_display_name |
直接映射 |
initiatedBy.user.displayName |
principal.user.user_display_name |
直接映射 |
initiatedBy.user.userPrincipalName |
principal.user.user_display_name |
直接映射 |
properties.sourceIdentity.Name |
principal.user.user_display_name |
直接映射 |
properties.sourceIdentity.details.DisplayName |
principal.user.user_display_name |
直接映射 |
user_name |
principal.user.user_display_name |
直接映射 |
InitiatedBy.app.servicePrincipalId |
principal.user.userid |
直接映射 |
InitiatedBy.user.id |
principal.user.userid |
直接映射 |
initiatedBy.app.servicePrincipalName |
principal.user.userid |
直接映射 |
initiatedBy.user.userPrincipalName |
principal.user.userid |
直接映射 |
properties.initiatedBy.Id |
principal.user.userid |
直接映射 |
record_identity_evidence_authorization_principalId |
principal.user.userid |
当 record_identity_evidence_authorization_principalId != `` 时进行映射 |
sec_result |
security_result |
已合并 |
Result |
security_result.action |
已映射：(?i)success → security_result_action_allow、(?i)failure → `security_result_act... |
action |
security_result.action |
已合并 |
operationName |
security_result.action |
已映射：Sign-in activity → action |
result |
security_result.action |
已映射：(?i)success → security_result_action_allow、(?i)failure → `security_result_act... |
resultType |
security_result.action |
已映射：0 → action |
security_result_action |
security_result.action |
已合并 |
security_result_action_allow |
security_result.action |
已合并 |
security_result_action_block |
security_result.action |
已合并 |
operationType |
security_result.action_details |
直接映射 |
resultType |
security_result.action_details |
直接映射 |
Category |
security_result.category |
已合并 |
operationName |
security_result.category |
已映射：Sign-in activity → Category |
Category |
security_result.category_details |
已映射：(?i)Device → Category |
properties_category |
security_result.category_details |
已合并 |
sec_result_category_details |
security_result.category_details |
已合并 |
Result |
security_result.description |
直接映射 |
properties.provisioningStatusInfo.errorInformation |
security_result.description |
直接映射 |
properties_status_additionalDetails |
security_result.description |
直接映射 |
resultDescription |
security_result.description |
直接映射 |
resultReason |
security_result.description |
直接映射 |
_field |
security_result.detection_fields |
已合并 |
auth_app_device_app_version_label |
security_result.detection_fields |
已合并 |
auth_app_device_client_app_label |
security_result.detection_fields |
已合并 |
auth_app_device_id_label |
security_result.detection_fields |
已合并 |
auth_app_device_os_label |
security_result.detection_fields |
已合并 |
auth_app_policy_adminConfiguration_label |
security_result.detection_fields |
已合并 |
auth_app_policy_authenticationEvaluation_label |
security_result.detection_fields |
已合并 |
auth_app_policy_policyName_label |
security_result.detection_fields |
已合并 |
auth_app_policy_status_label |
security_result.detection_fields |
已合并 |
auth_detail_label |
security_result.detection_fields |
已合并 |
auth_id_label |
security_result.detection_fields |
已合并 |
auth_proc_det_label |
security_result.detection_fields |
已合并 |
auth_req_label |
security_result.detection_fields |
已合并 |
caa_label |
security_result.detection_fields |
已合并 |
detection_authenticationMethod |
security_result.detection_fields |
已合并 |
detection_authenticationMethodDetail |
security_result.detection_fields |
已合并 |
detection_authenticationStepDateTime |
security_result.detection_fields |
已合并 |
detection_authenticationStepRequirement |
security_result.detection_fields |
已合并 |
detection_authenticationStepResultDetail |
security_result.detection_fields |
已合并 |
detection_detail |
security_result.detection_fields |
已合并 |
detection_networkName |
security_result.detection_fields |
已合并 |
detection_networkType |
security_result.detection_fields |
已合并 |
detection_requestSequence |
security_result.detection_fields |
已合并 |
detection_requirementProvider |
security_result.detection_fields |
已合并 |
detection_statusSequence |
security_result.detection_fields |
已合并 |
detection_succeeded |
security_result.detection_fields |
已合并 |
enforcedGrantControls_label |
security_result.detection_fields |
已合并 |
enforcedSessionControls_label |
security_result.detection_fields |
已合并 |
key |
security_result.detection_fields |
已映射："cribl_source", "topic_name", "source_system", "internal_workspace_resource_id" → ... |
policy_conditionsNotSatisfied_label |
security_result.detection_fields |
已合并 |
policy_conditionsSatisfied_label |
security_result.detection_fields |
已合并 |
policy_displayName_label |
security_result.detection_fields |
已合并 |
policy_id_label |
security_result.detection_fields |
已合并 |
policy_result_label |
security_result.detection_fields |
已合并 |
resultType_label |
security_result.detection_fields |
已合并 |
riskLevelAggregated_label |
security_result.detection_fields |
已合并 |
session_lifetime_policy_detail_label |
security_result.detection_fields |
已合并 |
session_lifetime_policy_expirationRequirement_label |
security_result.detection_fields |
已合并 |
statusInfo_label |
security_result.detection_fields |
已合并 |
value_label |
security_result.detection_fields |
已合并 |
operationName |
security_result.priority |
已映射：Sign-in activity → MEDIUM_PRIORITY |
riskLevelDuringSignIn |
security_result.priority |
已映射：medium → MEDIUM_PRIORITY |
resultType |
security_result.rule_id |
直接映射 |
kv.value |
security_result.rule_name |
直接映射 |
Level |
security_result.severity |
映射的值（总共 5 个，例如 "0", "1", "2" → CRITICAL、3 → ERROR、4 → HIGH） |
level |
security_result.severity |
已映射：(?i)informational/info → INFORMATIONAL |
operationName |
security_result.severity |
已映射：Sign-in activity → ERROR |
Level |
security_result.severity_details |
直接映射 |
level |
security_result.severity_details |
直接映射 |
AADOperationType |
security_result.summary |
直接映射 |
operationName |
security_result.summary |
已映射：Sign-in activity → Successful login occurred，Sign-in activity →“登录失败...” |
properties.provisioningStatusInfo.Status |
security_result.summary |
直接映射 |
result |
security_result.summary |
直接映射 |
result1 |
security_result.summary |
直接映射 |
resultType |
security_result.summary |
已映射：0 → Successful login occurred |
prop_riskDetail |
security_result.threat_name |
直接映射 |
modified_properties_old_value_label |
src.resource.attribute.labels |
已合并 |
targetResourceType |
src.resource.attribute.labels |
已映射："Device", "User", "Directory", "Application", "Group", "ServicePrincipal", "Role"… |
target_domain |
target.administrative_domain |
直接映射 |
appDisplayName |
target.application |
直接映射 |
modifiedProperties.newValue |
target.asset.asset_id |
直接映射 |
targetSystem_ApplicationId_label |
target.asset.attribute.labels |
已合并 |
targetSystem_ServicePrincipalDisplayName_label |
target.asset.attribute.labels |
已合并 |
targetSystem_label |
target.asset.attribute.labels |
已合并 |
target_service_principal_label |
target.asset.attribute.labels |
已合并 |
kv.value |
target.asset.hostname |
直接映射 |
temp_display_name |
target.asset.hostname |
直接映射 |
properties.targetSystem.Id |
target.asset.product_object_id |
直接映射 |
grouptypelabel |
target.group.attribute.labels |
已合并 |
index |
target.group.attribute.labels |
已映射：0 → grouptypelabel |
targetResourceType |
target.group.attribute.labels |
已映射：Group → grouptypelabel |
modifiedProperties.newValue |
target.group.group_display_name |
直接映射 |
target.displayName |
target.group.group_display_name |
直接映射 |
modifiedProperties.newValue |
target.group.product_object_id |
直接映射 |
target.id |
target.group.product_object_id |
直接映射 |
kv.value |
target.hostname |
直接映射 |
temp_display_name |
target.hostname |
直接映射 |
target_ip |
target.ip |
已合并 |
kv.value |
target.process.pid |
直接映射 |
modified_properties_new_value_label_value |
target.process.pid |
直接映射 |
appId_label |
target.resource.attribute.labels |
已合并 |
app_id_label |
target.resource.attribute.labels |
已合并 |
authorization_scope_label |
target.resource.attribute.labels |
已合并 |
modifiedPropertie_label |
target.resource.attribute.labels |
已合并 |
modifiedProperty_name_label |
target.resource.attribute.labels |
已合并 |
modifiedProperty_new_value_label |
target.resource.attribute.labels |
已合并 |
modifiedProperty_old_value_label |
target.resource.attribute.labels |
已合并 |
modified_properties_new_value_label |
target.resource.attribute.labels |
已合并 |
newValue_label |
target.resource.attribute.labels |
已合并 |
targetResourceType |
target.resource.attribute.labels |
已映射："Device", "User", "Directory", "Application", "Group", "ServicePrincipal", "Role"… |
target_Name_label |
target.resource.attribute.labels |
已合并 |
target_resource_display_name_label |
target.resource.attribute.labels |
已合并 |
target_resource_id_label |
target.resource.attribute.labels |
已合并 |
type_label |
target.resource.attribute.labels |
已合并 |
role |
target.resource.attribute.roles |
已合并 |
targetResourceType |
target.resource.attribute.roles |
已映射："Device", "User", "Directory", "Application", "Group", "ServicePrincipal", "Role"… |
properties.resourceDisplayName |
target.resource.name |
直接映射 |
resourceDisplayName |
target.resource.name |
直接映射 |
temp_display_name |
target.resource.name |
直接映射 |
id |
target.resource.product_object_id |
直接映射 |
prop_resourceId |
target.resource.product_object_id |
直接映射 |
properties.TargetObjectIds.0 |
target.resource.product_object_id |
直接映射 |
targetResourceType |
target.resource.resource_subtype |
直接映射 |
activityDisplayName |
target.resource.type |
映射的值（共 38 个，例如 Add agreement → SETTING、“删除协议”“永久删除... |
category |
target.resource.type |
映射的值（总共 18 个，例如 Agreement → SETTING、ApplicationManagement → SETTING 等） |
loggedByService |
target.resource.type |
已映射：Core Directory → SETTING |
principal_ip_present |
target.resource.type |
已映射：true → SETTING |
type |
target.resource.type |
已映射：Device → DEVICE |
kv.value |
target.url |
直接映射 |
user_attribute_labels |
target.user.attribute.labels |
已合并 |
role |
target.user.attribute.roles |
已合并 |
modifiedProperties.newValue |
target.user.department |
已合并 |
targetResourceType |
target.user.department |
已映射："Device", "User", "Directory", "Application", "Group", "ServicePrincipal", "Role"… |
activityDisplayName |
target.user.email_addresses |
已映射：Add member to role outside of PIM (permanent) → target.userPrincipalName |
kv.value |
target.user.email_addresses |
已合并 |
modifiedProperties.newValue |
target.user.email_addresses |
已合并 |
targer_user_principal_name |
target.user.email_addresses |
已映射：(^.*@.*$) → target.userPrincipalName |
target.userPrincipalName |
target.user.email_addresses |
已合并 |
targetResourceType |
target.user.email_addresses |
映射：User → target.userPrincipalName，`"Device", "User", "Directory", "Application", ... |
target_email |
target.user.email_addresses |
已合并 |
temp_display_name |
target.user.email_addresses |
已映射：(^.*@.*$) → temp_display_name |
modifiedProperties.newValue |
target.user.employee_id |
直接映射 |
modifiedProperties.newValue |
target.user.first_name |
直接映射 |
modifiedProperties.newValue |
target.user.last_name |
直接映射 |
modifiedProperties.newValue |
target.user.office_address.name |
直接映射 |
kv.value |
target.user.phone_numbers |
已合并 |
modifiedProperties.newValue |
target.user.phone_numbers |
已合并 |
mp.newValue |
target.user.phone_numbers |
已合并 |
targetResourceType |
target.user.phone_numbers |
已映射："Device", "User", "Directory", "Application", "Group", "ServicePrincipal", "Role"… |
modifiedProperties.newValue |
target.user.product_object_id |
直接映射 |
properties.targetIdentity.Id |
target.user.product_object_id |
直接映射 |
target.id |
target.user.product_object_id |
直接映射 |
userId |
target.user.product_object_id |
直接映射 |
modifiedProperties.newValue |
target.user.title |
直接映射 |
TargetResource_displayName |
target.user.user_display_name |
直接映射 |
identity |
target.user.user_display_name |
直接映射 |
modifiedProperties.newValue |
target.user.user_display_name |
直接映射 |
mp.newValue |
target.user.user_display_name |
直接映射 |
properties.TargetDisplayNames.0 |
target.user.user_display_name |
直接映射 |
properties.targetIdentity.Name |
target.user.user_display_name |
直接映射 |
properties.userDisplayName |
target.user.user_display_name |
直接映射 |
target.displayName |
target.user.user_display_name |
直接映射 |
target_user_name |
target.user.user_display_name |
直接映射 |
userPrincipalName |
target.user.user_display_name |
直接映射 |
TargetResource_id |
target.user.userid |
直接映射 |
identity |
target.user.userid |
直接映射 |
kv.value |
target.user.userid |
直接映射 |
modifiedProperties.newValue |
target.user.userid |
直接映射 |
prop_alternateSignInName |
target.user.userid |
直接映射 |
prop_signInIdentifier |
target.user.userid |
直接映射 |
prop_userPrincipalName |
target.user.userid |
直接映射 |
userPrincipalName |
target.user.userid |
直接映射 |
DATA:target_domain |
target.userPrincipalName |
直接映射 |
DATA:tgt_user_principal_name |
target.userPrincipalName |
直接映射 |
| 不适用 | extensions.auth.type |
常量：SSO |
| 不适用 | metadata.event_type |
常量：USER_LOGIN |
| 不适用 | metadata.product_name |
常量：Azure AD Directory Audit |
| 不适用 | metadata.vendor_name |
常量：Microsoft |
| 不适用 | network.http.parsed_user_agent |
常量：parseduseragent |
| 不适用 | principal.resource.type |
常量：AUDIT_LOG |
| 不适用 | security_result.priority |
常量：MEDIUM_PRIORITY |
| 不适用 | security_result.severity |
常量：INFORMATIONAL |
| 不适用 | security_result.summary |
常量：Successful login occurred |
| 不适用 | target.resource.type |
常量：DEVICE |
更新日志
需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。