Microsoft Entra ID 組織コンテキスト データ（旧 Azure Active Directory）ログを収集する

パーサーのバージョン: 12.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、サードパーティ API を使用して Google Security Operations フィードを設定し、Microsoft Entra ID（旧 Azure Active Directory）の組織コンテキスト データを収集する方法について説明します。

Microsoft Entra ID 組織コンテキストは、Microsoft Entra ID テナントのユーザー、グループ、デバイスなどのディレクトリ情報を提供します。これはイベント データやログデータではなく、ディレクトリの状態の定期的なスナップショットです。このスナップショットにより、Google SecOps の他のログタイプに ID コンテキストが追加されます。

注: 取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、AZURE_AD_CONTEXT 取り込みラベルが付加されたパーサーに適用されます。

注: このデータ型は、（ストリーミング イベントではなく）Microsoft Graph API を使用してディレクトリ スナップショットを取得するため、このログタイプには Azure Event Hub と診断設定は適用されません。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• Microsoft Azure ポータルへの特権アクセス
• 管理者による同意を付与するための次のいずれかのロール:
  • グローバル管理者 - 任意の API の任意の権限に対して同意を付与できます
  • 特権ロール管理者 - 任意の API の任意の権限に対する同意を付与できます

注意: Google SecOps では、サードパーティ API から取り込むログタイプを許可リストに登録する必要があります。IP 許可リストを構成するをご覧ください。

IP 許可リストを構成する

フィードを作成する前に、Microsoft Azure の掲載ネットワークの設定または条件付きアクセス ポリシーに Google SecOps の IP 範囲を追加する必要があります。これは、データソースが IP ベースの制限を適用する場合に重要です。フィードから 403 エラーが返された場合は、許可リストが有効になっていることを確認します。より狭い範囲でアクセスを制限するには、サポート チケットを開いてください。

注: 公開されているリストは、Google SecOps の下り（外向き）リストではなく、Google のすべての goog.json です。Google SecOps は、フィードが特定のリージョンから発信されることを保証できません。

詳細については、IP 許可リストへの登録をご覧ください。

Google SecOps の IP 範囲を取得する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. フィード作成インターフェースに表示される IP 範囲をメモします。
4. または、Feed Management API を使用して IP 範囲をプログラムで取得します。

ワークロード ID の条件付きアクセスを構成する（必要な場合）

組織で、ロケーション別にアクセスを制限する条件付きアクセス ポリシーを使用している場合は、次の操作を行います。

1. Microsoft Entra 管理センターで、[保護] > [条件付きアクセス] > [名前付きの場所] に移動します。
2. [+ 新しい地域] をクリックします。
3. 次の構成情報を指定します。
   • 名前: 「Google SecOps IP Ranges」と入力します。
   • 信頼できる場所としてマーク: 省略可。セキュリティ ポリシーに基づきます。
   • IP 範囲: 各 Google SecOps IP 範囲を CIDR 表記で追加します。
4. [作成] をクリックします。
5. [Conditional Access>Policies] に移動します。
6. Workload Identity に適用されるポリシーについては、Google SecOps IP Ranges という名前の場所または特定のサービス プリンシパルを除外するように構成します。

Microsoft Entra アプリの登録を構成する

アプリ登録を作成する

1. Microsoft Entra 管理センターまたは Azure ポータルにログインします。
2. [ID] > [Applications] > [App registrations] に移動します。
3. [New registration] をクリックします。
4. 次の構成情報を指定します。
   • 名前: わかりやすい名前を入力します（例: Google SecOps Entra ID Context Integration）。
   • サポートされているアカウントの種類: [この組織ディレクトリ内のアカウントのみ（単一テナント）] を選択します。
   • リダイレクト URI: 空白のままにします（サービス プリンシパル認証には必要ありません）。
5. [Register] をクリックします。
6. 登録後、次の値をコピーして保存します。
   • アプリケーション（クライアント）ID
   • ディレクトリ（テナント）ID

API 権限を構成する

フィードは、Microsoft Graph List users エンドポイントを介してユーザー ディレクトリを読み取り、各ユーザーのマネージャーを展開します。有効にするフィード オプションに対応するアプリケーション権限を付与します。

1. アプリの登録で、[API 権限] に移動します。
2. [Add a Permission] をクリックします。
3. [Microsoft Graph > アプリケーションの権限] を選択します。
4. 次の権限を検索して選択します。
   • User.Read.All - 必須。フィードが取り込むユーザー プロファイルと管理者との関係を読み取ります。
   • Group.Read.All - フィードで [グループを取得] を True に設定した場合のみ。各ユーザーのメンバーシップに対して返されたグループを読み取ります。
   • Device.Read.All - フィードで [デバイスを取得する] を [True] に設定した場合のみ。各ユーザーに関連付けられているデバイスを読み取ります。
5. [権限を追加] をクリックします。
6. [組織への管理者の同意を付与] をクリックします。

7. [ステータス] 列に、すべての権限に対して [組織に付与] と表示されていることを確認します。

   注: [管理者の同意を付与する] ボタンが無効になっている場合は、Global Administrator ロールまたは Privileged Role Administrator ロールがあることを確認してください。

   権限	種類	必要な場合
   User.Read.All	アプリケーション	常に
   Group.Read.All	アプリケーション	[Retrieve groups] が [True] に設定されている
   Device.Read.All	アプリケーション	[デバイスの取得] が [True] に設定されている

   注: Directory.Read.All は必須ではありません。これは、これら 3 つの権限すべてをカバーする広範な権限です。組織が単一の権限を希望する場合は、個々の権限の代わりにこの権限を付与できます。ただし、フィードはここに記載されている最小権限のセットで動作します。
   注: 現在の AZURE_AD_CONTEXT パーサーは、ユーザー属性と管理者属性を UDM にマッピングします。グループの取得オプションとデバイスの取得オプションで取得したグループとデバイスのデータは、UDM フィールドにマッピングされません。

クライアント シークレットを作成する

1. アプリの登録で、[証明書とシークレット] に移動します。
2. [新しいクライアント シークレット] をクリックします。

3. 次の構成情報を提供してください。

   • 説明: わかりやすい名前（例: Google SecOps Feed）を入力します。
   • Expires: 有効期限を選択します。
   注: Microsoft は、有効期限の値を 12 か月未満に設定することを推奨しています。最大 24 か月まで指定できます。

4. [追加] をクリックします。

5. クライアント シークレットの値をすぐにコピーします。

   重要: シークレット値は一度しか表示されず、このページを離れると取得できなくなります。値を紛失した場合は、新しいクライアント シークレットを作成する必要があります。

Microsoft Entra ID の組織コンテキスト データを取り込むように Google SecOps でフィードを構成する

フィードを構成する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Azure AD Organizational Context）。
5. [ソースタイプ] として [サードパーティ API] を選択します。
6. [Log type] で [Azure AD Organizational Context] を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を次のように指定します。

   • OAuth クライアント ID: アプリ登録のアプリケーション（クライアント）ID を入力します。
   • OAuth クライアント シークレット: 先ほどコピーしたクライアント シークレットの値を入力します。
   • テナント ID: アプリ登録のディレクトリ（テナント）ID を UUID 形式（例: 0fc279f9-fe30-41be-97d3-abe1d7681418）で入力します。
   • デバイスを取得する: ユーザー コンテキスト内でデバイス情報を取得するかどうかを選択します。デバイスデータを含めるには、True に設定します。
   • グループを取得: ユーザー コンテキスト内でグループ メンバーシップ情報を取得するかどうかを選択します。グループデータを含める場合は True に設定します。

   • API の完全パス: Microsoft Graph REST API エンドポイント URL:

     graph.microsoft.com/beta
     

   注釈: 接頭辞 https:// は含めないでください。フィードにはプロトコルが自動的に追加されます。このログタイプは、v1.0 ではなく、Microsoft Graph のベータ版エンドポイントを使用します。

   • API Authentication Endpoint: Microsoft Entra ID Authentication Endpoint:

     login.microsoftonline.com
     

   注: https:// 接頭辞または /oauth2/v2.0/token パスは含めないでください。フィードは、テナント ID を使用して完全な認証 URL を自動的に作成します。

   詳細オプション:

   • Asset namespace: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。

9. [次へ] をクリックします。

10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

注: フィードを作成すると、コンテキスト データが定期的に取得されます。最初のディレクトリ スナップショットが Google SecOps に表示されるまでに、最大で 24 時間かかることがあります。

リージョン エンドポイント

Sovereign Cloud に Microsoft Entra ID をデプロイする場合は、適切なリージョン エンドポイントを使用します。

クラウド環境	API のフルパス	API 認証エンドポイント
グローバル	graph.microsoft.com/beta	login.microsoftonline.com
米国政府 L4	graph.microsoft.us/beta	login.microsoftonline.us
米国政府 L5（DOD）	dod-graph.microsoft.us/beta	login.microsoftonline.us
中国（21Vianet）	microsoftgraph.chinacloudapi.cn/beta	login.chinacloudapi.cn

注: Google SecOps では、API ホスト名は商用デフォルトのオプションのオーバーライドとしてのみドキュメント化されており、ソブリン クラウド ホストのサポートはドキュメント化されていません。Azure Blob Storage と Event Hub のフィードタイプでは、Sovereign Cloud はサポートされていないと記載されています。ここで主権エンドポイントを使用する前に、サポートに確認してください。

UDM マッピング テーブル

ログフィールド	UDM マッピング	論理
extension_wfc_AccountType	entity.labels.value	直接マッピングされます。
extension_wfc_AccountingUnitName	entity.labels.value	直接マッピングされます。
extension_wfc_execDescription	entity.labels.value	直接マッピングされます。
extension_wfc_groupDescription	entity.labels.value	直接マッピングされます。
extension_wfc_orgDescription	entity.labels.value	直接マッピングされます。
createdDateTime	entity.user.attribute.creation_time	RFC3339 として解析済み
sign_in_type	entity.user.attribute.labels.key	直接マッピングされます。
assignedLicense.skuId	entity.user.attribute.labels.value	直接マッピングされます。
employeeType	entity.user.attribute.labels.value	直接マッピングされます。
empmanager-src.usageLocation	entity.user.attribute.labels.value	直接マッピングされます。
externalUserState	entity.user.attribute.labels.value	直接マッピングされます。
gopher-manager.onPremisesImmutableId	entity.user.attribute.labels.value	直接マッピングされます。
mailNickname	entity.user.attribute.labels.value	直接マッピングされます。
onPremisesDistinguishedName	entity.user.attribute.labels.value	直接マッピングされます。
onPremisesDomainName	entity.user.attribute.labels.value	直接マッピングされます。
onPremisesExtensionAttributes.extensionAttribute4	entity.user.attribute.labels.value	直接マッピングされます。
onPremisesImmutableId	entity.user.attribute.labels.value	直接マッピングされます。
onPremisesSamAccountName	entity.user.attribute.labels.value	直接マッピングされます。
refreshTokensValidFromDateTime	entity.user.attribute.labels.value	直接マッピングされます。
token_date_time	entity.user.attribute.labels.value	直接マッピングされます。
userPrincipalName	entity.user.attribute.labels.value	直接マッピングされます。
user_ou_data	entity.user.attribute.labels.value	直接マッピングされます。
userType	entity.user.attribute.roles.name	直接マッピングされます。
user_ou_data	entity.user.attribute.roles.type	マッピング: Admin → ADMINISTRATOR、Service Accounts → SERVICE_ACCOUNT
department	entity.user.department	統合済み
mail	entity.user.email_addresses	統合済み
proxyAddress	entity.user.email_addresses	マッピング: smtp/SMTP → proxyAddress
userPrincipalName	entity.user.email_addresses	統合済み
employeeId	entity.user.employee_id	名前変更済み/マッピング済み
extension_employeeNumber	entity.user.employee_id	名前変更済み/マッピング済み
onPremisesDomainName	entity.user.group_identifiers	統合済み
proxyAddress	entity.user.group_identifiers	統合済み
sign_in_type_manager	entity.user.managers.attribute.labels.key	直接マッピングされます。
temp	entity.user.managers.attribute.labels.key	マッピング: true → manager accountEnabled
empmanager-src.sbuxCompanyCode	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxCostCenter	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxDirectorySync	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxEmployeeStatus	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxEmployeeType	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxFullName	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxFullNameAKA	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxFullNameAKAAlt	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxFullNameAlt	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxGivenNameAlt	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxGlobalID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxJobNumber	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxKnownAs	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxKnownAsAlt	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxLocalMarket	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxLocalMarketEmployeeID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxManagerImmutableID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxManagerNumber	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOnTLA	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgAreaID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgDistrictID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgDivisionID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgRegionID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgShortName	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgStoreID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgType	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgUnit	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxSnAlt	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxSourceSystem	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.userPrincipalName	entity.user.managers.attribute.labels.value	直接マッピングされます。
manager_ou_data	entity.user.managers.attribute.labels.value	直接マッピングされます。
temp	entity.user.managers.attribute.labels.value	直接マッピングされます。
manager_user_type	entity.user.managers.attribute.roles.name	直接マッピングされます。
manager_ou_data	entity.user.managers.attribute.roles.type	マッピング: Users → ADMINISTRATOR、Service Accounts → SERVICE_ACCOUNT
empmanager-src.companyName	entity.user.managers.company_name	名前変更済み/マッピング済み
empmanager-src.department	entity.user.managers.department	統合済み
empProxyAddress	entity.user.managers.email_addresses	マッピング: smtp/SMTP → empProxyAddress
empmanager-src.mail	entity.user.managers.email_addresses	統合済み
principal_name	entity.user.managers.email_addresses	統合済み
empmanager-src.employeeId	entity.user.managers.employee_id	名前変更済み/マッピング済み
empmanager-src.extension_employeeNumber	entity.user.managers.employee_id	名前変更/マッピング
empmanager-src.givenName	entity.user.managers.first_name	名前変更済み/マッピング済み
empProxyAddress	entity.user.managers.group_identifiers	統合済み
empmanager-src.surname	entity.user.managers.last_name	名前変更済み/マッピング済み
empmanager-src.city	entity.user.managers.personal_address.city	名前変更済み/マッピング済み
country_n_code	entity.user.managers.personal_address.country_or_region	直接マッピングされます。
empmanager-src.streetAddress	entity.user.managers.personal_address.name	名前変更/マッピング
empmanager-src.state	entity.user.managers.personal_address.state	名前変更済み/マッピング済み
empmanager-src.businessPhones.0	entity.user.managers.phone_numbers	統合済み
empmanager-src.id	entity.user.managers.product_object_id	名前変更済み/マッピング済み
empmanager-src.jobTitle	entity.user.managers.title	名前変更/マッピング
empmanager-src.displayName	entity.user.managers.user_display_name	名前変更/マッピング
empmanager-src.sAMAccountName	entity.user.managers.userid	名前変更/マッピング
empmanager-src.onPremisesSecurityIdentifier	entity.user.managers.windows_sid	名前変更済み/マッピング済み
country	entity.user.personal_address.country_or_region	直接マッピングされます。
usageLocation	entity.user.personal_address.country_or_region	直接マッピングされます。
phoneNumber	entity.user.phone_numbers	統合済み
onPremisesSamAccountName	entity.user.userid	名前変更済み/マッピング済み
sAMAccountName	entity.user.userid	名前変更済み/マッピング済み
gopher-device-item.createdDateTime	metadata.event_timestamp	RFC3339 として解析済み
なし	entity.labels.key	定数: wfc_AccountType
なし	entity.user.attribute.labels.key	定数: gopher-manager onPremisesImmutableId
なし	entity.user.attribute.roles.type	定数: SERVICE_ACCOUNT
なし	entity.user.managers.attribute.labels.key	定数: manager accountEnabled
なし	entity.user.managers.attribute.roles.type	定数: SERVICE_ACCOUNT
なし	entity.user.user_authentication_status	定数: ACTIVE
なし	metadata.entity_type	定数: USER
なし	metadata.event_metadata.log_type	定数: AZURE_AD_CONTEXT
なし	metadata.product_name	定数: Azure Active Directory
なし	metadata.vendor_name	定数: Microsoft

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。