Microsoft Entra ID 組織コンテキスト データ（旧 Azure Active Directory）ログを収集する

パーサーのバージョン: 12.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、サードパーティ API を使用して Google Security Operations フィードを設定し、Microsoft Entra ID（旧 Azure Active Directory）の組織コンテキスト データを収集する方法について説明します。

Microsoft Entra ID 組織コンテキストは、Microsoft Entra ID テナントからユーザー、グループ、デバイスなどのディレクトリ情報を提供します。これはイベントデータやログデータではなく、ディレクトリの状態の定期的なスナップショットです。Google SecOps の他のログタイプを ID コンテキストで拡充します。

注: 取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、AZURE_AD_CONTEXT 取り込みラベルが付加されたパーサーに適用されます。

注: このデータ型は、Microsoft Graph API を使用してディレクトリ スナップショットを取得するため（ストリーミング イベントではない）、Azure Event Hub と診断設定はこのログタイプに適用されません。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• Microsoft Azure ポータルへの特権アクセス
• 管理者の同意を付与するための次のいずれかのロール。
  • グローバル管理者 - 任意の API の任意の権限に同意を付与できます。
  • 特権ロール管理者 - 任意の API の任意の権限に同意を付与できます。

注意: Google SecOps では、サードパーティ API から取り込むログタイプを許可リストに登録する必要があります。IP 許可リストを構成するをご覧ください。

IP 許可リストを構成する

フィードを作成する前に、Microsoft Azure の掲載ネットワークの設定または条件付きアクセス ポリシーに Google SecOps の IP 範囲を追加する必要があります。これは、データソースが IP ベースの制限を適用する場合に重要です。フィードが 403 エラーを返す場合は、そこで許可リストが有効になっていることを確認します。より狭い範囲でアクセスを制限するには、サポート チケットを開いてください。

注: 公開されているリストは、Google SecOps の下り（外向き）リストではなく、Google 全体の goog.json です。Google SecOps は、フィードが特定のリージョンから送信されることを保証できません。

詳細については、IP 許可リストをご覧ください。

Google SecOps の IP 範囲を取得する

1. [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. フィード作成インターフェースに表示される IP 範囲をメモします。
4. または、Feed Management API を使用してプログラムで IP 範囲を取得します。

Workload Identity の条件付きアクセスを構成する（必要な場合）

組織で、場所によるアクセスを制限する条件付きアクセス ポリシーを使用している場合は、次の操作を行います。

1. Microsoft Entra 管理センターで、[保護] > [条件付きアクセス] > [ネームド ロケーション] に移動します。
2. [+ 新しい地域] をクリックします。
3. 次の構成情報を指定します。
   • 名前: 「Google SecOps IP Ranges」と入力します。
   • 信頼できる場所としてマークする: 省略可。セキュリティ ポリシーに基づきます。
   • IP 範囲: 各 Google SecOps IP 範囲を CIDR 表記で追加します。
4. [作成] をクリックします。
5. [Conditional Access] > [Policies] に移動します。
6. Workload Identity に適用されるポリシーについては、Google SecOps IP Ranges という名前のロケーションまたは特定のサービス プリンシパルを除外するように構成します。

Microsoft Entra アプリの登録を構成する

アプリ登録を作成する

1. Microsoft Entra 管理センターまたは Azure ポータルにログインします。
2. [ID] > [Applications] > [App registrations] に移動します。
3. [New registration] をクリックします。
4. 次の構成情報を指定します。
   • [名前]: わかりやすい名前を入力します（例: Google SecOps Entra ID Context Integration）。
   • サポートされているアカウントの種類: [この組織ディレクトリ内のアカウントのみ（単一テナント）] を選択します。
   • リダイレクト URI: 空白のままにします（サービス プリンシパル認証には必要ありません）。
5. [Register] をクリックします。
6. 登録後、次の値をコピーして保存します。
   • アプリケーション（クライアント）ID
   • ディレクトリ（テナント）ID

API 権限を構成する

フィードは、Microsoft Graph List users エンドポイントを介してユーザー ディレクトリを読み取り、各ユーザーのマネージャーを展開します。有効にするフィード オプションに一致するアプリケーション権限を付与します。

1. アプリの登録で、[API permissions] に移動します。
2. [Add a Permission] をクリックします。
3. [Microsoft Graph] > [Application permissions] を選択します。
4. 次の権限を検索して選択します。
   • User.Read.All - 必須。フィードが取り込むユーザー プロファイルとマネージャーの関係を読み取ります。
   • Group.Read.All - フィードで [Retrieve groups] を [True] に設定した場合のみ。各ユーザーのメンバーシップに対して返されたグループを読み取ります。
   • Device.Read.All - フィードで [デバイスを取得する] を [True] に設定した場合のみ。各ユーザーに関連付けられているデバイスを読み取ります。
5. [権限を追加] をクリックします。
6. [Grant admin consent for Your Organization] をクリックします。

7. [ステータス] 列に、すべての権限について [組織に付与済み] と表示されていることを確認します。

   注: [管理者の同意を付与する] ボタンが無効になっている場合は、Global Administrator または Privileged Role Administrator のロールがあることを確認してください。

   権限	種類	必要な場合
   User.Read.All	アプリケーション	常に
   Group.Read.All	アプリケーション	[グループを取得する] が [True] である
   Device.Read.All	アプリケーション	[デバイスを取得する] が True

   注: Directory.Read.All は必要ありません。これは、これら 3 つの権限すべてをカバーする、より広範な権限です。組織で単一の権限を優先する場合は、個々の権限の代わりにこの権限を付与できます。ただし、フィードは、ここに記載されている最小権限セットで動作します。
   注: 現在の AZURE_AD_CONTEXT パーサーは、ユーザー属性とマネージャー属性を UDM にマッピングします。[Retrieve groups] オプションと [Retrieve devices] オプションで取得されたグループとデバイスのデータは、UDM フィールドにマッピングされません。

クライアント シークレットを作成する

1. アプリの登録で、[Certificates & secrets] に移動します。
2. [新しいクライアント シークレット] をクリックします。

3. 次の構成情報を提供してください。

   • 説明: わかりやすい名前を入力します（例: Google SecOps Feed）。
   • Expires: 有効期限を選択します。
   注: Microsoft では、有効期限を 12 か月未満に設定することを推奨しています。最大 24 か月まで指定できます。

4. [追加] をクリックします。

5. クライアント シークレットの [値] をすぐにコピーします。

   重要: シークレット値は 1 回しか表示されず、このページを離れると取得できなくなります。値を紛失した場合は、新しいクライアント シークレットを作成する必要があります。

Microsoft Entra ID の組織コンテキスト データを取り込むように Google SecOps でフィードを構成する

フィードを構成する手順は次のとおりです。

1. [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一のフィードを構成する] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Azure AD Organizational Context）。
5. [ソースタイプ] として [サードパーティ API] を選択します。
6. [Log type] で [Azure AD Organizational Context] を選択します。
7. [次へ] をクリックします。

8. 次の入力パラメータの値を指定します。

   • OAuth クライアント ID: アプリ登録のアプリケーション（クライアント）ID を入力します。
   • OAuth クライアント シークレット: 前にコピーしたクライアント シークレットの値を入力します。
   • テナント ID: アプリ登録のディレクトリ（テナント）ID を UUID 形式（例: 0fc279f9-fe30-41be-97d3-abe1d7681418）で入力します。
   • デバイスを取得する: ユーザー コンテキスト内でデバイス情報を取得するかどうかを選択します。デバイスデータを含めるには、[True] に設定します。
   • グループを取得する: ユーザー コンテキスト内でグループ メンバーシップ情報を取得するかどうかを選択します。グループデータを含めるには、True に設定します。

   • API のフルパス: Microsoft Graph REST API エンドポイント URL:

     graph.microsoft.com/beta
     

   注: 接頭辞 https:// は含めないでください。プロトコルはフィードによって自動的に追加されます。このログタイプは、v1.0 ではなく、Microsoft Graph ベータ版エンドポイントを使用します。

   • API 認証エンドポイント: Microsoft Entra ID 認証エンドポイント:

     login.microsoftonline.com
     

   注: https:// 接頭辞または /oauth2/v2.0/token パスは含めないでください。フィードは、テナント ID を使用して完全な認証 URL を自動的に作成します。

   詳細オプション:

   • Asset namespace: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。

9. [次へ] をクリックします。

10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

注: フィードの作成後、コンテキスト データは定期的に取得されます。最初のディレクトリ スナップショットが Google SecOps に表示されるまでに、最大 24 時間かかることがあります。

リージョン エンドポイント

Sovereign Cloud での Microsoft Entra ID の Deployment には、適切なリージョン エンドポイントを使用します。

クラウド環境	API のフルパス	API 認証エンドポイント
グローバル	graph.microsoft.com/beta	login.microsoftonline.com
米国政府 L4	graph.microsoft.us/beta	login.microsoftonline.us
米国政府 L5（DOD）	dod-graph.microsoft.us/beta	login.microsoftonline.us
中国（21Vianet）	microsoftgraph.chinacloudapi.cn/beta	login.chinacloudapi.cn

注: Google SecOps のドキュメントでは、API ホスト名は商用デフォルトのオプションのオーバーライドとしてのみ記載されており、ソブリン クラウド ホストのサポートについては記載されていません。Azure Blob Storage と Event Hub のフィードタイプでは、Sovereign Cloud はサポートされていないと記載されています。ここで主権エンドポイントに依存する前に、サポートに確認してください。

UDM マッピング テーブル

ログフィールド	UDM マッピング	論理
extension_wfc_AccountType	entity.labels.value	直接マッピングされます。
extension_wfc_AccountingUnitName	entity.labels.value	直接マッピングされます。
extension_wfc_execDescription	entity.labels.value	直接マッピングされます。
extension_wfc_groupDescription	entity.labels.value	直接マッピングされます。
extension_wfc_orgDescription	entity.labels.value	直接マッピングされます。
createdDateTime	entity.user.attribute.creation_time	RFC3339 として解析
sign_in_type	entity.user.attribute.labels.key	直接マッピングされます。
assignedLicense.skuId	entity.user.attribute.labels.value	直接マッピングされます。
employeeType	entity.user.attribute.labels.value	直接マッピングされます。
empmanager-src.usageLocation	entity.user.attribute.labels.value	直接マッピングされます。
externalUserState	entity.user.attribute.labels.value	直接マッピングされます。
gopher-manager.onPremisesImmutableId	entity.user.attribute.labels.value	直接マッピングされます。
mailNickname	entity.user.attribute.labels.value	直接マッピングされます。
onPremisesDistinguishedName	entity.user.attribute.labels.value	直接マッピングされます。
onPremisesDomainName	entity.user.attribute.labels.value	直接マッピングされます。
onPremisesExtensionAttributes.extensionAttribute4	entity.user.attribute.labels.value	直接マッピングされます。
onPremisesImmutableId	entity.user.attribute.labels.value	直接マッピングされます。
onPremisesSamAccountName	entity.user.attribute.labels.value	直接マッピングされます。
refreshTokensValidFromDateTime	entity.user.attribute.labels.value	直接マッピングされます。
token_date_time	entity.user.attribute.labels.value	直接マッピングされます。
userPrincipalName	entity.user.attribute.labels.value	直接マッピングされます。
user_ou_data	entity.user.attribute.labels.value	直接マッピングされます。
userType	entity.user.attribute.roles.name	直接マッピングされます。
user_ou_data	entity.user.attribute.roles.type	マッピング済み: Admin → ADMINISTRATOR、Service Accounts → SERVICE_ACCOUNT
department	entity.user.department	統合済み
mail	entity.user.email_addresses	統合済み
proxyAddress	entity.user.email_addresses	マッピング済み: smtp/SMTP → proxyAddress
userPrincipalName	entity.user.email_addresses	統合済み
employeeId	entity.user.employee_id	名前変更 / マッピング
extension_employeeNumber	entity.user.employee_id	名前変更 / マッピング
onPremisesDomainName	entity.user.group_identifiers	統合済み
proxyAddress	entity.user.group_identifiers	統合済み
sign_in_type_manager	entity.user.managers.attribute.labels.key	直接マッピングされます。
temp	entity.user.managers.attribute.labels.key	マッピング済み: true → manager accountEnabled
empmanager-src.sbuxCompanyCode	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxCostCenter	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxDirectorySync	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxEmployeeStatus	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxEmployeeType	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxFullName	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxFullNameAKA	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxFullNameAKAAlt	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxFullNameAlt	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxGivenNameAlt	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxGlobalID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxJobNumber	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxKnownAs	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxKnownAsAlt	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxLocalMarket	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxLocalMarketEmployeeID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxManagerImmutableID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxManagerNumber	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOnTLA	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgAreaID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgDistrictID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgDivisionID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgRegionID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgShortName	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgStoreID	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgType	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxOrgUnit	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxSnAlt	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.sbuxSourceSystem	entity.user.managers.attribute.labels.value	直接マッピングされます。
empmanager-src.userPrincipalName	entity.user.managers.attribute.labels.value	直接マッピングされます。
manager_ou_data	entity.user.managers.attribute.labels.value	直接マッピングされます。
temp	entity.user.managers.attribute.labels.value	直接マッピングされます。
manager_user_type	entity.user.managers.attribute.roles.name	直接マッピングされます。
manager_ou_data	entity.user.managers.attribute.roles.type	マッピング済み: Users → ADMINISTRATOR、Service Accounts → SERVICE_ACCOUNT
empmanager-src.companyName	entity.user.managers.company_name	名前変更 / マッピング
empmanager-src.department	entity.user.managers.department	統合済み
empProxyAddress	entity.user.managers.email_addresses	マッピング済み: smtp/SMTP → empProxyAddress
empmanager-src.mail	entity.user.managers.email_addresses	統合済み
principal_name	entity.user.managers.email_addresses	統合済み
empmanager-src.employeeId	entity.user.managers.employee_id	名前変更 / マッピング
empmanager-src.extension_employeeNumber	entity.user.managers.employee_id	名前変更 / マッピング
empmanager-src.givenName	entity.user.managers.first_name	名前変更 / マッピング
empProxyAddress	entity.user.managers.group_identifiers	統合済み
empmanager-src.surname	entity.user.managers.last_name	名前変更 / マッピング
empmanager-src.city	entity.user.managers.personal_address.city	名前変更 / マッピング
country_n_code	entity.user.managers.personal_address.country_or_region	直接マッピングされます。
empmanager-src.streetAddress	entity.user.managers.personal_address.name	名前変更 / マッピング
empmanager-src.state	entity.user.managers.personal_address.state	名前変更 / マッピング
empmanager-src.businessPhones.0	entity.user.managers.phone_numbers	統合済み
empmanager-src.id	entity.user.managers.product_object_id	名前変更 / マッピング
empmanager-src.jobTitle	entity.user.managers.title	名前変更 / マッピング
empmanager-src.displayName	entity.user.managers.user_display_name	名前変更 / マッピング
empmanager-src.sAMAccountName	entity.user.managers.userid	名前変更 / マッピング
empmanager-src.onPremisesSecurityIdentifier	entity.user.managers.windows_sid	名前変更 / マッピング
country	entity.user.personal_address.country_or_region	直接マッピングされます。
usageLocation	entity.user.personal_address.country_or_region	直接マッピングされます。
phoneNumber	entity.user.phone_numbers	統合済み
onPremisesSamAccountName	entity.user.userid	名前変更 / マッピング
sAMAccountName	entity.user.userid	名前変更 / マッピング
gopher-device-item.createdDateTime	metadata.event_timestamp	RFC3339 として解析
なし	entity.labels.key	定数: wfc_AccountType
なし	entity.user.attribute.labels.key	定数: gopher-manager onPremisesImmutableId
なし	entity.user.attribute.roles.type	定数: SERVICE_ACCOUNT
なし	entity.user.managers.attribute.labels.key	定数: manager accountEnabled
なし	entity.user.managers.attribute.roles.type	定数: SERVICE_ACCOUNT
なし	entity.user.user_authentication_status	定数: ACTIVE
なし	metadata.entity_type	定数: USER
なし	metadata.event_metadata.log_type	定数: AZURE_AD_CONTEXT
なし	metadata.product_name	定数: Azure Active Directory
なし	metadata.vendor_name	定数: Microsoft

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。