Collecter les journaux de connexion Microsoft Entra ID (anciennement Azure Active Directory)

Version de l'analyseur : 8.0

Compatible avec :

Ce document explique comment collecter les journaux de connexion Microsoft Entra ID (anciennement Azure Active Directory) en configurant un flux Google Security Operations à l'aide de Microsoft Azure Blob Storage V2.

Microsoft Entra ID est un service cloud de gestion des identités et des accès. Les journaux de connexion capturent les activités d'authentification dans votre organisation, y compris les connexions utilisateur interactives, les connexions non interactives, les connexions de principal de service et les connexions d'identité gérée. Ces journaux sont essentiels pour surveiller les modèles d'accès, détecter les tentatives d'authentification suspectes et examiner les incidents de sécurité.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Accès privilégié au portail Azure avec les autorisations suivantes :
    • Créer des comptes de stockage
    • Configurer les paramètres de diagnostic pour Microsoft Entra ID
    • Gérer les clés d'accès

  • Rôle Administrateur de la sécurité ou supérieur dans Microsoft Entra ID (requis pour configurer les paramètres de diagnostic)

Configurer un compte de stockage Azure

Créer un compte de stockage

  1. Dans le portail Azure, recherchez Comptes de stockage.
  2. Cliquez sur + Créer.

  3. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Abonnement Sélectionnez votre abonnement Azure.
    Groupe de ressources Sélectionner une base de données existante ou en créer une
    Nom du compte de stockage Saisissez un nom unique (par exemple, secops-entraid-signin).
    Région Sélectionnez la région (par exemple, East US).
    Performances Standard (recommandé)
    Redondance GRS (stockage géoredondant) ou LRS (stockage localement redondant)

  4. Cliquez sur Examiner et créer.

  5. Examinez l'aperçu du compte, puis cliquez sur Créer.

  6. Attendez la fin du déploiement.

Obtenir les identifiants du compte de stockage

  1. Accédez au compte de stockage que vous venez de créer.
  2. Dans le panneau de navigation de gauche, sélectionnez Clés d'accès sous Sécurité et mise en réseau.
  3. Cliquez sur Afficher les clés.
  4. Copiez et enregistrez les éléments suivants pour les utiliser ultérieurement :
    • Nom du compte de stockage : nom de votre compte de stockage (par exemple, secops-entraid-signin)
    • Clé 1 ou Clé 2 : clé d'accès partagée (chaîne aléatoire de 512 bits encodée en base64)

Obtenir le point de terminaison du service Blob

  1. Dans le même compte de stockage, sélectionnez Points de terminaison dans le panneau de navigation de gauche.
  2. Copiez et enregistrez l'URL du point de terminaison Blob service.
    • Exemple : https://secops-entraid-signin.blob.core.windows.net/

Configurer les paramètres de diagnostic Microsoft Entra ID

Pour exporter les journaux de connexion Entra ID vers le compte de stockage :

  1. Sur le portail Azure, recherchez Microsoft Entra ID.
  2. Dans le panneau de navigation de gauche, accédez à Monitoring & health>Diagnostic settings (Surveillance et état > Paramètres de diagnostic).
  3. Cliquez sur + Ajouter un paramètre de diagnostic.
  4. Fournissez les informations de configuration suivantes :
    • Nom du paramètre de diagnostic : saisissez un nom descriptif (par exemple, signin-logs-to-secops).
    • Dans la section Journaux, sélectionnez les catégories de journaux de connexion suivantes :
      • SignInLogs : connexions interactives des utilisateurs
      • NonInteractiveUserSignInLogs : connexions utilisateur non interactives
      • ServicePrincipalSignInLogs : connexions des principaux de service et des applications
      • ManagedIdentitySignInLogs : connexions des identités gérées
      • ADFSSignInLogs : activité de connexion pour les applications Active Directory Federated Services (AD FS) (à sélectionner uniquement si AD FS est utilisé)
    • Dans la section Détails de la destination, cochez la case Archiver dans un compte de stockage.
    • Abonnement : sélectionnez l'abonnement contenant votre compte de stockage.
    • Compte de stockage : sélectionnez le compte de stockage que vous avez créé précédemment (par exemple, secops-entraid-signin).

  5. Cliquez sur Enregistrer.

Configurer un flux dans Google SecOps pour ingérer les journaux de connexion Microsoft Entra ID

Vous devez créer un flux distinct pour chaque conteneur de journaux de connexion. Le tableau suivant montre le mappage entre les conteneurs et les catégories de journaux :

Nom du conteneur Catégorie de journal
insights-logs-signinlogs Journaux de connexion interactifs
insights-logs-noninteractiveusersigninlogs Journaux de connexion non interactifs
insights-logs-serviceprincipalsigninlogs Journaux de connexion du principal de service
insights-logs-managedidentitysigninlogs Journaux de connexion des identités gérées
insights-logs-adfssigninlogs Journaux de connexion AD FS

Créer un flux pour les journaux de connexion interactive

  1. Accédez à Paramètres SIEM> Flux.
  2. Cliquez sur Ajouter un flux.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Entra ID Interactive Sign-in Logs).
  5. Sélectionnez Microsoft Azure Blob Storage V2 comme Type de source.
  6. Sélectionnez Connexion Azure AD comme Type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI Azure : saisissez l'URL du point de terminaison du service Blob avec le chemin d'accès au conteneur :
    https://secops-entraid-signin.blob.core.windows.net/insights-logs-signinlogs/

    Remplacez secops-entraid-signin par le nom de votre compte de stockage Azure.

    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix :
      • Jamais : ne supprime jamais aucun fichier après les transferts.
      • Supprimer les fichiers transférés : supprime les fichiers une fois le transfert réussi.
      • Supprimer les fichiers transférés et les répertoires vides : supprime les fichiers et les répertoires vides une fois le transfert réussi.
    • Âge maximal du fichier : incluez les fichiers modifiés au cours des derniers jours (180 jours par défaut).
    • Dans le menu déroulant d'authentification (par défaut, Clé d'accès/partagée), sélectionnez la méthode que vous souhaitez utiliser et fournissez les identifiants correspondants. Le schéma de requête exact pour chaque méthode est décrit dans la documentation de référence de l'API Feed Management :
      • Clé d'accès/partagée : dans le champ Clé, collez une clé d'accès au compte de stockage (Clé 1 ou Clé 2) que vous avez récupérée précédemment.
      • Jeton SAP : dans le champ Jeton, collez un jeton de signature d'accès partagé (SAP) émis pour le conteneur.
      • Fédération d'identité de charge de travail Azure V2 : saisissez l'ID client et l'ID de locataire de l'application Microsoft Entra. Copiez l'ID de sujet en lecture seule affiché dans le flux et configurez-le comme sujet d'un identifiant fédéré Microsoft Entra sur l'application Azure. Accordez ensuite à cette application le rôle Lecteur des données blob de stockage sur le compte de stockage.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Créer des flux pour d'autres catégories de journaux de connexion

Répétez les étapes de création de flux précédentes pour chaque conteneur de journaux de connexion supplémentaire, en utilisant les mêmes paramètres, mais avec l'URI Azure approprié :

Pour les journaux de connexion non interactive :

  • Nom du flux : Entra ID Non-interactive Sign-in Logs
  • Type de journal : Azure AD Sign-In
  • URI Azure : https://secops-entraid-signin.blob.core.windows.net/insights-logs-noninteractiveusersigninlogs/

Pour les journaux de connexion du principal de service :

  • Nom du flux : Entra ID Service Principal Sign-in Logs
  • Type de journal : Azure AD Sign-In
  • URI Azure : https://secops-entraid-signin.blob.core.windows.net/insights-logs-serviceprincipalsigninlogs/

Pour les journaux de connexion Managed Identity :

  • Nom du flux : Entra ID Managed Identity Sign-in Logs
  • Type de journal : Azure AD Sign-In
  • URI Azure : https://secops-entraid-signin.blob.core.windows.net/insights-logs-managedidentitysigninlogs/

Pour les journaux de connexion AD FS :

  • Nom du flux : Entra ID AD FS Sign-in Logs
  • Type de journal : Azure AD Sign-In

  • URI Azure : https://secops-entraid-signin.blob.core.windows.net/insights-logs-adfssigninlogs/

Configurer le pare-feu Azure Storage (s'il est activé)

Si votre compte de stockage Azure utilise un pare-feu, vous devez ajouter les plages d'adresses IP Google SecOps.

  1. Dans le portail Azure, accédez à votre compte de stockage.
  2. Sélectionnez Mise en réseau sous Sécurité et mise en réseau.
  3. Sous Pare-feu et réseaux virtuels, sélectionnez Activé à partir des réseaux virtuels et adresses IP sélectionnés.
  4. Dans la section Pare-feu, sous Plage d'adresses, cliquez sur + Ajouter une plage d'adresses IP.

  5. Ajoutez chaque plage d'adresses IP Google SecOps au format CIDR.

    Pour obtenir les plages d'adresses IP actuelles :

  6. Cliquez sur Enregistrer.

Table de mappage UDM

Champ de journal Mappage UDM Logique
AuthenticationContextClassReferences_label additional.fields Fusionné
AuthenticationProtocol_label additional.fields Fusionné
ClientCredentialType_label additional.fields Fusionné
TimeGenerated_label additional.fields Fusionné
additional_AuthenticationProtocol additional.fields Fusionné
additional_AuthenticationRequirement additional.fields Fusionné
additional_DurationMs additional.fields Fusionné
additional_ResultSignature additional.fields Fusionné
additional_TokenIssuerType additional.fields Fusionné
additional_resultSignature additional.fields Fusionné
additional_resultType additional.fields Fusionné
additional_tokenIssuerType additional.fields Fusionné
agentSubjectType_label additional.fields Fusionné
agentType_label additional.fields Fusionné
authconclassref_detail_label additional.fields Fusionné
authconclassref_id_label additional.fields Fusionné
authenticationDetail_label additional.fields Fusionné
authenticationRequirement_label additional.fields Fusionné
authentication_Detail_label additional.fields Fusionné
clientCredentialType_fields additional.fields Fusionné
conditionalAccessAudiences_label additional.fields Fusionné
conditionalAccessStatus_fields additional.fields Fusionné
conditionalAccessStatus_label additional.fields Fusionné
crossTenantAccessType_fields additional.fields Fusionné
field_ additional.fields Fusionné
incomingTokenType_fields additional.fields Fusionné
incoming_token_type_label additional.fields Fusionné
originalRequestId_label additional.fields Fusionné
originalTransferMethod_fields additional.fields Fusionné
originalTransferMethod_label additional.fields Fusionné
processingTimeInMilliseconds_label additional.fields Fusionné
prp_networkType_additional_fields additional.fields Fusionné
prp_network_names_additional_fields additional.fields Fusionné
resource_label additional.fields Fusionné
riskDetail_fields additional.fields Fusionné
riskEventTypeV2_label additional.fields Fusionné
riskEventType_label additional.fields Fusionné
riskLevelAggregated_fields additional.fields Fusionné
riskLevelDuringSignIn_fields additional.fields Fusionné
riskState_fields additional.fields Fusionné
risk_event_types_label additional.fields Fusionné
risk_event_types_v2_label additional.fields Fusionné
signInEventTypes_label additional.fields Fusionné
signInTokenProtectionStatus_fields additional.fields Fusionné
sign_In_Token_Protection_Status_fields additional.fields Fusionné
status_additional_details_label additional.fields Fusionné
has_principal extensions.auth.type Mappé : true → AUTHTYPE_UNSPECIFIED
has_target_user extensions.auth.type Mappé : true → AUTHTYPE_UNSPECIFIED
Category metadata.description Mappé directement
CreatedDateTime metadata.event_timestamp Analysé en tant que ISO8601
createdDateTime metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ssZ
properties.createdDateTime metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ssZ
when metadata.event_timestamp Analysé en tant que yyyy-MM-dd HH:mm:ss
has_principal metadata.event_type Mapped: true → USER_LOGIN, true → STATUS_UPDATE
has_target_user metadata.event_type Mappé : true → USER_LOGIN
TenantId metadata.product_deployment_id Mappé directement
tenantId metadata.product_deployment_id Mappage direct
operationName metadata.product_event_type Mappage direct
id metadata.product_log_id Mappage direct
prop_id metadata.product_log_id Mappage direct
operationVersion metadata.product_version Mappage direct
UserAgent network.http.parsed_user_agent Mappé directement
properties.userAgent network.http.parsed_user_agent Renommé/Mappé
Status_errorCode network.http.response_code Mappé directement
status.errorCode network.http.response_code Mappage direct
Browser network.http.user_agent Mappage direct
UserAgent network.http.user_agent Mappage direct
properties.userAgent network.http.user_agent Mappage direct
CorrelationId network.session_id Mappage direct
properties.sessionId network.session_id Mappage direct
appDisplayName principal.application Mappage direct
hardware principal.asset.hardware Fusionné
callerIpAddress principal.asset.ip Fusionné
ipAddress principal.asset.ip Fusionné
principal_ip principal.asset.ip Fusionné
callerIpAddress principal.ip Fusionné
ipAddress principal.ip Fusionné
principal_ip principal.ip Fusionné
City principal.location.city Mappé directement
city principal.location.city Mappage direct
city_value principal.location.city Mappage direct
CountryOrRegion principal.location.country_or_region Mappage direct
countryOrRegion principal.location.country_or_region Mappage direct
country_or_region_value principal.location.country_or_region Mappage direct
geoCoordinates_latitude principal.location.region_coordinates.latitude Mappage direct
geo_latitude principal.location.region_coordinates.latitude Mappage direct
geo_latitude_value principal.location.region_coordinates.latitude Mappage direct
geoCoordinates_longitude principal.location.region_coordinates.longitude Mappage direct
geo_longitude principal.location.region_coordinates.longitude Mappage direct
geo_longitude_value principal.location.region_coordinates.longitude Mappage direct
State principal.location.state Mappage direct
state principal.location.state Mappage direct
state_value principal.location.state Mappage direct
OperatingSystem principal.platform Mappé : Win → WINDOWS, Mac → MAC, Lin → LINUX
DeviceDetail_operatingSystem principal.platform_version Mappé directement
OperatingSystem principal.platform_version Mappage direct
ServicePrincipalId_label principal.resource.attribute.labels Fusionné
resourceServicePrincipalId_label principal.resource.attribute.labels Fusionné
userPrincipalName principal.user.email_addresses Fusionné
userDisplayName principal.user.user_display_name Mappé directement
userId principal.user.userid Mappage direct
auth_detail_sec security_result Fusionné
auth_sec_res security_result Fusionné
sec_res security_result Fusionné
sr_result security_result Fusionné
OperationName security_result.action Mappé : Sign-in activity → action
ResultType security_result.action Mappé : 0 → action
action security_result.action Fusionné
security_action security_result.action Fusionné
Category security_result.category Fusionné
OperationName security_result.category Mappé : Sign-in activity → Category
category security_result.category_details Fusionné
AADTenantId_label security_result.detection_fields Fusionné
AppOwnerTenantId_label security_result.detection_fields Fusionné
AutonomousSystemNumber_label security_result.detection_fields Fusionné
CorrelationId_label security_result.detection_fields Fusionné
CrossTenantAccessType_label security_result.detection_fields Fusionné
DeviceDetail_browser_label security_result.detection_fields Fusionné
IsTenantRestricted_label security_result.detection_fields Fusionné
IsThroughGlobalSecureAccess_label security_result.detection_fields Fusionné
TokenIssuerType_label security_result.detection_fields Fusionné
Type_label security_result.detection_fields Fusionné
UniqueTokenIdentifier_label security_result.detection_fields Fusionné
_Internal_WorkspaceResourceId_label security_result.detection_fields Fusionné
_TimeReceived_label security_result.detection_fields Fusionné
alternateSignInName_label security_result.detection_fields Fusionné
appId_label security_result.detection_fields Fusionné
appid_label security_result.detection_fields Fusionné
browser_label security_result.detection_fields Fusionné
clientAppUsed_label security_result.detection_fields Fusionné
conditionalAccessStatus_label security_result.detection_fields Fusionné
correlationId_field security_result.detection_fields Fusionné
cribl_source_label security_result.detection_fields Fusionné
cribl_topic_name_label security_result.detection_fields Fusionné
detail_label security_result.detection_fields Fusionné
deviceId_label security_result.detection_fields Fusionné
deviceName_label security_result.detection_fields Fusionné
displayName_label security_result.detection_fields Fusionné
flaggedForReview_label security_result.detection_fields Fusionné
home_id_label security_result.detection_fields Fusionné
home_tenant_name_label security_result.detection_fields Fusionné
id_label security_result.detection_fields Fusionné
isCompliant_label security_result.detection_fields Fusionné
isInteractive_label security_result.detection_fields Fusionné
isManaged_label security_result.detection_fields Fusionné
item_id_label security_result.detection_fields Fusionné
message security_result.detection_fields Mappé : cribl_pipe → cribl_topic_name_label, cribl_pipe → cribl_source_label
method_label security_result.detection_fields Fusionné
networkNames_label security_result.detection_fields Fusionné
networkType_label security_result.detection_fields Fusionné
network_Names_label security_result.detection_fields Fusionné
network_Type_label security_result.detection_fields Fusionné
network_type_label security_result.detection_fields Fusionné
operationVersion_label security_result.detection_fields Fusionné
properties_resourceDisplayName_label security_result.detection_fields Fusionné
properties_resourceId_label security_result.detection_fields Fusionné
requirement_provider_label security_result.detection_fields Fusionné
resourceOwnerTenantId_label security_result.detection_fields Fusionné
resourceTenantId_label security_result.detection_fields Fusionné
resource_group_field security_result.detection_fields Fusionné
riskDetail_label security_result.detection_fields Fusionné
riskLevelAggregated_label security_result.detection_fields Fusionné
riskLevelDuringSignIn_label security_result.detection_fields Fusionné
riskState_label security_result.detection_fields Fusionné
sessionId_label security_result.detection_fields Fusionné
sessionLifetimePolicies_label security_result.detection_fields Fusionné
siginsess_status_code_label security_result.detection_fields Fusionné
signInIdentifier_label security_result.detection_fields Fusionné
source_system_label security_result.detection_fields Fusionné
step_date_label security_result.detection_fields Fusionné
step_detail_label security_result.detection_fields Fusionné
step_requirement_label security_result.detection_fields Fusionné
tokenIssuerName_label security_result.detection_fields Fusionné
token_protection_status_details_label security_result.detection_fields Fusionné
trustType_label security_result.detection_fields Fusionné
RiskLevelDuringSignIn security_result.priority Mappé : medium → MEDIUM_PRIORITY
ResultType security_result.rule_id Mappage direct
OperationName security_result.severity Mappé : Sign-in activity → ERROR
level security_result.severity Mappé directement
level security_result.severity_details Mappé directement
OperationName security_result.summary Mappé : Sign-in activity → Successful login occurred, Sign-in activity → "Échec de la connexion…
ResultType security_result.summary Mappé : 0 → Successful login occurred
Status_failureReason security_result.summary Mappé directement
status.failureReason security_result.summary Mappage direct
AppDisplayName target.application Mappage direct
properties.appDisplayName target.application Mappage direct
resourceDisplayName target.application Mappage direct
AppId_label target.resource.attribute.labels Fusionné
identity_label target.resource.attribute.labels Fusionné
resourceIdentity_label target.resource.attribute.labels Fusionné
resourceId target.resource.name Mappé directement
ResourceId target.resource.product_object_id Mappage direct
target_role_name target.user.attribute.roles Fusionné
UserPrincipalName target.user.email_addresses Mappé : ^.+@.+$ → UserPrincipalName
properties.userPrincipalName target.user.email_addresses Fusionné
UserId target.user.product_object_id Mappé directement
Identity target.user.user_display_name Mappage direct
properties.userDisplayName target.user.user_display_name Mappage direct
UserPrincipalName target.user.userid Mappage direct
properties.userId target.user.userid Mappage direct
N/A extensions.auth.type Constante : AUTHTYPE_UNSPECIFIED
N/A metadata.event_type Constante : USER_LOGIN
N/A network.http.parsed_user_agent Constante : parseduseragent
N/A principal.platform Constante : WINDOWS
N/A security_result.priority Constante : MEDIUM_PRIORITY
N/A security_result.severity Constante : INFORMATIONAL
N/A security_result.summary Constante : Successful login occurred
properties.userId event.idm.read_only_udm.target.user.product_object_id Mappé à partir du journal des modifications
properties.appDisplayName event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
resourceDisplayName event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
clientAppUsed event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
deviceDetail.deviceId event.idm.read_only_udm.principal.asset_id et event.idm.read_only_udm.principal.asset.asset_id Mappé à partir du journal des modifications
deviceDetail.isCompliant event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
deviceDetail.isManaged event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
deviceDetail.trustType event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.deviceDetail.browser event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.deviceDetail.displayName event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
properties.appId event.idm.read_only_udm.target.resource.product_object_id Mappé à partir du journal des modifications
properties.userPrincipalName event.idm.read_only_udm.target.user.email_address Mappé à partir du journal des modifications
properties.userPrincipalName event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
properties.location.countryOrRegion event.idm.read_only_udm.principal.location.country_or_region Mappé à partir du journal des modifications
ip_address_from_resource_provider event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
properties.redirectUrl event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
properties.homeTenantName event.idm.read_only_udm.principal.user.attribute.labels Mappé à partir du journal des modifications
properties.deviceDetail.operatingSystem event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
properties.originalTransferMethod event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
properties.authenticationProtocol event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
properties.federatedCredentialId event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.servicePrincipalCredentialKeyId event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.servicePrincipalCredentialThumbprint event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.sourceAppClientId event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.appServicePrincipalId event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.signInIdentifier event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.alternateSignInName event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.riskLevelDuringSignIn event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.riskEventTypes event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.riskEventTypes_v2 event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.authenticationRequirementPolicies event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.sessionLifetimePolicies event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
properties.authenticationStrengths event.idm.read_only_udm.principal.asset.attribute.labels Mappé à partir du journal des modifications
TimeGenerated event.idm.read_only_udm.metadata.collected_timestamp Mappé à partir du journal des modifications
authenticationRequirement event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RiskEventTypes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Status.errorCode event.idm.read_only_udm.network.http.response_code Mappé à partir du journal des modifications
Status.failureReason event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
cribl.cribl_data.cribl_enrichment.topic_name event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
cribl.cribl_data.cribl_enrichment.cribl_source event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
AlternateSignInName event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
SignInIdentifier event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
DeviceDetail.deviceId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
DeviceDetail.trustType event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
TokenIssuerName event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
AADTenantId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
authdetail.authenticationMethod event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
authdetail.authenticationMethodDetail event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
authdetail.authenticationStepDateTime event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
authdetail.authenticationStepRequirement event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
authdetail.authenticationStepResultDetail event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
networklocation.networkType event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
networklocation.networkNames event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
authdetail.succeeded event.idm.read_only_udm.security_result.action_details Mappé à partir du journal des modifications
authdetail.succeeded event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
Agent.agentType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AuthenticationContextClassReferences event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AuthenticationProtocol event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AuthenticationRequirement event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ClientCredentialType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TimeGenerated event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AuthenticationProcessingDetails event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IsInteractive event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
DeviceDetail.displayName event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
OperationVersion event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
AppOwnerTenantId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
CrossTenantAccessType event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
IsTenantRestricted event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
IsThroughGlobalSecureAccess event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
Type event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
_TimeReceived event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
AuthenticationRequirementPolicies event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
CreatedDateTime event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
apc.displayName event.idm.read_only_udm.security_result.rule_name Mappé à partir du journal des modifications
apc.id event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
apc.Result event.idm.read_only_udm.security_result.rule_labels Mappé à partir du journal des modifications
apc.conditionsSatisfied event.idm.read_only_udm.security_result.rule_labels Mappé à partir du journal des modifications
apc.conditionsNotSatisfied event.idm.read_only_udm.security_result.rule_labels Mappé à partir du journal des modifications
apc.enforcedGrantControls event.idm.read_only_udm.security_result.rule_labels Mappé à partir du journal des modifications
apc.enforcedSessionControls event.idm.read_only_udm.security_result.rule_labels Mappé à partir du journal des modifications
SourceSystem event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
SessionLifetimePolicies event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
SessionId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ResourceTenantId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ResourceOwnerTenantId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
TokenProtectionStatusDetails.signInSessionStatusCode event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
TokenProtectionStatusDetails.signInSessionStatus event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
DeviceDetail.browser event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
DeviceDetail.operatingSystem event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ResourceServicePrincipalId event.idm.read_only_udm.principal.user.attribute.labels Mappé à partir du journal des modifications
ResourceIdentity event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
Resource event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ProcessingTimeInMilliseconds event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
OriginalTransferMethod event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
OriginalRequestId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Status.additionalDetails event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RiskEventTypes_V2 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IncomingTokenType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LocationDetails.city event.idm.read_only_udm.principal.location.city Mappé à partir du journal des modifications
LocationDetails.countryOrRegion event.idm.read_only_udm.principal.location.country_or_region Mappé à partir du journal des modifications
LocationDetails.state event.idm.read_only_udm.principal.location.state Mappé à partir du journal des modifications
LocationDetails.geoCoordinates.latitude event.idm.read_only_udm.principal.location.region_coordinates.latitude Mappé à partir du journal des modifications
LocationDetails.geoCoordinates.longitude event.idm.read_only_udm.principal.location.region_coordinates.longitude Mappé à partir du journal des modifications
deviceDetail.operatingSystem principal.platform Mappé à partir du journal des modifications
appId", "clientAppUsed", "conditionalAccessStatus", "deviceDetail.deviceId", "deviceDetail.deviceName", "deviceDetail.browser", "deviceDetail.isCompliant", "deviceDetail.isManaged", and "deviceDetail.trustType security_result.detection_fields Mappé à partir du journal des modifications
location.countryOrRegion principal.location.country_or_region Mappé à partir du journal des modifications
location.geoCoordinates.latitude principal.location.region_coordinates.latitude Mappé à partir du journal des modifications
location.geoCoordinates.longitude principal.location.region_coordinates.longitude Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.