Microsoft Entra ID（旧 Azure Active Directory）のログインログを収集する

パーサーのバージョン: 8.0

以下でサポートされています。

このドキュメントでは、Microsoft Azure Blob Storage V2 を使用して Google Security Operations フィードを設定し、Microsoft Entra ID サインイン（旧称 Azure Active Directory）ログを収集する方法について説明します。

Microsoft Entra ID は、クラウドベースの ID とアクセス管理サービスです。ログイン ログには、組織全体の認証アクティビティ（ユーザーのインタラクティブなログイン、非インタラクティブなログイン、サービス プリンシパルのログイン、マネージド ID のログインなど）が記録されます。これらのログは、アクセス パターンのモニタリング、不審な認証試行の検出、セキュリティ インシデントの調査に不可欠です。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • 次の権限を持つ Azure ポータルへの特権アクセス権:
    • ストレージ アカウントを作成する
    • Microsoft Entra ID の診断設定を構成する
    • アクセスキーを管理する

  • Microsoft Entra ID のセキュリティ管理者ロール以上（診断設定の構成に必要）

Azure Storage アカウントを構成する

ストレージ アカウントを作成する

  1. Azure ポータルで、[ストレージ アカウント] を検索します。
  2. [+ 作成] をクリックします。

  3. 次の構成情報を提供してください。

    設定 値
    サブスクリプション Azure サブスクリプションを選択する
    リソース グループ 既存のものを選択するか、新しいものを作成する
    ストレージ アカウント名 一意の名前を入力します（例: secops-entraid-signin）。
    リージョン リージョンを選択します（例: East US）。
    パフォーマンス 標準（推奨）
    冗長性 GRS（Geo 冗長ストレージ）または LRS（ローカル冗長ストレージ）

  4. [Review + create] をクリックします。

  5. アカウントの概要を確認して、[作成] をクリックします。

  6. デプロイが完了するまで待ちます。

ストレージ アカウントの認証情報を取得する

  1. 作成した [ストレージ アカウント] に移動します。
  2. 左側のナビゲーションで、[セキュリティとネットワーキング] の [アクセスキー] を選択します。
  3. [キーを表示] をクリックします。
  4. 後で使用できるように、次の値をコピーして保存します。
    • ストレージ アカウント名: ストレージ アカウント名（例: secops-entraid-signin）
    • キー 1 またはキー 2: 共有アクセスキー（base64 でエンコードされた 512 ビットのランダムな文字列）

Blob Service エンドポイントを取得する

  1. 同じストレージ アカウントで、左側のナビゲーションから [エンドポイント] を選択します。
  2. Blob サービスのエンドポイント URL をコピーして保存します。
    • 例: https://secops-entraid-signin.blob.core.windows.net/

Microsoft Entra ID の診断設定を構成する

Entra ID のサインイン ログをストレージ アカウントにエクスポートするには:

  1. Azure ポータルで、Microsoft Entra ID を検索します。
  2. 左側のナビゲーションで、[モニタリングとヘルス] > [診断設定] に移動します。
  3. [+ 診断設定を追加] をクリックします。
  4. 次の構成の詳細を指定します。
    • 診断設定名: わかりやすい名前を入力します（例: signin-logs-to-secops）。
    • [ログ] セクションで、次のログインログ カテゴリを選択します。
      • SignInLogs: ユーザーのインタラクティブ ログイン
      • NonInteractiveUserSignInLogs: 非インタラクティブ ユーザーのログイン
      • ServicePrincipalSignInLogs: サービス プリンシパルとアプリケーションのサインイン
      • ManagedIdentitySignInLogs: マネージド ID のログイン
      • ADFSSignInLogs: Active Directory フェデレーション サービス（AD FS）アプリケーションのログイン アクティビティ（AD FS を使用している場合にのみ選択）
    • [宛先の詳細] セクションで、[ストレージ アカウントにアーカイブする] チェックボックスをオンにします。
    • サブスクリプション: ストレージ アカウントを含むサブスクリプションを選択します。
    • ストレージ アカウント: 先ほど作成したストレージ アカウント（secops-entraid-signin など）を選択します。

  5. [保存] をクリックします。

Microsoft Entra ID のログインログを取り込むように Google SecOps でフィードを構成する

ログインログ コンテナごとに個別のフィードを作成する必要があります。次の表に、コンテナとログカテゴリのマッピングを示します。

コンテナ名 ログカテゴリ
insights-logs-signinlogs インタラクティブなログインログ
insights-logs-noninteractiveusersigninlogs 非対話型ログインログ
insights-logs-serviceprincipalsigninlogs サービス プリンシパルのログイン ログ
insights-logs-managedidentitysigninlogs マネージド ID のログインログ
insights-logs-adfssigninlogs AD FS ログインログ

インタラクティブ ログインログのフィードを作成する

  1. [SIEM 設定] > [フィード] に移動します。
  2. [Add New Feed] をクリックします。
  3. 次のページで、[単一のフィードを設定] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Entra ID Interactive Sign-in Logs）。
  5. [ソースタイプ] で [Microsoft Azure Blob Storage V2] を選択します。
  6. [ログタイプ] として [Azure AD Sign-In] を選択します。
  7. [次へ] をクリックします。

  8. 次の入力パラメータの値を指定します。

    • Azure URI: コンテナパスを含む Blob Service エンドポイント URL を入力します。
    https://secops-entraid-signin.blob.core.windows.net/insights-logs-signinlogs/

    secops-entraid-signin は、Azure ストレージ アカウントの名前に置き換えます。

    • Source deletion option: 必要に応じて削除オプションを選択します。
      • なし: 転送後にファイルを削除しません。
      • 転送されたファイルを削除する: 転送が完了した後にファイルを削除します。
      • 転送されたファイルと空のディレクトリを削除する: 転送が完了した後にファイルと空のディレクトリを削除します。
    • ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます（デフォルトは 180 日）。
    • 認証プルダウン（デフォルトは [アクセスキー/共有キー]）から、使用するメソッドを選択し、対応する認証情報を入力します。各メソッドの正確なリクエスト スキーマについては、Feed Management API リファレンスをご覧ください。
      • アクセスキー/共有キー: [キー] フィールドに、以前にキャプチャしたストレージ アカウントのアクセスキー（キー 1 またはキー 2）を貼り付けます。
      • SAS トークン: [トークン] フィールドに、コンテナ用に発行された Shared Access Signature（SAS）トークンを貼り付けます。
      • Azure V2 Workload Identity 連携: Microsoft Entra アプリケーションのクライアント ID とテナント ID を入力します。フィードに表示される読み取り専用のサブジェクト ID をコピーし、Azure アプリケーションの Microsoft Entra 連携認証情報のサブジェクトとして構成します。次に、そのアプリケーションにストレージ アカウントの Storage Blob Data Reader ロールを付与します。
    • アセットの名前空間: アセットの名前空間
    • Ingestion labels: このフィードのイベントに適用されるラベル

  9. [次へ] をクリックします。

  10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

他のログインログ カテゴリのフィードを作成する

追加のサインイン ログ コンテナごとに、上記の手順を繰り返します。同じ設定を使用しますが、適切な Azure URI を使用します。

非インタラクティブなログインログの場合:

  • フィード名: Entra ID Non-interactive Sign-in Logs
  • ログタイプ: Azure AD Sign-In
  • Azure URI: https://secops-entraid-signin.blob.core.windows.net/insights-logs-noninteractiveusersigninlogs/

サービス プリンシパルのログインログの場合:

  • フィード名: Entra ID Service Principal Sign-in Logs
  • ログタイプ: Azure AD Sign-In
  • Azure URI: https://secops-entraid-signin.blob.core.windows.net/insights-logs-serviceprincipalsigninlogs/

マネージド ID のログインログの場合:

  • フィード名: Entra ID Managed Identity Sign-in Logs
  • ログタイプ: Azure AD Sign-In
  • Azure URI: https://secops-entraid-signin.blob.core.windows.net/insights-logs-managedidentitysigninlogs/

AD FS ログインログの場合:

  • フィード名: Entra ID AD FS Sign-in Logs
  • ログタイプ: Azure AD Sign-In

  • Azure URI: https://secops-entraid-signin.blob.core.windows.net/insights-logs-adfssigninlogs/

Azure Storage ファイアウォールを構成する（有効になっている場合）

Azure Storage アカウントでファイアウォールを使用している場合は、Google SecOps の IP 範囲を追加する必要があります。

  1. Azure ポータルで、ストレージ アカウントに移動します。
  2. [セキュリティとネットワーキング] で [ネットワーキング] を選択します。
  3. [ファイアウォールと仮想ネットワーク] で、[選択した仮想ネットワークと IP アドレスから有効にする] を選択します。
  4. [ファイアウォール] セクションの [アドレス範囲] で、[+ IP 範囲を追加] をクリックします。

  5. 各 Google SecOps IP 範囲を CIDR 表記で追加します。

    現在の IP 範囲を取得するには:

  6. [保存] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
AuthenticationContextClassReferences_label additional.fields 統合済み
AuthenticationProtocol_label additional.fields 統合済み
ClientCredentialType_label additional.fields 統合済み
TimeGenerated_label additional.fields 統合済み
additional_AuthenticationProtocol additional.fields 統合済み
additional_AuthenticationRequirement additional.fields 統合済み
additional_DurationMs additional.fields 統合済み
additional_ResultSignature additional.fields 統合済み
additional_TokenIssuerType additional.fields 統合済み
additional_resultSignature additional.fields 統合済み
additional_resultType additional.fields 統合済み
additional_tokenIssuerType additional.fields 統合済み
agentSubjectType_label additional.fields 統合済み
agentType_label additional.fields 統合済み
authconclassref_detail_label additional.fields 統合済み
authconclassref_id_label additional.fields 統合済み
authenticationDetail_label additional.fields 統合済み
authenticationRequirement_label additional.fields 統合済み
authentication_Detail_label additional.fields 統合済み
clientCredentialType_fields additional.fields 統合済み
conditionalAccessAudiences_label additional.fields 統合済み
conditionalAccessStatus_fields additional.fields 統合済み
conditionalAccessStatus_label additional.fields 統合済み
crossTenantAccessType_fields additional.fields 統合済み
field_ additional.fields 統合済み
incomingTokenType_fields additional.fields 統合済み
incoming_token_type_label additional.fields 統合済み
originalRequestId_label additional.fields 統合済み
originalTransferMethod_fields additional.fields 統合済み
originalTransferMethod_label additional.fields 統合済み
processingTimeInMilliseconds_label additional.fields 統合済み
prp_networkType_additional_fields additional.fields 統合済み
prp_network_names_additional_fields additional.fields 統合済み
resource_label additional.fields 統合済み
riskDetail_fields additional.fields 統合済み
riskEventTypeV2_label additional.fields 統合済み
riskEventType_label additional.fields 統合済み
riskLevelAggregated_fields additional.fields 統合済み
riskLevelDuringSignIn_fields additional.fields 統合済み
riskState_fields additional.fields 統合済み
risk_event_types_label additional.fields 統合済み
risk_event_types_v2_label additional.fields 統合済み
signInEventTypes_label additional.fields 統合済み
signInTokenProtectionStatus_fields additional.fields 統合済み
sign_In_Token_Protection_Status_fields additional.fields 統合済み
status_additional_details_label additional.fields 統合済み
has_principal extensions.auth.type マッピング: true → AUTHTYPE_UNSPECIFIED
has_target_user extensions.auth.type マッピング: true → AUTHTYPE_UNSPECIFIED
Category metadata.description 直接マッピングされます。
CreatedDateTime metadata.event_timestamp ISO8601 として解析済み
createdDateTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ として解析済み
properties.createdDateTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ として解析済み
when metadata.event_timestamp yyyy-MM-dd HH:mm:ss として解析済み
has_principal metadata.event_type マッピング: true → USER_LOGIN、true → STATUS_UPDATE
has_target_user metadata.event_type マッピング: true → USER_LOGIN
TenantId metadata.product_deployment_id 直接マッピングされます。
tenantId metadata.product_deployment_id 直接マッピングされます。
operationName metadata.product_event_type 直接マッピングされます。
id metadata.product_log_id 直接マッピングされます。
prop_id metadata.product_log_id 直接マッピングされます。
operationVersion metadata.product_version 直接マッピングされます。
UserAgent network.http.parsed_user_agent 直接マッピングされます。
properties.userAgent network.http.parsed_user_agent 名前変更済み/マッピング済み
Status_errorCode network.http.response_code 直接マッピングされます。
status.errorCode network.http.response_code 直接マッピングされます。
Browser network.http.user_agent 直接マッピングされます。
UserAgent network.http.user_agent 直接マッピングされます。
properties.userAgent network.http.user_agent 直接マッピングされます。
CorrelationId network.session_id 直接マッピングされます。
properties.sessionId network.session_id 直接マッピングされます。
appDisplayName principal.application 直接マッピングされます。
hardware principal.asset.hardware 統合済み
callerIpAddress principal.asset.ip 統合済み
ipAddress principal.asset.ip 統合済み
principal_ip principal.asset.ip 統合済み
callerIpAddress principal.ip 統合済み
ipAddress principal.ip 統合済み
principal_ip principal.ip 統合済み
City principal.location.city 直接マッピングされます。
city principal.location.city 直接マッピングされます。
city_value principal.location.city 直接マッピングされます。
CountryOrRegion principal.location.country_or_region 直接マッピングされます。
countryOrRegion principal.location.country_or_region 直接マッピングされます。
country_or_region_value principal.location.country_or_region 直接マッピングされます。
geoCoordinates_latitude principal.location.region_coordinates.latitude 直接マッピングされます。
geo_latitude principal.location.region_coordinates.latitude 直接マッピングされます。
geo_latitude_value principal.location.region_coordinates.latitude 直接マッピングされます。
geoCoordinates_longitude principal.location.region_coordinates.longitude 直接マッピングされます。
geo_longitude principal.location.region_coordinates.longitude 直接マッピングされます。
geo_longitude_value principal.location.region_coordinates.longitude 直接マッピングされます。
State principal.location.state 直接マッピングされます。
state principal.location.state 直接マッピングされます。
state_value principal.location.state 直接マッピングされます。
OperatingSystem principal.platform マッピング: Win → WINDOWS、Mac → MAC、Lin → LINUX
DeviceDetail_operatingSystem principal.platform_version 直接マッピングされます。
OperatingSystem principal.platform_version 直接マッピングされます。
ServicePrincipalId_label principal.resource.attribute.labels 統合済み
resourceServicePrincipalId_label principal.resource.attribute.labels 統合済み
userPrincipalName principal.user.email_addresses 統合済み
userDisplayName principal.user.user_display_name 直接マッピングされます。
userId principal.user.userid 直接マッピングされます。
auth_detail_sec security_result 統合済み
auth_sec_res security_result 統合済み
sec_res security_result 統合済み
sr_result security_result 統合済み
OperationName security_result.action マッピング: Sign-in activity → action
ResultType security_result.action マッピング: 0 → action
action security_result.action 統合済み
security_action security_result.action 統合済み
Category security_result.category 統合済み
OperationName security_result.category マッピング: Sign-in activity → Category
category security_result.category_details 統合済み
AADTenantId_label security_result.detection_fields 統合済み
AppOwnerTenantId_label security_result.detection_fields 統合済み
AutonomousSystemNumber_label security_result.detection_fields 統合済み
CorrelationId_label security_result.detection_fields 統合済み
CrossTenantAccessType_label security_result.detection_fields 統合済み
DeviceDetail_browser_label security_result.detection_fields 統合済み
IsTenantRestricted_label security_result.detection_fields 統合済み
IsThroughGlobalSecureAccess_label security_result.detection_fields 統合済み
TokenIssuerType_label security_result.detection_fields 統合済み
Type_label security_result.detection_fields 統合済み
UniqueTokenIdentifier_label security_result.detection_fields 統合済み
_Internal_WorkspaceResourceId_label security_result.detection_fields 統合済み
_TimeReceived_label security_result.detection_fields 統合済み
alternateSignInName_label security_result.detection_fields 統合済み
appId_label security_result.detection_fields 統合済み
appid_label security_result.detection_fields 統合済み
browser_label security_result.detection_fields 統合済み
clientAppUsed_label security_result.detection_fields 統合済み
conditionalAccessStatus_label security_result.detection_fields 統合済み
correlationId_field security_result.detection_fields 統合済み
cribl_source_label security_result.detection_fields 統合済み
cribl_topic_name_label security_result.detection_fields 統合済み
detail_label security_result.detection_fields 統合済み
deviceId_label security_result.detection_fields 統合済み
deviceName_label security_result.detection_fields 統合済み
displayName_label security_result.detection_fields 統合済み
flaggedForReview_label security_result.detection_fields 統合済み
home_id_label security_result.detection_fields 統合済み
home_tenant_name_label security_result.detection_fields 統合済み
id_label security_result.detection_fields 統合済み
isCompliant_label security_result.detection_fields 統合済み
isInteractive_label security_result.detection_fields 統合済み
isManaged_label security_result.detection_fields 統合済み
item_id_label security_result.detection_fields 統合済み
message security_result.detection_fields マッピング: cribl_pipe → cribl_topic_name_label、cribl_pipe → cribl_source_label
method_label security_result.detection_fields 統合済み
networkNames_label security_result.detection_fields 統合済み
networkType_label security_result.detection_fields 統合済み
network_Names_label security_result.detection_fields 統合済み
network_Type_label security_result.detection_fields 統合済み
network_type_label security_result.detection_fields 統合済み
operationVersion_label security_result.detection_fields 統合済み
properties_resourceDisplayName_label security_result.detection_fields 統合済み
properties_resourceId_label security_result.detection_fields 統合済み
requirement_provider_label security_result.detection_fields 統合済み
resourceOwnerTenantId_label security_result.detection_fields 統合済み
resourceTenantId_label security_result.detection_fields 統合済み
resource_group_field security_result.detection_fields 統合済み
riskDetail_label security_result.detection_fields 統合済み
riskLevelAggregated_label security_result.detection_fields 統合済み
riskLevelDuringSignIn_label security_result.detection_fields 統合済み
riskState_label security_result.detection_fields 統合済み
sessionId_label security_result.detection_fields 統合済み
sessionLifetimePolicies_label security_result.detection_fields 統合済み
siginsess_status_code_label security_result.detection_fields 統合済み
signInIdentifier_label security_result.detection_fields 統合済み
source_system_label security_result.detection_fields 統合済み
step_date_label security_result.detection_fields 統合済み
step_detail_label security_result.detection_fields 統合済み
step_requirement_label security_result.detection_fields 統合済み
tokenIssuerName_label security_result.detection_fields 統合済み
token_protection_status_details_label security_result.detection_fields 統合済み
trustType_label security_result.detection_fields 統合済み
RiskLevelDuringSignIn security_result.priority マッピング: medium → MEDIUM_PRIORITY
ResultType security_result.rule_id 直接マッピングされます。
OperationName security_result.severity マッピング: Sign-in activity → ERROR
level security_result.severity 直接マッピングされます。
level security_result.severity_details 直接マッピングされます。
OperationName security_result.summary マッピング: Sign-in activity → Successful login occurred、Sign-in activity → 「ログインに失敗しました...
ResultType security_result.summary マッピング: 0 → Successful login occurred
Status_failureReason security_result.summary 直接マッピングされます。
status.failureReason security_result.summary 直接マッピングされます。
AppDisplayName target.application 直接マッピングされます。
properties.appDisplayName target.application 直接マッピングされます。
resourceDisplayName target.application 直接マッピングされます。
AppId_label target.resource.attribute.labels 統合済み
identity_label target.resource.attribute.labels 統合済み
resourceIdentity_label target.resource.attribute.labels 統合済み
resourceId target.resource.name 直接マッピングされます。
ResourceId target.resource.product_object_id 直接マッピングされます。
target_role_name target.user.attribute.roles 統合済み
UserPrincipalName target.user.email_addresses マッピング: ^.+@.+$ → UserPrincipalName
properties.userPrincipalName target.user.email_addresses 統合済み
UserId target.user.product_object_id 直接マッピングされます。
Identity target.user.user_display_name 直接マッピングされます。
properties.userDisplayName target.user.user_display_name 直接マッピングされます。
UserPrincipalName target.user.userid 直接マッピングされます。
properties.userId target.user.userid 直接マッピングされます。
該当なし extensions.auth.type 定数: AUTHTYPE_UNSPECIFIED
該当なし metadata.event_type 定数: USER_LOGIN
該当なし network.http.parsed_user_agent 定数: parseduseragent
該当なし principal.platform 定数: WINDOWS
該当なし security_result.priority 定数: MEDIUM_PRIORITY
該当なし security_result.severity 定数: INFORMATIONAL
該当なし security_result.summary 定数: Successful login occurred
properties.userId event.idm.read_only_udm.target.user.product_object_id 変更履歴からマッピング
properties.appDisplayName event.idm.read_only_udm.target.application 変更履歴からマッピング
resourceDisplayName event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
clientAppUsed event.idm.read_only_udm.principal.application 変更履歴からマッピング
deviceDetail.deviceId event.idm.read_only_udm.principal.asset_id と event.idm.read_only_udm.principal.asset.asset_id 変更履歴からマッピング
deviceDetail.isCompliant event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
deviceDetail.isManaged event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
deviceDetail.trustType event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.deviceDetail.browser event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.deviceDetail.displayName event.idm.read_only_udm.principal.hostname と event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
properties.appId event.idm.read_only_udm.target.resource.product_object_id 変更履歴からマッピング
properties.userPrincipalName event.idm.read_only_udm.target.user.email_address 変更履歴からマッピング
properties.userPrincipalName event.idm.read_only_udm.target.user.userid 変更履歴からマッピング
properties.location.countryOrRegion event.idm.read_only_udm.principal.location.country_or_region 変更履歴からマッピング
ip_address_from_resource_provider event.idm.read_only_udm.target.ip と event.idm.read_only_udm.target.asset.ip 変更履歴からマッピング
properties.redirectUrl event.idm.read_only_udm.target.url 変更履歴からマッピング
properties.homeTenantName event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
properties.deviceDetail.operatingSystem event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
properties.originalTransferMethod event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
properties.authenticationProtocol event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
properties.federatedCredentialId event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.servicePrincipalCredentialKeyId event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.servicePrincipalCredentialThumbprint event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.sourceAppClientId event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.appServicePrincipalId event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.signInIdentifier event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.alternateSignInName event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.riskLevelDuringSignIn event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.riskEventTypes event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.riskEventTypes_v2 event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.authenticationRequirementPolicies event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.sessionLifetimePolicies event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
properties.authenticationStrengths event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
TimeGenerated event.idm.read_only_udm.metadata.collected_timestamp 変更履歴からマッピング
authenticationRequirement event.idm.read_only_udm.additional.fields 変更履歴からマッピング
RiskEventTypes event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Status.errorCode event.idm.read_only_udm.network.http.response_code 変更履歴からマッピング
Status.failureReason event.idm.read_only_udm.security_result.summary 変更履歴からマッピング
cribl.cribl_data.cribl_enrichment.topic_name event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
cribl.cribl_data.cribl_enrichment.cribl_source event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
AlternateSignInName event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
SignInIdentifier event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
DeviceDetail.deviceId event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
DeviceDetail.trustType event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
TokenIssuerName event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
AADTenantId event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
authdetail.authenticationMethod event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
authdetail.authenticationMethodDetail event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
authdetail.authenticationStepDateTime event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
authdetail.authenticationStepRequirement event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
authdetail.authenticationStepResultDetail event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
networklocation.networkType event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
networklocation.networkNames event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
authdetail.succeeded event.idm.read_only_udm.security_result.action_details 変更履歴からマッピング
authdetail.succeeded event.idm.read_only_udm.security_result.action 変更履歴からマッピング
Agent.agentType event.idm.read_only_udm.additional.fields 変更履歴からマッピング
AuthenticationContextClassReferences event.idm.read_only_udm.additional.fields 変更履歴からマッピング
AuthenticationProtocol event.idm.read_only_udm.additional.fields 変更履歴からマッピング
AuthenticationRequirement event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ClientCredentialType event.idm.read_only_udm.additional.fields 変更履歴からマッピング
TimeGenerated event.idm.read_only_udm.additional.fields 変更履歴からマッピング
AuthenticationProcessingDetails event.idm.read_only_udm.additional.fields 変更履歴からマッピング
IsInteractive event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
DeviceDetail.displayName event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
OperationVersion event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
AppOwnerTenantId event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
CrossTenantAccessType event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
IsTenantRestricted event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
IsThroughGlobalSecureAccess event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
Type event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
_TimeReceived event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
AuthenticationRequirementPolicies event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
CreatedDateTime event.idm.read_only_udm.metadata.event_timestamp 変更履歴からマッピング
apc.displayName event.idm.read_only_udm.security_result.rule_name 変更履歴からマッピング
apc.id event.idm.read_only_udm.security_result.rule_id 変更履歴からマッピング
apc.Result event.idm.read_only_udm.security_result.rule_labels 変更履歴からマッピング
apc.conditionsSatisfied event.idm.read_only_udm.security_result.rule_labels 変更履歴からマッピング
apc.conditionsNotSatisfied event.idm.read_only_udm.security_result.rule_labels 変更履歴からマッピング
apc.enforcedGrantControls event.idm.read_only_udm.security_result.rule_labels 変更履歴からマッピング
apc.enforcedSessionControls event.idm.read_only_udm.security_result.rule_labels 変更履歴からマッピング
SourceSystem event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
SessionLifetimePolicies event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
SessionId event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
ResourceTenantId event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
ResourceOwnerTenantId event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
TokenProtectionStatusDetails.signInSessionStatusCode event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
TokenProtectionStatusDetails.signInSessionStatus event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
DeviceDetail.browser event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
DeviceDetail.operatingSystem event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
ResourceServicePrincipalId event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
ResourceIdentity event.idm.read_only_udm.target.resource.attribute.labels 変更履歴からマッピング
Resource event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ProcessingTimeInMilliseconds event.idm.read_only_udm.additional.fields 変更履歴からマッピング
OriginalTransferMethod event.idm.read_only_udm.additional.fields 変更履歴からマッピング
OriginalRequestId event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Status.additionalDetails event.idm.read_only_udm.additional.fields 変更履歴からマッピング
RiskEventTypes_V2 event.idm.read_only_udm.additional.fields 変更履歴からマッピング
IncomingTokenType event.idm.read_only_udm.additional.fields 変更履歴からマッピング
LocationDetails.city event.idm.read_only_udm.principal.location.city 変更履歴からマッピング
LocationDetails.countryOrRegion event.idm.read_only_udm.principal.location.country_or_region 変更履歴からマッピング
LocationDetails.state event.idm.read_only_udm.principal.location.state 変更履歴からマッピング
LocationDetails.geoCoordinates.latitude event.idm.read_only_udm.principal.location.region_coordinates.latitude 変更履歴からマッピング
LocationDetails.geoCoordinates.longitude event.idm.read_only_udm.principal.location.region_coordinates.longitude 変更履歴からマッピング
deviceDetail.operatingSystem principal.platform 変更履歴からマッピング
appId", "clientAppUsed", "conditionalAccessStatus", "deviceDetail.deviceId", "deviceDetail.deviceName", "deviceDetail.browser", "deviceDetail.isCompliant", "deviceDetail.isManaged", and "deviceDetail.trustType security_result.detection_fields 変更履歴からマッピング
location.countryOrRegion principal.location.country_or_region 変更履歴からマッピング
location.geoCoordinates.latitude principal.location.region_coordinates.latitude 変更履歴からマッピング
location.geoCoordinates.longitude principal.location.region_coordinates.longitude 変更履歴からマッピング

変更履歴

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。