Jamf Pro コンテキスト ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Cloud Run functions、Pub/Sub、Cloud Scheduler で Cloud Storage を使用して、Jamf Pro コンテキスト ログ（デバイスとユーザーのコンテキスト）を Google Security Operations に取り込む方法について説明します。Jamf Pro は、Apple デバイス向けの包括的な管理ソリューションで、デバイス インベントリ、ユーザー コンテキスト、構成管理機能を提供します。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• Cloud Storage API が有効になっている Google Cloud プロジェクト
• Cloud Storage バケットを作成して管理する権限
• Cloud Storage バケットの IAM ポリシーを管理する権限
• Cloud Run サービス、Pub/Sub トピック、Cloud Scheduler ジョブを作成する権限
• Jamf Pro テナントへの特権アクセス

Jamf API ロールを構成する

1. Jamf ウェブ UI にログインします。
2. [設定] > [システム] セクション > [API のロールとクライアント] に移動します。
3. [API Roles] タブを選択します。
4. [New] をクリックします。
5. API ロールの表示名（context_role など）を入力します。

6. [Jamf Pro API ロールの権限] で、権限の名前を入力し、メニューから選択します。

   • コンピュータ インベントリ
   • モバイル デバイスのインベントリ
   注: 完了するまで、権限を追加し続けることができます。

7. [保存] をクリックします。

Jamf API クライアントを構成する

1. Jamf Pro で、[設定> システム セクション> API の役割とクライアント] に移動します。
2. [API クライアント] タブを選択します。
3. [New] をクリックします。
4. API クライアントの表示名（context_client など）を入力します。
5. [API Roles] フィールドに、前に作成した context_role ロールを追加します。
6. [アクセス トークンの有効期間] に、アクセス トークンが有効になる時間を秒単位で入力します。
7. [保存] をクリックします。
8. [編集] をクリックします。
9. [API クライアントを有効にする] をクリックします。
10. [保存] をクリックします。

Jamf クライアント シークレットを構成する

1. Jamf Pro で、新しく作成した API クライアントに移動します。
2. [Generate Client Secret] をクリックします。
3. 確認画面で [シークレットを作成] をクリックします。
4. 次のパラメータを安全な場所に保存します。
   • ベース URL: https://<your>.jamfcloud.com
   • クライアント ID: UUID。
   • クライアント シークレット: 値は 1 回だけ表示されます。

Cloud Storage バケットを作成する

1. Google Cloud コンソールに移動します。
2. プロジェクトを選択するか、新しいプロジェクトを作成します。
3. ナビゲーション メニューで、[Cloud Storage > バケット] に移動します。
4. [バケットを作成] をクリックします。

5. 次の構成情報を提供してください。

   設定	値
   バケットに名前を付ける	グローバルに一意の名前（jamfpro など）を入力します。
   ロケーション タイプ	ニーズに応じて選択します（リージョン、デュアルリージョン、マルチリージョン）。
   ロケーション	場所を選択します（例: us-central1）。
   ストレージ クラス	Standard（アクセス頻度の高いログにおすすめ）
   アクセス制御	均一（推奨）
   保護ツール	省略可: オブジェクトのバージョニングまたは保持ポリシーを有効にする

6. [作成] をクリックします。

Cloud Run functions のサービス アカウントを作成する

Cloud Run functions には、Cloud Storage バケットに書き込み、Pub/Sub によって呼び出される権限を持つサービス アカウントが必要です。

サービス アカウントの作成

1. コンソールで、[IAM と管理 > サービス アカウント] に移動します。
2. [サービス アカウントを作成] をクリックします。
3. 次の構成情報を指定します。
   • サービス アカウント名: 「jamf-pro-collector-sa」と入力します。
   • サービス アカウントの説明: 「Service account for Cloud Run function to collect Jamf Pro context logs」と入力します。
4. [作成して続行] をクリックします。
5. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、次のロールを追加します。
   1. [ロールを選択] をクリックします。
   2. [ストレージ オブジェクト管理者] を検索して選択します。
   3. [+ 別のロールを追加] をクリックします。
   4. [Cloud Run 起動元] を検索して選択します。
   5. [+ 別のロールを追加] をクリックします。
   6. [Cloud Functions 起動元] を検索して選択します。
6. [続行] をクリックします。
7. [完了] をクリックします。

これらのロールは、次の操作に必要です。

• Storage オブジェクト管理者: ログを Cloud Storage バケットに書き込み、状態ファイルを管理する
• Cloud Run 起動元: Pub/Sub が関数を呼び出すことを許可します。
• Cloud Functions 起動元: 関数の呼び出しを許可する

Cloud Storage バケットに対する IAM 権限を付与する

Cloud Storage バケットに対する書き込み権限をサービス アカウントに付与します。

1. [Cloud Storage] > [バケット] に移動します。
2. バケット名をクリックします。
3. [権限] タブに移動します。
4. [アクセス権を付与] をクリックします。
5. 次の構成情報を指定します。
   • プリンシパルを追加: サービス アカウントのメールアドレス（例: jamf-pro-collector-sa@PROJECT_ID.iam.gserviceaccount.com）を入力します。
   • ロールを割り当てる: [ストレージ オブジェクト管理者] を選択します。
6. [保存] をクリックします。

Pub/Sub トピックの作成

Cloud Scheduler がパブリッシュし、Cloud Run 関数がサブスクライブする Pub/Sub トピックを作成します。

1. コンソールで、[Pub/Sub> トピック] に移動します。
2. [トピックを作成] をクリックします。
3. 次の構成情報を指定します。
   • トピック ID: 「jamf-pro-context-trigger」と入力します。
   • その他の設定はデフォルトのままにします。
4. [作成] をクリックします。

ログを収集する Cloud Run 関数を作成する

Cloud Run functions は、Cloud Scheduler からの Pub/Sub メッセージによってトリガーされ、Jamf Pro API からログを取得して Cloud Storage に書き込みます。

1. コンソールで、[Cloud Run] に移動します。
2. [サービスを作成] をクリックします。
3. [関数] を選択します（インライン エディタを使用して関数を作成します）。

4. [構成] セクションで、次の構成の詳細を指定します。

   設定	値
   サービス名	jamf-pro-context-collector
   リージョン	Cloud Storage バケットと一致するリージョンを選択します（例: us-central1）。
   ランタイム	[Python 3.12] 以降を選択します。

5. [トリガー（省略可）] セクションで、次の操作を行います。

   1. [+ トリガーを追加] をクリックします。
   2. [Pub/Sub] を選択します。
   3. [Pub/Sub トピックを選択] で、Pub/Sub トピック（jamf-pro-context-trigger）を選択します。
   4. [保存] をクリックします。

6. [認証] セクションで、次の操作を行います。

   1. [認証が必要] を選択します。
   2. Identity and Access Management（IAM）を確認します。
   注: Pub/Sub は、関数を呼び出すときに認証を自動的に処理します。

7. 下にスクロールして、[コンテナ、ネットワーキング、セキュリティ] を開きます。

8. [セキュリティ] タブに移動します。

   • サービス アカウント: サービス アカウント（jamf-pro-collector-sa）を選択します。

9. [コンテナ] タブに移動します。

   1. [変数とシークレット] をクリックします。
   2. 環境変数ごとに [+ 変数を追加] をクリックします。

   変数名	値の例
   GCS_BUCKET	jamfpro
   GCS_PREFIX	jamf-pro/context/
   JAMF_CLIENT_ID	Jamf クライアント ID を入力する
   JAMF_CLIENT_SECRET	Jamf クライアント シークレットを入力する
   JAMF_BASE_URL	Jamf URL を入力し、https://<your>.jamfcloud.com の <your> を置き換えます。
   PAGE_SIZE	200

10. [変数とシークレット] タブで [リクエスト] まで下にスクロールします。

    • リクエストのタイムアウト: 600 秒（10 分）を入力します。

11. [コンテナ] の [設定] タブに移動します。

    • [リソース] セクションで次の操作を行います。
      • メモリ: 512 MiB 以上を選択します。
      • CPU: [1] を選択します。
    • [完了] をクリックします。

12. [実行環境] まで下にスクロールします。

    • [デフォルト]（推奨）を選択します。

13. [リビジョン スケーリング] セクションで、次の操作を行います。

    • [インスタンスの最小数] に「0」と入力します。
    • インスタンスの最大数: 100 と入力します（または、想定される負荷に基づいて調整します）。

14. [作成] をクリックします。

15. サービスが作成されるまで待ちます（1 ～ 2 分）。

16. サービスを作成すると、インライン コードエディタが自動的に開きます。

関数コードを追加する

1. [関数のエントリ ポイント] に「main」と入力します。

2. インライン コードエディタで、次の 2 つのファイルを作成します。

   • 最初のファイル: main.py:

   import functions_framework
   from google.cloud import storage
   import json
   import os
   import urllib3
   from datetime import datetime, timezone
   import gzip
   import io
   import time
   
   # Initialize HTTP client
   http = urllib3.PoolManager()
   
   # Initialize Storage client
   storage_client = storage.Client()
   
   # Configuration
   BASE_URL = os.environ.get("JAMF_BASE_URL", "").rstrip("/")
   CLIENT_ID = os.environ.get("JAMF_CLIENT_ID")
   CLIENT_SECRET = os.environ.get("JAMF_CLIENT_SECRET")
   GCS_BUCKET = os.environ.get("GCS_BUCKET")
   GCS_PREFIX = os.environ.get("GCS_PREFIX", "jamf-pro/context/")
   PAGE_SIZE = int(os.environ.get("PAGE_SIZE", "200"))
   
   SECTIONS = [
       "GENERAL", "HARDWARE", "OPERATING_SYSTEM", "USER_AND_LOCATION",
       "DISK_ENCRYPTION", "SECURITY", "EXTENSION_ATTRIBUTES", "APPLICATIONS",
       "CONFIGURATION_PROFILES", "LOCAL_USER_ACCOUNTS", "CERTIFICATES",
       "SERVICES", "PRINTERS", "SOFTWARE_UPDATES", "GROUP_MEMBERSHIPS",
       "CONTENT_CACHING", "STORAGE", "FONTS", "PACKAGE_RECEIPTS",
       "PLUGINS", "ATTACHMENTS", "LICENSED_SOFTWARE", "IBEACONS", "PURCHASING"
   ]
   
   # Cached access token, refreshed shortly before it expires
   _token_cache = {"value": None, "expires_at": 0.0}
   
   def get_token():
       """OAuth2 client credentials > access_token"""
       url = f"{BASE_URL}/api/oauth/token"
   
       fields = {
           "grant_type": "client_credentials",
           "client_id": CLIENT_ID,
           "client_secret": CLIENT_SECRET
       }
   
       # encode_multipart=False is required. It sends a real
       # application/x-www-form-urlencoded body, which is what the Jamf token
       # endpoint expects. Without it, urllib3 sends a multipart/form-data body
       # and Jamf cannot read grant_type, client_id and client_secret.
       response = http.request(
           'POST',
           url,
           fields=fields,
           encode_multipart=False,
           timeout=30.0
       )
   
       if response.status != 200:
           raise Exception(f"Failed to get token: {response.status} {response.data.decode('utf-8')}")
   
       data = json.loads(response.data.decode('utf-8'))
       return data["access_token"], int(data.get("expires_in", 1200))
   
   def get_valid_token():
       """Return a cached token, refreshing it before it expires."""
       now = time.time()
       if _token_cache["value"] and now < _token_cache["expires_at"] - 60:
           return _token_cache["value"]
   
       token, ttl = get_token()
       _token_cache["value"] = token
       _token_cache["expires_at"] = now + ttl
       return token
   
   def fetch_page(token, page):
       """GET /api/v1/computers-inventory with sections & pagination"""
       url = f"{BASE_URL}/api/v1/computers-inventory"
   
       # Build query parameters
       params = [("page", str(page)), ("page-size", str(PAGE_SIZE))]
       params.extend([("section", s) for s in SECTIONS])
   
       # Encode parameters
       query_string = "&".join([f"{k}={v}" for k, v in params])
       full_url = f"{url}?{query_string}"
   
       headers = {
           "Authorization": f"Bearer {token}",
           "Accept": "application/json"
       }
   
       response = http.request(
           'GET',
           full_url,
           headers=headers,
           timeout=60.0
       )
   
       if response.status != 200:
           raise Exception(f"Failed to fetch page {page}: {response.status} {response.data.decode('utf-8')}")
   
       return json.loads(response.data.decode('utf-8'))
   
   def write_ndjson_gz(objs, when):
       buf = io.BytesIO()
       with gzip.GzipFile(filename="-", mode="wb", fileobj=buf, mtime=int(time.time())) as gz:
           for obj in objs:
               line = json.dumps(obj, separators=(",", ":")) + "\n"
               gz.write(line.encode("utf-8"))
   
       buf.seek(0)
   
       prefix = GCS_PREFIX.strip("/") + "/" if GCS_PREFIX else ""
       key = f"{prefix}{when:%Y/%m/%d}/jamf_pro_context_{int(when.timestamp())}.ndjson.gz"
   
       bucket = storage_client.bucket(GCS_BUCKET)
       blob = bucket.blob(key)
       blob.upload_from_file(buf, content_type="application/gzip")
   
       return key
   
   @functions_framework.cloud_event
   def main(cloud_event):
       """
       Cloud Run function triggered by Pub/Sub to fetch Jamf Pro context logs and write to Cloud Storage.
   
       Each computer is written exactly as Jamf returns it: the inventory sections
       (general, hardware, operatingSystem, userAndLocation, and so on) are top-level
       keys on the record. The default parser reads this shape directly, so the records
       are not reshaped here.
   
       Args:
           cloud_event: CloudEvent object containing Pub/Sub message
       """
   
       if not all([BASE_URL, CLIENT_ID, CLIENT_SECRET, GCS_BUCKET]):
           print("Error: Missing required environment variables")
           return
   
       try:
           page = 0
           total = 0
           batch = []
           now = datetime.now(timezone.utc)
   
           while True:
               payload = fetch_page(get_valid_token(), page)
               results = payload.get("results") or []
   
               if not results:
                   break
   
               # Write the Jamf records as returned; do not rename or nest fields.
               batch.extend(results)
               total += len(results)
   
               if len(batch) >= 5000:
                   key = write_ndjson_gz(batch, now)
                   print(f"Wrote {len(batch)} records to gs://{GCS_BUCKET}/{key}")
                   batch = []
   
               if len(results) < PAGE_SIZE:
                   break
   
               page += 1
   
           if batch:
               key = write_ndjson_gz(batch, now)
               print(f"Wrote {len(batch)} records to gs://{GCS_BUCKET}/{key}")
   
           print(f"Successfully processed {total} total records")
   
       except Exception as e:
           print(f"Error processing Jamf Pro context logs: {str(e)}")
           raise
   

   注: このスクリプトは例として提供されており、公式にはサポートされていません。スクリプトの改善について、ぜひフィードバックをお寄せください。フィードバックを送信するには、このページで [Send Feedback > Google SecOps Security Product Feedback] をクリックします。
   • 2 つ目のファイル: requirements.txt:

   functions-framework==3.*
   google-cloud-storage==2.*
   urllib3>=2.0.0
   

3. [デプロイ] をクリックして、関数を保存してデプロイします。

4. デプロイが完了するまで待ちます（2 ～ 3 分）。

Cloud Scheduler ジョブの作成

Cloud Scheduler は、定期的に Pub/Sub トピックにメッセージをパブリッシュし、Cloud Run functions の関数をトリガーします。

1. コンソールで、[Cloud Scheduler] に移動します。
2. [ジョブを作成] をクリックします。

3. 次の構成情報を提供してください。

   設定	値
   名前	jamfpro-context-schedule-1h
   リージョン	Cloud Run functions と同じリージョンを選択する
   周波数	0 * * * *（1 時間ごと、毎正時）
   タイムゾーン	タイムゾーンを選択（UTC を推奨）
   ターゲット タイプ	Pub/Sub
   トピック	Pub/Sub トピック（jamf-pro-context-trigger）を選択します。
   メッセージ本文	{}（空の JSON オブジェクト）

4. [作成] をクリックします。

スケジューラ ジョブをテストする

1. Cloud Scheduler コンソールで、ジョブを見つけます。
2. [強制実行] をクリックして、手動でトリガーします。
3. 数秒待ってから、[Cloud Run] > [サービス] > [jamf-pro-context-collector] > [ログ] に移動します。
4. 関数が正常に実行されたことを確認します。
5. Cloud Storage バケットをチェックして、ログが書き込まれていることを確認します。

Jamf Pro コンテキスト ログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. [単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Jamf Pro Context logs）。
5. [ソースタイプ] として [Google Cloud Storage V2] を選択します。
6. [ログタイプ] として [Jamf pro context] を選択します。

7. [サービス アカウントを取得する] をクリックします。一意のサービス アカウントのメールアドレスが表示されます（例:）。

   [e-mail]
   

8. このメールアドレスをコピーします。次のステップでこれを使用します。

   注: 各 Google SecOps インスタンスには一意のサービス アカウントがあります。他のドキュメントや例のサービス アカウントは使用しないでください。

9. [次へ] をクリックします。

10. 次の入力パラメータの値を指定します。

11. ストレージ バケット URL: 接頭辞パスを含む Cloud Storage バケット URI を入力します。

    gs://jamfpro/jamf-pro/context/
    

    jamfpro は、バケットの実際の名前に置き換えます。

    注: URI の末尾には常にスラッシュ（/）を付けます。

• Source deletion option: 必要に応じて削除オプションを選択します。

  • なし: 転送後にファイルを削除しません（テストにおすすめ）。
  • 転送されたファイルを削除する: 転送が完了した後にファイルを削除します。
  • 転送されたファイルと空のディレクトリを削除する: 転送が完了した後にファイルと空のディレクトリを削除します。
  注: 削除オプションを選択する場合は、サービス アカウントに Storage オブジェクト閲覧者ではなく、Storage オブジェクト管理者のロールが必要です。必要に応じて IAM 権限を更新します。

• ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。

• アセットの名前空間: アセットの名前空間。

• Ingestion labels: このフィードのイベントに適用されるラベル。

1. [次へ] をクリックします。
2. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

Google SecOps サービス アカウントに IAM 権限を付与する

Google SecOps サービス アカウントには、Cloud Storage バケットに対する Storage オブジェクト閲覧者ロールが必要です。

1. [Cloud Storage] > [バケット] に移動します。
2. バケット名をクリックします。
3. [権限] タブに移動します。
4. [アクセス権を付与] をクリックします。
5. 次の構成情報を提供してください。
6. プリンシパルを追加: Google SecOps サービス アカウントのメールアドレスを貼り付けます。
7. ロールを割り当てる: [Storage オブジェクト閲覧者] を選択します。

8. [保存] をクリックします。

   注: 削除オプションの [転送されたファイルを削除] または [転送されたファイルと空のディレクトリを削除] を使用する場合は、Storage オブジェクト閲覧者ではなく、Storage オブジェクト管理者ロールを付与します。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。