收集 SailPoint IAM 日志

支持的平台：

本文档介绍了如何使用 Google Cloud Storage 将 SailPoint IAM 日志提取到 Google Security Operations。SailPoint Identity Security Cloud 提供身份治理和管理功能，可用于管理企业应用中的用户访问权限、合规性和安全性。

准备工作

确保您满足以下前提条件：

  • Google SecOps 实例
  • 已启用 Cloud Storage API 的 GCP 项目
  • 创建和管理 GCS 存储分区的权限
  • 管理 GCS 存储分区的 IAM 政策的权限
  • 创建 Cloud Run 服务、Pub/Sub 主题和 Cloud Scheduler 作业的权限
  • 对 SailPoint Identity Security Cloud 租户或 API 的特权访问权限

创建 Google Cloud Storage 存储分区

  1. 前往 Google Cloud 控制台。
  2. 选择您的项目或创建新项目。
  3. 在导航菜单中，依次前往 Cloud Storage > 存储分区。
  4. 点击创建存储分区。

  5. 提供以下配置详细信息：

    设置 值
    为存储分区命名 输入一个全局唯一的名称（例如 sailpoint-iam-logs）
    位置类型 根据您的需求进行选择（区域级、双区域级、多区域级）
    位置 选择相应位置（例如 us-central1）
    存储类别 标准（建议用于经常访问的日志）
    访问权限控制 统一（推荐）
    保护工具 可选：启用对象版本控制或保留政策

  6. 点击创建。

收集 SailPoint Identity Security Cloud API 凭据

  1. 以管理员身份登录 SailPoint Identity Security Cloud 管理控制台。
  2. 依次前往管理 > 全局 > 安全设置 > API 管理。
  3. 点击创建 API 客户端。
  4. 选择客户端凭据作为授权类型。
  5. 提供以下配置详细信息：
    • 名称：输入一个描述性名称（例如 Chronicle Export API）。
    • 说明：输入 API 客户端的说明。
    • 范围：选择 sp:scopes:all（或适合审核事件的读取范围）。
  6. 点击创建，然后安全地复制生成的 API 凭据。
  7. 记录您的 SailPoint 租户基础网址（例如 https://tenant.api.identitynow.com）。

  8. 复制以下详细信息并将其保存在安全的位置：

    • IDN_CLIENT_ID
    • IDN_CLIENT_SECRET
    • IDN_BASE

测试 API 访问权限

  • 在继续进行集成之前，请先测试您的凭据：

    # Replace with your actual credentials
IDN_CLIENT_ID="your-client-id"
IDN_CLIENT_SECRET="your-client-secret"
IDN_BASE="https://tenant.api.identitynow.com"

# Get OAuth token
TOKEN=$(curl -s -X POST "${IDN_BASE}/oauth/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials&client_id=${IDN_CLIENT_ID}&client_secret=${IDN_CLIENT_SECRET}&scope=sp:scopes:all" | jq -r '.access_token')

# Test API access
curl -v -H "Authorization: Bearer ${TOKEN}" "${IDN_BASE}/v3/search" \
  -H "Content-Type: application/json" \
  -d '{"indices":["events"],"query":{"query":"*"},"limit":1}'

为 Cloud Run 函数创建服务账号

Cloud Run 函数需要一个有权写入 GCS 存储分区的服务账号。

创建服务账号

  1. 在 GCP 控制台中，依次前往 IAM 和管理 > 服务账号。
  2. 点击创建服务账号。
  3. 提供以下配置详细信息：
    • 服务账号名称：输入 sailpoint-iam-collector-sa。
    • 服务账号说明：输入 Service account for Cloud Run function to collect SailPoint IAM logs。
  4. 点击创建并继续。
  5. 在向此服务账号授予对项目的访问权限部分：
    1. 点击选择角色。
    2. 搜索并选择 Storage Object Admin。
    3. 点击 + 添加其他角色。
    4. 搜索并选择 Cloud Run Invoker。
    5. 点击 + 添加其他角色。
    6. 搜索并选择 Cloud Functions Invoker。
  6. 点击继续。
  7. 点击完成。

必须拥有这些角色，才能：

  • Storage Object Admin：将日志写入 GCS 存储分区并管理状态文件
  • Cloud Run Invoker：允许 Pub/Sub 调用函数
  • Cloud Functions Invoker：允许调用函数

授予对 GCS 存储分区的 IAM 权限

向服务账号授予对 GCS 存储分区的写入权限：

  1. 前往 Cloud Storage > 存储分区。
  2. 点击您的存储分区名称。
  3. 前往权限标签页。
  4. 点击授予访问权限。
  5. 提供以下配置详细信息：
    • 添加主账号：输入服务账号电子邮件地址。
    • 分配角色：选择 Storage Object Admin。
  6. 点击保存。

创建发布/订阅主题

创建一个 Pub/Sub 主题，供 Cloud Scheduler 发布消息，并供 Cloud Run 函数订阅。

  1. 在 GCP 控制台中，前往 Pub/Sub > 主题。
  2. 点击创建主题。
  3. 提供以下配置详细信息：
    • 主题 ID：输入 sailpoint-iam-trigger。
    • 将其他设置保留为默认值。
  4. 点击创建。

创建 Cloud Run 函数以收集日志

Cloud Run 函数由来自 Cloud Scheduler 的 Pub/Sub 消息触发，用于从 SailPoint Identity Security Cloud API 中提取日志并将其写入 GCS。

  1. 在 GCP 控制台中，前往 Cloud Run。
  2. 点击创建服务。
  3. 选择函数（使用内嵌编辑器创建函数）。

  4. 在配置部分中，提供以下配置详细信息：

    设置 值
    Service 名称 sailpoint-iam-collector
    区域 选择与您的 GCS 存储分区匹配的区域（例如 us-central1）
    运行时 选择 Python 3.12 或更高版本

  5. 在触发器（可选）部分中：

    1. 点击 + 添加触发器。
    2. 选择 Cloud Pub/Sub。
    3. 在选择 Cloud Pub/Sub 主题中，选择 Pub/Sub 主题 (sailpoint-iam-trigger)。
    4. 点击保存。

  6. 在身份验证部分中：

    1. 选择需要进行身份验证。
    2. 检查 Identity and Access Management (IAM)。

  7. 向下滚动并展开容器、网络、安全性。

  8. 前往安全标签页：

    • 服务账号：选择服务账号 (sailpoint-iam-collector-sa)。

  9. 前往容器标签页：

    1. 点击变量和密钥。
    2. 为每个环境变量点击 + 添加变量：
    变量名称 示例值
    GCS_BUCKET sailpoint-iam-logs
    GCS_PREFIX sailpoint/iam/
    STATE_KEY sailpoint/iam/state.json
    WINDOW_SECONDS 3600
    HTTP_TIMEOUT 60
    MAX_RETRIES 3
    USER_AGENT sailpoint-iam-to-gcs/1.0
    IDN_BASE https://tenant.api.identitynow.com
    IDN_CLIENT_ID your-client-id
    IDN_CLIENT_SECRET your-client-secret
    IDN_SCOPE sp:scopes:all
    PAGE_SIZE 250
    MAX_PAGES 20

  10. 在变量和密钥标签页中，向下滚动到请求：

    • 请求超时：输入 600 秒（10 分钟）。

  11. 前往容器中的设置标签页：

    • 在资源部分中：
      • 内存：选择 512 MiB 或更高值。
      • CPU：选择 1。
    • 点击完成。

  12. 向下滚动到执行环境：

    • 选择默认（推荐）。

  13. 在修订版本扩缩部分中：

    • 实例数下限：输入 0。
    • 实例数上限：输入 100（或根据预期负载进行调整）。

  14. 点击创建。

  15. 等待服务创建完成（1-2 分钟）。

  16. 创建服务后，系统会自动打开内嵌代码编辑器。

添加函数代码

  1. 在函数入口点中输入 main

  2. 在内嵌代码编辑器中，创建两个文件：

    • 第一个文件：main.py:：
     import functions_framework
 from google.cloud import storage
 import json
 import os
 import urllib3
 from datetime import datetime, timezone
 import time
 import uuid

 # Initialize HTTP client
 http = urllib3.PoolManager()

 # Initialize Storage client
 storage_client = storage.Client()

 # Get environment variables
 GCS_BUCKET = os.environ.get('GCS_BUCKET')
 GCS_PREFIX = os.environ.get('GCS_PREFIX', 'sailpoint/iam/')
 STATE_KEY = os.environ.get('STATE_KEY', 'sailpoint/iam/state.json')
 WINDOW_SEC = int(os.environ.get('WINDOW_SECONDS', '3600'))
 HTTP_TIMEOUT = int(os.environ.get('HTTP_TIMEOUT', '60'))
 IDN_BASE = os.environ.get('IDN_BASE')
 CLIENT_ID = os.environ.get('IDN_CLIENT_ID')
 CLIENT_SECRET = os.environ.get('IDN_CLIENT_SECRET')
 SCOPE = os.environ.get('IDN_SCOPE', 'sp:scopes:all')
 PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '250'))
 MAX_PAGES = int(os.environ.get('MAX_PAGES', '20'))
 MAX_RETRIES = int(os.environ.get('MAX_RETRIES', '3'))
 USER_AGENT = os.environ.get('USER_AGENT', 'sailpoint-iam-to-gcs/1.0')

 def _load_state(bucket):
     """Load state from GCS."""
     try:
         blob = bucket.blob(STATE_KEY)
         if blob.exists():
             state_data = blob.download_as_text()
             return json.loads(state_data)
     except Exception as e:
         print(f'Warning: Could not load state: {str(e)}')
     return {}

 def _save_state(bucket, st):
     """Save state to GCS."""
     try:
         blob = bucket.blob(STATE_KEY)
         blob.upload_from_string(
             json.dumps(st, separators=(',', ':')),
             content_type='application/json'
         )
     except Exception as e:
         print(f'Warning: Could not save state: {str(e)}')

 def _iso(ts):
     """Convert timestamp to ISO format."""
     return time.strftime('%Y-%m-%dT%H:%M:%SZ', time.gmtime(ts))

 def _get_oauth_token():
     """Get OAuth2 access token using Client Credentials flow."""
     token_url = f"{IDN_BASE.rstrip('/')}/oauth/token"

     fields = {
         'grant_type': 'client_credentials',
         'client_id': CLIENT_ID,
         'client_secret': CLIENT_SECRET,
         'scope': SCOPE
     }

     headers = {
         'Content-Type': 'application/x-www-form-urlencoded',
         'User-Agent': USER_AGENT
     }

     response = http.request(
         'POST',
         token_url,
         fields=fields,
         headers=headers,
         timeout=HTTP_TIMEOUT
     )

     token_data = json.loads(response.data.decode('utf-8'))
     return token_data['access_token']

 def _search_events(access_token, created_from, search_after=None):
     """Search for audit events using SailPoint's /v3/search API.

     IMPORTANT: SailPoint requires colons in ISO8601 timestamps to be escaped with backslashes.
     Example: 2024-01-15T10:30:00Z must be sent as 2024-01-15T10\\:30\\:00Z

     For more information, see:
     - https://developer.sailpoint.com/docs/api/standard-collection-parameters/
     - https://developer.sailpoint.com/docs/api/v3/search-post/
     """
     search_url = f"{IDN_BASE.rstrip('/')}/v3/search"

     # Escape colons in timestamp for SailPoint search query
     escaped_timestamp = created_from.replace(':', '\\:')
     query_str = f'created:>={escaped_timestamp}'

     payload = {
         'indices': ['events'],
         'query': {
             'query': query_str
         },
         'sort': ['created', '+id'],
         'limit': PAGE_SIZE
     }

     if search_after:
         payload['searchAfter'] = search_after

     attempt = 0
     while True:
         headers = {
             'Content-Type': 'application/json',
             'Accept': 'application/json',
             'Authorization': f'Bearer {access_token}',
             'User-Agent': USER_AGENT
         }

         try:
             response = http.request(
                 'POST',
                 search_url,
                 body=json.dumps(payload).encode('utf-8'),
                 headers=headers,
                 timeout=HTTP_TIMEOUT
             )

             response_data = json.loads(response.data.decode('utf-8'))

             # Handle different response formats
             if isinstance(response_data, list):
                 return response_data
             return response_data.get('results', response_data.get('data', []))

         except Exception as e:
             attempt += 1
             print(f'HTTP error on attempt {attempt}: {e}')
             if attempt > MAX_RETRIES:
                 raise
             # Exponential backoff with jitter
             time.sleep(min(60, 2 ** attempt) + (time.time() % 1))

 def _put_events_data(bucket, events, from_ts, to_ts, page_num):
     """Write events to GCS in JSONL format (one JSON object per line)."""
     # Create unique GCS key for events data
     ts_path = time.strftime('%Y/%m/%d', time.gmtime(to_ts))
     uniq = f"{int(time.time() * 1e6)}_{uuid.uuid4().hex[:8]}"
     key = f"{GCS_PREFIX}{ts_path}/sailpoint_iam_{int(from_ts)}_{int(to_ts)}_p{page_num:03d}_{uniq}.jsonl"

     # Convert events list to JSONL format (one JSON object per line)
     jsonl_lines = [json.dumps(event, separators=(',', ':')) for event in events]
     jsonl_content = '\n'.join(jsonl_lines)

     blob = bucket.blob(key)
     blob.metadata = {
         'source': 'sailpoint-iam',
         'from_timestamp': str(int(from_ts)),
         'to_timestamp': str(int(to_ts)),
         'page_number': str(page_num),
         'events_count': str(len(events)),
         'format': 'jsonl'
     }
     blob.upload_from_string(
         jsonl_content,
         content_type='application/x-ndjson'
     )

     return key

 def _get_item_id(item):
     """Extract ID from event item, trying multiple possible fields."""
     for field in ('id', 'uuid', 'eventId', '_id'):
         if field in item and item[field]:
             return str(item[field])
     return ''

 @functions_framework.cloud_event
 def main(cloud_event):
     """
     Cloud Run function triggered by Pub/Sub to fetch SailPoint IAM logs and write to GCS.

     Args:
         cloud_event: CloudEvent object containing Pub/Sub message
     """

     if not all([GCS_BUCKET, IDN_BASE, CLIENT_ID, CLIENT_SECRET]):
         print('Error: Missing required environment variables')
         return

     try:
         bucket = storage_client.bucket(GCS_BUCKET)

         st = _load_state(bucket)
         now = time.time()
         from_ts = float(st.get('last_to_ts') or (now - WINDOW_SEC))
         to_ts = now

         # Get OAuth token
         access_token = _get_oauth_token()

         created_from = _iso(from_ts)
         print(f'Fetching SailPoint IAM events from: {created_from}')

         # Handle pagination state
         last_created = st.get('last_created')
         last_id = st.get('last_id')
         search_after = [last_created, last_id] if (last_created and last_id) else None

         pages = 0
         total_events = 0
         written_keys = []
         newest_created = last_created or created_from
         newest_id = last_id or ''

         while pages < MAX_PAGES:
             events = _search_events(access_token, created_from, search_after)
             if not events:
                 break

             # Write page to GCS in JSONL format
             key = _put_events_data(bucket, events, from_ts, to_ts, pages + 1)
             written_keys.append(key)
             total_events += len(events)

             # Update pagination state from last item
             last_event = events[-1]
             last_event_created = last_event.get('created') or last_event.get('metadata', {}).get('created')
             last_event_id = _get_item_id(last_event)

             if last_event_created:
                 newest_created = last_event_created
             if last_event_id:
                 newest_id = last_event_id

             search_after = [newest_created, newest_id]
             pages += 1

             # If we got less than page size, we're done
             if len(events) < PAGE_SIZE:
                 break

         print(f'Successfully retrieved {total_events} events across {pages} pages')

         # Save state for next run
         st['last_to_ts'] = to_ts
         st['last_created'] = newest_created
         st['last_id'] = newest_id
         st['last_successful_run'] = now
         _save_state(bucket, st)

         print(f'Wrote {len(written_keys)} files to GCS')

     except Exception as e:
         print(f'Error processing logs: {str(e)}')
         raise
    • 第二个文件：requirements.txt:：
     functions-framework==3.*
 google-cloud-storage==2.*
 urllib3>=2.0.0
 ```

  3. 点击部署以保存并部署该函数。

  4. 等待部署完成（2-3 分钟）。

创建 Cloud Scheduler 作业

Cloud Scheduler 会定期向 Pub/Sub 主题发布消息，从而触发 Cloud Run 函数。

  1. 在 GCP Console 中，前往 Cloud Scheduler。
  2. 点击创建作业。

  3. 提供以下配置详细信息：

    设置 值
    名称 sailpoint-iam-collector-hourly
    区域 选择与 Cloud Run 函数相同的区域
    频率 0 * * * *（每小时一次，在整点时）
    时区 选择时区（建议选择世界协调时间 [UTC]）
    目标类型 Pub/Sub
    主题 选择 Pub/Sub 主题 (sailpoint-iam-trigger)
    消息正文 {}（空 JSON 对象）

  4. 点击创建。

时间表频率选项

  • 根据日志量和延迟时间要求选择频次：

    频率 Cron 表达式 使用场景
    每隔 5 分钟 */5 * * * * 高容量、低延迟
    每隔 15 分钟 */15 * * * * 搜索量中等
    每小时 0 * * * * 标准（推荐）
    每 6 小时 0 */6 * * * 量小、批处理
    每天 0 0 * * * 历史数据收集

测试调度器作业

  1. 在 Cloud Scheduler 控制台中，找到您的作业。
  2. 点击强制运行以手动触发。
  3. 等待几秒钟，然后前往 Cloud Run > 服务 > sailpoint-iam-collector > 日志。
  4. 验证函数是否已成功执行。
  5. 检查 GCS 存储分区，确认日志已写入。

检索 Google SecOps 服务账号

Google SecOps 使用唯一的服务账号从您的 GCS 存储分区中读取数据。您必须授予此服务账号对您的存储分区的访问权限。

获取服务账号电子邮件地址

  1. 依次前往 SIEM 设置 > Feed。
  2. 点击添加新 Feed。
  3. 点击配置单个 Feed。
  4. 在Feed 名称字段中，输入 Feed 的名称（例如 SailPoint IAM logs）。
  5. 选择 Google Cloud Storage V2 作为来源类型。
  6. 选择 SailPoint IAM 作为日志类型。

  7. 点击获取服务账号。系统会显示一个唯一的服务账号电子邮件地址，例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. 复制此电子邮件地址，以便在下一步中使用。

向 Google SecOps 服务账号授予 IAM 权限

Google SecOps 服务账号需要对您的 GCS 存储分区具有 Storage Object Viewer 角色。

  1. 前往 Cloud Storage > 存储分区。
  2. 点击您的存储分区名称。
  3. 前往权限标签页。
  4. 点击授予访问权限。
  5. 提供以下配置详细信息：
    • 添加主账号：粘贴 Google SecOps 服务账号电子邮件地址。
    • 分配角色：选择 Storage Object Viewer。

  6. 点击保存。

在 Google SecOps 中配置 Feed 以注入 SailPoint IAM 日志

  1. 依次前往 SIEM 设置 > Feed。
  2. 点击添加新 Feed。
  3. 点击配置单个 Feed。
  4. 在Feed 名称字段中，输入 Feed 的名称（例如 SailPoint IAM logs）。
  5. 选择 Google Cloud Storage V2 作为来源类型。
  6. 选择 SailPoint IAM 作为日志类型。
  7. 点击下一步。

  8. 为以下输入参数指定值：

    • 存储分区网址：输入带有前缀路径的 GCS 存储分区 URI：

      gs://sailpoint-iam-logs/sailpoint/iam/

      • 将

        • sailpoint-iam-logs：您的 GCS 存储分区名称。
        • sailpoint/iam/：存储日志的可选前缀/文件夹路径（留空表示根目录）。

      • 示例：

        • 根存储分区：gs://company-logs/
        • 带前缀：gs://company-logs/sailpoint-logs/
        • 使用子文件夹：gs://company-logs/sailpoint/iam/

    • 来源删除选项：根据您的偏好选择删除选项：

      • 永不：永不删除转移后的任何文件（建议用于测试）。
      • 删除已转移的文件：在成功转移后删除文件。

      • 删除已转移的文件和空目录：在成功转移后删除文件和空目录。

    • 文件存在时间上限：包含在过去指定天数内修改的文件。默认值为 180 天。

    • 资产命名空间：资产命名空间。

    • 注入标签：要应用于此 Feed 中事件的标签。

  9. 点击下一步。

  10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

UDM 映射表

日志字段 UDM 映射 逻辑
action metadata.description 原始日志中 action 字段的值。
actor.name principal.user.user_display_name 原始日志中 actor.name 字段的值。
attributes.accountName principal.user.group_identifiers 原始日志中 attributes.accountName 字段的值。
attributes.appId target.asset_id “应用 ID：”与原始日志中 attributes.appId 字段的值串联。
attributes.attributeName additional.fields[0].value.string_value 原始日志中 attributes.attributeName 字段的值，放置在 additional.fields 对象中。键设置为“属性名称”。
attributes.attributeValue additional.fields[1].value.string_value 原始日志中 attributes.attributeValue 字段的值，放置在 additional.fields 对象中。键设置为“属性值”。
attributes.cloudAppName target.application 原始日志中 attributes.cloudAppName 字段的值。
attributes.hostName target.hostname、target.asset.hostname 原始日志中 attributes.hostName 字段的值。
attributes.interface additional.fields[2].value.string_value 原始日志中 attributes.interface 字段的值，放置在 additional.fields 对象中。键设置为“Interface”。
attributes.operation security_result.action_details 原始日志中 attributes.operation 字段的值。
attributes.previousValue additional.fields[3].value.string_value 原始日志中 attributes.previousValue 字段的值，放置在 additional.fields 对象中。键设置为“上一个值”。
attributes.provisioningResult security_result.detection_fields.value 原始日志中 attributes.provisioningResult 字段的值，位于 security_result.detection_fields 对象内。键设置为“Provisioning Result”。
attributes.sourceId principal.labels[0].value 原始日志中 attributes.sourceId 字段的值，位于 principal.labels 对象内。键设置为“Source Id”。
attributes.sourceName principal.labels[1].value 原始日志中 attributes.sourceName 字段的值，放置在 principal.labels 对象中。键设置为“来源名称”。
auditClassName metadata.product_event_type 原始日志中 auditClassName 字段的值。
已创建 metadata.event_timestamp.seconds、metadata.event_timestamp.nanos 原始日志中已创建字段的值，如果不存在 instant.epochSecond，则转换为时间戳。
id metadata.product_log_id 原始日志中 id 字段的值。
instant.epochSecond metadata.event_timestamp.seconds 原始日志中 instant.epochSecond 字段的值，用于时间戳。
ipAddress principal.asset.ip、principal.ip 原始日志中 ipAddress 字段的值。
接口 additional.fields[0].value.string_value 原始日志中接口字段的值，放置在 additional.fields 对象中。键设置为“interface”。
loggerName intermediary.application 原始日志中 loggerName 字段的值。
私信 metadata.description、security_result.description 用于各种用途，包括在元数据和 security_result 中设置说明，以及提取 XML 内容。
name security_result.description 原始日志中“name”字段的值。
操作 target.resource.attribute.labels[0].value、metadata.product_event_type 原始日志中操作字段的值，放置在 target.resource.attribute.labels 对象中。键设置为“operation”。还用于 metadata.product_event_type。
org principal.administrative_domain 原始日志中组织字段的值。
Pod principal.location.name 原始日志中 pod 字段的值。
referenceClass additional.fields[1].value.string_value 原始日志中 referenceClass 字段的值，位于 additional.fields 对象内。键设置为“referenceClass”。
referenceId additional.fields[2].value.string_value 原始日志中 referenceId 字段的值，位于 additional.fields 对象内。键设置为“referenceId”。
sailPointObjectName additional.fields[3].value.string_value 原始日志中 sailPointObjectName 字段的值，放置在 additional.fields 对象中。键设置为“sailPointObjectName”。
serverHost principal.hostname、principal.asset.hostname 原始日志中 serverHost 字段的值。
stack additional.fields[4].value.string_value 原始日志中堆栈字段的值，放置在 additional.fields 对象中。键设置为“Stack”。
状态 security_result.severity_details 原始日志中状态字段的值。
目标 additional.fields[4].value.string_value 原始日志中目标字段的值，放置在 additional.fields 对象中。键设置为“target”。
target.name principal.user.userid 原始日志中 target.name 字段的值。
technicalName security_result.summary 原始日志中 technicalName 字段的值。
thrown.cause.message xml_body、detailed_message 原始日志中 thrown.cause.message 字段的值，用于提取 XML 内容。
thrown.message xml_body、detailed_message 原始日志中 thrown.message 字段的值，用于提取 XML 内容。
trackingNumber additional.fields[5].value.string_value 原始日志中 trackingNumber 字段的值，放置在 additional.fields 对象中。键设置为“Tracking Number”。
类型 metadata.product_event_type 原始日志中 type 字段的值。
_version metadata.product_version 原始日志中 _version 字段的值。
不适用 metadata.event_timestamp 派生自 instant.epochSecond 或创建的字段。
不适用 metadata.event_type 由解析器逻辑根据各种字段（包括 has_principal_user、has_target_application、technicalName 和 action）确定。默认值为“GENERIC_EVENT”。
不适用 metadata.log_type 设置为“SAILPOINT_IAM”。
不适用 metadata.product_name 设置为“IAM”。
不适用 metadata.vendor_name 设置为“SAILPOINT”。
不适用 extensions.auth.type 在某些情况下设置为“AUTHTYPE_UNSPECIFIED”。
不适用 target.resource.attribute.labels[0].key 设置为“操作”。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。