Collecter les journaux Salesforce

Compatible avec :

Google SecOps SIEM

Ce document explique comment collecter les journaux Salesforce en configurant un flux Google Security Operations à l'aide de l'API tierce.

Salesforce est une plate-forme de gestion de la relation client (CRM) dans le cloud qui fournit des outils pour les ventes, le service, le marketing et l'analyse. Les journaux Salesforce capturent l'activité des utilisateurs, les événements liés à la sécurité, les modifications du système et l'utilisation des API sur l'ensemble de la plate-forme.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Une instance Google SecOps
• Salesforce Enterprise Edition ou version ultérieure (accès à l'API activé)
• Licence Salesforce Shield Event Monitoring activée (requise pour l'accès à EventLogFile)
• Autorisations d'administrateur système Salesforce
• OpenSSL installé (pour la génération de certificats)

Remarque : Salesforce nécessite des applications clientes externes (introduites dans la version Spring '26) pour l'authentification par flux de support JWT OAuth. Les applications connectées sont obsolètes pour les nouvelles intégrations.

Remarque : Cette intégration ingère uniquement les journaux de l'API EventLogFile de Salesforce. L'API Real-Time Event Monitoring (streaming) et l'extraction de données arbitraires via des requêtes SOQL personnalisées ne sont pas compatibles.

Générer une paire de clés RSA et un certificat

Générez une clé privée RSA et un certificat X.509 autosigné pour la signature JWT.

Générer une clé privée

• Générez la clé au format PKCS#8. Le flux Google SecOps n'accepte que les clés PKCS#8 (en-tête -----BEGIN PRIVATE KEY-----). Les anciennes clés PKCS#1 (-----BEGIN RSA PRIVATE KEY-----) provoquent des erreurs d'analyse lors de la création du flux.

  openssl genpkey -algorithm RSA -out salesforce_private.key -pkeyopt rsa_keygen_bits:2048
  

Remarque : Si vous disposez déjà d'une clé RSA au format PKCS#1, convertissez-la avec openssl pkcs8 -topk8 -nocrypt -in old_rsa.key -out salesforce_private.key. L'en-tête et le pied de page doivent indiquer -----BEGIN PRIVATE KEY----- / -----END PRIVATE KEY----- (sans le mot RSA).

Générer un certificat autosigné

• Utilisez votre clé privée pour générer un certificat X.509 autosigné valide pendant 365 jours.

  openssl req -new -x509 -key salesforce_private.key -out salesforce_certificate.crt -days 365
  

Lorsque vous y êtes invité, saisissez les détails du certificat :

• Nom du pays : saisissez le code pays à deux lettres (par exemple, US).
• Nom de l'État ou de la province : saisissez votre État (par exemple, California).
• Nom de la localité : saisissez votre ville (par exemple, San Francisco).
• Nom de l'organisation : saisissez le nom de votre organisation (par exemple, Acme Corp).
• Nom de l'unité organisationnelle : saisissez le service (par exemple, IT Security).
• Nom commun : saisissez un nom descriptif (par exemple, SecOps Integration).
• Adresse e-mail : saisissez l'adresse e-mail du contact.

Remarque : Enregistrez salesforce_private.key (clé privée) et salesforce_certificate.crt (certificat) dans un emplacement sécurisé. La clé privée sera utilisée dans la configuration du flux Google SecOps. Le certificat sera importé dans l'application cliente externe Salesforce.

Créer une application cliente externe Salesforce

Les applications clientes externes sont la méthode recommandée pour l'authentification OAuth dans Salesforce (Spring '26 et versions ultérieures).

1. Connectez-vous à Salesforce.
2. Accédez à Setup (icône en forme de roue dentée en haut à droite).
3. Dans la zone Quick Find (Recherche rapide), saisissez External Client Apps.
4. Cliquez sur External Client App Manager (Gestionnaire d'applications clientes externes).
5. Cliquez sur New External Client App (Nouvelle application cliente externe).

Configurer les informations de base

1. Fournissez les informations de configuration suivantes :
   • Nom de l'application cliente externe : saisissez un nom descriptif (par exemple, Google SecOps Integration).
   • Nom de l'API : renseigné automatiquement en fonction du nom de l'application. Conservez les valeurs par défaut ou personnalisez-les.
   • Adresse e-mail de contact : saisissez votre adresse e-mail.
   • État de distribution : sélectionnez Local.
2. Cliquez sur Continuer.

Activer les paramètres OAuth

1. Cochez la case Enable OAuth (Activer OAuth).
2. Fournissez les informations de configuration suivantes :
   • URL de rappel : saisissez https://login.salesforce.com/services/oauth2/callback.

Remarque : L'URL de rappel est obligatoire, mais n'est pas utilisée pour le flux de jeton de support JWT. Il s'agit d'une valeur d'espace réservé.

1. Dans la section Niveaux d'accès OAuth, déplacez les niveaux d'accès suivants de Niveaux d'accès OAuth disponibles vers Niveaux d'accès OAuth sélectionnés :
   • Gérer les données utilisateur via des API
   • Effectuer des requêtes à tout moment (refresh_token, offline_access)

Activer le flux du jeton de support JWT et importer le certificat

1. Dans la section Flow Enablement (Activation du flux), cochez la case Enable JWT Bearer Flow (Activer le flux du jeton de support JWT).
2. La section Importation de certificat s'affiche.
3. Cliquez sur Importer des fichiers ou glissez-déposez votre fichier de certificat.
4. Sélectionnez le fichier salesforce_certificate.crt.
5. Attendez la fin de l'importation. Le nom du fichier du certificat doit apparaître sous le bouton d'importation.

Remarque : Vous devez importer un certificat X.509 valide au format .crt, .cer ou .pem. La clé publique du certificat sera utilisée par Salesforce pour valider les signatures JWT.

Configurer des règles OAuth

1. Dans la section Règles OAuth :
   • Utilisateurs autorisés : sélectionnez Les utilisateurs validés par l'administrateur sont pré-autorisés.
2. Cliquez sur Enregistrer.

Remarque : L'activation de l'application peut prendre de deux à dix minutes après sa création.

Obtenir la clé client

Après avoir créé l'application cliente externe, récupérez la clé client pour la configuration du flux Google SecOps.

1. Dans le gestionnaire d'applications clientes externes, cliquez sur le nom de votre application (par exemple, Google SecOps Integration).
2. Accédez à l'onglet Paramètres.
3. Dans la section OAuth Settings (Paramètres OAuth), cliquez sur Consumer Key and Secret (Clé client et code secret).
4. Copiez la valeur Consumer Key (Clé client) et enregistrez-la.

Remarque : La clé client est requise pour configurer le flux Google SecOps. Ne la partagez pas en mode public.

• Exemple de format de clé client :

  3MVG9IKcPoNiNVBIPjdw4z.pcfRjTFBp7xC8x9k4U8jZ0HlLQdPqX5bKjR8yNzQ9_YvY.8xD3F2W6nXb5YgNx
  

Pré-autoriser l'application cliente externe

Salesforce nécessite une pré-autorisation pour le flux du jeton de support JWT. Pré-autorisez en attribuant l'application cliente externe à un utilisateur via un ensemble d'autorisations.

Créer un ensemble d'autorisations

1. Accédez à Setup > Users > Permission Sets (Configuration > Utilisateurs > Ensembles d'autorisations).
2. Cliquez sur New (Nouveau).
3. Fournissez les informations de configuration suivantes :
   • Libellé : saisissez SecOps Integration Users (par exemple).
   • Nom de l'API : renseigné automatiquement en fonction du libellé.
4. Cliquez sur Enregistrer.

Attribuer un ensemble d'autorisations à l'application cliente externe

1. Accédez à Setup > External Client App Manager (Configuration > Gestionnaire d'applications clientes externes).
2. Cliquez sur votre application cliente externe (par exemple, Google SecOps Integration).
3. Cliquez sur l'onglet Règles.
4. Dans la section App Policies (Règles d'application), sous Select Permission Sets (Sélectionner des ensembles d'autorisations) :
   1. Déplacez votre ensemble d'autorisations (par exemple, SecOps Integration Users) de Ensembles d'autorisations disponibles vers Ensembles d'autorisations sélectionnés.
5. Cliquez sur Enregistrer.

Attribuer un ensemble d'autorisations à un utilisateur

1. Sur la page d'informations de l'ensemble d'autorisations, cliquez sur Gérer les attributions.
2. Cliquez sur Add Assignments (Ajouter des attributions).
3. Cochez la case à côté du compte utilisateur qui sera utilisé pour l'intégration de Google SecOps (par exemple, [e-mail]).
4. Cliquez sur Attribuer.
5. Cliquez sur OK.

Remarque : Le nom de cet utilisateur sera utilisé comme objet des revendications JWT dans la configuration du flux Google SecOps.

Configurer un flux dans Google SecOps pour ingérer les journaux Salesforce

1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
2. Cliquez sur Ajouter un flux d'actualités.
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Salesforce EventLogFile).
5. Sélectionnez API tierce comme type de source.
6. Sélectionnez SALESFORCE comme type de journal.
7. Cliquez sur Suivant.

8. Spécifiez les valeurs des paramètres d'entrée suivants :

   • Nom d'hôte de l'API : saisissez le nom d'hôte de votre instance Salesforce (par exemple, acme.my.salesforce.com).
   Remarque : N'incluez pas https:// dans le nom d'hôte. Pour les organisations de production, utilisez yourcompany.my.salesforce.com. Pour les bacs à sable, utilisez yourcompany--sandboxname.sandbox.my.salesforce.com. Pour les instances Mon domaine, utilisez votre domaine personnalisé (par exemple, acme.my.salesforce.com).
   • Point de terminaison JWT OAuth : saisissez l'URL du point de terminaison du jeton OAuth. Le paramètre de requête grant_type est obligatoire pour l'outil de récupération de flux Google SecOps et doit être ajouté à l'URL exactement comme indiqué :
     • Organisations de production : https://login.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
     • Organisations de bac à sable : https://test.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
     • Mon domaine : https://acme.my.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
   • Émetteur de revendications JWT : saisissez la clé client de l'application cliente externe.
   • Sujet des revendications JWT : saisissez le nom d'utilisateur Salesforce de l'utilisateur préautorisé (par exemple, [e-mail]).
   • Audience des revendications JWT : saisissez l'URL du serveur d'autorisation. Utilisez une seule des deux valeurs ci-dessous. Ne remplacez pas l'URL Mon domaine, car Salesforce la rejette lors de la validation de la signature JWT :
     • Organisations de production et organisations Mon domaine : https://login.salesforce.com
     • Organisations de bac à sable : https://test.salesforce.com

   • Clé privée RSA : collez l'intégralité du contenu de la clé privée PKCS#8, y compris les marqueurs -----BEGIN PRIVATE KEY----- et -----END PRIVATE KEY-----. L'en-tête et le pied de page ne doivent pas contenir le mot RSA. Une clé avec -----BEGIN RSA PRIVATE KEY----- (PKCS#1) est refusée par l'analyseur de flux.

   • Pour obtenir le contenu de la clé privée :

     cat salesforce_private.key
     

   Copiez l'intégralité du résultat, y compris les lignes d'en-tête et de pied de page.

   • Espace de noms de l'élément : espace de noms de l'élément.
   • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.

9. Cliquez sur Suivant.

10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Référence des types d'instances Salesforce

Les valeurs du point de terminaison et de l'audience du jeton JWT OAuth dépendent du type de votre instance Salesforce :

Type d'instance	Point de terminaison JWT OAuth	Revendications JWT : Audience	Format du nom d'hôte de l'API
Production	https://login.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer	https://login.salesforce.com	company.my.salesforce.com
Bac à sable	https://test.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer	https://test.salesforce.com	company--sandbox.sandbox.my.salesforce.com
Mon domaine	https://domain.my.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer	https://login.salesforce.com	domain.my.salesforce.com

Remarque : Mon domaine est recommandé pour les déploiements en production. "Mon domaine" fournit une URL de connexion personnalisée et est requis pour certaines fonctionnalités Salesforce.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
ApiType_label	additional.fields	Fusionné
ApiVersion_label	additional.fields	Fusionné
Application_label	additional.fields	Fusionné
AuthMethodReference_label	additional.fields	Fusionné
Browser_label	additional.fields	Fusionné
ConnectedAppId_label	additional.fields	Fusionné
CountryIso_label	additional.fields	Fusionné
CreatedByContext_label	additional.fields	Fusionné
CreatedById_label	additional.fields	Fusionné
CreatedByIssuer_label	additional.fields	Fusionné
CreatedBy_FederationIdentifier_label	additional.fields	Fusionné
CreatedDate_label	additional.fields	Fusionné
DeviceSessionId_label	additional.fields	Fusionné
EffectivePageTimeDeviationReason_label	additional.fields	Fusionné
EffectivePageTime_label	additional.fields	Fusionné
Entityid_label	additional.fields	Fusionné
EventIdentifier_label	additional.fields	Fusionné
EventUuid_label	additional.fields	Fusionné
FederationIdentifier_label	additional.fields	Fusionné
HasEffectivePageTimeDeviation_label	additional.fields	Fusionné
Id_label	additional.fields	Fusionné
LoginGeoId_label	additional.fields	Fusionné
LoginHistoryId_label	additional.fields	Fusionné
LoginKey_label	additional.fields	Fusionné
LoginSubType_label	additional.fields	Fusionné
LoginType_label	additional.fields	Fusionné
NetId_label	additional.fields	Fusionné
NetworkId_label	additional.fields	Fusionné
Operation_label	additional.fields	Fusionné
OptionsIsGet_label	additional.fields	Fusionné
OptionsIsPost_label	additional.fields	Fusionné
Platform_label	additional.fields	Fusionné
PolicyId_label	additional.fields	Fusionné
PreviousPageAppName_label	additional.fields	Fusionné
PreviousPageEntityType_label	additional.fields	Fusionné
QueriedEntities_label	additional.fields	Fusionné
RelatedEventIdentifier_label	additional.fields	Fusionné
RequestIdentifier_label	additional.fields	Fusionné
RowsProcessed_label	additional.fields	Fusionné
RowsReturned_label	additional.fields	Fusionné
SdkVersion_label	additional.fields	Fusionné
SessionKey_label	additional.fields	Fusionné
SessionLevel_label	additional.fields	Fusionné
Subdivision_label	additional.fields	Fusionné
api_token_label	additional.fields	Fusionné
api_type_label	additional.fields	Fusionné
auth_service_id_label	additional.fields	Fusionné
auth_token	additional.fields	Fusionné
browser_version_label	additional.fields	Fusionné
channel_label	additional.fields	Fusionné
connection_type_label	additional.fields	Fusionné
customerName_label	additional.fields	Fusionné
datacell_label	additional.fields	Fusionné
decoded_body_size_label	additional.fields	Fusionné
delegate_user_label	additional.fields	Fusionné
device_label	additional.fields	Fusionné
device_platform	additional.fields	Mappé : : → device_label
done_label	additional.fields	Fusionné
encoded_body_size_label	additional.fields	Fusionné
evaluation_time_label	additional.fields	Fusionné
event_id	additional.fields	Mappé : "LightningInteraction", "LightningPerformance", "LightningPageView", "LightningUriE...
initiator_type_label	additional.fields	Fusionné
login_key_label	additional.fields	Fusionné
loginkey_label	additional.fields	Fusionné
map_field	additional.fields	Fusionné
next_hop_protocol_label	additional.fields	Fusionné
page_app_name_label	additional.fields	Fusionné
page_context_label	additional.fields	Fusionné
page_entity_id_label	additional.fields	Fusionné
page_entity_type_label	additional.fields	Fusionné
page_url_label	additional.fields	Fusionné
parent_ui_element_label	additional.fields	Fusionné
platform_label	additional.fields	Fusionné
postal_code_label	additional.fields	Fusionné
redirect_start_label	additional.fields	Fusionné
render_blocking_status_label	additional.fields	Fusionné
replayId_label	additional.fields	Fusionné
request_start_label	additional.fields	Fusionné
response_end_label	additional.fields	Fusionné
response_start_label	additional.fields	Fusionné
responsible_namespace_prefix_label	additional.fields	Fusionné
schemaId_label	additional.fields	Fusionné
schema_label	additional.fields	Fusionné
section_label	additional.fields	Fusionné
server_request_id_label	additional.fields	Fusionné
target_ui_element_label	additional.fields	Fusionné
totalSize_label	additional.fields	Fusionné
transfer_size_label	additional.fields	Fusionné
ts_label	additional.fields	Fusionné
ui_event_id_label	additional.fields	Fusionné
ui_event_sequence_num_label	additional.fields	Fusionné
ui_event_source_label	additional.fields	Fusionné
ui_event_timestamp_label	additional.fields	Fusionné
ui_event_type_label	additional.fields	Fusionné
ui_root_activity_id_label	additional.fields	Fusionné
ui_thread_response_delay_label	additional.fields	Fusionné
worker_start_label	additional.fields	Fusionné
Login_type	extensions.auth.auth_details	Mappage direct
auth.mechanism	extensions.auth.mechanism	Fusionné
csv_format	extensions.auth.mechanism	Mappé : false → auth.mechanism
event_id	extensions.auth.mechanism	Mappé : Login: Success → auth.mechanism
mechanism	extensions.auth.mechanism	Fusionné
LoginType	extensions.auth.type	Mappé : Application → AUTHTYPE_UNSPECIFIED
csv_format	extensions.auth.type	Mappé : false → AUTHTYPE_UNSPECIFIED
event_id	extensions.auth.type	Valeurs mappées (8 au total, par exemple"IdentityProviderEventStore", "LoginEventStream", "WaveDownloa...
logintype	extensions.auth.type	Mappé : SAML Sfdc Initiated SSO → SSO
intermediary_ip	intermediary.ip	Fusionné
user_name	intermediary.user.user_display_name	Mappage direct
userid	intermediary.user.userid	Mappage direct
Report_description	metadata.description	Mappage direct
data.properties.Description.str	metadata.description	Mappage direct
metadata_description	metadata.description	Mappage direct
properties.Description	metadata.description	Mappage direct
@timestamp	metadata.event_timestamp	Analysé en tant que ISO8601
LoginTime	metadata.event_timestamp	Analysé en tant que yyyy-MM-ddTHH:mm:ss.SSS+0000
TIMESTAMP	metadata.event_timestamp	Analysé en tant que UNIX
TIMESTAMP_DERIVED	metadata.event_timestamp	Analysé en tant que ISO8601
User.LastLoginDate	metadata.event_timestamp	Analysé en tant que yyyy-MM-ddTHH:mm:ss.SSS+0000
collected_timestamp	metadata.event_timestamp	Analysé en tant que yyyyMMddHHmmss
column6	metadata.event_timestamp	Analysé en tant que yyyyMMddHHmmss
createdAt	metadata.event_timestamp	Analysé en tant que UNIX
detail.payload.EventDate	metadata.event_timestamp	Analysé en tant que ISO8601
payload.EventDate	metadata.event_timestamp	Analysé en tant que ISO8601
properties.EventDate	metadata.event_timestamp	Analysé en tant que ISO8601
recordDate	metadata.event_timestamp	Analysé en tant que UNIX_MS
startTime	metadata.event_timestamp	Analysé en tant que MMM d yyyy, HH:mm:ss:SSS
time_stamp	metadata.event_timestamp	Analysé en tant que YYYY-MM-ddTHH:mm:ss
timestamp	metadata.event_timestamp	Analysé en tant que yyyyMMddHHmmss
ts_date	metadata.event_timestamp	Analysé en tant que yyyy-MM-dd HH:mm:ss.SSSZ
event_type	metadata.event_type	Mapped: "", "GENERIC_EVENT" → USER_UNCATEGORIZED, "", "GENERIC_EVENT" → `NETWORK_CONNE...
principal_machine_id_present	metadata.event_type	Mappé : true → NETWORK_CONNECTION, true → STATUS_UPDATE
principal_user_present	metadata.event_type	Mappé : true → USER_UNCATEGORIZED
label	metadata.ingestion_labels	Fusionné
resource_name	metadata.ingestion_labels	Mappé : `"ReportEvent","SessionHijackingEventStore","BulkApiResultEventStore","CredentialStu...
action	metadata.product_event_type	Mappage direct
attrs.cat	metadata.product_event_type	Mappage direct
event_id	metadata.product_event_type	Mappage direct
name	metadata.product_event_type	Mappage direct
REQUEST_ID	metadata.product_log_id	Mappage direct
column9	metadata.product_log_id	Mappage direct
data.properties.EventIdentifier.str	metadata.product_log_id	Mappage direct
event_identifier	metadata.product_log_id	Mappage direct
id	metadata.product_log_id	Mappage direct
payload.EventIdentifier	metadata.product_log_id	Mappage direct
product_log_id	metadata.product_log_id	Mappage direct
properties.EventIdentifier	metadata.product_log_id	Mappage direct
ClientVersion	metadata.product_version	Mappage direct
payload.ClientVersion	metadata.product_version	Mappage direct
data.properties.LoginUrl.str	metadata.url_back_to_product	Mappage direct
data.properties.PageUrl.str	metadata.url_back_to_product	Mappage direct
payload.PreviousPageUrl	metadata.url_back_to_product	Mappage direct
protocol	network.application_protocol	Mappage direct
METHOD	network.http.method	Mappage direct
data.properties.HttpMethod.str	network.http.method	Mappage direct
method	network.http.method	Mappage direct
payload.HttpMethod	network.http.method	Mappage direct
properties.HttpMethod	network.http.method	Mappage direct
properties.UserAgent	network.http.parsed_user_agent	Mappage direct
user_agent	network.http.parsed_user_agent	Mappage direct
referral_url	network.http.referral_url	Mappage direct
STATUS_CODE	network.http.response_code	Mappage direct
request_status	network.http.response_code	Mappage direct
Browser_type	network.http.user_agent	Mappage direct
Client_info	network.http.user_agent	Mappage direct
data.properties.UserAgent.str	network.http.user_agent	Mappage direct
detail.payload.UserAgent	network.http.user_agent	Mappage direct
payload.UserAgent	network.http.user_agent	Mappage direct
properties.UserAgent	network.http.user_agent	Mappage direct
user_agent	network.http.user_agent	Mappage direct
RESPONSE_SIZE	network.received_bytes	Renommé/Mappé
REQUEST_SIZE	network.sent_bytes	Renommé/Mappé
column17	network.sent_bytes	Mappage direct
event_id	network.sent_bytes	Mappé : AuraRequest → uinteger
LOGIN_KEY	network.session_id	Mappage direct
SESSION_KEY	network.session_id	Mappage direct
data.properties.SESSION_KEY.str	network.session_id	Mappage direct
data.properties.SessionKey.str	network.session_id	Mappage direct
payload.SessionKey	network.session_id	Mappage direct
properties.SessionKey	network.session_id	Mappage direct
session_id	network.session_id	Mappage direct
session_key	network.session_id	Mappage direct
cipher_suite	network.tls.cipher	Mappage direct
data.properties.CipherSuite.str	network.tls.cipher	Mappage direct
payload.CipherSuite	network.tls.cipher	Mappage direct
properties.CipherSuite	network.tls.cipher	Mappage direct
data.properties.TlsProtocol.str	network.tls.version	Mappage direct
payload.TlsProtocol	network.tls.version	Mappage direct
properties.TlsProtocol	network.tls.version	Mappage direct
tls_protocol	network.tls.version_protocol	Mappage direct
data.properties.DelegatedUsername.str	observer.user.userid	Mappage direct
application	principal.application	Mappage direct
attrs.Application	principal.application	Renommé/Mappé
data.properties.Application.str	principal.application	Mappage direct
payload.Application	principal.application	Mappage direct
properties.Application	principal.application	Mappage direct
src_app_name	principal.application	Mappage direct
SourceIp	principal.asset.hostname	Mappage direct
client_host	principal.asset.hostname	Mappage direct
client_ip_1	principal.asset.hostname	Mappage direct
detail.payload.Client	principal.asset.hostname	Mappage direct
CLIENT_IP	principal.asset.ip	Fusionné
Client_ip	principal.asset.ip	Fusionné
SourceIp	principal.asset.ip	Fusionné
attrs.src	principal.asset.ip	Fusionné
client_ip	principal.asset.ip	Fusionné
client_ip_1	principal.asset.ip	Fusionné
column28	principal.asset.ip	Fusionné
csv_format	principal.asset.ip	Mappé : false → attrs.src
event_id	principal.asset.ip	Mappé : API → prin_ip, Sites → column28, Login: Success → attrs.src
ip	principal.asset.ip	Fusionné
prin_ip	principal.asset.ip	Fusionné
principal_ip_address	principal.asset.ip	Fusionné
src_ip1	principal.asset.ip	Fusionné
value	principal.asset.ip	Fusionné
data.properties.ASSET_ID.str	principal.asset_id	Mappage direct
SourceIp	principal.hostname	Mappage direct
client_host	principal.hostname	Mappage direct
client_ip_1	principal.hostname	Mappage direct
detail.payload.Client	principal.hostname	Mappage direct
CLIENT_IP	principal.ip	Fusionné
Client_ip	principal.ip	Fusionné
SourceIp	principal.ip	Fusionné
attrs.src	principal.ip	Fusionné
client_ip	principal.ip	Fusionné
client_ip_1	principal.ip	Fusionné
column28	principal.ip	Fusionné
csv_format	principal.ip	Mappé : false → attrs.src
event_id	principal.ip	Mappé : API → prin_ip, Sites → column28, Login: Success → attrs.src
ip	principal.ip	Fusionné
prin_ip	principal.ip	Fusionné
principal_ip	principal.ip	Fusionné
principal_ip_address	principal.ip	Fusionné
src_ip1	principal.ip	Fusionné
value	principal.ip	Fusionné
ApiType_label	principal.labels	Fusionné
Client_label	principal.labels	Fusionné
ConApp_label	principal.labels	Fusionné
OrderBy_label	principal.labels	Fusionné
Org_id	principal.labels	Fusionné
Qentry_label	principal.labels	Fusionné
Query_label	principal.labels	Fusionné
Records_label	principal.labels	Fusionné
channel	principal.labels	Fusionné
colhdr_label	principal.labels	Fusionné
disp_field_hdr_label	principal.labels	Fusionné
evt_src_label	principal.labels	Fusionné
federation_identifier	principal.labels	Fusionné
grouped_colhdr_label	principal.labels	Fusionné
city	principal.location.city	Mappage direct
data.properties.City.str	principal.location.city	Mappage direct
geoip_src.city_name	principal.location.city	Mappage direct
payload.City	principal.location.city	Mappage direct
properties.City	principal.location.city	Mappage direct
client_geo	principal.location.country_or_region	Mappage direct
data.properties.Country.str	principal.location.country_or_region	Mappage direct
geoip_src.country_name	principal.location.country_or_region	Mappage direct
payload.CountryIso	principal.location.country_or_region	Mappage direct
properties.Country	principal.location.country_or_region	Mappage direct
region	principal.location.country_or_region	Mappage direct
data.properties.LoginLatitude.number	principal.location.region_latitude	Renommé/Mappé
payload.LoginLatitude	principal.location.region_latitude	Renommé/Mappé
properties.LoginLatitude	principal.location.region_latitude	Renommé/Mappé
data.properties.LoginLongitude.number	principal.location.region_longitude	Renommé/Mappé
payload.LoginLongitude	principal.location.region_longitude	Renommé/Mappé
properties.LoginLongitude	principal.location.region_longitude	Renommé/Mappé
geoip_src.region_name	principal.location.state	Mappage direct
namespace	principal.namespace	Mappage direct
source_ip	principal.nat_ip	Fusionné
Platform	principal.platform	Mappé : Windows → WINDOWS, Linux → LINUX, Mac → MAC
data.properties.OsName.str	principal.platform	Mappage direct
os_name	principal.platform	Mappage direct
payload.OsName	principal.platform	Mappage direct
platform	principal.platform	Mappage direct
data.properties.Platform.str	principal.platform_version	Mappage direct
os_version	principal.platform_version	Mappage direct
payload.OsVersion	principal.platform_version	Mappage direct
properties.OsVersion	principal.platform_version	Mappage direct
ApiVersion_label	principal.resource.attribute.labels	Fusionné
IsDeleted_label	principal.resource.attribute.labels	Fusionné
LogFileContentType_label	principal.resource.attribute.labels	Fusionné
LogFileLength_label	principal.resource.attribute.labels	Fusionné
LogFile_label	principal.resource.attribute.labels	Fusionné
created_by_id_label	principal.resource.attribute.labels	Fusionné
key	principal.resource.attribute.labels	Mappé : DisplayedFieldEntities → map_field
map_field	principal.resource.attribute.labels	Fusionné
os_name_label	principal.resource.attribute.labels	Fusionné
principal_ip_address	principal.resource.attribute.labels	Fusionné
browser_name	principal.resource.name	Mappage direct
data.properties.Browser.str	principal.resource.name	Mappage direct
product_object_id	principal.resource.product_object_id	Mappage direct
principal_resource_type	principal.resource.type	Mappage direct
LoginUrl	principal.url	Mappage direct
user_labels	principal.user.attribute.labels	Fusionné
user_permission_label	principal.user.attribute.labels	Fusionné
roles	principal.user.attribute.roles	Fusionné
CreatedBy.Email	principal.user.email_addresses	Fusionné
Email	principal.user.email_addresses	Fusionné
User.Email	principal.user.email_addresses	Fusionné
User.Username	principal.user.email_addresses	Mappage direct
attrs.usrName	principal.user.email_addresses	Fusionné
csv_format	principal.user.email_addresses	Mappé : false → attrs.usrName
email	principal.user.email_addresses	Fusionné
properties.Username	principal.user.email_addresses	Fusionné
src_email	principal.user.email_addresses	Mappé : ^.+@.+$ → src_email
User.Id	principal.user.product_object_id	Mappage direct
attrs.USER_ID_DERIVED	principal.user.product_object_id	Renommé/Mappé
data.properties.USER_ID_DERIVED.str	principal.user.product_object_id	Mappage direct
principal_product_object_id	principal.user.product_object_id	Mappage direct
payload.UserType	principal.user.role_name	Mappage direct
properties.UserType	principal.user.role_name	Mappage direct
CreatedBy.Name	principal.user.user_display_name	Mappage direct
Name	principal.user.user_display_name	Mappage direct
User.Name	principal.user.user_display_name	Mappage direct
email	principal.user.user_display_name	Mappage direct
profile_name	principal.user.user_display_name	Mappage direct
user_display_name	principal.user.user_display_name	Mappage direct
username	principal.user.user_display_name	Mappage direct
Id	principal.user.userid	Mappage direct
USER_ID	principal.user.userid	Mappage direct
account	principal.user.userid	Mappage direct
attrs.usrName	principal.user.userid	Mappage direct
data.properties.LoginKey.str	principal.user.userid	Mappage direct
data.properties.USER_ID.str	principal.user.userid	Mappage direct
login_key	principal.user.userid	Mappage direct
payload.UserId	principal.user.userid	Mappage direct
principal_user	principal.user.userid	Mappage direct
properties.UserId	principal.user.userid	Mappage direct
user_id	principal.user.userid	Mappage direct
username	principal.user.userid	Mappage direct
action	security_result.action	Mappé : "ALLOW", "BLOCK" → action
csv_format	security_result.action	Mappé : false → sec_action
event_id	security_result.action	Mappé : ` "Login", "LoginAsEvent", "IdentityVerificationEvent"...
sec_action	security_result.action	Fusionné
status	security_result.action	Mappé : Success → sec_action
Status	security_result.action_details	Mappage direct
action	security_result.action_details	Mappage direct
data.properties.Status.str	security_result.action_details	Mappage direct
properties.Status	security_result.action_details	Mappage direct
detail.payload.Query	security_result.category_details	Fusionné
LoginType	security_result.description	Mappage direct
description	security_result.description	Mappage direct
logintype	security_result.description	Mappage direct
ActionMessage_label	security_result.detection_fields	Fusionné
ElapsedTime_label	security_result.detection_fields	Fusionné
EvaluationTime_label	security_result.detection_fields	Fusionné
Id_label	security_result.detection_fields	Fusionné
NumberOfFailedLogins_label	security_result.detection_fields	Fusionné
PolicyOutcome_label	security_result.detection_fields	Fusionné
User_url_label	security_result.detection_fields	Fusionné
event_id	security_result.detection_fields	Mappé : AuraRequest → ActionMessage_label
type_label	security_result.detection_fields	Fusionné
column5	security_result.rule_author	Mappage direct
column1	security_result.rule_id	Mappage direct
payload.PolicyId	security_result.rule_id	Mappage direct
properties.PolicyId	security_result.rule_id	Mappage direct
column4	security_result.rule_name	Mappage direct
rule_name	security_result.rule_name	Mappage direct
REQUEST_STATUS	security_result.summary	Mappage direct
column10	security_result.summary	Mappage direct
data.properties.LoginType.str	security_result.summary	Mappage direct
forecastcategory	security_result.summary	Mappage direct
newvalue	security_result.summary	Mappage direct
oldvalue	security_result.summary	Mappage direct
summary	security_result.summary	Mappage direct
ORGANIZATION_ID	target.administrative_domain	Mappage direct
domain	target.administrative_domain	Mappage direct
organization_id	target.administrative_domain	Mappage direct
properties.OrgName	target.administrative_domain	Mappage direct
app_name	target.application	Mappage direct
data.properties.Application.str	target.application	Mappage direct
payload.AppName	target.application	Mappage direct
properties.AppName	target.application	Mappage direct
target_host	target.asset.hostname	Mappage direct
target_hostname	target.asset.hostname	Mappage direct
data.properties.CLIENT_IP.str	target.asset.ip	Fusionné
device_id	target.asset_id	Mappage direct
file_type	target.file.mime_type	Mappage direct
size_bytes	target.file.size	Mappage direct
target_host	target.hostname	Mappage direct
target_hostname	target.hostname	Mappage direct
data.properties.CLIENT_IP.str	target.ip	Fusionné
QUERY_IDENTIFIER	target.process.command_line	Mappage direct
cmd_line	target.process.command_line	Mappage direct
data.properties.Query.str	target.process.command_line	Mappage direct
query_exec	target.process.command_line	Mappage direct
job_id	target.process.pid	Mappage direct
PageStartTime_label	target.resource.attribute.labels	Fusionné
call_time	target.resource.attribute.labels	Fusionné
counts_against_api_limit_label	target.resource.attribute.labels	Fusionné
cpu	target.resource.attribute.labels	Fusionné
cpu_time_label	target.resource.attribute.labels	Fusionné
db_blocks_label	target.resource.attribute.labels	Fusionné
db_cpu	target.resource.attribute.labels	Fusionné
db_cpu_time_label	target.resource.attribute.labels	Fusionné
db_total_time_label	target.resource.attribute.labels	Fusionné
db_type	target.resource.attribute.labels	Fusionné
duration_time	target.resource.attribute.labels	Fusionné
entity_name	target.resource.attribute.labels	Fusionné
entity_name_label	target.resource.attribute.labels	Fusionné
entry_p	target.resource.attribute.labels	Fusionné
event_id	target.resource.attribute.labels	Valeurs mappées (5 au total, par exemple ApiEventStream → ope, ApiEventStream → ses_level, `ApiT...
exception_label	target.resource.attribute.labels	Fusionné
exe_time	target.resource.attribute.labels	Fusionné
key	target.resource.attribute.labels	Mappé : "PageStartTime", "PreviousPageUrl", "Description", "ReportId" → map_field
label	target.resource.attribute.labels	Fusionné
map_field	target.resource.attribute.labels	Fusionné
media_type_label	target.resource.attribute.labels	Fusionné
no_sql_que	target.resource.attribute.labels	Fusionné
number_fields_label	target.resource.attribute.labels	Fusionné
ope	target.resource.attribute.labels	Fusionné
query_type_label	target.resource.attribute.labels	Fusionné
rows_proc	target.resource.attribute.labels	Fusionné
rows_proc_label	target.resource.attribute.labels	Fusionné
run	target.resource.attribute.labels	Fusionné
run_time_label	target.resource.attribute.labels	Fusionné
ses_level	target.resource.attribute.labels	Fusionné
sql_id_label	target.resource.attribute.labels	Fusionné
ss_type	target.resource.attribute.labels	Fusionné
total_time	target.resource.attribute.labels	Fusionné
uripath_label	target.resource.attribute.labels	Fusionné
user_derieved_label	target.resource.attribute.labels	Fusionné
user_ty	target.resource.attribute.labels	Fusionné
user_type_label	target.resource.attribute.labels	Fusionné
verify_method	target.resource.attribute.labels	Fusionné
wave	target.resource.attribute.labels	Fusionné
URI	target.resource.id	Mappage direct
accountid	target.resource.id	Mappage direct
attrs.AccountId	target.resource.id	Renommé/Mappé
attrs.CaseId	target.resource.id	Renommé/Mappé
attrs.ContactId	target.resource.id	Renommé/Mappé
caseid	target.resource.id	Mappage direct
contactid	target.resource.id	Mappage direct
detail.id	target.resource.id	Mappage direct
leadid	target.resource.id	Mappage direct
opportunityid	target.resource.id	Mappage direct
payload.RecordId	target.resource.id	Mappage direct
properties.RecordId	target.resource.id	Mappage direct
request_id	target.resource.id	Mappage direct
StageName	target.resource.name	Mappage direct
data.properties.DATASET_IDS.str	target.resource.name	Mappage direct
field	target.resource.name	Mappage direct
properties.Name	target.resource.name	Mappage direct
resource_name	target.resource.name	Mappage direct
column13	target.resource.product_object_id	Mappage direct
data.properties.REQUEST_ID.str	target.resource.product_object_id	Mappage direct
properties.OrgId	target.resource.product_object_id	Mappage direct
target_product_object_id	target.resource.product_object_id	Mappage direct
event_id	target.resource.resource_type	Mappé : PlatformEncryption → ACCESS_POLICY, ApexCallout → ACCESS_POLICY, `ApexTrigge...
target_resource_type	target.resource.resource_type	Mappage direct
event_id	target.resource.type	Mapped: (QueuedExecution/ApexExecution) → BATCH, ApexTrigger → DATABASE_TRIGGER, `Co...
URI	target.url	Mappage direct
attrs.LoginUrl	target.url	Renommé/Mappé
attrs.attributes.url	target.url	Renommé/Mappé
login_url	target.url	Mappage direct
payload.LoginUrl	target.url	Mappage direct
properties.LoginUrl	target.url	Mappage direct
properties.PageUrl	target.url	Mappage direct
uri	target.url	Mappage direct
uripath	target.url	Mappage direct
attrs.usrName	target.user.email_addresses	Fusionné
csv_format	target.user.email_addresses	Mappé : false → attrs.usrName
email_address	target.user.email_addresses	Fusionné
event_id	target.user.email_addresses	Mappé : Logout → attrs.usrName
target_user_display_name	target.user.user_display_name	Mappage direct
column5	target.user.userid	Mappage direct
data.properties.CreatedById.str	target.user.userid	Mappage direct
data.properties.UserId.str	target.user.userid	Mappage direct
detail.payload.UserId	target.user.userid	Mappage direct
target_login_key	target.user.userid	Mappage direct
target_user_id	target.user.userid	Mappage direct
target_user_name	target.user.userid	Mappage direct
N/A	extensions.auth.auth_details	Constante : ACTIVE
N/A	extensions.auth.type	Constante : AUTHTYPE_UNSPECIFIED
N/A	metadata.event_type	Constante : USER_UNCATEGORIZED
N/A	metadata.product_name	Constante : SALESFORCE
N/A	metadata.vendor_name	Constante : SALESFORCE
N/A	network.application_protocol	Constante : HTTP
N/A	network.http.parsed_user_agent	Constante : parseduseragent
N/A	principal.platform	Constante : WINDOWS
N/A	principal.resource.type	Constante : USER
N/A	target.resource.resource_type	Constante : ACCESS_POLICY
N/A	target.resource.type	Constante : BATCH
column17	event.idm.read_only_udm.principal.user.email_addresses	Mappé à partir du journal des modifications
column5	event.idm.read_only_udm.principal.user.userid	Mappé à partir du journal des modifications
user_type	event.idm.read_only_udm.principal.resource.attribute.labels	Mappé à partir du journal des modifications
USER_ID_DERIVED	event.idm.read_only_udm.principal.resource.attribute.labels	Mappé à partir du journal des modifications
ApiVersion	event.idm.read_only_udm.target.resource.attribute.labels	Mappé à partir du journal des modifications
column9	event.idm.read_only_udm.principal.resource.attribute.labels	Mappé à partir du journal des modifications
column9	event.idm.read_only_udm.network.http.user_agent	Mappé à partir du journal des modifications
column9	event.idm.read_only_udm.network.http.parsed_user_agent	Mappé à partir du journal des modifications
column4	event.idm.read_only_udm.target.administrative_domain	Mappé à partir du journal des modifications
column18	event.idm.read_only_udm.principal.user.email_addresses	Mappé à partir du journal des modifications
request_id	event.idm.read_only_udm.target.resource.product_object_id	Mappé à partir du journal des modifications
column13	event.idm.read_only_udm.principal.resource.attribute.labels	Mappé à partir du journal des modifications
column18	event.idm.read_only_udm.principal.resource.attribute.labels	Mappé à partir du journal des modifications
column20	event.idm.read_only_udm.target.resource.attribute.labels	Mappé à partir du journal des modifications
column8	event.idm.read_only_udm.target.resource.attribute.labels	Mappé à partir du journal des modifications
column7	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
column16	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
login_subtype	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
column28	event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip	Mappé à partir du journal des modifications
column26	event.idm.read_only_udm.metadata.collected_timestamp	Mappé à partir du journal des modifications
source_ip	event.idm.read_only_udm.principal.nat_ip	Mappé à partir du journal des modifications
x_forwarded_for_ip	event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip	Mappé à partir du journal des modifications
column13	event.idm.read_only_udm.target.resource.name	Mappé à partir du journal des modifications
column14	event.idm.read_only_udm.security_result.description	Mappé à partir du journal des modifications
properties.Description	event.idm.read_only_udm.metadata.description	Mappé à partir du journal des modifications
properties.City	event.idm.read_only_udm.principal.location.city	Mappé à partir du journal des modifications
properties.AppName	event.idm.read_only_udm.target.application	Mappé à partir du journal des modifications
properties.OrgId	event.idm.read_only_udm.target.resource.product_object_id	Mappé à partir du journal des modifications
properties.OrgName	event.idm.read_only_udm.target.administrative_domain	Mappé à partir du journal des modifications
namespace	event.idm.read_only_udm.principal.namespace	Mappé à partir du journal des modifications
properties.LoginUrl, properties.PageUrl	event.idm.read_only_udm.target.url	Mappé à partir du journal des modifications
properties.Application	event.idm.read_only_udm.principal.application	Mappé à partir du journal des modifications
recordDate	event.idm.read_only_udm.metadata.collected_timestamp	Mappé à partir du journal des modifications
name	event.idm.read_only_udm.metadata.product_event_type	Mappé à partir du journal des modifications
properties.Username	event.idm.read_only_udm.principal.user.email_addresses	Mappé à partir du journal des modifications
properties.UserId	event.idm.read_only_udm.principal.user.userid	Mappé à partir du journal des modifications
properties.UserType	event.idm.read_only_udm.principal.user.role_name	Mappé à partir du journal des modifications
properties.Country	event.idm.read_only_udm.principal.location.country_or_region	Mappé à partir du journal des modifications
properties.SourceIp	event.idm.read_only_udm.principal.ip	Mappé à partir du journal des modifications
properties.SourceIp	event.idm.read_only_udm.principal.asset.ip	Mappé à partir du journal des modifications
properties.SourceIp (if not a valid IP), properties.OsName (if not Windows, Linux, or Mac), properties.DisplayedFieldEntities	event.idm.read_only_udm.principal.resource.attribute.labels	Mappé à partir du journal des modifications
properties.TlsProtocol	event.idm.read_only_udm.network.tls.version	Mappé à partir du journal des modifications
properties.CipherSuite	event.idm.read_only_udm.network.tls.cipher	Mappé à partir du journal des modifications
properties.EventDate, startTime	event.idm.read_only_udm.metadata.event_timestamp	Mappé à partir du journal des modifications
properties.EventIdentifier	event.idm.read_only_udm.metadata.product_log_id	Mappé à partir du journal des modifications
properties.HttpMethod	event.idm.read_only_udm.network.http.method	Mappé à partir du journal des modifications
properties.HttpMethod	event.idm.read_only_udm.network.application_protocol	Mappé à partir du journal des modifications
properties.LoginLatitude	event.idm.read_only_udm.principal.location.region_latitude	Mappé à partir du journal des modifications
properties.LoginLongitude	event.idm.read_only_udm.principal.location.region_longitude	Mappé à partir du journal des modifications
properties.OsName, properties.Platform	event.idm.read_only_udm.principal.platform	Mappé à partir du journal des modifications
properties.OsVersion	event.idm.read_only_udm.principal.platform_version	Mappé à partir du journal des modifications
properties.RecordId	event.idm.read_only_udm.target.resource.id	Mappé à partir du journal des modifications
properties.SessionKey	event.idm.read_only_udm.network.session_id	Mappé à partir du journal des modifications
properties.UserAgent	event.idm.read_only_udm.network.http.user_agent	Mappé à partir du journal des modifications
properties.UserAgent	event.idm.read_only_udm.network.http.parsed_user_agent	Mappé à partir du journal des modifications
properties.PageStartTime, properties.PreviousPageUrl, properties.Description, properties.ReportId	event.idm.read_only_udm.target.resource.attribute.labels	Mappé à partir du journal des modifications
properties.Name	event.idm.read_only_udm.target.resource.name	Mappé à partir du journal des modifications
and	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
detail.payload.ConnectedAppId	additional.fields	Mappé à partir du journal des modifications
detail.payload.Platform	additional.fields	Mappé à partir du journal des modifications
detail.payload.EvaluationTime	additional.fields	Mappé à partir du journal des modifications
detail.payload.Operation	additional.fields	Mappé à partir du journal des modifications
detail.payload.LoginHistoryId	additional.fields	Mappé à partir du journal des modifications
detail.payload.CreatedById	additional.fields	Mappé à partir du journal des modifications
detail.payload.SessionKey	additional.fields	Mappé à partir du journal des modifications
detail.payload.ApiType	additional.fields	Mappé à partir du journal des modifications
detail.payload.PolicyOutcome	security_result.detection_fields	Mappé à partir du journal des modifications
detail.payload.EventIdentifier	additional.fields	Mappé à partir du journal des modifications
detail.payload.RequestIdentifier	additional.fields	Mappé à partir du journal des modifications
detail.payload.ApiVersion	additional.fields	Mappé à partir du journal des modifications
detail.payload.RelatedEventIdentifier	additional.fields	Mappé à partir du journal des modifications
detail.payload.Username	target.user.email_addresses	Mappé à partir du journal des modifications
detail.payload.RowsProcessed	additional.fields	Mappé à partir du journal des modifications
detail.payload.RowsReturned	additional.fields	Mappé à partir du journal des modifications
detail.payload.SourceIp	principal.ip	Mappé à partir du journal des modifications
detail.payload.CreatedDate	additional.fields	Mappé à partir du journal des modifications
detail.payload.LoginKey	additional.fields	Mappé à partir du journal des modifications
detail.payload.Application	additional.fields	Mappé à partir du journal des modifications
detail.payload.PolicyId	additional.fields	Mappé à partir du journal des modifications
detail.payload.QueriedEntities	additional.fields	Mappé à partir du journal des modifications
detail.payload.SessionLevel	additional.fields	Mappé à partir du journal des modifications
detail.schemaId	additional.fields	Mappé à partir du journal des modifications
records_index.attributes.type	security_result.detection_fields	Mappé à partir du journal des modifications
column25	network.http.user_agent	Mappé à partir du journal des modifications
column24	network.http.user_agent	Mappé à partir du journal des modifications
column24	network.http.method	Mappé à partir du journal des modifications
CreatedBy.FederationIdentifier	additional.fields	Mappé à partir du journal des modifications
Section	additional.fields	Mappé à partir du journal des modifications
DelegateUser	additional.fields	Mappé à partir du journal des modifications
ResponsibleNamespacePrefix	additional.fields	Mappé à partir du journal des modifications
payload.PreviousPageEntityId", "payload.SdkVersion", "payload.Operation", "payload.PageUrl", "HasEffectivePageTimeDeviation_label", "payload.EffectivePageTime", "payload.EffectivePageTimeDeviationReason", "payload.DeviceSessionId", "payload.PreviousPageAppName", and "payload.PreviousPageEntityType	additional.fields	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.