VMware vCenter のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して VMware vCenter ログを Google Security Operations に取り込む方法について説明します。

VMware vCenter は、仮想マシンのオペレーション、ホスト管理、認証、構成変更に関する JSON メッセージと syslog メッセージを生成するサーバー管理プラットフォームです。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと VMware vCenter サーバー間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • VMware vCenter Server Management ウェブ UI への特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新しいデプロイ: Chronicle API（オプション 1）を使用します。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に ingestion-auth.json として保存するか、config.yaml の creds_file_path を保存先のパスと一致するように更新します。
  12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（以前のバージョン）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスが RUNNING と表示されます。

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスが active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探します。

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vmware_vcenter:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VMWARE_VCENTER
    raw_log_field: body

service:
  pipelines:
    logs/vmware_vcenter_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vmware_vcenter

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート。
      • 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
      • ポート 514 は標準の syslog ポートです（Linux では root が必要です。root 以外の場合は 1514 を使用します）。

  • エクスポータの構成:

    • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • location: <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の先頭にこの値を付加します。完全なリストについては、リージョン エンドポイントをご覧ください。
    • project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
    • endpoint: chronicle.googleapis.com に設定したままにします。

以前の Ingestion API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
  chronicle/vmware_vcenter:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VMWARE_VCENTER
    raw_log_field: body

構成ファイルを保存する

  • 編集が完了したら、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

VMware vCenter で syslog を構成する

  1. vCenter Server Management ウェブ UI にログインします。
  2. [Syslog] > [Forwarding Configuration] に移動します。
  3. [構成] をクリックして、新しい転送構成を作成します。
  4. 次の構成情報を指定します。
    • サーバー アドレス: Bindplane エージェントの IP アドレスを入力します。
    • プロトコル: [UDP] を選択します。
    • ポート: Bindplane エージェントのポート番号（例: 514）を入力します。
  5. [保存] をクリックします。
  6. [テスト メッセージを送信] をクリックして構成を確認します。

UDM マッピング テーブル

次の表に、VMware vCenter ログのログから UDM へのフィールド マッピングを示します。

ログフィールド UDM マッピング
Access Mask principal.process.access_mask
Account Domain principal.administrative_domain
Account Name target.user.userid
AccessControlRuleAction security_result.action
AccessControlRuleName security_result.rule_name
ACPolicy security_result.rule_labels
admin principal.resource.attribute.labels
agent.hostname principal.hostname、
principal.asset.hostname
agent.type observer.application
agent.version intermediary.platform_version
alarm_target about.resource.name
api_call_method metadata.product_event_type
app principal.application
ApplicationProtocol network.application_protocol
appname principal.application
auth_date_time metadata.collected_timestamp
auth_user target.user.userid
Authentication Package security_result.about.resource.name
basedn_group_iden target.user.group_identifiers
bytes_received network.received_bytes
bytes_sent network.sent_bytes
Client target.user.attribute.labels
Client Address principal.ip
Client Port principal.port
client_ip principal.ip、
principal.asset.ip
client_port principal.port
ClientVersion target.platform_version
cmd target.process.command_line
ConnectionID security_result.about.labels
cor_id metadata.product_log_id
data_center target.location.name
datacenter target.location.name
desc metadata.description
description_data metadata.description
dest_ip target.ip、
target.asset.ip
dest_port target.port
DeviceUUID metadata.product_log_id
domain principal.administrative_domain
dstip target.ip、
target.asset.ip
EgressZone target.location.name
error_code security_result.detection_fields
error_message security_result.summary
event_name metadata.product_event_type
eventid metadata.product_event_type
EventPriority security_result.severity、
security_result.severity_details
@fields.company_name principal.user.company_name
@fields.facility principal.resource.resource_subtype
@fields.host principal.hostname、
principal.asset.hostname
@fields.privatecloud_id principal.resource_ancestors.product_object_id
@fields.privatecloud_name principal.resource_ancestors.name
@fields.procid principal.process.pid
@fields.region_id principal.location.country_or_region
file_path target.process.file.full_path
file_type network.http.response_headers
FirstPacketSecond security_result.about.labels
f_path target.file.full_path
function security_result.detection_fields
hmethod network.http.method
host.architecture principal.asset.hardware
host.id observer.asset_id
host.ip principal.ip、
principal.asset.ip
host.mac principal.mac
host.os.kernel principal.platform_patch_level
host.os.platform target.platform
host.os.version principal.platform_version
host_ip principal.ip、
principal.asset.ip
http_method network.http.method
HTTPResponse network.http.response_code
http_version network.tls.version_protocol
i_ip intermediary.ip、
intermediary.asset.ip
i_port intermediary.port
IngressZone principal.location.name
InitiatorBytes network.sent_bytes
InitiatorPackets network.sent_packets
insertId metadata.product_log_id
InstanceId target.asset_id
inter_host_name intermediary.hostname
inter_ip intermediary.ip
inter_port target.port
intermediary_ip intermediary.ip
intermediary_port intermediary.port
ip target.ip、
target.asset.ip
ips principal.ip、
principal.asset.ip
jsonPayload.appname security_result.detection_fields
jsonPayload.facility security_result.detection_fields
jsonPayload.hostname principal.hostname、
principal.asset.hostname
jsonPayload.message security_result.detection_fields
jsonPayload.priority security_result.detection_fields
jsonPayload.version security_result.detection_fields
kv_msg1.cipher network.tls.cipher
kv_msg1.ctladdr intermediary.user.attribute.labels
kv_msg1.daemon security_result.about.labels
kv_msg1.from network.email.from
kv_msg1.get_error intermediary.user.attribute.labels
kv_msg1.msgid network.email.mail_id
kv_msg1.proto security_result.about.labels
kv_msg1.size network.sent_bytes
kv_msg1.stat security_result.summary
kv_msg1.to network.email.to
kv_msg1.verify security_result.description、
security_result.action
kv_msg1.version network.tls.version
labels.log_type metadata.product_event_type
labels.net.host.ip principal.ip、
principal.asset.ip
labels.net.host.port principal.port
labels.net.peer.ip intermediary.ip、
intermediary.asset.ip、
target.ip、
target.asset.ip
labels.net.peer.port intermediary.port、
target.port
labels.net.transport network.ip_protocol
level security_result.severity、
security_result.severity_details
level_name security_result.severity、
security_result.severity_details
local_address_1 observer.ip
local_address_2 observer.ip
local_port_1 observer.port
log.file.path target.process.file.full_path
log.source.address intermediary.ip、
intermediary.port
log.syslog.severity.name security_result.severity_details
log_id metadata.product_log_id
log_level security_result.severity、
security_result.severity_details
logName security_result.category_details
Logon Account principal.user.userid
logstash.irm_site target.location.name
logstash.process.host additional.fields
mail_from network.email.from
mail_to network.email.to
msg metadata.description
name about.group.group_display_name
namespace principal.namespace
NAPPolicy security_result.rule_labels
o_ip observer.ip、
observer.asset.ip
o_port observer.port
obj_h additional.fields
obj_p additional.fields
p_ip principal.ip、
principal.asset.ip
p_log_id metadata.product_log_id
p_port principal.port
p_user_id principal.user.userid
p_vm_name target.resource.name
parsable_message metadata.description
pid target.process.pid
port intermediary.port
ppid principal.process.pid
prin_app principal.application
prin_domain principal.administrative_domain
prin_name principal.resource.attribute.labels
prin_pid principal.process.pid
principal_email principal.user.email_addresses
principal_ip1 principal.ip、
principal.asset.ip
principal_ip2 principal.ip、
principal.asset.ip
principal_port principal.port
priority security_result.severity、
security_result.severity_details
process principal.application
process_id principal.process.pid
product_event_type metadata.product_event_type
program principal.application
Protocol network.ip_protocol
providername principal.application
r_bytes network.received_bytes
r_name principal.resource.name
ReferencedHost target.hostname、
target.asset.hostname
Relative Target Name target.file.full_path
relay intermediary.hostname、
intermediary.ip
request_path target.url
resource.labels.project_id src.resource_ancestors.product_object_id
resource.type src.user.attribute.labels
resource_name target.resource.name
ResponderBytes network.received_bytes
ResponderPackets network.received_packets
response_code network.http.response_code
response_details target.resource.attribute.labels
role target.user.attribute.roles
s_bytes network.sent_bytes
sec_desc security_result.description
Security ID target.user.windows_sid
security_result_action_detail security_result.action_details
server_name target.hostname、
target.asset.hostname
session_id network.session_id
severity security_result.severity、
security_result.severity_details
severity_data security_result.severity、
security_result.severity_details
Share Name target.resource.name
sid about.group.windows_sid
Source Network Address principal.ip
Source Port principal.port
source_port principal.port
src_ip principal.ip
srcip principal.ip、
principal.asset.ip
ssh_proto network.application_protocol
summary security_result.summary
syslog_host target.hostname、
target.asset.hostname
t_ip target.ip、
target.asset.ip
t_port target.port
t_url target.url
tags additional.fields
principal_app principal.application
target_domain target.administrative_domain
target_host target.hostname、
target.asset.hostname
target_ip1 target.ip、
target.asset.ip
target_ip2 target.ip、
target.asset.ip
target_port target.port
target_userid target.user.userid
temp_host intermediary.hostname
tgt_domain target.administrative_domain
tgt_user target.user.userid
thread_id principal.resource.attribute.labels
tls_cipher network.tls.cipher
type metadata.product_event_type
upn_name intermediary.url
upstream_ip target.ip、
target.asset.ip
upstream_port target.port
URL target.url
User security_result.summary
user target.user.userid、
principal.user.userid
User ID target.user.userid
user_id principal.user.userid
UserAgent network.http.user_agent、
network.http.parsed_user_agent
username principal.user.userid
usrName target.user.userid
vc_event_obj_id target.asset.asset_id
vc_event_severity security_result.severity、
security_result.severity_details
vc_username target.user.userid
ver_proto network.tls.version
version metadata.product_version
@version principal.platform_version
vpxd_some_id additional.fields
LEEF_version additional.fields
ICMPType additional.fields
ICMPCode additional.fields
IngressInterface additional.fields
EgressInterface additional.fields
WebApplication additional.fields
DNSQuery additional.fields
DNSRecordType additional.fields
DNSResponseType additional.fields
DNS_TTL additional.fields
ApplicationProtocol additional.fields
service.type additional.fields
log.syslog.facility.code additional.fields
log.syslog.facility.name additional.fields
log.syslog.severity.code additional.fields
log.syslog.priority additional.fields
host.os.name additional.fields
host.os.build additional.fields
labels.plugin_id additional.fields
opID additional.fields
sub additional.fields
api_invocations additional.fields
vc_event_cat_0 additional.fields
vc_event_cat_1 additional.fields
vc_event_chain_id additional.fields
vc_event_obj_name additional.fields
vc_event_obj_type additional.fields
p_log_id_repeat additional.fields
sys_priority additional.fields
facility additional.fields
originator additional.fields
originator_id additional.fields
subsystem additional.fields
request_timestamp additional.fields
response_flags additional.fields
duration_total_ms additional.fields
duration_upstream_connect_ms additional.fields
duration_response_tx_ms additional.fields
local_port_2 additional.fields
proc_id additional.fields
eventid_label additional.fields
Logger_Name additional.fields
subcomponent additional.fields
op_id additional.fields
vcenter_uuid_1 additional.fields
vcenter_uuid_2 additional.fields
object_lookup_method additional.fields
conn_id additional.fields
performed_action additional.fields
login_time additional.fields
open_connections additional.fields
total_connections additional.fields
channel_id additional.fields
line_number additional.fields
vc_event_desc additional.fields
uid additional.fields
euid additional.fields
ruser additional.fields
tty additional.fields
tenant additional.fields
duration_ms additional.fields
provider additional.fields
provider_type additional.fields
response_flag additional.fields
http_path additional.fields
unknown_metric_1 additional.fields
unknown_metric_2 additional.fields
sequence_id additional.fields
syslog_facility_code additional.fields
syslog_severity_code additional.fields
syslog_severity additional.fields
syslog_pri additional.fields
syslog_facility additional.fields
logstash.collect.timestamp additional.fields
logstash.ingest.timestamp additional.fields
logstash.process.timestamp additional.fields
logstash.irm_site additional.fields
logstash.irm_environment additional.fields
logstash.irm_region additional.fields
agent.id additional.fields
agent.ephemeral_id additional.fields
ecs.version additional.fields
input.type additional.fields

UDM マッピング デルタ リファレンス

2026 年 9 月 15 日、Google SecOps は VMware vCenter パーサーの新しいバージョンをリリースしました。このバージョンには、VMware vCenter ログフィールドから UDM フィールドへのマッピングの変更が含まれています。

ログフィールド マッピングの差分

次の表に、2026 年 9 月 15 日より前に公開された VMware vCenter ログから UDM へのフィールドと、それ以降に公開されたフィールドのマッピング デルタを示します（それぞれ古いマッピング列と現在のマッピング列に記載）。

ログフィールド 古いマッピング 現在のマッピング 変更理由
appname target.application principal.application これは、ユーザーがアクションを開始するツールと見なされ、アクションの対象となる宛先ではなく、イベントを発生させる主要なアプリケーションとなります。
auth_user principal.user.userid target.user.userid これは、ユーザーが操作されているユーザー ログイン イベントです。
logstash.process.host target.hostname additional.fields このフィールドは、Logstash パイプラインによって追加されます。これは、ログ収集インフラストラクチャの一部である Logstash プロセスが実行されているサーバーのホスト名を示します。このホストはイベント自体のソースではなく、ログを処理する仲介者です。
username target.user.userid principal.user.userid このユーザー ID はイベントの src に属し、ターゲットには属していません。
domain target.administrative_domain principal.administrative_domain このドメインは、ターゲットではなくイベントの src に属します。
resource.labels.project_id src.cloud.project.id src.resource_ancestors.product_object_id 以前のフィールドは非推奨になりました。
target_app target.application principal.application ログには、内部シングル サインオンについて具体的に記述されています。
process additional.fields principal.application より適している。
app target.application principal.application ログには、内部シングル サインオンについて具体的に記述されています。
@fields.privatecloud_id principal.cloud.project.id principal.resource_ancestors.product_object_id 以前のフィールドは非推奨になりました。
@fields.privatecloud_name principal.cloud.project.name principal.resource_ancestors.name 以前のフィールドは非推奨になりました。
@fields.facility principal.resource.type principal.resource.resource_subtype 以前のフィールドは非推奨になりました。
Client target.labels target.user.attribute.labels 以前のフィールドは非推奨になりました。
kv_msg1.ctladdr intermediary.labels intermediary.user.attribute.labels 以前のフィールドは非推奨になりました。
kv_msg1.get_error intermediary.labels intermediary.user.attribute.labels 以前のフィールドは非推奨になりました。
resource.type src.labels src.user.attribute.labels 以前のフィールドは非推奨になりました。
admin principal.user.attribute.labels principal.resource.attribute.labels 以前のフィールドは非推奨になりました。
role target.user.role_name target.user.attribute.roles 以前のフィールドは非推奨になりました。
syslog_host マッピングされていない target.hostname 新しく追加されたフィールド マッピング。
log.source.address マッピングされていない intermediary.ip、
intermediary.port		 新しく追加されたフィールド マッピング。
agent.type マッピングされていない observer.application 新しく追加されたフィールド マッピング。
agent.version マッピングされていない intermediary.platform_version 新しく追加されたフィールド マッピング。
pid マッピングされていない target.process.pid 新しく追加されたフィールド マッピング。
temp_host マッピングされていない intermediary.hostname 新しく追加されたフィールド マッピング。
port マッピングされていない intermediary.port 新しく追加されたフィールド マッピング。
inter_hostname マッピングされていない intermediary.hostname 新しく追加されたフィールド マッピング。
tgt_user マッピングされていない target.user.userid 新しく追加されたフィールド マッピング。
tgt_domain マッピングされていない target.administrative_domain 新しく追加されたフィールド マッピング。
alarm_target マッピングされていない about.resource.name 新しく追加されたフィールド マッピング。
prin_app マッピングされていない principal.application 新しく追加されたフィールド マッピング。
dest_ip マッピングされていない target.ip 新しく追加されたフィールド マッピング。
dest_port マッピングされていない target.port 新しく追加されたフィールド マッピング。
error_message マッピングされていない security_result.summary 新しく追加されたフィールド マッピング。
error_code マッピングされていない security_result.detection_fields 新しく追加されたフィールド マッピング。
function マッピングされていない security_result.detection_fields 新しく追加されたフィールド マッピング。
thread_id マッピングされていない principal.resource.attribute.labels 新しく追加されたフィールド マッピング。
obj_p マッピングされていない additional.fields 新しく追加されたフィールド マッピング。
obj_h マッピングされていない additional.fields 新たに追加されたフィールド マッピング。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。