Microsoft Entra ID のログインログを収集する

以下でサポートされています。

このドキュメントでは、Google Security Operations フィードを設定して Microsoft Entra ID（旧 Azure Active Directory）のログインログを収集する方法について説明します。取り込みは、Azure Event Hub（推奨）またはサードパーティ API の 2 つの方法で構成できます。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Microsoft Azure ポータルへの特権アクセス
  • Microsoft Entra ID のセキュリティ管理者ロールまたはグローバル管理者ロール（診断設定に必要）
  • サードパーティ API メソッドの場合、管理者による同意を付与するための次のいずれかのロール:
    • グローバル管理者: 任意の API の任意の権限に対して同意を付与できます
    • 特権ロール管理者: 任意の API の任意の権限に対する同意を付与できます
    • クラウド アプリケーション管理者: Microsoft Graph アプリロール（アプリケーションの権限）を除く、任意の API の任意の権限に対する同意を付与できます。

このメソッドは、診断設定を使用して Azure Event Hub を介して Microsoft Entra ID ログインログをストリーミングします。Google SecOps は、Azure Event Hub フィードタイプを使用して、Event Hub からログを直接取り込みます。

Event Hub 名前空間を作成する

Event Hub 名前空間は、1 つ以上の Event Hub の管理コンテナです。

  1. Azure ポータルで、Event Hubs を検索します。
  2. [+ 作成] をクリックします。

  3. 次の構成情報を提供してください。

    設定 値
    サブスクリプション Azure サブスクリプションを選択する
    リソース グループ 既存のスケジュールを選択するか、新しいスケジュールを作成する
    Namespace の名前 一意の名前を入力します（例: secops-entraid-signin）。
    ロケーション Microsoft Entra テナントに最も近いリージョンを選択する
    料金ティア Standard（本番環境に推奨）
    スループット ユニット 1 から開始し、自動インフレを有効にする（推奨）

  4. [Review + create] をクリックします。

  5. 概要を確認し、[作成] をクリックします。

  6. デプロイが完了するまで待ちます（1 ～ 2 分）。

Event Hub を作成する

  1. Namespace がデプロイされたら、Event Hub Namespace に移動します。
  2. 左側のナビゲーションで、[エンティティ] の下の [Event Hubs] を選択します。
  3. [+ Event Hub] をクリックします。

  4. 次の構成情報を提供してください。

    設定 値
    名前 一意の名前を入力します（例: entraid-signin-logs）。
    パーティション数 40（Google SecOps の最適なスケーリングに推奨）
    メッセージの保持 7 日間（推奨される最小値）
    キャプチャ 無効（Google SecOps では不要）

  5. [作成] をクリックします。

Event Hub 接続文字列を取得する

Google SecOps では、Event Hub への認証に接続文字列が必要です。

  1. Event Hub 名前空間に移動します。
  2. 左側のナビゲーションで、[設定] の [共有アクセス ポリシー] を選択します。
  3. デフォルトのポリシー RootManageSharedAccessKey をクリックします。
  4. 接続文字列 - 主キーをコピーします。
  5. この接続文字列は安全に保存してください。

  • 例:

    Original: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=entraid-signin-logs

Remove EntityPath: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

オプション B: Event Hub レベルの接続文字列

  1. （名前空間ではなく）イベント ハブに移動します。
  2. 左側のナビゲーションで、[設定] の [共有アクセス ポリシー] を選択します。
  3. [+ 追加] をクリックして、新しいポリシーを作成します。
  4. 次の構成情報を指定します。
    • ポリシー名: わかりやすい名前を入力します（例: chronicle-read）。
    • 権限: [聴取] のみを選択します（読み取り専用アクセス）。
  5. [作成] をクリックします。
  6. 新しく作成したポリシーをクリックします。
  7. 接続文字列 - 主キーをコピーします。

  8. この接続文字列は安全に保存してください。

Microsoft Entra ID の診断設定を構成する

  1. セキュリティ管理者以上の権限で Microsoft Entra 管理センターにログインします。
  2. Entra ID > [Monitoring & health] > [Diagnostic settings] に移動します。
  3. [+ 診断設定を追加] をクリックします。

  4. 次の構成情報を提供してください。

    • 診断設定名: わかりやすい名前を入力します（例: signin-logs-to-eventhub）。

    • [ログ] セクションで、エクスポートするログインログのカテゴリを選択します。

      • SignInLogs - ユーザーのインタラクティブ ログイン。
      • NonInteractiveUserSignInLogs - 非インタラクティブ ユーザーのログイン（推奨）。
      • ServicePrincipalSignInLogs - サービス プリンシパルのサインイン（省略可）。
      • ManagedIdentitySignInLogs - マネージド ID のログイン（省略可）。
      • ADFSSignInLogs - AD FS ログインログ（AD FS を使用している場合は省略可）。
      • RiskyUsers - Microsoft Entra ID Protection によってリスクが検出されたユーザー（省略可）。
      • UserRiskEvents - リスクの高いログイン イベントの詳細（省略可）。

    • [宛先の詳細] セクションで、[イベントハブにストリーミングする] を選択します。

    • サブスクリプション: Event Hub 名前空間を含むサブスクリプションを選択します。

    • イベント ハブの名前空間: 作成した名前空間（secops-entraid-signin など）を選択します。

    • イベントハブ名: 作成したイベントハブを選択します（例: entraid-signin-logs）。

    • イベント ハブ ポリシー名: [RootManageSharedAccessKey] を選択します。

  5. [保存] をクリックします。

（省略可）チェックポイント処理用に Azure Blob Storage を構成する

Google SecOps は、Azure Blob Storage を使用して、処理されたイベントを追跡する Event Hub チェックポイントを保存できます。これにより、フィードが一時的に中断された場合に、重複して取り込まれるのを防ぐことができます。

チェックポイント用のストレージ アカウントを作成する

  1. Azure ポータルで、[ストレージ アカウント] を検索します。
  2. [+ 作成] をクリックします。

  3. 次の構成情報を提供してください。

    設定 値
    サブスクリプション Azure サブスクリプションを選択する
    リソース グループ Event Hub と同じリソース グループを使用する
    ストレージ アカウント名 一意の名前を入力します（例: secopsaadsignin）。
    リージョン Event Hub と同じリージョン
    パフォーマンス 標準
    冗長性 LRS（ローカル冗長ストレージ）

  4. [Review + create] をクリックします。

  5. [作成] をクリックします。

Blob コンテナを作成する

  1. 作成したストレージ アカウントに移動します。
  2. 左側のナビゲーションで、[データ ストレージ] の [コンテナ] を選択します。
  3. [+ コンテナ] をクリックします。
  4. 次の構成情報を指定します。
    • 名前: 「checkpoints」と入力します。
    • 公開アクセスレベル: 非公開（匿名アクセスなし）
  5. [作成] をクリックします。

ストレージ アカウントの認証情報を取得する

  1. ストレージ アカウントで、[セキュリティ + ネットワーキング] の [アクセスキー] を選択します。
  2. [キーを表示] をクリックします。
  3. コピーして保存します。
    • ストレージ アカウント名: ストレージ アカウントの名前。
    • キー 1: アクセスキーの値。

（省略可）専用のコンシューマー グループを作成する

デフォルトでは、Event Hub は $Default というコンシューマー グループを提供します。本番環境では、Google SecOps 専用のコンシューマー グループを作成することをおすすめします。

  1. [Event Hub]（名前空間ではない）に移動します。
  2. 左側のナビゲーションで、[エンティティ] の [コンシューマ グループ] を選択します。
  3. [+ コンシューマー グループ] をクリックします。
  4. 次の構成情報を指定します。
    • 名前: わかりやすい名前を入力します（例: chronicle）。

  5. [作成] をクリックします。

Microsoft Entra ID のログインログを取り込むように Google SecOps でフィードを構成する

  1. [SIEM 設定] > [フィード] に移動します。
  2. [Add New Feed] をクリックします。
  3. 次のページで、[単一のフィードを設定] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Microsoft Entra ID Sign-In Logs - Event Hub）。
  5. [ソースタイプ] として [Microsoft Azure Event Hub] を選択します。
  6. [ログタイプ] として [Microsoft Azure AD] を選択します。
  7. [次へ] をクリックします。

  8. 次の入力パラメータの値を指定します。

    • イベント ハブ接続文字列: 先ほど取得したイベント ハブ接続文字列を入力します。

      Namespace レベルの接続文字列を使用している場合:

      • EntityPath パラメータを削除したことを確認します。
      • 次のフィールドで イベント ハブ名も指定する必要があります。

      イベント ハブ レベルの接続文字列を使用している場合:

      • 接続文字列をそのまま使用します（EntityPath を含む）。

      • [イベント ハブ名] フィールドは空白のままにできます。

      • イベント ハブ名: イベント ハブ名（entraid-signin-logs など）を入力します。

      名前空間レベルの接続文字列を使用する場合は必須。イベントハブ レベルの接続文字列を使用する場合は省略可。

      • コンシューマー グループ（省略可）: コンシューマー グループ名を入力します。
      • デフォルトの $Default コンシューマ グループを使用する場合は空白のままにします。

      • 専用のコンシューマー グループを作成した場合は、その名前（chronicle など）を入力します。

      • Blob ストレージ コンテナ名（省略可）: チェックポイント処理の場合は、コンテナ名（checkpoints など）を入力します。

      チェックポイント処理に blob ストレージを提供する場合:

      • Azure ストレージ アカウント名: チェックポイント構成のストレージ アカウント名を入力します。

      • Azure ストレージ アカウント キー: チェックポイント構成のアクセスキーを入力します。

      • Asset namespace: アセットの名前空間。

      • Ingestion labels: このフィードのイベントに適用されるラベル。

  9. [次へ] をクリックします。

  10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

方法 2: サードパーティ API

このメソッドは、Microsoft Graph API を使用して、Microsoft テナントから Microsoft Entra ID ログインログを直接取得します。

IP 許可リストを構成する

Google SecOps では、サードパーティ API から取り込むログタイプの許可リスト登録が必要になるため、フィードを作成する前に、Microsoft Azure 掲載ネットワークの設定または条件付きアクセス ポリシーに Google IP 範囲を追加します。これは、データソースが IP ベースの制限を適用する場合に重要です。フィードから 403 エラーが返された場合は、許可リストが有効になっていることを確認します。公開されているリストは Google SecOps の下り（外向き）リストではなく、Google 全体の goog.json です。Google SecOps は、フィードが特定のリージョンのアドレスから発信されることを保証できません。より狭い範囲でアクセスを制限するには、サポート チケットを開いてください。

Google SecOps の IP 範囲を取得する

  1. [SIEM 設定] > [フィード] に移動します。
  2. [Add New Feed] をクリックします。
  3. フィード作成インターフェースに表示される IP 範囲をメモします。
  4. または、Feed Management API を使用してプログラムで IP 範囲を取得します。

Workload Identity の条件付きアクセスを構成する（必要な場合）

組織で、ロケーションによるアクセスを制限する条件付きアクセス ポリシーを使用している場合:

  1. Microsoft Entra 管理センターで、[保護] > [条件付きアクセス] > [名前付きの場所] に移動します。
  2. [+ 新しい店舗] をクリックします。
  3. 次の構成情報を指定します。
    • 名前: 「Google SecOps IP Ranges」と入力します。
    • 信頼できる場所としてマーク: 省略可。セキュリティ ポリシーに基づきます。
    • IP 範囲: 各 Google SecOps IP 範囲を CIDR 表記で追加します。
  4. [作成] をクリックします。
  5. [Conditional Access] > [Policies] に移動します。
  6. ワークロード ID に適用されるポリシーについては、Google SecOps IP Ranges という名前のロケーションまたは特定のサービス プリンシパルの除外を構成します。

Microsoft Entra ID API アクセスを構成する

アプリ登録を作成する

  1. Microsoft Entra 管理センターまたは Azure ポータルにログインします。
  2. [ID] > [Applications] > [App registrations] に移動します。
  3. [New registration] をクリックします。

  4. 次の構成情報を提供してください。

    • 名前: わかりやすい名前を入力します（例: Google SecOps Sign-In Logs Integration）。
    • サポートされているアカウントの種類: [この組織ディレクトリ内のアカウントのみ（単一テナント）] を選択します。
    • リダイレクト URI: 空白のままにします（サービス プリンシパル認証には必要ありません）。

  5. [Register] をクリックします。

  6. 登録後、次の値をコピーして保存します。

    • アプリケーション（クライアント）ID
    • ディレクトリ（テナント）ID

API 権限を構成する

この統合には、次の Microsoft Graph アプリケーション権限が必要です。

  1. アプリの登録で、[API 権限] に移動します。
  2. [Add a Permission] をクリックします。
  3. [Microsoft Graph] > [Application permissions] を選択します。
  4. 次の権限を選択します。
    • AuditLog.Read.All: ログインログを読み取るために必要です。
    • Directory.Read.All: Microsoft Graph API でログインログにアクセスするために必要です（既知の問題）。
    • SecurityEvents.Read.All: Google SecOps で必要です。
  5. 省略可: 各サインインに適用された条件付きアクセス ポリシーもキャプチャするには、条件付きアクセスの読み取り権限を追加します。
    • Policy.Read.ConditionalAccess: 推奨（最小権限）。フィードで各ログイン レコードの appliedConditionalAccessPolicies フィールドに値を入力できます。
  6. [権限を追加] をクリックします。
  7. [[組織名] に管理者の同意を与えます] をクリックします。
  8. [ステータス] 列に、追加したすべての権限に対して [[組織名] に付与済み] と表示されていることを確認します。
権限 タイプ 説明
AuditLog.Read.All アプリケーション すべてのログイン ログデータと監査ログデータを読み取る
Directory.Read.All アプリケーション ディレクトリ データの読み取り（API アクセスに必要）
SecurityEvents.Read.All アプリケーション セキュリティ イベントを読み取る
Policy.Read.ConditionalAccess アプリケーション 省略可。条件付きアクセス ポリシーを読み取り、appliedConditionalAccessPolicies がログインログに含まれるようにする

クライアント シークレットを作成する

  1. [証明書とシークレット] に移動します。
  2. [新しいクライアント シークレット] をクリックします。

  3. 次の構成情報を提供してください。

    • 説明: わかりやすい名前を入力します（例: Google SecOps Feed）。
    • Expires: 有効期限を選択します。

  4. [追加] をクリックします。

  5. 重要: クライアント シークレットの値をすぐにコピーしてください。この値は一度しか表示されず、後で取得することはできません。

フィードを作成する前に API アクセスを確認する

Google SecOps フィードを作成する前に、サービス プリンシパルが正常に認証され、Microsoft Graph API にアクセスできることを確認します。

  • PowerShell を使用して認証をテストする

    # Replace with your actual values
$tenantId = "your-tenant-id"
$clientId = "your-client-id"
$clientSecret = "your-client-secret"

# Token request parameters (must be lowercase)
$tokenBody = @{
    grant_type    = "client_credentials"
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = "https://graph.microsoft.com/.default"
}

# Request access token
$tokenEndpoint = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
$tokenResponse = Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $tokenBody -ContentType "application/x-www-form-urlencoded"

if ($tokenResponse.access_token) {
    Write-Host "✓ Successfully obtained access token" -ForegroundColor Green

    # Test API call to sign-ins endpoint
    $apiUrl = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$top=1"
    $headers = @{
        Authorization = "Bearer $($tokenResponse.access_token)"
    }

    try {
        $signInResponse = Invoke-RestMethod -Method Get -Uri $apiUrl -Headers $headers
        Write-Host "✓ Successfully accessed sign-ins API" -ForegroundColor Green
        Write-Host "Sample sign-in log retrieved successfully" -ForegroundColor Green
    }
    catch {
        Write-Host "✗ Failed to access sign-ins API" -ForegroundColor Red
        Write-Host "Error: $($_.Exception.Message)" -ForegroundColor Red
    }
}
else {
    Write-Host "✗ Failed to obtain access token" -ForegroundColor Red
}

  • 予想される出力:

    ✓ Successfully obtained access token
✓ Successfully accessed sign-ins API
Sample sign-in log retrieved successfully

  • curl を使用して認証をテストする

    # Replace with your actual values
TENANT_ID="your-tenant-id"
CLIENT_ID="your-client-id"
CLIENT_SECRET="your-client-secret"

# Request access token
curl -X POST "https://login.microsoftonline.com/$TENANT_ID/oauth2/v2.0/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=$CLIENT_ID" \
  -d "client_secret=$CLIENT_SECRET" \
  -d "scope=https://graph.microsoft.com/.default"

# Test API access
curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
  "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$top=1"

Microsoft Entra ID のログインログを取り込むように Google SecOps でフィードを構成する

フィードを設定する

  1. [SIEM 設定] > [フィード] に移動します。
  2. [Add New Feed] をクリックします。
  3. 次のページで、[単一のフィードを構成する] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Microsoft Entra ID Sign-In Logs）。
  5. [ソースタイプ] として [サードパーティ API] を選択します。
  6. [ログタイプ] として [Microsoft Azure AD] を選択します。
  7. [次へ] をクリックします。

フィード パラメータを構成する

  1. 次の入力パラメータの値を指定します。

    • OAuth クライアント ID: アプリ登録のアプリケーション（クライアント）ID。
    • OAuth クライアント シークレット: 前にコピーしたクライアント シークレットの値。
    • テナント ID: アプリ登録時の Microsoft テナント ID（UUID 形式、例: 0fc279f9-fe30-41be-97d3-abe1d7681418）。

    • API の完全パス: Microsoft Graph REST API エンドポイント URL:

      graph.microsoft.com/v1.0/auditLogs/signIns

    • API 認証エンドポイント: Microsoft Active Directory 認証エンドポイント:

      login.microsoftonline.com

    詳細オプション:

    • フィード名: フィードを識別する事前入力された値。
    • ソースタイプ: サードパーティ API（Google SecOps にログを収集するメカニズム）。
    • アセットの名前空間: フィードが関連付けられるアセットの名前空間。
    • 取り込みラベル: このフィードのすべてのイベントにラベルが追加されます。

  2. [次へ] をクリックします。

  3. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

リージョン エンドポイント

Sovereign Cloud に Microsoft Entra ID をデプロイする場合は、適切なリージョン エンドポイントを使用します。

クラウド環境 API のフルパス API 認証エンドポイント
グローバル graph.microsoft.com/v1.0/auditLogs/signIns login.microsoftonline.com
米国政府 L4 graph.microsoft.us/v1.0/auditLogs/signIns login.microsoftonline.us
米国政府 L5（DOD） dod-graph.microsoft.us/v1.0/auditLogs/signIns login.microsoftonline.us
中国（21Vianet） microsoftgraph.chinacloudapi.cn/v1.0/auditLogs/signIns login.chinacloudapi.cn

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
CertSerialNumber about.artifact.last_https_certificate.serial_number 直接マッピングされます。
modifiedProperty.newValue about.location.city 直接マッピングされます。
modifiedProperty.newValue about.location.country_or_region 直接マッピングされます。
modifiedProperty.newValue about.location.state 直接マッピングされます。
modifiedProperty.newValue about.user.department 統合済み
modifiedProperty.newValue about.user.email_addresses 統合済み
modifiedProperty.newValue about.user.first_name 直接マッピングされます。
modifiedProperty.newValue about.user.last_name 直接マッピングされます。
modifiedProperty.newValue about.user.phone_numbers 統合済み
modifiedProperty.newValue about.user.product_object_id 直接マッピングされます。
modifiedProperty.newValue about.user.title 直接マッピングされます。
modifiedProperty.newValue about.user.user_display_name 直接マッピングされます。
modifiedProperty.newValue about.user.userid 直接マッピングされます。
C_DeviceId_label additional.fields 統合済み
C_Iat_label additional.fields 統合済み
C_Idtyp_label additional.fields 統合済み
C_Sid_label additional.fields 統合済み
CorrelationId_label additional.fields 統合済み
CrossTenantAccessType_label additional.fields 統合済み
ImpersonationLevel_label additional.fields 統合済み
KeyLength_label additional.fields 統合済み
aadtenant_label additional.fields 統合済み
additionalDetails_label additional.fields 統合済み
additional_crossTenantAccessType additional.fields 統合済み
additional_detail_label additional.fields 統合済み
additional_detectedDateTime additional.fields 統合済み
additional_detectionTimingType additional.fields 統合済み
additional_durationMs additional.fields 統合済み
additional_fields additional.fields 統合済み
additional_isDeleted additional.fields 統合済み
additional_isGuest additional.fields 統合済み
additional_isProcessing additional.fields 統合済み
additional_lastUpdatedDateTime additional.fields 統合済み
additional_resultSignature additional.fields 統合済み
additional_source additional.fields 統合済み
additional_tokenIssuerName additional.fields 統合済み
additional_tokenIssuerType additional.fields 統合済み
additional_userType additional.fields 統合済み
altitude_loc additional.fields 統合済み
appServicePrincipalId_label additional.fields 統合済み
atContentH_label additional.fields 統合済み
atContentP_label additional.fields 統合済み
auth_detail_label additional.fields 統合済み
auth_id_label additional.fields 統合済み
authentication additional.fields 統合済み
authenticationDetail_label additional.fields 統合済み
authenticationProtocol_label additional.fields 統合済み
authentication_app_device_details_label additional.fields 統合済み
authentication_requirement_label additional.fields 統合済み
auto_label additional.fields 統合済み
autonomousSystemNumber_label additional.fields 統合済み
cert_issuer_name_label additional.fields 統合済み
cert_thumbprint_label additional.fields 統合済み
clientCredentialType_label additional.fields 統合済み
client_credential_type additional.fields 統合済み
client_credential_type_label additional.fields 統合済み
conditionalAccessStatus_label additional.fields 統合済み
cribl_pipe_label additional.fields 統合済み
crossTenantAccessType_label additional.fields 統合済み
cross_tenant_access_type_label additional.fields 統合済み
domain_hint_present_label additional.fields 統合済み
durationMs_label additional.fields 統合済み
error_number_label additional.fields 統合済み
federated_credential_id_label additional.fields 統合済み
flaggedForReview_label additional.fields 統合済み
flagged_for_review_label additional.fields 統合済み
hometenant_label additional.fields 統合済み
incomingTokenType_label additional.fields 統合済み
incoming_token_type_label additional.fields 統合済み
isTenantRestricted_label additional.fields 統合済み
isThroughGlobalSecureAccess_label additional.fields 統合済み
is_interactive_label additional.fields 統合済み
is_tenant_restricted_label additional.fields 統合済み
latitude_label additional.fields 統合済み
login_hint_present_label additional.fields 統合済み
longitude_label additional.fields 統合済み
mfa_details_label additional.fields 統合済み
name_list additional.fields 統合済み
networkName_label additional.fields 統合済み
networkType_additional_fields additional.fields 統合済み
networkType_label additional.fields 統合済み
network_location_label additional.fields 統合済み
network_names_additional_fields additional.fields 統合済み
originalRequestId_label additional.fields 統合済み
originalTransferMethod_label additional.fields 統合済み
original_transfer_method_label additional.fields 統合済み
processing_time_in_milliseconds_label additional.fields 統合済み
properties_incomingTokenType additional.fields 統合済み
properties_isInteractive additional.fields 統合済み
properties_location_geoCoordinates_altitude additional.fields 統合済み
properties_processingTimeInMilliseconds additional.fields 統合済み
properties_rngcStatus additional.fields 統合済み
proxy_restriction_target_tenant_name_label additional.fields 統合済み
prp_networkType_additional_fields additional.fields 統合済み
prp_network_names_additional_fields additional.fields 統合済み
ram_recommended_action_label additional.fields 統合済み
ram_recommender_label additional.fields 統合済み
record_properties_id_label additional.fields 統合済み
resultReason_label additional.fields 統合済み
resultType_label additional.fields 統合済み
resultstatus_label additional.fields 統合済み
rngcStatus_label additional.fields 統合済み
service_principal_credential_key_id_label additional.fields 統合済み
service_principal_credential_thumbprint_label additional.fields 統合済み
service_principal_name_label additional.fields 統合済み
signInActivityId_label additional.fields 統合済み
signInSessionStatusCode_label additional.fields 統合済み
signInSessionStatus_label additional.fields 統合済み
signInTokenProtectionStatus_label additional.fields 統合済み
sign_in_identifier_type_label additional.fields 統合済み
sign_in_token_protection_status_label additional.fields 統合済み
ssoExtensionVersion_label additional.fields 統合済み
status_additionalDetails_label additional.fields 統合済み
tokenIssuedAt_label additional.fields 統合済み
tokenIssuerType_label additional.fields 統合済み
token_issuer_name_label additional.fields 統合済み
token_issuer_type_label additional.fields 統合済み
token_protection_status_details_label additional.fields 統合済み
token_protection_status_details_signInSessionStatus_label additional.fields 統合済み
type_list additional.fields 統合済み
uniqueTokenIdentifier_label additional.fields 統合済み
unique_token_identifier_label additional.fields 統合済み
userType_label additional.fields 統合済み
user_type_label additional.fields 統合済み
wids_label additional.fields 統合済み
workload_label additional.fields 統合済み
LogonType extensions.auth.auth_details 直接マッピングされます。
properties.SignInBondData.ProtocolDetails.AuthenticationMethodsUsed extensions.auth.auth_details 直接マッピングされます。
properties_clientAuthMethod extensions.auth.auth_details 直接マッピングされます。
record_properties_clientAuthMethod extensions.auth.auth_details 直接マッピングされます。
auth_mechanism extensions.auth.mechanism 統合済み
ext_mech extensions.auth.mechanism 統合済み
mechanism extensions.auth.mechanism 統合済み
operationName extensions.auth.type マッピング済み: Sign-in activity → SSO
record_operationName extensions.auth.type マッピング: Sign-in activity → AUTHTYPE_UNSPECIFIED
category metadata.description 直接マッピングされます。
record_category metadata.description 直接マッピングされます。
CreationTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ss として解析済み
activityDateTime metadata.event_timestamp ISO8601 として解析
date metadata.event_timestamp ISO8601 として解析済み
properties.activityDateTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ss.SSSZ として解析済み
record_CreatedDateTime metadata.event_timestamp ISO8601 として解析
record_time metadata.event_timestamp ISO8601 として解析済み
when metadata.event_timestamp yyyy-MM-dd HH:mm:ss として解析済み
category metadata.event_type マッピング: (?i)AccountManagement → USER_CHANGE_PERMISSIONS
event_type metadata.event_type 直接マッピングされます。
has_principal metadata.event_type マッピング済み: true → STATUS_UPDATE
has_principal_user metadata.event_type マッピング済み: true → USER_UNCATEGORIZED
has_resource metadata.event_type マッピング: true → USER_RESOURCE_ACCESS
has_target metadata.event_type マッピング: true → NETWORK_CONNECTION
has_target_user metadata.event_type マッピング: true → USER_LOGOUT、true → USER_CHANGE_PERMISSIONS、true → USER_LOGIN
record_tenantId metadata.product_deployment_id 直接マッピングされます。
tenantId metadata.product_deployment_id 直接マッピングされます。
Operation metadata.product_event_type 直接マッピングされます。
activityDisplayName metadata.product_event_type 直接マッピングされます。
operationName metadata.product_event_type 直接マッピングされます。
record_OperationName metadata.product_event_type 直接マッピングされます。
record_operationName metadata.product_event_type 直接マッピングされます。
type metadata.product_event_type 直接マッピングされます。
EventRecordID metadata.product_log_id 直接マッピングされます。
Id metadata.product_log_id 直接マッピングされます。
id metadata.product_log_id 直接マッピングされます。
properties.id metadata.product_log_id 直接マッピングされます。
record_Id metadata.product_log_id 直接マッピングされます。
record_correlationId metadata.product_log_id 直接マッピングされます。
Version metadata.product_version 直接マッピングされます。
operationVersion metadata.product_version 直接マッピングされます。
record_operationVersion metadata.product_version 直接マッピングされます。
properties.SignInBondData.ProtocolDetails.Protocol network.application_protocol 直接マッピングされます。
properties_requestMethod network.http.method 直接マッピングされます。
record_properties_requestMethod network.http.method 直接マッピングされます。
browser network.http.parsed_user_agent 直接マッピングされます。
deviceDetail.browser network.http.parsed_user_agent 直接マッピングされます。
properties.deviceDetail.browser network.http.parsed_user_agent 直接マッピングされます。
properties.userAgent network.http.parsed_user_agent 直接マッピングされます。
record_UserAgent network.http.parsed_user_agent 直接マッピングされます。
record_properties_userAgent network.http.parsed_user_agent 直接マッピングされます。
userAgent network.http.parsed_user_agent 直接マッピングされます。
user_agent network.http.parsed_user_agent 直接マッピングされます。
value network.http.parsed_user_agent 直接マッピングされます。
value1 network.http.parsed_user_agent 名前変更済み/マッピング済み
properties_requestUri network.http.referral_url 直接マッピングされます。
record_properties_requestUri network.http.referral_url 直接マッピングされます。
properties_responseStatusCode network.http.response_code 直接マッピングされます。
record_properties_responseStatusCode network.http.response_code 直接マッピングされます。
browser network.http.user_agent 直接マッピングされます。
deviceDetail.browser network.http.user_agent 直接マッピングされます。
properties.deviceDetail.browser network.http.user_agent 直接マッピングされます。
properties.userAgent network.http.user_agent 直接マッピングされます。
record_UserAgent network.http.user_agent 直接マッピングされます。
record_properties_userAgent network.http.user_agent 直接マッピングされます。
userAgent network.http.user_agent 直接マッピングされます。
user_agent network.http.user_agent 直接マッピングされます。
value network.http.user_agent 直接マッピングされます。
value1 network.http.user_agent 直接マッピングされます。
properties_responseSizeBytes network.received_bytes 直接マッピングされます。
record_properties_responseSizeBytes network.received_bytes 直接マッピングされます。
originalRequestId network.session_id 直接マッピングされます。
properties.originalRequestId network.session_id 直接マッピングされます。
properties.sessionId network.session_id 直接マッピングされます。
record_OriginalRequestId network.session_id 直接マッピングされます。
record_properties_sessionId network.session_id 直接マッピングされます。
sessionId network.session_id 直接マッピングされます。
value network.session_id 直接マッピングされます。
loggedByService observer.application 直接マッピングされます。
properties.loggedByService observer.application 直接マッピングされます。
SubjectDomainName principal.administrative_domain 直接マッピングされます。
domain principal.administrative_domain 直接マッピングされます。
initiatedBy_app_displayName principal.application 直接マッピングされます。
record_ClientAppUsed principal.application 直接マッピングされます。
deviceId principal.asset.asset_id 直接マッピングされます。
properties_deviceDetail_deviceId principal.asset.asset_id 直接マッピングされます。
record_DeviceDetail_deviceId principal.asset.asset_id 直接マッピングされます。
record_properties_C_DeviceId principal.asset.asset_id 直接マッピングされます。
record_properties_deviceDetail_deviceId principal.asset.asset_id 直接マッピングされます。
additional_fields principal.asset.attribute.labels 統合済み
device_trust_type_label principal.asset.attribute.labels 統合済み
isManaged_label principal.asset.attribute.labels 統合済み
is_managed_label principal.asset.attribute.labels 統合済み
trustType_label principal.asset.attribute.labels 統合済み
deviceDetail.displayName principal.asset.hostname 直接マッピングされます。
displayName principal.asset.hostname 直接マッピングされます。
properties.deviceDetail.displayName principal.asset.hostname 直接マッピングされます。
ActorIpAddress principal.asset.ip 統合済み
IpAddress principal.asset.ip 統合済み
SourceIpAddress principal.asset.ip 統合済み
initiatedBy.user.ipAddress principal.asset.ip 統合済み
principal_ip principal.asset.ip 統合済み
properties.initiatedBy.user.ipAddress principal.asset.ip 統合済み
properties_ip_address principal.asset.ip 統合済み
record.IPAddress principal.asset.ip 統合済み
record_callerIpAddress principal.asset.ip 統合済み
deviceId principal.asset_id 直接マッピングされます。
record_DeviceDetail_deviceId principal.asset_id 直接マッピングされます。
record_properties_deviceDetail_deviceId principal.asset_id 直接マッピングされます。
value principal.asset_id 直接マッピングされます。
deviceDetail.displayName principal.hostname 直接マッピングされます。
displayName principal.hostname 直接マッピングされます。
properties.deviceDetail.displayName principal.hostname 直接マッピングされます。
ActorIpAddress principal.ip 統合済み
IpAddress principal.ip 統合済み
SourceIpAddress principal.ip 統合済み
initiatedBy.user.ipAddress principal.ip 統合済み
principal_ip principal.ip 統合済み
properties.initiatedBy.user.ipAddress principal.ip 統合済み
properties_ip_address principal.ip 統合済み
record_IPAddress principal.ip 統合済み
record_callerIpAddress principal.ip 統合済み
location_city principal.location.city 直接マッピングされます。
record_properties_location_city principal.location.city 直接マッピングされます。
location_countryOrRegion principal.location.country_or_region 直接マッピングされます。
properties.tenantGeo principal.location.country_or_region 直接マッピングされます。
record_properties_location_countryOrRegion principal.location.country_or_region 直接マッピングされます。
location_name principal.location.name 直接マッピングされます。
record_location principal.location.name 直接マッピングされます。
location_geo_latitude principal.location.region_coordinates.latitude 直接マッピングされます。
record_LocationDetails_geoCoordinates_latitude principal.location.region_coordinates.latitude 直接マッピングされます。
record_properties_location_geoCoordinates_latitude principal.location.region_coordinates.latitude 直接マッピングされます。
location_geo_longitude principal.location.region_coordinates.longitude 直接マッピングされます。
record_LocationDetails_geoCoordinates_longitude principal.location.region_coordinates.longitude 直接マッピングされます。
record_properties_location_geoCoordinates_longitude principal.location.region_coordinates.longitude 直接マッピングされます。
location_state principal.location.state 直接マッピングされます。
record_properties_location_state principal.location.state 直接マッピングされます。
operatingSystem principal.platform マッピング: Win → WINDOWS、Mac → MAC、Lin → LINUX
properties_deviceDetail_operatingSystem principal.platform マッピング: Win → WINDOWS、Mac → MAC、Lin → LINUX
record_properties_deviceDetail_operatingSystem principal.platform マッピング済み: Win → WINDOWS、Mac → MAC、Lin → LINUX
operatingSystem principal.platform_version 直接マッピングされます。
properties_deviceDetail_operatingSystem principal.platform_version 直接マッピングされます。
record_properties_deviceDetail_operatingSystem principal.platform_version 直接マッピングされます。
IpPort principal.port 直接マッピングされます。
CallerProcessName principal.process.file.full_path 直接マッピングされます。
CallerProcessId principal.process.pid 直接マッピングされます。
actor_label principal.resource.attribute.labels 統合済み
actor_type_label principal.resource.attribute.labels 統合済み
autonomousSystemNumber_label principal.resource.attribute.labels 統合済み
autonomous_system_number_label principal.resource.attribute.labels 統合済み
clientRequestId_label principal.resource.attribute.labels 統合済み
displayName principal.resource.attribute.labels マッピング: (?i)(iphone.*) → displayName_label
displayName_label principal.resource.attribute.labels 統合済み
ip_address_from_resource_provider_label principal.resource.attribute.labels 統合済み
properties_label principal.resource.attribute.labels 統合済み
subject_logon_id_label principal.resource.attribute.labels 統合済み
record_properties_resourceDisplayName principal.resource.name 直接マッピングされます。
ObjectId principal.resource.product_object_id 直接マッピングされます。
OrganizationId principal.resource.product_object_id 直接マッピングされます。
initializedBy_app_servicePrincipalId principal.resource.product_object_id 直接マッピングされます。
record_properties_UserPrincipalObjectID principal.resource.product_object_id 直接マッピングされます。
userType_label principal.user.attribute.labels 統合済み
user_key_label principal.user.attribute.labels 統合済み
role_to_merge principal.user.attribute.roles 統合済み
roles_to_merge principal.user.attribute.roles 統合済み
initiatedBy.user.userPrincipalName principal.user.email_addresses 統合済み
operationName principal.user.email_addresses マッピング: Add member to group → properties.initiatedBy.user.userPrincipalName
properties.SignInBondData.DisplayDetails.AttemptedUsername principal.user.email_addresses 統合済み
properties.initiatedBy.user.userPrincipalName principal.user.email_addresses 統合済み
record_UserPrincipalName principal.user.email_addresses 統合済み
mfaDetail.authDetail principal.user.phone_numbers 統合済み
properties.mfaDetail.authDetail principal.user.phone_numbers 統合済み
properties.appId principal.user.product_object_id 直接マッピングされます。
identity principal.user.user_display_name 直接マッピングされます。
initiatedBy.user.displayName principal.user.user_display_name 直接マッピングされます。
properties.initiatedBy.app.displayName principal.user.user_display_name 直接マッピングされます。
properties.initiatedBy.user.displayName principal.user.user_display_name 直接マッピングされます。
properties.userDisplayName principal.user.user_display_name 名前変更済み/マッピング済み
record_UserDisplayName principal.user.user_display_name 直接マッピングされます。
record_properties_deviceDetail_displayName principal.user.user_display_name 直接マッピングされます。
userDisplayName principal.user.user_display_name 直接マッピングされます。
value principal.user.user_display_name 直接マッピングされます。
SubjectUserName principal.user.userid 直接マッピングされます。
UserId principal.user.userid 直接マッピングされます。
first_user_id principal.user.userid 直接マッピングされます。
initiatedBy.user.id principal.user.userid 直接マッピングされます。
properties.initiatedBy.user.userPrincipalName principal.user.userid 直接マッピングされます。
properties.userPrincipalName principal.user.userid 直接マッピングされます。
record_SignInIdentifier principal.user.userid 直接マッピングされます。
record_UserId principal.user.userid 直接マッピングされます。
record_properties_servicePrincipalId principal.user.userid 直接マッピングされます。
SubjectUserSid principal.user.windows_sid 直接マッピングされます。
properties.initiatedBy.user.id principal.user.windows_sid 直接マッピングされます。
auth_sec_res security_result 統合済み
sec_res security_result 統合済み
sr_result security_result 統合済み
AuthenticationPackageName security_result.about.resource.name 直接マッピングされます。
action security_result.action 統合済み
errorCode security_result.action マッピング: 0 → action
operationName security_result.action マッピング: Sign-in activity → action、Add member to group → action
properties_status_errorCode security_result.action マッピング: 0 → action
record_properties_status_errorCode security_result.action マッピング済み: 0 → action
record_resultType security_result.action マッピング: 0 → action
result security_result.action マッピング: success → action
resultType security_result.action マッピング: 0 → action
operationType security_result.action_details 直接マッピングされます。
properties.result security_result.action_details 直接マッピングされます。
Category security_result.category 統合済み
operationName security_result.category マッピング済み: Sign-in activity → Category
properties.category security_result.category_details 統合済み
failureReason security_result.description 直接マッピングされます。
operationName security_result.description マッピング済み: Add member to group → Group membership modified
resultDescription security_result.description 直接マッピングされます。
AuthenticationProtocol_label security_result.detection_fields 統合済み
NewSd_label security_result.detection_fields 統合済み
OldSd_label security_result.detection_fields 統合済み
agent_agentType_label security_result.detection_fields 統合済み
apiVersion_label security_result.detection_fields 統合済み
associated_admin_units_label security_result.detection_fields 統合済み
auth_label security_result.detection_fields 統合済み
authenticationContextClassReference_detail_label security_result.detection_fields 統合済み
authenticationContextClassReference_id_label security_result.detection_fields 統合済み
authenticationProcessingDetails_label security_result.detection_fields 統合済み
authenticationProtocol_label security_result.detection_fields 統合済み
correlationId_label security_result.detection_fields 統合済み
correlationId_label2 security_result.detection_fields 統合済み
correlationId_label3 security_result.detection_fields 統合済み
detail_label security_result.detection_fields 統合済み
detection_ActorContextId security_result.detection_fields 統合済み
detection_ApplicationId security_result.detection_fields 統合済み
detection_InterSystemsId security_result.detection_fields 統合済み
detection_IntraSystemId security_result.detection_fields 統合済み
device_property_label security_result.detection_fields 統合済み
error_code_label security_result.detection_fields 統合済み
expirationRequirement_label security_result.detection_fields 統合済み
extended_property_label security_result.detection_fields 統合済み
logon_guid_label security_result.detection_fields 統合済み
method_label security_result.detection_fields 統合済み
modified_property_label security_result.detection_fields 統合済み
name_label security_result.detection_fields 統合済み
namespace_label security_result.detection_fields 統合済み
network_type_label security_result.detection_fields 統合済み
prop_risk_event_label security_result.detection_fields 統合済み
prop_risk_event_v2_label security_result.detection_fields 統合済み
properties.status.errorCode_label security_result.detection_fields 統合済み
protocol_label security_result.detection_fields 統合済み
record_type_label security_result.detection_fields 統合済み
requestId_label security_result.detection_fields 統合済み
requirement_provider_label security_result.detection_fields 統合済み
riskDetail_label security_result.detection_fields 統合済み
riskEventType_label security_result.detection_fields 統合済み
riskEventTypes_label security_result.detection_fields 統合済み
riskLastUpdatedDateTime_label security_result.detection_fields 統合済み
riskLevelAggregated_label security_result.detection_fields 統合済み
riskLevelDuringSignIn_label security_result.detection_fields 統合済み
riskLevel_label security_result.detection_fields 統合済み
riskState_label security_result.detection_fields 統合済み
riskType_label security_result.detection_fields 統合済み
risk_event_label security_result.detection_fields 統合済み
risk_event_label_v2 security_result.detection_fields 統合済み
risk_level_aggregated_label security_result.detection_fields 統合済み
risk_level_during_sign_in_label security_result.detection_fields 統合済み
scopes_label security_result.detection_fields 統合済み
signInSessionStatus_label security_result.detection_fields 統合済み
status_label security_result.detection_fields 統合済み
step_date_label security_result.detection_fields 統合済み
step_detail_label security_result.detection_fields 統合済み
step_requirement_label security_result.detection_fields 統合済み
support_ticket_id_label security_result.detection_fields 統合済み
target_displayName_label security_result.detection_fields 統合済み
target_label security_result.detection_fields 統合済み
target_type security_result.detection_fields マッピング: Policy → target_displayName_label、Policy → target_label、Policy → `modifi...
ticket_encryption_type_label security_result.detection_fields 統合済み
ticket_options_label security_result.detection_fields 統合済み
transmitted_services_label security_result.detection_fields 統合済み
operationName security_result.priority マッピング: Sign-in activity → MEDIUM_PRIORITY
additional_fields security_result.rule_labels 統合済み
isCompliant_label security_result.rule_labels 統合済み
is_compliant_label security_result.rule_labels 統合済み
level security_result.severity マッピング: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3" ...
operationName security_result.severity マッピング: Sign-in activity → ERROR
record_Level security_result.severity マッピング済み: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3" ...
record_level security_result.severity マッピング: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3" ...
level security_result.severity_details 直接マッピングされます。
record_Level security_result.severity_details 直接マッピングされます。
record_level security_result.severity_details 直接マッピングされます。
AzureActiveDirectoryEventType security_result.summary マッピング: 0 → Account Logon、1 → Azure Application AuditEvent
activityDisplayName security_result.summary 直接マッピングされます。
errorCode security_result.summary マッピング済み: 0 → Successful login occurred
operationName security_result.summary マッピング: Sign-in activity → Successful login occurred、Sign-in activity → `Failed login...
properties.activity security_result.summary 直接マッピングされます。
properties.activityDisplayName security_result.summary 直接マッピングされます。
properties.result security_result.summary 直接マッピングされます。
properties_status_errorCode security_result.summary マッピング: 0 → Successful login occurred
record_properties_status_errorCode security_result.summary マッピング: 0 → Successful login occurred
record_resultType security_result.summary マッピング: 0 → Successful login occurred
resultType security_result.summary マッピング: 0 → Successful login occurred
TargetDomainName target.administrative_domain 直接マッピングされます。
ServiceName target.application 直接マッピングされます。
properties.appDisplayName target.application 直接マッピングされます。
record_AppDisplayName target.application 直接マッピングされます。
record_properties_appDisplayName target.application 直接マッピングされます。
record_AppId target.asset.asset_id 直接マッピングされます。
modified_property_label target.asset.attribute.labels 統合済み
target_displayName_label target.asset.attribute.labels 統合済み
target_label target.asset.attribute.labels 統合済み
target_type target.asset.attribute.labels マッピング: Device → target_displayName_label、Device → target_label、Device → `modifi...
WorkstationName target.asset.hostname 直接マッピングされます。
authenticationDetail.value target.asset.hostname 直接マッピングされます。
ClientIP target.asset.ip 統合済み
modifiedProperty.newValue target.group.group_display_name 直接マッピングされます。
modifiedProperty.newValue target.group.product_object_id 直接マッピングされます。
properties.targetResources.modifiedProperties.0.newValue target.group.product_object_id 直接マッピングされます。
WorkstationName target.hostname 直接マッピングされます。
authenticationDetail.value target.hostname 直接マッピングされます。
ClientIP target.ip 統合済み
ip target.ip 統合済み
properties_regionScope target.location.country_or_region 直接マッピングされます。
record_properties_UDI_RequiredFields_RegionScope target.location.country_or_region 直接マッピングされます。
record_properties_location target.location.name 直接マッピングされます。
ProcessName target.process.file.full_path 直接マッピングされます。
LogonProcessName target.process.file.names 統合済み
ProcessId target.process.pid 直接マッピングされます。
__UDI_RequiredFields_EventTime target.resource.attribute.labels 統合済み
__UDI_RequiredFields_TenantId target.resource.attribute.labels 統合済み
__UDI_RequiredFields_UniqueId target.resource.attribute.labels 統合済み
_label target.resource.attribute.labels 統合済み
add_label target.resource.attribute.labels 統合済み
additional_homeTenantId target.resource.attribute.labels 統合済み
additional_resourceServicePrincipalId target.resource.attribute.labels 統合済み
app_owner_tenant_id_label target.resource.attribute.labels 統合済み
conditionalAccessStatus target.resource.attribute.labels 統合済み
detection_TargetContextId target.resource.attribute.labels 統合済み
handleId target.resource.attribute.labels 統合済み
homeTenantId_label target.resource.attribute.labels 統合済み
homeTenantName_label target.resource.attribute.labels 統合済み
home_tenant_id_label target.resource.attribute.labels 統合済み
home_tenant_name_label target.resource.attribute.labels 統合済み
internal_workspace_label target.resource.attribute.labels 統合済み
item_id_label target.resource.attribute.labels 統合済み
label target.resource.attribute.labels 統合済み
lmPackageNameLabel_label target.resource.attribute.labels 統合済み
modified_property_label target.resource.attribute.labels 統合済み
objectServer target.resource.attribute.labels 統合済み
old_label target.resource.attribute.labels 統合済み
operationId_label target.resource.attribute.labels 統合済み
operationName target.resource.attribute.labels マッピング: Add member to group → add_label
operationType_label target.resource.attribute.labels 統合済み
properties_resourceTenantId_label target.resource.attribute.labels 統合済み
record_properties_appId_label target.resource.attribute.labels 統合済み
requestId_label target.resource.attribute.labels 統合済み
resourceOwnerTenantId_label target.resource.attribute.labels 統合済み
resource_display_name_label target.resource.attribute.labels 統合済み
resource_group_label target.resource.attribute.labels 統合済み
resource_id_label target.resource.attribute.labels 統合済み
resource_identity_label target.resource.attribute.labels 統合済み
resource_label target.resource.attribute.labels 統合済み
resource_owner_tenant_id_label target.resource.attribute.labels 統合済み
resource_service_principal_id_label target.resource.attribute.labels 統合済み
resource_tenant_id_label target.resource.attribute.labels 統合済み
resultSignature_label target.resource.attribute.labels 統合済み
resultSignature_label1 target.resource.attribute.labels 統合済み
service_principal_id_label target.resource.attribute.labels 統合済み
source_label target.resource.attribute.labels 統合済み
target_displayName_label target.resource.attribute.labels 統合済み
target_label target.resource.attribute.labels 統合済み
target_logon_id_label target.resource.attribute.labels 統合済み
target_type_label target.resource.attribute.labels 統合済み
temp_resourceId target.resource.attribute.labels 統合済み
tenant_id_label target.resource.attribute.labels 統合済み
tokenIssuerType_label target.resource.attribute.labels 統合済み
uniqueTokenIdentifier_label target.resource.attribute.labels 統合済み
user_type_label target.resource.attribute.labels 統合済み
ObjectName target.resource.name 直接マッピングされます。
properties.SignInBondData.DisplayDetails.ResourceDisplayName target.resource.name 直接マッピングされます。
properties.resourceDisplayName target.resource.name 名前変更済み/マッピング済み
resourceDisplayName target.resource.name 名前変更済み/マッピング済み
field.newValue target.resource.product_object_id 直接マッピングされます。
record_resourceId target.resource.product_object_id 直接マッピングされます。
resourceId target.resource.product_object_id 直接マッピングされます。
ObjectType target.resource.resource_subtype 直接マッピングされます。
target.type target.resource.type 直接マッピングされます。
%{ServiceSid} target.resource.user.windows_sid 統合済み
record_properties_identityProvider target.url 直接マッピングされます。
value target.url 直接マッピングされます。
modified_property_label target.user.attribute.labels 統合済み
target_label target.user.attribute.labels 統合済み
target_type target.user.attribute.labels マッピング済み: User → target_label、User → modified_property_label
user_display_name_label target.user.attribute.labels 統合済み
record_properties_userPrincipalName target.user.email_addresses マッピング済み: ^.+@.+$ → record_properties_userPrincipalName
target_displayName target.user.email_addresses マッピング済み: ^.+@.+$ → target_displayName
target_userPrincipalName target.user.email_addresses マッピング: ^.+@.+$ → target_userPrincipalName
userPrincipalName target.user.email_addresses マッピング: ^.+@.+$ → userPrincipalName
groupInfo target.user.group_identifiers 統合済み
operationName target.user.group_identifiers マッピング済み: Add member to group → groupInfo
properties.servicePrincipalId target.user.product_object_id 直接マッピングされます。
properties.targetResources.0.id target.user.product_object_id 直接マッピングされます。
properties.userId target.user.product_object_id 直接マッピングされます。
record_properties_userId target.user.product_object_id 直接マッピングされます。
userId target.user.product_object_id 直接マッピングされます。
record_Identity target.user.user_display_name 直接マッピングされます。
record_identity target.user.user_display_name 直接マッピングされます。
targetUser target.user.user_display_name 直接マッピングされます。
target_displayName target.user.user_display_name 直接マッピングされます。
target_userPrincipalName target.user.user_display_name 直接マッピングされます。
TargetUserName target.user.userid 直接マッピングされます。
properties.alternateSignInName target.user.userid 直接マッピングされます。
properties.servicePrincipalName target.user.userid 直接マッピングされます。
properties.userId target.user.userid 直接マッピングされます。
properties.userPrincipalName target.user.userid 直接マッピングされます。
record_AlternateSignInName target.user.userid 直接マッピングされます。
signInIdentifier target.user.userid 直接マッピングされます。
userPrincipalName target.user.userid 直接マッピングされます。
TargetSid target.user.windows_sid 直接マッピングされます。
TargetUserSid target.user.windows_sid 直接マッピングされます。
なし extensions.auth.type 定数: AUTHTYPE_UNSPECIFIED
なし metadata.event_type 定数: STATUS_UPDATE
なし metadata.product_name 定数: Azure AD
なし metadata.vendor_name 定数: Microsoft
なし network.http.parsed_user_agent 定数: parseduseragent
なし principal.platform 定数: WINDOWS
なし security_result.description 定数: Group membership modified
なし security_result.priority 定数: MEDIUM_PRIORITY
なし security_result.severity 定数: INFORMATIONAL
なし security_result.summary 定数: Successful login occurred

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。