收集 Microsoft Entra ID 登入記錄 | Google Security Operations

我們重新調整了說明文件的導覽結構，直接對應您的作業工作流程。詳情請參閱版本資訊和逐步解說影片。

Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

支援的國家/地區：

Google SecOps SIEM

本文說明如何設定 Google Security Operations 資訊提供，以收集 Microsoft Entra ID (原稱「Azure Active Directory」) 登入記錄。您可以透過兩種方法設定擷取作業：Azure Event Hub (建議) 或第三方 API。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Microsoft Azure 入口網站的特殊存取權
Microsoft Entra ID 中的安全管理員或全域管理員角色 (診斷設定的必要條件)
如果是第三方 API 方法，請使用下列其中一個角色授予管理員同意聲明：
- 全域管理員：可為任何 API 授予任何權限的同意聲明
- 具備特殊權限的角色管理員：可為任何 API 授予任何權限的同意聲明
- Cloud Application Administrator：可授予任何 API 的任何權限，但 Microsoft Graph 應用程式角色 (應用程式權限) 除外

方法 1：Azure 事件中樞 (建議)

這個方法會使用診斷設定，透過 Azure 事件中樞串流 Microsoft Entra ID 登入記錄。Google SecOps 會使用 Azure 事件中樞動態饋給類型，直接從事件中樞擷取記錄。

建立 Event Hub 命名空間

事件中樞命名空間是管理容器，可容納一或多個事件中樞。

在 Azure 入口網站中，搜尋 Event Hubs。
點選「+ 建立」。

請提供下列設定詳細資料：

設定	值
訂閱項目	選取 Azure 訂閱項目
資源群組	選取現有項目或建立新項目
命名空間名稱	輸入不重複的名稱 (例如 `secops-entraid-signin`)
位置	選取最接近 Microsoft Entra 租戶的區域
定價方案	標準 (建議用於正式環境)
處理量單位	從 1 開始，啟用自動增加功能 (建議)

按一下「Review + create」。
查看總覽，然後按一下「建立」。
等待部署作業完成 (1 到 2 分鐘)。

注意： 處理量單位決定命名空間容量。一個處理量單位可支援 1 MBps 的輸入流量和 2 MBps 的輸出流量。啟用「自動擴充」，在流量增加時自動擴充。

建立 Event Hub

部署命名空間後，請前往 Event Hub 命名空間。
在左側導覽面板中，選取「實體」下方的「事件中樞」。
按一下「+ Event Hub」。

請提供下列設定詳細資料：

設定	值
名稱	輸入不重複的名稱 (例如 `entraid-signin-logs`)
分區數量	40 (建議使用，可發揮 Google SecOps 的最佳擴充性)
訊息保留時間	7 天 (建議至少)
擷取	已停用 (Google SecOps 不需要)

點選「建立」。

注意： 建議 Google SecOps 動態消息的分區計數為 40，以達到最佳擴充效果。這項設定建立後就無法變更，因此請務必在初始設定時正確設定。

取得事件中樞連線字串

Google SecOps 需要連線字串，才能向事件中樞驗證。

選項 A：命名空間層級的連線字串 (建議)

前往 Event Hub 命名空間。
在左側導覽中，選取「設定」下方的「共用存取權政策」。
按一下預設政策「RootManageSharedAccessKey」RootManageSharedAccessKey。
複製「連線字串 - 主鍵」。
請妥善儲存這個連線字串。

範例：

Original: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=entraid-signin-logs

Remove EntityPath: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

選項 B：事件中樞層級的連線字串

前往「Event Hub」(不是命名空間)。
在左側導覽中，選取「設定」下方的「共用存取權政策」。
按一下「+ 新增」建立新政策。
提供下列設定詳細資料：
- 政策名稱：輸入描述性名稱 (例如 chronicle-read)
- 權限：僅選取「收聽」 (唯讀存取權)
點選「建立」。
按一下新建立的政策。
複製「連線字串 - 主鍵」。
請妥善儲存這個連線字串。

注意： Event Hub 層級的連線字串已包含 EntityPath 參數，因此不需要修改。

設定 Microsoft Entra ID 診斷設定

以至少安全性管理員身分登入 Microsoft Entra 系統管理中心。
依序前往「Entra ID」>「監控與健康狀態」>「診斷設定」。
按一下「+ 新增診斷設定」。
請提供下列設定詳細資料：
- 診斷設定名稱：輸入描述性名稱 (例如 signin-logs-to-eventhub)。
- 在「記錄」部分，選取要匯出的登入記錄類別：
  - SignInLogs：互動式使用者登入。
  - NonInteractiveUserSignInLogs - 非互動式使用者登入 (建議)。
  - ServicePrincipalSignInLogs - 服務主體登入 (選用)。
  - ManagedIdentitySignInLogs - 受管理的身分登入 (選用)。
  - ADFSSignInLogs - AD FS 登入記錄 (選用，如果使用 AD FS)。
  - RiskyUsers - Microsoft Entra ID Protection 標示為有風險的使用者 (選用)。
  - UserRiskEvents - 具有風險的登入事件詳細資料 (選用)。
  注意： 如需這些登入類型，請選取「NonInteractiveUserSignInLogs」、「ServicePrincipalSignInLogs」和「ManagedIdentitySignInLogs」。這些類別是方法 2 無法收集的資料。規劃容量：Microsoft 表示，非互動式使用者和服務主體登入次數，可能是互動式登入次數的五到十倍。
- 在「目的地詳細資料」部分，選取「將資料串流至事件中樞」。
- 「Subscription」(訂閱項目)：選取包含 Event Hub 命名空間的訂閱項目。
- 事件中樞命名空間：選取您建立的命名空間 (例如 secops-entraid-signin)。
- 事件中樞名稱：選取您建立的事件中樞 (例如 entraid-signin-logs)。
- 事件中樞政策名稱：選取「RootManageSharedAccessKey」。
按一下 [儲存]。

注意： Microsoft 表示，建立診斷設定後，最多需要三天，記錄才會開始顯示在目的地。資料通常會更快送達，但請勿將第一天的空白事件中樞視為設定錯誤。您也可以從「稽核記錄」或「登入」頁面選取「匯出設定」，前往診斷設定。

(選用) 設定 Azure Blob 儲存體以進行檢查點作業

Google SecOps 可使用 Azure Blob Storage 儲存事件中樞檢查點，追蹤已處理的事件。如果動態饋給暫時中斷，系統就不會重複擷取資料。

建立檢查點的儲存空間帳戶

在 Azure 入口網站中，搜尋「儲存體帳戶」。
點選「+ 建立」。

請提供下列設定詳細資料：

設定	值
訂閱項目	選取 Azure 訂閱項目
資源群組	使用與事件中樞相同的資源群組
儲存體帳戶名稱	輸入不重複的名稱 (例如 `secopsaadsignin`)
區域	與事件中樞相同的區域
效能	標準
備援功能	LRS (本地備援儲存體)

按一下「Review + create」。
點選「建立」。

建立 Blob 容器

前往您建立的儲存空間帳戶。
在左側導覽中，選取「資料儲存」下方的「容器」。
按一下「+ 容器」。
提供下列設定詳細資料：
- 「Name」(名稱)：輸入 checkpoints
- 公開存取層級：私人 (不允許匿名存取)
點選「建立」。

取得儲存空間帳戶憑證

在儲存空間帳戶中，選取「安全性 + 網路」下方的「存取金鑰」。
按一下「顯示金鑰」。
複製並儲存：
- 儲存體帳戶名稱：儲存體帳戶的名稱。
- 金鑰 1：存取金鑰值。

(選用) 建立專屬的消費者群組

根據預設，事件中樞會提供名為 $Default 的消費者群組。如果是正式環境，建議為 Google SecOps 建立專屬的消費者群組。

前往「Event Hub」(不是命名空間)。
在左側導覽面板中，選取「實體」下方的「消費者群組」。
按一下「+ 消費者群組」。
提供下列設定詳細資料：
- 名稱：輸入描述性名稱 (例如 chronicle)
點選「建立」。

附註： 如果建立專屬的消費者群組，在 Google SecOps 中建立動態饋給時，必須指定該群組。否則，請使用預設的 $Default 消費者群組。

在 Google SecOps 中設定動態饋給，以便擷取 Microsoft Entra ID 登入記錄

依序前往「SIEM 設定」>「動態饋給」。
按一下「新增動態消息」。
在下一個頁面中，按一下「設定單一動態饋給」。
在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Microsoft Entra ID Sign-In Logs - Event Hub)。
選取「Microsoft Azure Event Hub」做為「來源類型」。
選取「Microsoft Azure AD」做為「記錄類型」。
點選「下一步」。
指定下列輸入參數的值：
- 事件中樞連線字串：輸入您先前擷取的事件中樞連線字串。
  
  如果使用命名空間層級的連線字串：
  - 請確認您已移除 EntityPath 參數。
  - 您也必須在下一個欄位中提供事件中樞名稱。
  如果使用事件中心層級的連線字串：
  - 請直接使用連線字串 (包括 EntityPath)。
  - 「事件中樞名稱」欄位可以留空。
  - 事件中樞名稱：輸入事件中樞名稱 (例如 entraid-signin-logs)。
  如果使用命名空間層級的連線字串，則為必要項目。如果使用事件中樞層級的連線字串，則為選用屬性。
  - 消費者群組 (選用)：輸入消費者群組名稱。
  - 如要使用預設的 $Default 消費者群組，請留白。
  - 如果您建立了專屬的消費者版群組，請輸入該群組的名稱 (例如 chronicle)。
  - Blob 儲存體容器名稱 (選用)：如要檢查點，請輸入容器名稱 (例如 checkpoints)。
  如果提供 Blob 儲存空間做為檢查點：
  - Azure 儲存體帳戶名稱：輸入檢查點設定中的儲存體帳戶名稱。
  - Azure 儲存體帳戶金鑰：輸入檢查點設定中的存取金鑰。
  - 資產命名空間：資產命名空間。
  - 擷取標籤：要套用至這個動態饋給事件的標籤。
點選「下一步」。
在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

注意： 建立動態饋給後，可能需要 1 到 2 分鐘，Google SecOps 才會開始顯示事件。

方法 2：第三方 API

這個方法會使用 Microsoft Graph API，直接從 Microsoft 租戶擷取 Microsoft Entra ID 登入記錄。

設定 IP 許可清單

Google SecOps 必須將從第三方 API 擷取的記錄類型加入允許清單，因此請先在 Microsoft Azure 聯播網設定或條件存取原則中新增 Google IP 範圍，再建立資訊提供。如果資料來源強制執行 IP 限制，這點就非常重要。如果動態消息傳回 403 錯誤，請確認已啟用允許清單。請注意，發布的清單是所有 Google goog.json，而非 Google SecOps 輸出清單，且 Google SecOps 無法保證動態饋給來自特定區域的地址。如要限制較小範圍的存取權，請提交支援單。

取得 Google SecOps IP 範圍

依序前往「SIEM 設定」>「動態饋給」。
按一下「新增動態消息」。
請注意動態饋給建立介面中顯示的 IP 範圍。
或者，您也可以使用 Feed Management API，透過程式擷取 IP 範圍。

為工作負載身分設定條件存取權 (如有需要)

如果貴機構使用條件存取政策，限制存取位置：

在 Microsoft Entra 系統管理中心，依序前往「保護」>「條件式存取」>「具名位置」。
按一下「+ 新增地點」。
提供下列設定詳細資料：
- 「Name」(名稱)：輸入 Google SecOps IP Ranges。
- 標示為信任地點：視您的安全政策而定。
- IP 範圍：以 CIDR 標記法新增每個 Google SecOps IP 範圍。
點選「建立」。
前往「條件存取」>「原則」。
如要為工作負載身分套用任何政策，請為名為 Google SecOps IP Ranges 的位置或特定服務主體設定排除條件。

設定 Microsoft Entra ID API 存取權

建立應用程式註冊

登入 Microsoft Entra 系統管理中心或 Azure 入口網站。
依序前往「身分識別」>「應用程式」>「應用程式註冊」。
按一下 [新增註冊]。
請提供下列設定詳細資料：
- 名稱：輸入描述性名稱 (例如 Google SecOps Sign-In Logs Integration)。
- 支援的帳戶類型：選取「僅限這個機構目錄中的帳戶 (單一租戶)」。
注意： 第三方 API 整合應選擇單一租戶。Google SecOps 只會存取特定 Microsoft Entra 租戶的登入記錄。只有在代管服務供應商情境中，您有意存取多個租戶的記錄時，才選擇多租戶。
- 重新導向 URI：留空 (服務主體驗證不需要)。
按一下「註冊」。
註冊後，請複製並儲存下列值：
- 應用程式 (用戶端) ID
- 目錄 (租戶) ID

設定 API 權限

整合作業需要下列 Microsoft Graph 應用程式權限：

在應用程式註冊中，前往「API permissions」。
按一下「新增權限」。
依序選取「Microsoft Graph」>「應用程式權限」。
選取下列權限：
- AuditLog.Read.All：讀取登入記錄時必須具備這項權限。
- Directory.Read.All：Microsoft Graph API 需要這項權限，才能存取登入記錄 (已知問題)。
- SecurityEvents.Read.All：Google SecOps 必須具備這項權限。
選用：如要同時擷取套用至每次登入的條件式存取政策，請新增條件式存取讀取權限：
- Policy.Read.ConditionalAccess：建議使用 (最低權限)。讓動態饋給在每筆登入記錄中填入 appliedConditionalAccessPolicies 欄位。
按一下「Add permissions」。
按一下「Grant admin consent for [Your Organization]」。
確認「狀態」欄中，您新增的每項權限都顯示「已授予 [您的機構]」。

權限	類型	說明
AuditLog.Read.All	應用程式	讀取所有登入和稽核記錄資料
Directory.Read.All	應用程式	讀取目錄資料 (存取 API 時必須具備這項權限)
SecurityEvents.Read.All	應用程式	讀取安全事件
Policy.Read.ConditionalAccess	應用程式	選用。讀取條件式存取政策，確保登入記錄中包含 `appliedConditionalAccessPolicies`

建立用戶端密鑰

前往「Certificates & secrets」。
按一下 [新增用戶端密碼]。
請提供下列設定詳細資料：
- 說明：輸入描述性名稱 (例如 Google SecOps Feed)。
- 到期：選取到期時間。
注意： Microsoft 建議將到期值設定為 12 個月以下。最長為 24 個月。為提升安全性，建議使用憑證憑證或聯合身分憑證，而非用戶端密鑰。請參閱「從以密鑰為基礎的驗證機制遷移應用程式」。
按一下「新增」。
重要事項：請立即複製用戶端密鑰值。這個值只會顯示一次，之後便無法擷取。

建立動態饋給前，請先驗證 API 存取權

建立 Google SecOps 資訊提供前，請先確認服務主體可以順利驗證及存取 Microsoft Graph API。

使用 PowerShell 測試驗證

# Replace with your actual values
$tenantId = "your-tenant-id"
$clientId = "your-client-id"
$clientSecret = "your-client-secret"

# Token request parameters (must be lowercase)
$tokenBody = @{
    grant_type    = "client_credentials"
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = "https://graph.microsoft.com/.default"
}

# Request access token
$tokenEndpoint = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
$tokenResponse = Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $tokenBody -ContentType "application/x-www-form-urlencoded"

if ($tokenResponse.access_token) {
    Write-Host "✓ Successfully obtained access token" -ForegroundColor Green

    # Test API call to sign-ins endpoint
    $apiUrl = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$top=1"
    $headers = @{
        Authorization = "Bearer $($tokenResponse.access_token)"
    }

    try {
        $signInResponse = Invoke-RestMethod -Method Get -Uri $apiUrl -Headers $headers
        Write-Host "✓ Successfully accessed sign-ins API" -ForegroundColor Green
        Write-Host "Sample sign-in log retrieved successfully" -ForegroundColor Green
    }
    catch {
        Write-Host "✗ Failed to access sign-ins API" -ForegroundColor Red
        Write-Host "Error: $($_.Exception.Message)" -ForegroundColor Red
    }
}
else {
    Write-Host "✗ Failed to obtain access token" -ForegroundColor Red
}

預期輸出內容：

✓ Successfully obtained access token
✓ Successfully accessed sign-ins API
Sample sign-in log retrieved successfully

使用 curl 測試驗證

# Replace with your actual values
TENANT_ID="your-tenant-id"
CLIENT_ID="your-client-id"
CLIENT_SECRET="your-client-secret"

# Request access token
curl -X POST "https://login.microsoftonline.com/$TENANT_ID/oauth2/v2.0/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=$CLIENT_ID" \
  -d "client_secret=$CLIENT_SECRET" \
  -d "scope=https://graph.microsoft.com/.default"

# Test API access
curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
  "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$top=1"

在 Google SecOps 中設定動態饋給，以便擷取 Microsoft Entra ID 登入記錄

設定動態饋給

依序前往「SIEM 設定」>「動態饋給」。
按一下「新增動態消息」。
在下一個頁面中，按一下「設定單一動態饋給」。
在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Microsoft Entra ID Sign-In Logs)。
選取「第三方 API」做為「來源類型」。
選取「Microsoft Azure AD」做為「記錄類型」。
點選「下一步」。

設定動態饋給參數

指定下列輸入參數的值：
- OAuth 用戶端 ID：應用程式註冊時獲得的應用程式 (用戶端) ID。
- OAuth 用戶端密鑰：您先前複製的用戶端密鑰值。
- 租戶 ID：應用程式註冊時取得的 Microsoft 租戶 ID (UUID 格式，例如 0fc279f9-fe30-41be-97d3-abe1d7681418)。
- API 完整路徑：Microsoft Graph REST API 端點網址：
```
graph.microsoft.com/v1.0/auditLogs/signIns
```
  注意： 請勿加入 https:// 前置字串。動態饋給會自動新增通訊協定。
- API 驗證端點：Microsoft Active Directory 驗證端點：
```
login.microsoftonline.com
```
  注意： 請勿加入 https:// 前置字串或 /oauth2/v2.0/token 路徑。動態饋給會使用您的租戶 ID 自動建構完整的驗證網址。
進階選項：
- 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
- 來源類型：第三方 API (將記錄收集到 Google SecOps 的機制)。
- 資產命名空間：動態饋給將與這個資產命名空間建立關聯。
- 擷取標籤：系統會為這個動態饋給的所有事件加上標籤。
點選「下一步」。
在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

注意： 建立動態消息後，記錄可能需要 5 到 10 分鐘才會顯示在 Google SecOps 中。

地區端點

如要在主權雲端中部署 Microsoft Entra ID，請使用適當的區域端點：

雲端環境	API 完整路徑	API 驗證端點
全球	`graph.microsoft.com/v1.0/auditLogs/signIns`	`login.microsoftonline.com`
美國政府 L4	`graph.microsoft.us/v1.0/auditLogs/signIns`	`login.microsoftonline.us`
美國政府 L5 (國防部)	`dod-graph.microsoft.us/v1.0/auditLogs/signIns`	`login.microsoftonline.us`
中國 (21Vianet)	`microsoftgraph.chinacloudapi.cn/v1.0/auditLogs/signIns`	`login.chinacloudapi.cn`

UDM 對應表

記錄欄位	UDM 對應	邏輯
`CertSerialNumber`	`about.artifact.last_https_certificate.serial_number`	直接對應
`modifiedProperty.newValue`	`about.location.city`	直接對應
`modifiedProperty.newValue`	`about.location.country_or_region`	直接對應
`modifiedProperty.newValue`	`about.location.state`	直接對應
`modifiedProperty.newValue`	`about.user.department`	已合併
`modifiedProperty.newValue`	`about.user.email_addresses`	已合併
`modifiedProperty.newValue`	`about.user.first_name`	直接對應
`modifiedProperty.newValue`	`about.user.last_name`	直接對應
`modifiedProperty.newValue`	`about.user.phone_numbers`	已合併
`modifiedProperty.newValue`	`about.user.product_object_id`	直接對應
`modifiedProperty.newValue`	`about.user.title`	直接對應
`modifiedProperty.newValue`	`about.user.user_display_name`	直接對應
`modifiedProperty.newValue`	`about.user.userid`	直接對應
`C_DeviceId_label`	`additional.fields`	已合併
`C_Iat_label`	`additional.fields`	已合併
`C_Idtyp_label`	`additional.fields`	已合併
`C_Sid_label`	`additional.fields`	已合併
`CorrelationId_label`	`additional.fields`	已合併
`CrossTenantAccessType_label`	`additional.fields`	已合併
`ImpersonationLevel_label`	`additional.fields`	已合併
`KeyLength_label`	`additional.fields`	已合併
`aadtenant_label`	`additional.fields`	已合併
`additionalDetails_label`	`additional.fields`	已合併
`additional_crossTenantAccessType`	`additional.fields`	已合併
`additional_detail_label`	`additional.fields`	已合併
`additional_detectedDateTime`	`additional.fields`	已合併
`additional_detectionTimingType`	`additional.fields`	已合併
`additional_durationMs`	`additional.fields`	已合併
`additional_fields`	`additional.fields`	已合併
`additional_isDeleted`	`additional.fields`	已合併
`additional_isGuest`	`additional.fields`	已合併
`additional_isProcessing`	`additional.fields`	已合併
`additional_lastUpdatedDateTime`	`additional.fields`	已合併
`additional_resultSignature`	`additional.fields`	已合併
`additional_source`	`additional.fields`	已合併
`additional_tokenIssuerName`	`additional.fields`	已合併
`additional_tokenIssuerType`	`additional.fields`	已合併
`additional_userType`	`additional.fields`	已合併
`altitude_loc`	`additional.fields`	已合併
`appServicePrincipalId_label`	`additional.fields`	已合併
`atContentH_label`	`additional.fields`	已合併
`atContentP_label`	`additional.fields`	已合併
`auth_detail_label`	`additional.fields`	已合併
`auth_id_label`	`additional.fields`	已合併
`authentication`	`additional.fields`	已合併
`authenticationDetail_label`	`additional.fields`	已合併
`authenticationProtocol_label`	`additional.fields`	已合併
`authentication_app_device_details_label`	`additional.fields`	已合併
`authentication_requirement_label`	`additional.fields`	已合併
`auto_label`	`additional.fields`	已合併
`autonomousSystemNumber_label`	`additional.fields`	已合併
`cert_issuer_name_label`	`additional.fields`	已合併
`cert_thumbprint_label`	`additional.fields`	已合併
`clientCredentialType_label`	`additional.fields`	已合併
`client_credential_type`	`additional.fields`	已合併
`client_credential_type_label`	`additional.fields`	已合併
`conditionalAccessStatus_label`	`additional.fields`	已合併
`cribl_pipe_label`	`additional.fields`	已合併
`crossTenantAccessType_label`	`additional.fields`	已合併
`cross_tenant_access_type_label`	`additional.fields`	已合併
`domain_hint_present_label`	`additional.fields`	已合併
`durationMs_label`	`additional.fields`	已合併
`error_number_label`	`additional.fields`	已合併
`federated_credential_id_label`	`additional.fields`	已合併
`flaggedForReview_label`	`additional.fields`	已合併
`flagged_for_review_label`	`additional.fields`	已合併
`hometenant_label`	`additional.fields`	已合併
`incomingTokenType_label`	`additional.fields`	已合併
`incoming_token_type_label`	`additional.fields`	已合併
`isTenantRestricted_label`	`additional.fields`	已合併
`isThroughGlobalSecureAccess_label`	`additional.fields`	已合併
`is_interactive_label`	`additional.fields`	已合併
`is_tenant_restricted_label`	`additional.fields`	已合併
`latitude_label`	`additional.fields`	已合併
`login_hint_present_label`	`additional.fields`	已合併
`longitude_label`	`additional.fields`	已合併
`mfa_details_label`	`additional.fields`	已合併
`name_list`	`additional.fields`	已合併
`networkName_label`	`additional.fields`	已合併
`networkType_additional_fields`	`additional.fields`	已合併
`networkType_label`	`additional.fields`	已合併
`network_location_label`	`additional.fields`	已合併
`network_names_additional_fields`	`additional.fields`	已合併
`originalRequestId_label`	`additional.fields`	已合併
`originalTransferMethod_label`	`additional.fields`	已合併
`original_transfer_method_label`	`additional.fields`	已合併
`processing_time_in_milliseconds_label`	`additional.fields`	已合併
`properties_incomingTokenType`	`additional.fields`	已合併
`properties_isInteractive`	`additional.fields`	已合併
`properties_location_geoCoordinates_altitude`	`additional.fields`	已合併
`properties_processingTimeInMilliseconds`	`additional.fields`	已合併
`properties_rngcStatus`	`additional.fields`	已合併
`proxy_restriction_target_tenant_name_label`	`additional.fields`	已合併
`prp_networkType_additional_fields`	`additional.fields`	已合併
`prp_network_names_additional_fields`	`additional.fields`	已合併
`ram_recommended_action_label`	`additional.fields`	已合併
`ram_recommender_label`	`additional.fields`	已合併
`record_properties_id_label`	`additional.fields`	已合併
`resultReason_label`	`additional.fields`	已合併
`resultType_label`	`additional.fields`	已合併
`resultstatus_label`	`additional.fields`	已合併
`rngcStatus_label`	`additional.fields`	已合併
`service_principal_credential_key_id_label`	`additional.fields`	已合併
`service_principal_credential_thumbprint_label`	`additional.fields`	已合併
`service_principal_name_label`	`additional.fields`	已合併
`signInActivityId_label`	`additional.fields`	已合併
`signInSessionStatusCode_label`	`additional.fields`	已合併
`signInSessionStatus_label`	`additional.fields`	已合併
`signInTokenProtectionStatus_label`	`additional.fields`	已合併
`sign_in_identifier_type_label`	`additional.fields`	已合併
`sign_in_token_protection_status_label`	`additional.fields`	已合併
`ssoExtensionVersion_label`	`additional.fields`	已合併
`status_additionalDetails_label`	`additional.fields`	已合併
`tokenIssuedAt_label`	`additional.fields`	已合併
`tokenIssuerType_label`	`additional.fields`	已合併
`token_issuer_name_label`	`additional.fields`	已合併
`token_issuer_type_label`	`additional.fields`	已合併
`token_protection_status_details_label`	`additional.fields`	已合併
`token_protection_status_details_signInSessionStatus_label`	`additional.fields`	已合併
`type_list`	`additional.fields`	已合併
`uniqueTokenIdentifier_label`	`additional.fields`	已合併
`unique_token_identifier_label`	`additional.fields`	已合併
`userType_label`	`additional.fields`	已合併
`user_type_label`	`additional.fields`	已合併
`wids_label`	`additional.fields`	已合併
`workload_label`	`additional.fields`	已合併
`LogonType`	`extensions.auth.auth_details`	直接對應
`properties.SignInBondData.ProtocolDetails.AuthenticationMethodsUsed`	`extensions.auth.auth_details`	直接對應
`properties_clientAuthMethod`	`extensions.auth.auth_details`	直接對應
`record_properties_clientAuthMethod`	`extensions.auth.auth_details`	直接對應
`auth_mechanism`	`extensions.auth.mechanism`	已合併
`ext_mech`	`extensions.auth.mechanism`	已合併
`mechanism`	`extensions.auth.mechanism`	已合併
`operationName`	`extensions.auth.type`	已對應：`Sign-in activity` → `SSO`
`record_operationName`	`extensions.auth.type`	已對應：`Sign-in activity` → `AUTHTYPE_UNSPECIFIED`
`category`	`metadata.description`	直接對應
`record_category`	`metadata.description`	直接對應
`CreationTime`	`metadata.event_timestamp`	剖析為 `yyyy-MM-ddTHH:mm:ss`
`activityDateTime`	`metadata.event_timestamp`	剖析為 `ISO8601`
`date`	`metadata.event_timestamp`	剖析為 `ISO8601`
`properties.activityDateTime`	`metadata.event_timestamp`	剖析為 `yyyy-MM-ddTHH:mm:ss.SSSZ`
`record_CreatedDateTime`	`metadata.event_timestamp`	剖析為 `ISO8601`
`record_time`	`metadata.event_timestamp`	剖析為 `ISO8601`
`when`	`metadata.event_timestamp`	剖析為 `yyyy-MM-dd HH:mm:ss`
`category`	`metadata.event_type`	已對應：`(?i)AccountManagement` → `USER_CHANGE_PERMISSIONS`
`event_type`	`metadata.event_type`	直接對應
`has_principal`	`metadata.event_type`	已對應：`true` → `STATUS_UPDATE`
`has_principal_user`	`metadata.event_type`	已對應：`true` → `USER_UNCATEGORIZED`
`has_resource`	`metadata.event_type`	已對應：`true` → `USER_RESOURCE_ACCESS`
`has_target`	`metadata.event_type`	已對應：`true` → `NETWORK_CONNECTION`
`has_target_user`	`metadata.event_type`	對應：`true` → `USER_LOGOUT`、`true` → `USER_CHANGE_PERMISSIONS`、`true` → `USER_LOGIN`
`record_tenantId`	`metadata.product_deployment_id`	直接對應
`tenantId`	`metadata.product_deployment_id`	直接對應
`Operation`	`metadata.product_event_type`	直接對應
`activityDisplayName`	`metadata.product_event_type`	直接對應
`operationName`	`metadata.product_event_type`	直接對應
`record_OperationName`	`metadata.product_event_type`	直接對應
`record_operationName`	`metadata.product_event_type`	直接對應
`type`	`metadata.product_event_type`	直接對應
`EventRecordID`	`metadata.product_log_id`	直接對應
`Id`	`metadata.product_log_id`	直接對應
`id`	`metadata.product_log_id`	直接對應
`properties.id`	`metadata.product_log_id`	直接對應
`record_Id`	`metadata.product_log_id`	直接對應
`record_correlationId`	`metadata.product_log_id`	直接對應
`Version`	`metadata.product_version`	直接對應
`operationVersion`	`metadata.product_version`	直接對應
`record_operationVersion`	`metadata.product_version`	直接對應
`properties.SignInBondData.ProtocolDetails.Protocol`	`network.application_protocol`	直接對應
`properties_requestMethod`	`network.http.method`	直接對應
`record_properties_requestMethod`	`network.http.method`	直接對應
`browser`	`network.http.parsed_user_agent`	直接對應
`deviceDetail.browser`	`network.http.parsed_user_agent`	直接對應
`properties.deviceDetail.browser`	`network.http.parsed_user_agent`	直接對應
`properties.userAgent`	`network.http.parsed_user_agent`	直接對應
`record_UserAgent`	`network.http.parsed_user_agent`	直接對應
`record_properties_userAgent`	`network.http.parsed_user_agent`	直接對應
`userAgent`	`network.http.parsed_user_agent`	直接對應
`user_agent`	`network.http.parsed_user_agent`	直接對應
`value`	`network.http.parsed_user_agent`	直接對應
`value1`	`network.http.parsed_user_agent`	已重新命名/對應
`properties_requestUri`	`network.http.referral_url`	直接對應
`record_properties_requestUri`	`network.http.referral_url`	直接對應
`properties_responseStatusCode`	`network.http.response_code`	直接對應
`record_properties_responseStatusCode`	`network.http.response_code`	直接對應
`browser`	`network.http.user_agent`	直接對應
`deviceDetail.browser`	`network.http.user_agent`	直接對應
`properties.deviceDetail.browser`	`network.http.user_agent`	直接對應
`properties.userAgent`	`network.http.user_agent`	直接對應
`record_UserAgent`	`network.http.user_agent`	直接對應
`record_properties_userAgent`	`network.http.user_agent`	直接對應
`userAgent`	`network.http.user_agent`	直接對應
`user_agent`	`network.http.user_agent`	直接對應
`value`	`network.http.user_agent`	直接對應
`value1`	`network.http.user_agent`	直接對應
`properties_responseSizeBytes`	`network.received_bytes`	直接對應
`record_properties_responseSizeBytes`	`network.received_bytes`	直接對應
`originalRequestId`	`network.session_id`	直接對應
`properties.originalRequestId`	`network.session_id`	直接對應
`properties.sessionId`	`network.session_id`	直接對應
`record_OriginalRequestId`	`network.session_id`	直接對應
`record_properties_sessionId`	`network.session_id`	直接對應
`sessionId`	`network.session_id`	直接對應
`value`	`network.session_id`	直接對應
`loggedByService`	`observer.application`	直接對應
`properties.loggedByService`	`observer.application`	直接對應
`SubjectDomainName`	`principal.administrative_domain`	直接對應
`domain`	`principal.administrative_domain`	直接對應
`initiatedBy_app_displayName`	`principal.application`	直接對應
`record_ClientAppUsed`	`principal.application`	直接對應
`deviceId`	`principal.asset.asset_id`	直接對應
`properties_deviceDetail_deviceId`	`principal.asset.asset_id`	直接對應
`record_DeviceDetail_deviceId`	`principal.asset.asset_id`	直接對應
`record_properties_C_DeviceId`	`principal.asset.asset_id`	直接對應
`record_properties_deviceDetail_deviceId`	`principal.asset.asset_id`	直接對應
`additional_fields`	`principal.asset.attribute.labels`	已合併
`device_trust_type_label`	`principal.asset.attribute.labels`	已合併
`isManaged_label`	`principal.asset.attribute.labels`	已合併
`is_managed_label`	`principal.asset.attribute.labels`	已合併
`trustType_label`	`principal.asset.attribute.labels`	已合併
`deviceDetail.displayName`	`principal.asset.hostname`	直接對應
`displayName`	`principal.asset.hostname`	直接對應
`properties.deviceDetail.displayName`	`principal.asset.hostname`	直接對應
`ActorIpAddress`	`principal.asset.ip`	已合併
`IpAddress`	`principal.asset.ip`	已合併
`SourceIpAddress`	`principal.asset.ip`	已合併
`initiatedBy.user.ipAddress`	`principal.asset.ip`	已合併
`principal_ip`	`principal.asset.ip`	已合併
`properties.initiatedBy.user.ipAddress`	`principal.asset.ip`	已合併
`properties_ip_address`	`principal.asset.ip`	已合併
`record.IPAddress`	`principal.asset.ip`	已合併
`record_callerIpAddress`	`principal.asset.ip`	已合併
`deviceId`	`principal.asset_id`	直接對應
`record_DeviceDetail_deviceId`	`principal.asset_id`	直接對應
`record_properties_deviceDetail_deviceId`	`principal.asset_id`	直接對應
`value`	`principal.asset_id`	直接對應
`deviceDetail.displayName`	`principal.hostname`	直接對應
`displayName`	`principal.hostname`	直接對應
`properties.deviceDetail.displayName`	`principal.hostname`	直接對應
`ActorIpAddress`	`principal.ip`	已合併
`IpAddress`	`principal.ip`	已合併
`SourceIpAddress`	`principal.ip`	已合併
`initiatedBy.user.ipAddress`	`principal.ip`	已合併
`principal_ip`	`principal.ip`	已合併
`properties.initiatedBy.user.ipAddress`	`principal.ip`	已合併
`properties_ip_address`	`principal.ip`	已合併
`record_IPAddress`	`principal.ip`	已合併
`record_callerIpAddress`	`principal.ip`	已合併
`location_city`	`principal.location.city`	直接對應
`record_properties_location_city`	`principal.location.city`	直接對應
`location_countryOrRegion`	`principal.location.country_or_region`	直接對應
`properties.tenantGeo`	`principal.location.country_or_region`	直接對應
`record_properties_location_countryOrRegion`	`principal.location.country_or_region`	直接對應
`location_name`	`principal.location.name`	直接對應
`record_location`	`principal.location.name`	直接對應
`location_geo_latitude`	`principal.location.region_coordinates.latitude`	直接對應
`record_LocationDetails_geoCoordinates_latitude`	`principal.location.region_coordinates.latitude`	直接對應
`record_properties_location_geoCoordinates_latitude`	`principal.location.region_coordinates.latitude`	直接對應
`location_geo_longitude`	`principal.location.region_coordinates.longitude`	直接對應
`record_LocationDetails_geoCoordinates_longitude`	`principal.location.region_coordinates.longitude`	直接對應
`record_properties_location_geoCoordinates_longitude`	`principal.location.region_coordinates.longitude`	直接對應
`location_state`	`principal.location.state`	直接對應
`record_properties_location_state`	`principal.location.state`	直接對應
`operatingSystem`	`principal.platform`	對應：`Win` → `WINDOWS`、`Mac` → `MAC`、`Lin` → `LINUX`
`properties_deviceDetail_operatingSystem`	`principal.platform`	對應：`Win` → `WINDOWS`、`Mac` → `MAC`、`Lin` → `LINUX`
`record_properties_deviceDetail_operatingSystem`	`principal.platform`	對應：`Win` → `WINDOWS`、`Mac` → `MAC`、`Lin` → `LINUX`
`operatingSystem`	`principal.platform_version`	直接對應
`properties_deviceDetail_operatingSystem`	`principal.platform_version`	直接對應
`record_properties_deviceDetail_operatingSystem`	`principal.platform_version`	直接對應
`IpPort`	`principal.port`	直接對應
`CallerProcessName`	`principal.process.file.full_path`	直接對應
`CallerProcessId`	`principal.process.pid`	直接對應
`actor_label`	`principal.resource.attribute.labels`	已合併
`actor_type_label`	`principal.resource.attribute.labels`	已合併
`autonomousSystemNumber_label`	`principal.resource.attribute.labels`	已合併
`autonomous_system_number_label`	`principal.resource.attribute.labels`	已合併
`clientRequestId_label`	`principal.resource.attribute.labels`	已合併
`displayName`	`principal.resource.attribute.labels`	已對應：`(?i)(iphone.*)` → `displayName_label`
`displayName_label`	`principal.resource.attribute.labels`	已合併
`ip_address_from_resource_provider_label`	`principal.resource.attribute.labels`	已合併
`properties_label`	`principal.resource.attribute.labels`	已合併
`subject_logon_id_label`	`principal.resource.attribute.labels`	已合併
`record_properties_resourceDisplayName`	`principal.resource.name`	直接對應
`ObjectId`	`principal.resource.product_object_id`	直接對應
`OrganizationId`	`principal.resource.product_object_id`	直接對應
`initializedBy_app_servicePrincipalId`	`principal.resource.product_object_id`	直接對應
`record_properties_UserPrincipalObjectID`	`principal.resource.product_object_id`	直接對應
`userType_label`	`principal.user.attribute.labels`	已合併
`user_key_label`	`principal.user.attribute.labels`	已合併
`role_to_merge`	`principal.user.attribute.roles`	已合併
`roles_to_merge`	`principal.user.attribute.roles`	已合併
`initiatedBy.user.userPrincipalName`	`principal.user.email_addresses`	已合併
`operationName`	`principal.user.email_addresses`	已對應：`Add member to group` → `properties.initiatedBy.user.userPrincipalName`
`properties.SignInBondData.DisplayDetails.AttemptedUsername`	`principal.user.email_addresses`	已合併
`properties.initiatedBy.user.userPrincipalName`	`principal.user.email_addresses`	已合併
`record_UserPrincipalName`	`principal.user.email_addresses`	已合併
`mfaDetail.authDetail`	`principal.user.phone_numbers`	已合併
`properties.mfaDetail.authDetail`	`principal.user.phone_numbers`	已合併
`properties.appId`	`principal.user.product_object_id`	直接對應
`identity`	`principal.user.user_display_name`	直接對應
`initiatedBy.user.displayName`	`principal.user.user_display_name`	直接對應
`properties.initiatedBy.app.displayName`	`principal.user.user_display_name`	直接對應
`properties.initiatedBy.user.displayName`	`principal.user.user_display_name`	直接對應
`properties.userDisplayName`	`principal.user.user_display_name`	已重新命名/對應
`record_UserDisplayName`	`principal.user.user_display_name`	直接對應
`record_properties_deviceDetail_displayName`	`principal.user.user_display_name`	直接對應
`userDisplayName`	`principal.user.user_display_name`	直接對應
`value`	`principal.user.user_display_name`	直接對應
`SubjectUserName`	`principal.user.userid`	直接對應
`UserId`	`principal.user.userid`	直接對應
`first_user_id`	`principal.user.userid`	直接對應
`initiatedBy.user.id`	`principal.user.userid`	直接對應
`properties.initiatedBy.user.userPrincipalName`	`principal.user.userid`	直接對應
`properties.userPrincipalName`	`principal.user.userid`	直接對應
`record_SignInIdentifier`	`principal.user.userid`	直接對應
`record_UserId`	`principal.user.userid`	直接對應
`record_properties_servicePrincipalId`	`principal.user.userid`	直接對應
`SubjectUserSid`	`principal.user.windows_sid`	直接對應
`properties.initiatedBy.user.id`	`principal.user.windows_sid`	直接對應
`auth_sec_res`	`security_result`	已合併
`sec_res`	`security_result`	已合併
`sr_result`	`security_result`	已合併
`AuthenticationPackageName`	`security_result.about.resource.name`	直接對應
`action`	`security_result.action`	已合併
`errorCode`	`security_result.action`	已對應：`0` → `action`
`operationName`	`security_result.action`	已對應：`Sign-in activity` → `action`、`Add member to group` → `action`
`properties_status_errorCode`	`security_result.action`	已對應：`0` → `action`
`record_properties_status_errorCode`	`security_result.action`	已對應：`0` → `action`
`record_resultType`	`security_result.action`	已對應：`0` → `action`
`result`	`security_result.action`	已對應：`success` → `action`
`resultType`	`security_result.action`	已對應：`0` → `action`
`operationType`	`security_result.action_details`	直接對應
`properties.result`	`security_result.action_details`	直接對應
`Category`	`security_result.category`	已合併
`operationName`	`security_result.category`	已對應：`Sign-in activity` → `Category`
`properties.category`	`security_result.category_details`	已合併
`failureReason`	`security_result.description`	直接對應
`operationName`	`security_result.description`	已對應：`Add member to group` → `Group membership modified`
`resultDescription`	`security_result.description`	直接對應
`AuthenticationProtocol_label`	`security_result.detection_fields`	已合併
`NewSd_label`	`security_result.detection_fields`	已合併
`OldSd_label`	`security_result.detection_fields`	已合併
`agent_agentType_label`	`security_result.detection_fields`	已合併
`apiVersion_label`	`security_result.detection_fields`	已合併
`associated_admin_units_label`	`security_result.detection_fields`	已合併
`auth_label`	`security_result.detection_fields`	已合併
`authenticationContextClassReference_detail_label`	`security_result.detection_fields`	已合併
`authenticationContextClassReference_id_label`	`security_result.detection_fields`	已合併
`authenticationProcessingDetails_label`	`security_result.detection_fields`	已合併
`authenticationProtocol_label`	`security_result.detection_fields`	已合併
`correlationId_label`	`security_result.detection_fields`	已合併
`correlationId_label2`	`security_result.detection_fields`	已合併
`correlationId_label3`	`security_result.detection_fields`	已合併
`detail_label`	`security_result.detection_fields`	已合併
`detection_ActorContextId`	`security_result.detection_fields`	已合併
`detection_ApplicationId`	`security_result.detection_fields`	已合併
`detection_InterSystemsId`	`security_result.detection_fields`	已合併
`detection_IntraSystemId`	`security_result.detection_fields`	已合併
`device_property_label`	`security_result.detection_fields`	已合併
`error_code_label`	`security_result.detection_fields`	已合併
`expirationRequirement_label`	`security_result.detection_fields`	已合併
`extended_property_label`	`security_result.detection_fields`	已合併
`logon_guid_label`	`security_result.detection_fields`	已合併
`method_label`	`security_result.detection_fields`	已合併
`modified_property_label`	`security_result.detection_fields`	已合併
`name_label`	`security_result.detection_fields`	已合併
`namespace_label`	`security_result.detection_fields`	已合併
`network_type_label`	`security_result.detection_fields`	已合併
`prop_risk_event_label`	`security_result.detection_fields`	已合併
`prop_risk_event_v2_label`	`security_result.detection_fields`	已合併
`properties.status.errorCode_label`	`security_result.detection_fields`	已合併
`protocol_label`	`security_result.detection_fields`	已合併
`record_type_label`	`security_result.detection_fields`	已合併
`requestId_label`	`security_result.detection_fields`	已合併
`requirement_provider_label`	`security_result.detection_fields`	已合併
`riskDetail_label`	`security_result.detection_fields`	已合併
`riskEventType_label`	`security_result.detection_fields`	已合併
`riskEventTypes_label`	`security_result.detection_fields`	已合併
`riskLastUpdatedDateTime_label`	`security_result.detection_fields`	已合併
`riskLevelAggregated_label`	`security_result.detection_fields`	已合併
`riskLevelDuringSignIn_label`	`security_result.detection_fields`	已合併
`riskLevel_label`	`security_result.detection_fields`	已合併
`riskState_label`	`security_result.detection_fields`	已合併
`riskType_label`	`security_result.detection_fields`	已合併
`risk_event_label`	`security_result.detection_fields`	已合併
`risk_event_label_v2`	`security_result.detection_fields`	已合併
`risk_level_aggregated_label`	`security_result.detection_fields`	已合併
`risk_level_during_sign_in_label`	`security_result.detection_fields`	已合併
`scopes_label`	`security_result.detection_fields`	已合併
`signInSessionStatus_label`	`security_result.detection_fields`	已合併
`status_label`	`security_result.detection_fields`	已合併
`step_date_label`	`security_result.detection_fields`	已合併
`step_detail_label`	`security_result.detection_fields`	已合併
`step_requirement_label`	`security_result.detection_fields`	已合併
`support_ticket_id_label`	`security_result.detection_fields`	已合併
`target_displayName_label`	`security_result.detection_fields`	已合併
`target_label`	`security_result.detection_fields`	已合併
`target_type`	`security_result.detection_fields`	已對應：`Policy` → `target_displayName_label`、`Policy` → `target_label`、`Policy` → `modifi...
`ticket_encryption_type_label`	`security_result.detection_fields`	已合併
`ticket_options_label`	`security_result.detection_fields`	已合併
`transmitted_services_label`	`security_result.detection_fields`	已合併
`operationName`	`security_result.priority`	已對應：`Sign-in activity` → `MEDIUM_PRIORITY`
`additional_fields`	`security_result.rule_labels`	已合併
`isCompliant_label`	`security_result.rule_labels`	已合併
`is_compliant_label`	`security_result.rule_labels`	已合併
`level`	`security_result.severity`	已對應：`"INFORMATION", "INFORMATIONAL", "0", "4"` → `INFORMATIONAL`、`"WARNING", "1", "3"` ...
`operationName`	`security_result.severity`	已對應：`Sign-in activity` → `ERROR`
`record_Level`	`security_result.severity`	已對應：`"INFORMATION", "INFORMATIONAL", "0", "4"` → `INFORMATIONAL`、`"WARNING", "1", "3"` ...
`record_level`	`security_result.severity`	已對應：`"INFORMATION", "INFORMATIONAL", "0", "4"` → `INFORMATIONAL`、`"WARNING", "1", "3"` ...
`level`	`security_result.severity_details`	直接對應
`record_Level`	`security_result.severity_details`	直接對應
`record_level`	`security_result.severity_details`	直接對應
`AzureActiveDirectoryEventType`	`security_result.summary`	已對應：`0` → `Account Logon`、`1` → `Azure Application AuditEvent`
`activityDisplayName`	`security_result.summary`	直接對應
`errorCode`	`security_result.summary`	已對應：`0` → `Successful login occurred`
`operationName`	`security_result.summary`	已對應：`Sign-in activity` → `Successful login occurred`、`Sign-in activity` → `Failed login...
`properties.activity`	`security_result.summary`	直接對應
`properties.activityDisplayName`	`security_result.summary`	直接對應
`properties.result`	`security_result.summary`	直接對應
`properties_status_errorCode`	`security_result.summary`	已對應：`0` → `Successful login occurred`
`record_properties_status_errorCode`	`security_result.summary`	已對應：`0` → `Successful login occurred`
`record_resultType`	`security_result.summary`	已對應：`0` → `Successful login occurred`
`resultType`	`security_result.summary`	已對應：`0` → `Successful login occurred`
`TargetDomainName`	`target.administrative_domain`	直接對應
`ServiceName`	`target.application`	直接對應
`properties.appDisplayName`	`target.application`	直接對應
`record_AppDisplayName`	`target.application`	直接對應
`record_properties_appDisplayName`	`target.application`	直接對應
`record_AppId`	`target.asset.asset_id`	直接對應
`modified_property_label`	`target.asset.attribute.labels`	已合併
`target_displayName_label`	`target.asset.attribute.labels`	已合併
`target_label`	`target.asset.attribute.labels`	已合併
`target_type`	`target.asset.attribute.labels`	已對應：`Device` → `target_displayName_label`、`Device` → `target_label`、`Device` → `modifi...
`WorkstationName`	`target.asset.hostname`	直接對應
`authenticationDetail.value`	`target.asset.hostname`	直接對應
`ClientIP`	`target.asset.ip`	已合併
`modifiedProperty.newValue`	`target.group.group_display_name`	直接對應
`modifiedProperty.newValue`	`target.group.product_object_id`	直接對應
`properties.targetResources.modifiedProperties.0.newValue`	`target.group.product_object_id`	直接對應
`WorkstationName`	`target.hostname`	直接對應
`authenticationDetail.value`	`target.hostname`	直接對應
`ClientIP`	`target.ip`	已合併
`ip`	`target.ip`	已合併
`properties_regionScope`	`target.location.country_or_region`	直接對應
`record_properties_UDI_RequiredFields_RegionScope`	`target.location.country_or_region`	直接對應
`record_properties_location`	`target.location.name`	直接對應
`ProcessName`	`target.process.file.full_path`	直接對應
`LogonProcessName`	`target.process.file.names`	已合併
`ProcessId`	`target.process.pid`	直接對應
`__UDI_RequiredFields_EventTime`	`target.resource.attribute.labels`	已合併
`__UDI_RequiredFields_TenantId`	`target.resource.attribute.labels`	已合併
`__UDI_RequiredFields_UniqueId`	`target.resource.attribute.labels`	已合併
`_label`	`target.resource.attribute.labels`	已合併
`add_label`	`target.resource.attribute.labels`	已合併
`additional_homeTenantId`	`target.resource.attribute.labels`	已合併
`additional_resourceServicePrincipalId`	`target.resource.attribute.labels`	已合併
`app_owner_tenant_id_label`	`target.resource.attribute.labels`	已合併
`conditionalAccessStatus`	`target.resource.attribute.labels`	已合併
`detection_TargetContextId`	`target.resource.attribute.labels`	已合併
`handleId`	`target.resource.attribute.labels`	已合併
`homeTenantId_label`	`target.resource.attribute.labels`	已合併
`homeTenantName_label`	`target.resource.attribute.labels`	已合併
`home_tenant_id_label`	`target.resource.attribute.labels`	已合併
`home_tenant_name_label`	`target.resource.attribute.labels`	已合併
`internal_workspace_label`	`target.resource.attribute.labels`	已合併
`item_id_label`	`target.resource.attribute.labels`	已合併
`label`	`target.resource.attribute.labels`	已合併
`lmPackageNameLabel_label`	`target.resource.attribute.labels`	已合併
`modified_property_label`	`target.resource.attribute.labels`	已合併
`objectServer`	`target.resource.attribute.labels`	已合併
`old_label`	`target.resource.attribute.labels`	已合併
`operationId_label`	`target.resource.attribute.labels`	已合併
`operationName`	`target.resource.attribute.labels`	已對應：`Add member to group` → `add_label`
`operationType_label`	`target.resource.attribute.labels`	已合併
`properties_resourceTenantId_label`	`target.resource.attribute.labels`	已合併
`record_properties_appId_label`	`target.resource.attribute.labels`	已合併
`requestId_label`	`target.resource.attribute.labels`	已合併
`resourceOwnerTenantId_label`	`target.resource.attribute.labels`	已合併
`resource_display_name_label`	`target.resource.attribute.labels`	已合併
`resource_group_label`	`target.resource.attribute.labels`	已合併
`resource_id_label`	`target.resource.attribute.labels`	已合併
`resource_identity_label`	`target.resource.attribute.labels`	已合併
`resource_label`	`target.resource.attribute.labels`	已合併
`resource_owner_tenant_id_label`	`target.resource.attribute.labels`	已合併
`resource_service_principal_id_label`	`target.resource.attribute.labels`	已合併
`resource_tenant_id_label`	`target.resource.attribute.labels`	已合併
`resultSignature_label`	`target.resource.attribute.labels`	已合併
`resultSignature_label1`	`target.resource.attribute.labels`	已合併
`service_principal_id_label`	`target.resource.attribute.labels`	已合併
`source_label`	`target.resource.attribute.labels`	已合併
`target_displayName_label`	`target.resource.attribute.labels`	已合併
`target_label`	`target.resource.attribute.labels`	已合併
`target_logon_id_label`	`target.resource.attribute.labels`	已合併
`target_type_label`	`target.resource.attribute.labels`	已合併
`temp_resourceId`	`target.resource.attribute.labels`	已合併
`tenant_id_label`	`target.resource.attribute.labels`	已合併
`tokenIssuerType_label`	`target.resource.attribute.labels`	已合併
`uniqueTokenIdentifier_label`	`target.resource.attribute.labels`	已合併
`user_type_label`	`target.resource.attribute.labels`	已合併
`ObjectName`	`target.resource.name`	直接對應
`properties.SignInBondData.DisplayDetails.ResourceDisplayName`	`target.resource.name`	直接對應
`properties.resourceDisplayName`	`target.resource.name`	已重新命名/對應
`resourceDisplayName`	`target.resource.name`	已重新命名/對應
`field.newValue`	`target.resource.product_object_id`	直接對應
`record_resourceId`	`target.resource.product_object_id`	直接對應
`resourceId`	`target.resource.product_object_id`	直接對應
`ObjectType`	`target.resource.resource_subtype`	直接對應
`target.type`	`target.resource.type`	直接對應
`%{ServiceSid}`	`target.resource.user.windows_sid`	已合併
`record_properties_identityProvider`	`target.url`	直接對應
`value`	`target.url`	直接對應
`modified_property_label`	`target.user.attribute.labels`	已合併
`target_label`	`target.user.attribute.labels`	已合併
`target_type`	`target.user.attribute.labels`	已對應：`User` → `target_label`、`User` → `modified_property_label`
`user_display_name_label`	`target.user.attribute.labels`	已合併
`record_properties_userPrincipalName`	`target.user.email_addresses`	已對應：`^.+@.+$` → `record_properties_userPrincipalName`
`target_displayName`	`target.user.email_addresses`	已對應：`^.+@.+$` → `target_displayName`
`target_userPrincipalName`	`target.user.email_addresses`	已對應：`^.+@.+$` → `target_userPrincipalName`
`userPrincipalName`	`target.user.email_addresses`	已對應：`^.+@.+$` → `userPrincipalName`
`groupInfo`	`target.user.group_identifiers`	已合併
`operationName`	`target.user.group_identifiers`	已對應：`Add member to group` → `groupInfo`
`properties.servicePrincipalId`	`target.user.product_object_id`	直接對應
`properties.targetResources.0.id`	`target.user.product_object_id`	直接對應
`properties.userId`	`target.user.product_object_id`	直接對應
`record_properties_userId`	`target.user.product_object_id`	直接對應
`userId`	`target.user.product_object_id`	直接對應
`record_Identity`	`target.user.user_display_name`	直接對應
`record_identity`	`target.user.user_display_name`	直接對應
`targetUser`	`target.user.user_display_name`	直接對應
`target_displayName`	`target.user.user_display_name`	直接對應
`target_userPrincipalName`	`target.user.user_display_name`	直接對應
`TargetUserName`	`target.user.userid`	直接對應
`properties.alternateSignInName`	`target.user.userid`	直接對應
`properties.servicePrincipalName`	`target.user.userid`	直接對應
`properties.userId`	`target.user.userid`	直接對應
`properties.userPrincipalName`	`target.user.userid`	直接對應
`record_AlternateSignInName`	`target.user.userid`	直接對應
`signInIdentifier`	`target.user.userid`	直接對應
`userPrincipalName`	`target.user.userid`	直接對應
`TargetSid`	`target.user.windows_sid`	直接對應
`TargetUserSid`	`target.user.windows_sid`	直接對應
不適用	`extensions.auth.type`	常數：`AUTHTYPE_UNSPECIFIED`
不適用	`metadata.event_type`	常數：`STATUS_UPDATE`
不適用	`metadata.product_name`	常數：`Azure AD`
不適用	`metadata.vendor_name`	常數：`Microsoft`
不適用	`network.http.parsed_user_agent`	常數：`parseduseragent`
不適用	`principal.platform`	常數：`WINDOWS`
不適用	`security_result.description`	常數：`Group membership modified`
不適用	`security_result.priority`	常數：`MEDIUM_PRIORITY`
不適用	`security_result.severity`	常數：`INFORMATIONAL`
不適用	`security_result.summary`	常數：`Successful login occurred`

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。