收集 Microsoft Entra ID 登入記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何設定 Google Security Operations 資訊提供，以收集 Microsoft Entra ID (原稱「Azure Active Directory」) 登入記錄。您可以透過兩種方法設定擷取作業：Azure Event Hub (建議做法) 或第三方 API。

注意： 擷取標籤會識別剖析器，該剖析器會將原始記錄資料正規化為結構化 UDM 格式。本文資訊適用於具有 AZURE_AD 擷取標籤的剖析器。

事前準備

請確認您符合下列必要條件：

• Google SecOps 執行個體
• Microsoft Azure 入口網站的特殊存取權
• Microsoft Entra ID 中的安全性管理員或全域管理員角色 (診斷設定的必要條件)
• 如果是第三方 API 方法，則必須具備下列其中一個角色，才能授予管理員同意聲明：
  • 全域管理員：可授予任何 API 的任何權限
  • 具備特殊權限的角色管理員：可為任何 API 授予任何權限的同意聲明
  • Cloud 應用程式管理員：可為任何 API 授予任何權限的同意聲明，但 Microsoft Graph 應用程式角色 (應用程式權限) 除外

注意： 如要使用 Microsoft Graph 應用程式權限 (用於 API 方法)，您需要「全域管理員」或「特殊權限角色管理員」角色。

方法 1：Azure 事件中樞 (建議)

這個方法會使用診斷設定，透過 Azure 事件中樞串流 Microsoft Entra ID 登入記錄。Google SecOps 會使用 Azure 事件中樞動態饋給類型，直接從事件中樞擷取記錄。

注意： 相較於第三方 API 方法，這個方法可近乎即時地傳送記錄。

建立 Event Hub 命名空間

Event Hub 命名空間是一或多個 Event Hub 的管理容器。

1. 在 Azure 入口網站中，搜尋 Event Hubs。
2. 點選「+ 建立」。

3. 提供下列設定詳細資料：

   設定	值
   訂閱項目	選取 Azure 訂閱方案
   資源群組	選取現有項目或建立新項目
   命名空間名稱	輸入不重複的名稱 (例如 secops-entraid-signin)
   位置	選取最靠近 Microsoft Entra 租戶的區域
   定價級別	標準 (建議用於正式環境)
   處理量單位	從 1 開始，啟用自動增加 (建議)

4. 按一下「Review + create」。

5. 查看總覽，然後按一下「建立」。

6. 等待部署作業完成 (1 至 2 分鐘)。

   注意： 處理量單位會決定命名空間容量。一個處理量單位允許 1 MBps 輸入和 2 MBps 輸出。啟用「自動擴充」，在流量增加時自動擴充。

建立事件中樞

1. 部署命名空間後，請前往 Event Hub 命名空間。
2. 在左側導覽面板中，選取「實體」下方的「事件中樞」。
3. 按一下「+ Event Hub」(+ 事件中樞)。

4. 提供下列設定詳細資料：

   設定	值
   名稱	輸入不重複的名稱 (例如 entraid-signin-logs)
   分區數量	40 (建議使用此值，以利 Google SecOps 達到最佳擴充效果)
   訊息保留	7 天 (建議至少 7 天)
   擷取	已停用 (Google SecOps 不需要)

5. 點選「建立」。

   注意： 建議 Google SecOps 動態消息的分割區計數為 40，以獲得最佳擴充效果。這項設定建立後即無法變更，因此請務必在初始設定時正確設定。

取得事件中樞連線字串

Google SecOps 需要連線字串，才能向事件中樞驗證。

做法 A：命名空間層級連線字串 (建議)

1. 前往 Event Hub 命名空間。
2. 在左側導覽中，選取「設定」下方的「共用存取權政策」。
3. 按一下預設政策「RootManageSharedAccessKey」RootManageSharedAccessKey。
4. 複製「連線字串 - 主鍵」。
5. 請妥善儲存這個連線字串。

重要事項： 使用命名空間層級的連線字串時，請務必先移除 EntityPath 參數，再提供給 Google SecOps。

• 範例：

  Original: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=entraid-signin-logs
  
  Remove EntityPath: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==
  

做法 B：事件中心層級連線字串

1. 前往「事件中樞」 (而非命名空間)。
2. 在左側導覽中，選取「設定」下方的「共用存取權政策」。
3. 按一下「+ 新增」建立新政策。
4. 請提供下列設定詳細資料：
   • 政策名稱：輸入描述性名稱 (例如 chronicle-read)
   • 權限：選取「僅限收聽」 (唯讀存取權)
5. 點選「建立」。
6. 點選新建立的政策。
7. 複製「連線字串 - 主鍵」。

8. 請妥善儲存這個連線字串。

   注意： 事件中樞層級的連線字串已包含 EntityPath 參數，因此不需修改。

設定 Microsoft Entra ID 診斷設定

1. 以至少安全性管理員身分登入 Microsoft Entra 系統管理中心。
2. 依序前往「Entra ID」>「監控與健康狀態」>「診斷設定」。
3. 按一下「+ 新增診斷設定」。

4. 提供下列設定詳細資料：

   • 診斷設定名稱：輸入描述性名稱 (例如 signin-logs-to-eventhub)。

   • 在「記錄」部分，選取要匯出的登入記錄類別：

     • SignInLogs：互動式使用者登入。
     • NonInteractiveUserSignInLogs - 非互動式使用者登入 (建議)。
     • ServicePrincipalSignInLogs - 服務主體登入 (選用)。
     • ManagedIdentitySignInLogs：受管理的身分登入 (選用)。
     • ADFSSignInLogs：AD FS 登入記錄 (選用，如果使用 AD FS)。
     • RiskyUsers：Microsoft Entra ID Protection 標記為有風險的使用者 (選用)。
     • UserRiskEvents - 具風險的登入事件詳細資料 (選用)。
     注意： 如需這些登入類型，請選取「NonInteractiveUserSignInLogs」、「ServicePrincipalSignInLogs」和「ManagedIdentitySignInLogs」。這些是方法 2 無法收集的類別。規劃容量：Microsoft 表示，非互動式使用者和服務主體登入次數，可能是互動式登入次數的五到十倍。

   • 在「目的地詳細資料」部分，選取「串流至事件中樞」。

   • 「Subscription」(訂閱項目)：選取包含 Event Hub 命名空間的訂閱項目。

   • 事件中樞命名空間：選取您建立的命名空間 (例如 secops-entraid-signin)。

   • 事件中樞名稱：選取您建立的事件中樞 (例如 entraid-signin-logs)。

   • 事件中心政策名稱：選取「RootManageSharedAccessKey」。

5. 按一下 [儲存]。

   注意： Microsoft 表示，建立診斷設定後，最多需要三天，記錄才會開始顯示在目的地。資料通常會更快送達，但請勿將第一天的空白事件中樞視為設定錯誤。您也可以在「稽核記錄」或「登入」頁面中選取「匯出設定」，前往診斷設定。

(選用) 設定 Azure Blob 儲存體以進行檢查點作業

Google SecOps 可使用 Azure Blob 儲存體儲存事件中樞檢查點，追蹤已處理的事件。如果動態饋給暫時中斷，這項設定可避免重複擷取。

建立用於檢查點的儲存空間帳戶

1. 在 Azure 入口網站中，搜尋「儲存體帳戶」。
2. 點選「+ 建立」。

3. 提供下列設定詳細資料：

   設定	值
   訂閱項目	選取 Azure 訂閱方案
   資源群組	使用與事件中心相同的資源群組
   儲存空間帳戶名稱	輸入不重複的名稱 (例如 secopsaadsignin)
   區域	與事件中樞相同的區域
   效能	標準
   備援	LRS (本機備援儲存空間)

4. 按一下「Review + create」。

5. 點選「建立」。

建立 Blob 容器

1. 前往您建立的儲存空間帳戶。
2. 在左側導覽中，選取「資料儲存」下方的「容器」。
3. 按一下「+ 容器」。
4. 請提供下列設定詳細資料：
   • 名稱：輸入 checkpoints
   • 公開存取層級：私人 (不允許匿名存取)
5. 點選「建立」。

取得儲存空間帳戶憑證

1. 在儲存體帳戶中，選取「Security + networking」底下的「Access keys」。
2. 按一下「顯示金鑰」。
3. 複製並儲存：
   • 儲存空間帳戶名稱：儲存空間帳戶的名稱。
   • 金鑰 1：存取金鑰值。

(選用) 建立專屬消費者群組

根據預設，事件中樞會提供名為 $Default 的取用者群組。在正式環境中，建議為 Google SecOps 建立專屬的消費者群組。

1. 前往「事件中樞」 (而非命名空間)。
2. 在左側導覽列中，選取「Entities」下方的「Consumer groups」。
3. 按一下「+ 消費者群組」。
4. 請提供下列設定詳細資料：
   • 名稱：輸入描述性名稱 (例如 chronicle)

5. 點選「建立」。

   注意： 如果建立專屬消費者群組，在 Google SecOps 建立動態饋給時，必須指定該群組。否則，請使用預設的 $Default 消費者群組。

在 Google SecOps 中設定動態饋給，以便擷取 Microsoft Entra ID 登入記錄

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Microsoft Entra ID Sign-In Logs - Event Hub)。
5. 在「Source type」(來源類型) 中選取「Microsoft Azure Event Hub」。
6. 選取「Microsoft Azure AD」做為「記錄類型」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • 事件中樞連接字串：輸入先前擷取的事件中樞連接字串。

     如果使用命名空間層級的連線字串：

     • 請確認您已移除 EntityPath 參數。
     • 您也必須在下一個欄位中提供「事件中樞名稱」。

     如果使用事件中心層級的連線字串：

     • 請照常使用連線字串 (包括 EntityPath)。

     • 「事件中樞名稱」欄位可以留空。

     • 事件中樞名稱：輸入事件中樞名稱 (例如 entraid-signin-logs)。

     如果使用命名空間層級的連線字串，則為必填。如果使用事件中樞層級的連線字串，則為選用屬性。

     • 用戶群組 (選用)：輸入用戶群組名稱。
     • 留空即可使用預設的$Default消費者群組。

     • 如果您建立了專屬的消費者群組，請輸入該群組的名稱 (例如 chronicle)。

     • Blob 儲存體容器名稱 (選用)：如要檢查點，請輸入容器名稱 (例如 checkpoints)。

     如果提供 Blob 儲存空間做為檢查點：

     • Azure 儲存體帳戶名稱：輸入檢查點設定中的儲存體帳戶名稱。

     • Azure 儲存體帳戶金鑰：輸入檢查點設定中的存取金鑰。

     • 資產命名空間：資產命名空間。

     • 擷取標籤：要套用至這個動態饋給事件的標籤。

9. 點選「下一步」。

10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

    注意： 建立動態饋給後，可能需要 1 到 2 分鐘，Google SecOps 才會開始顯示事件。

方法 2：第三方 API

這個方法會使用 Microsoft Graph API，直接從 Microsoft 租戶擷取 Microsoft Entra ID 登入記錄。

重要事項： 這個方法只會收集互動式和成功的聯盟登入作業。graph.microsoft.com/v1.0/auditLogs/signIns 不會傳回非互動式使用者、服務主體和受管理身分登入資訊，也無法要求這些資訊。選取這些類別的 signInEventTypes 屬性只存在於 Microsoft Graph 的 Beta 版，而非 v1.0 版。如要擷取這些登入類型，請使用方法 1：Azure 事件中樞或 Microsoft Azure Blob 儲存體 V2，並在 Microsoft Entra ID 診斷設定中選取 NonInteractiveUserSignInLogs、ServicePrincipalSignInLogs 和 ManagedIdentitySignInLogs 類別。

注意： Google SecOps 必須將從第三方 API 擷取的記錄類型加入許可清單。請參閱「IP 許可清單」。實際上，這適用於資料來源強制執行 IP 限制的情況：如果動態饋給傳回 403 錯誤，請檢查資料來源是否已啟用許可清單，並新增範圍。請注意，發布的清單是 Google 整體清單 goog.json，而非 Google SecOps 輸出清單，且 Google SecOps 無法保證動態饋給來自特定區域。如要將存取權限制在更小的範圍內，請開立支援單。

設定 IP 許可清單

Google SecOps 必須將從第三方 API 擷取的記錄類型加入允許清單，因此請先在 Microsoft Azure 網路設定或條件存取政策中新增 Google IP 範圍，再建立資訊提供。如果資料來源強制執行 IP 限制，這點就非常重要。如果動態饋給傳回 403 錯誤，請確認已啟用允許清單。請注意，發布的清單是所有 Google goog.json，而非 Google SecOps 輸出清單，且 Google SecOps 無法保證動態饋給來自特定區域的地址。如要限制較小範圍的存取權，請提交支援單。

取得 Google SecOps IP 範圍

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 請注意動態饋給建立介面中顯示的 IP 範圍。
4. 或者，您也可以使用 Feed Management API，以程式輔助方式擷取 IP 範圍。

設定 Workload Identity 的條件式存取權 (如有需要)

如果貴組織使用條件式存取政策，限制特定位置的使用者存取資源：

1. 在 Microsoft Entra 系統管理中心，依序前往「Protection」(保護) >「Conditional Access」(條件式存取) >「Named locations」(具名位置)。
2. 按一下「+ 新增位置」。
3. 提供下列設定詳細資料：
   • 「Name」(名稱)：輸入 Google SecOps IP Ranges。
   • 標示為信任地點：選用，視安全性政策而定。
   • IP 範圍：以 CIDR 標記法新增每個 Google SecOps IP 範圍。
4. 點選「建立」。
5. 依序前往「條件式存取」>「原則」。
6. 如要為工作負載身分套用任何政策，請為名為 Google SecOps IP Ranges 的位置或特定服務主體設定排除條件。

設定 Microsoft Entra ID API 存取權

建立應用程式註冊

1. 登入 Microsoft Entra 系統管理中心或 Azure 入口網站。
2. 依序前往「身分識別」>「應用程式」>「應用程式註冊」。
3. 按一下 [新增註冊]。

4. 提供下列設定詳細資料：

   • 名稱：輸入描述性名稱 (例如 Google SecOps Sign-In Logs Integration)。
   • 支援的帳戶類型：選取「Accounts in this organizational directory only (Single tenant)」。
   注意： 第三方 API 整合應選擇單一租戶。Google SecOps 只會存取特定 Microsoft Entra 租戶的登入記錄。只有在代管服務供應商情境中，需要存取多個租戶的記錄檔時，才應選擇多租戶。
   • 重新導向 URI：留空 (服務主體驗證不需要)。

5. 按一下「註冊」。

6. 註冊完成後，請複製並儲存下列值：

   • 應用程式 (用戶端) ID
   • 目錄 (租戶) ID

設定 API 權限

整合功能需要下列 Microsoft Graph 應用程式權限：

1. 在應用程式註冊中，前往「API permissions」。
2. 按一下「新增權限」。
3. 依序選取 「Microsoft Graph」 > 「Application permissions」。
4. 選取下列權限：
   • AuditLog.Read.All：讀取登入記錄時必須具備這項權限。
   • Directory.Read.All：Microsoft Graph API 需要這項權限，才能存取登入記錄 (已知問題)。
   • SecurityEvents.Read.All：Google SecOps 必須具備這項權限。
5. 選用：如要一併擷取每次登入時套用的條件式存取政策，請新增條件式存取讀取權限：
   • Policy.Read.ConditionalAccess：建議 (最小權限)。允許動態饋給在每筆登入記錄中填入 appliedConditionalAccessPolicies 欄位。
6. 按一下「Add permissions」。
7. 按一下「Grant admin consent for [Your Organization]」。
8. 確認「狀態」欄中，您新增的每項權限都顯示「已授予『[您的機構]』」。

注意： 如果「授予管理員同意」按鈕已停用，請確認您具備「全域管理員」或「具備權限的角色管理員」角色。Cloud 應用程式管理員和應用程式管理員角色無法授予 Microsoft Graph 應用程式權限的同意聲明。

注意： Policy.Read.ConditionalAccess 為選用權限。如果沒有條件式存取讀取權限，Microsoft Graph 會從每筆登入記錄中省略 appliedConditionalAccessPolicies 屬性 (登入記錄仍會單獨與 AuditLog.Read.All 一起傳送)。如要查看每次登入時評估的條件式存取政策，並在 Google Security Operations 中建立條件式存取差距偵測用途，請授予這項權限。如果貴組織偏好更廣泛的範圍，Policy.Read.All 或 Policy.ReadWrite.ConditionalAccess 也符合要求。

權限	類型	說明
AuditLog.Read.All	應用程式	讀取所有登入和稽核記錄資料
Directory.Read.All	應用程式	讀取目錄資料 (API 存取權的必要條件)
SecurityEvents.Read.All	應用程式	讀取安全性事件
Policy.Read.ConditionalAccess	應用程式	選用。讀取條件式存取政策，以便在登入記錄中加入 appliedConditionalAccessPolicies

建立用戶端密鑰

1. 前往「Certificates & secrets」。
2. 按一下「New client secret」(新增用戶端密鑰)。

3. 提供下列設定詳細資料：

   • 說明：輸入描述性名稱 (例如 Google SecOps Feed)。
   • 到期：選取到期時間。
   注意： Microsoft 建議將有效期限值設為少於 12 個月。最長為 24 個月。為提高安全性，建議使用憑證或聯合身分憑證，而非用戶端密鑰。請參閱「從以密碼為基礎的驗證機制遷移應用程式」。

4. 按一下「新增」。

5. 重要事項：請立即複製用戶端密鑰值。這個值只會顯示一次，之後便無法擷取。

建立動態消息前，請先驗證 API 存取權

建立 Google SecOps 資訊提供前，請先確認服務主體可以順利驗證及存取 Microsoft Graph API。

• 使用 PowerShell 測試驗證

  # Replace with your actual values
  $tenantId = "your-tenant-id"
  $clientId = "your-client-id"
  $clientSecret = "your-client-secret"
  
  # Token request parameters (must be lowercase)
  $tokenBody = @{
      grant_type    = "client_credentials"
      client_id     = $clientId
      client_secret = $clientSecret
      scope         = "https://graph.microsoft.com/.default"
  }
  
  # Request access token
  $tokenEndpoint = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
  $tokenResponse = Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $tokenBody -ContentType "application/x-www-form-urlencoded"
  
  if ($tokenResponse.access_token) {
      Write-Host "✓ Successfully obtained access token" -ForegroundColor Green
  
      # Test API call to sign-ins endpoint
      $apiUrl = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$top=1"
      $headers = @{
          Authorization = "Bearer $($tokenResponse.access_token)"
      }
  
      try {
          $signInResponse = Invoke-RestMethod -Method Get -Uri $apiUrl -Headers $headers
          Write-Host "✓ Successfully accessed sign-ins API" -ForegroundColor Green
          Write-Host "Sample sign-in log retrieved successfully" -ForegroundColor Green
      }
      catch {
          Write-Host "✗ Failed to access sign-ins API" -ForegroundColor Red
          Write-Host "Error: $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  else {
      Write-Host "✗ Failed to obtain access token" -ForegroundColor Red
  }
  

• 預期輸出內容：

  ✓ Successfully obtained access token
  ✓ Successfully accessed sign-ins API
  Sample sign-in log retrieved successfully
  

• 使用 curl 測試驗證

  # Replace with your actual values
  TENANT_ID="your-tenant-id"
  CLIENT_ID="your-client-id"
  CLIENT_SECRET="your-client-secret"
  
  # Request access token
  curl -X POST "https://login.microsoftonline.com/$TENANT_ID/oauth2/v2.0/token" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "grant_type=client_credentials" \
    -d "client_id=$CLIENT_ID" \
    -d "client_secret=$CLIENT_SECRET" \
    -d "scope=https://graph.microsoft.com/.default"
  
  # Test API access
  curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
    "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$top=1"
  

在 Google SecOps 中設定動態饋給，以便擷取 Microsoft Entra ID 登入記錄

設定動態饋給

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Microsoft Entra ID Sign-In Logs)。
5. 選取「第三方 API」做為「來源類型」。
6. 選取「Microsoft Azure AD」做為「記錄類型」。
7. 點選「下一步」。

設定動態饋給參數

1. 指定下列輸入參數的值：

   • OAuth 用戶端 ID：應用程式註冊時取得的應用程式 (用戶端) ID。
   • OAuth 用戶端密鑰：您稍早複製的用戶端密鑰值。
   • 用戶群 ID：應用程式註冊時取得的 Microsoft 用戶群 ID (UUID 格式，例如 0fc279f9-fe30-41be-97d3-abe1d7681418)。

   • API 完整路徑：Microsoft Graph REST API 端點網址：

     graph.microsoft.com/v1.0/auditLogs/signIns
     

     注意： 請勿加入 https:// 前置字元。動態饋給會自動新增通訊協定。

   • API 驗證端點：Microsoft Active Directory 驗證端點：

     login.microsoftonline.com
     

     注意： 請勿加入 https:// 前置字元或 /oauth2/v2.0/token 路徑。動態饋給會使用您的租戶 ID 自動建構完整的驗證網址。

   進階選項：

   • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
   • 來源類型：第三方 API (將記錄收集到 Google SecOps 的機制)。
   • 資產命名空間：動態饋給將與這個資產命名空間建立關聯。
   • 擷取標籤：系統會為這個動態饋給的所有事件加上標籤。

2. 點選「下一步」。

3. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

   注意： 建立動態消息後，記錄可能需要 5 到 10 分鐘才會顯示在 Google SecOps 中。

地區端點

如要在 Sovereign Cloud 部署 Microsoft Entra ID，請使用適當的區域端點：

雲端環境	API 完整路徑	API 驗證端點
全球	graph.microsoft.com/v1.0/auditLogs/signIns	login.microsoftonline.com
美國政府 L4	graph.microsoft.us/v1.0/auditLogs/signIns	login.microsoftonline.us
美國政府 L5 (國防部)	dod-graph.microsoft.us/v1.0/auditLogs/signIns	login.microsoftonline.us
中國 (21Vianet)	microsoftgraph.chinacloudapi.cn/v1.0/auditLogs/signIns	login.chinacloudapi.cn

注意： Google SecOps 文件僅將 API 主機名稱記錄為可選用的覆寫項目 (採用商業預設值)，且未記錄主權雲端主機的支援情形。Azure Blob Storage 和 Event Hub 饋給類型指出不支援主權雲端。請先向支援團隊確認，再使用這裡的主權端點。

UDM 對應表

記錄欄位	UDM 對應	邏輯
CertSerialNumber	about.artifact.last_https_certificate.serial_number	直接對應
modifiedProperty.newValue	about.location.city	直接對應
modifiedProperty.newValue	about.location.country_or_region	直接對應
modifiedProperty.newValue	about.location.state	直接對應
modifiedProperty.newValue	about.user.department	已合併
modifiedProperty.newValue	about.user.email_addresses	已合併
modifiedProperty.newValue	about.user.first_name	直接對應
modifiedProperty.newValue	about.user.last_name	直接對應
modifiedProperty.newValue	about.user.phone_numbers	已合併
modifiedProperty.newValue	about.user.product_object_id	直接對應
modifiedProperty.newValue	about.user.title	直接對應
modifiedProperty.newValue	about.user.user_display_name	直接對應
modifiedProperty.newValue	about.user.userid	直接對應
C_DeviceId_label	additional.fields	已合併
C_Iat_label	additional.fields	已合併
C_Idtyp_label	additional.fields	已合併
C_Sid_label	additional.fields	已合併
CorrelationId_label	additional.fields	已合併
CrossTenantAccessType_label	additional.fields	已合併
ImpersonationLevel_label	additional.fields	已合併
KeyLength_label	additional.fields	已合併
aadtenant_label	additional.fields	已合併
additionalDetails_label	additional.fields	已合併
additional_crossTenantAccessType	additional.fields	已合併
additional_detail_label	additional.fields	已合併
additional_detectedDateTime	additional.fields	已合併
additional_detectionTimingType	additional.fields	已合併
additional_durationMs	additional.fields	已合併
additional_fields	additional.fields	已合併
additional_isDeleted	additional.fields	已合併
additional_isGuest	additional.fields	已合併
additional_isProcessing	additional.fields	已合併
additional_lastUpdatedDateTime	additional.fields	已合併
additional_resultSignature	additional.fields	已合併
additional_source	additional.fields	已合併
additional_tokenIssuerName	additional.fields	已合併
additional_tokenIssuerType	additional.fields	已合併
additional_userType	additional.fields	已合併
altitude_loc	additional.fields	已合併
appServicePrincipalId_label	additional.fields	已合併
atContentH_label	additional.fields	已合併
atContentP_label	additional.fields	已合併
auth_detail_label	additional.fields	已合併
auth_id_label	additional.fields	已合併
authentication	additional.fields	已合併
authenticationDetail_label	additional.fields	已合併
authenticationProtocol_label	additional.fields	已合併
authentication_app_device_details_label	additional.fields	已合併
authentication_requirement_label	additional.fields	已合併
auto_label	additional.fields	已合併
autonomousSystemNumber_label	additional.fields	已合併
cert_issuer_name_label	additional.fields	已合併
cert_thumbprint_label	additional.fields	已合併
clientCredentialType_label	additional.fields	已合併
client_credential_type	additional.fields	已合併
client_credential_type_label	additional.fields	已合併
conditionalAccessStatus_label	additional.fields	已合併
cribl_pipe_label	additional.fields	已合併
crossTenantAccessType_label	additional.fields	已合併
cross_tenant_access_type_label	additional.fields	已合併
domain_hint_present_label	additional.fields	已合併
durationMs_label	additional.fields	已合併
error_number_label	additional.fields	已合併
federated_credential_id_label	additional.fields	已合併
flaggedForReview_label	additional.fields	已合併
flagged_for_review_label	additional.fields	已合併
hometenant_label	additional.fields	已合併
incomingTokenType_label	additional.fields	已合併
incoming_token_type_label	additional.fields	已合併
isTenantRestricted_label	additional.fields	已合併
isThroughGlobalSecureAccess_label	additional.fields	已合併
is_interactive_label	additional.fields	已合併
is_tenant_restricted_label	additional.fields	已合併
latitude_label	additional.fields	已合併
login_hint_present_label	additional.fields	已合併
longitude_label	additional.fields	已合併
mfa_details_label	additional.fields	已合併
name_list	additional.fields	已合併
networkName_label	additional.fields	已合併
networkType_additional_fields	additional.fields	已合併
networkType_label	additional.fields	已合併
network_location_label	additional.fields	已合併
network_names_additional_fields	additional.fields	已合併
originalRequestId_label	additional.fields	已合併
originalTransferMethod_label	additional.fields	已合併
original_transfer_method_label	additional.fields	已合併
processing_time_in_milliseconds_label	additional.fields	已合併
properties_incomingTokenType	additional.fields	已合併
properties_isInteractive	additional.fields	已合併
properties_location_geoCoordinates_altitude	additional.fields	已合併
properties_processingTimeInMilliseconds	additional.fields	已合併
properties_rngcStatus	additional.fields	已合併
proxy_restriction_target_tenant_name_label	additional.fields	已合併
prp_networkType_additional_fields	additional.fields	已合併
prp_network_names_additional_fields	additional.fields	已合併
ram_recommended_action_label	additional.fields	已合併
ram_recommender_label	additional.fields	已合併
record_properties_id_label	additional.fields	已合併
resultReason_label	additional.fields	已合併
resultType_label	additional.fields	已合併
resultstatus_label	additional.fields	已合併
rngcStatus_label	additional.fields	已合併
service_principal_credential_key_id_label	additional.fields	已合併
service_principal_credential_thumbprint_label	additional.fields	已合併
service_principal_name_label	additional.fields	已合併
signInActivityId_label	additional.fields	已合併
signInSessionStatusCode_label	additional.fields	已合併
signInSessionStatus_label	additional.fields	已合併
signInTokenProtectionStatus_label	additional.fields	已合併
sign_in_identifier_type_label	additional.fields	已合併
sign_in_token_protection_status_label	additional.fields	已合併
ssoExtensionVersion_label	additional.fields	已合併
status_additionalDetails_label	additional.fields	已合併
tokenIssuedAt_label	additional.fields	已合併
tokenIssuerType_label	additional.fields	已合併
token_issuer_name_label	additional.fields	已合併
token_issuer_type_label	additional.fields	已合併
token_protection_status_details_label	additional.fields	已合併
token_protection_status_details_signInSessionStatus_label	additional.fields	已合併
type_list	additional.fields	已合併
uniqueTokenIdentifier_label	additional.fields	已合併
unique_token_identifier_label	additional.fields	已合併
userType_label	additional.fields	已合併
user_type_label	additional.fields	已合併
wids_label	additional.fields	已合併
workload_label	additional.fields	已合併
LogonType	extensions.auth.auth_details	直接對應
properties.SignInBondData.ProtocolDetails.AuthenticationMethodsUsed	extensions.auth.auth_details	直接對應
properties_clientAuthMethod	extensions.auth.auth_details	直接對應
record_properties_clientAuthMethod	extensions.auth.auth_details	直接對應
auth_mechanism	extensions.auth.mechanism	已合併
ext_mech	extensions.auth.mechanism	已合併
mechanism	extensions.auth.mechanism	已合併
operationName	extensions.auth.type	對應：Sign-in activity → SSO
record_operationName	extensions.auth.type	已對應：Sign-in activity → AUTHTYPE_UNSPECIFIED
category	metadata.description	直接對應
record_category	metadata.description	直接對應
CreationTime	metadata.event_timestamp	剖析為 yyyy-MM-ddTHH:mm:ss
activityDateTime	metadata.event_timestamp	已剖析為 ISO8601
date	metadata.event_timestamp	已剖析為 ISO8601
properties.activityDateTime	metadata.event_timestamp	剖析為 yyyy-MM-ddTHH:mm:ss.SSSZ
record_CreatedDateTime	metadata.event_timestamp	剖析為 ISO8601
record_time	metadata.event_timestamp	已剖析為 ISO8601
when	metadata.event_timestamp	剖析為 yyyy-MM-dd HH:mm:ss
category	metadata.event_type	已對應：(?i)AccountManagement → USER_CHANGE_PERMISSIONS
event_type	metadata.event_type	直接對應
has_principal	metadata.event_type	對應：true → STATUS_UPDATE
has_principal_user	metadata.event_type	對應：true → USER_UNCATEGORIZED
has_resource	metadata.event_type	已對應：true → USER_RESOURCE_ACCESS
has_target	metadata.event_type	對應：true → NETWORK_CONNECTION
has_target_user	metadata.event_type	對應：true → USER_LOGOUT、true → USER_CHANGE_PERMISSIONS、true → USER_LOGIN
record_tenantId	metadata.product_deployment_id	直接對應
tenantId	metadata.product_deployment_id	直接對應
Operation	metadata.product_event_type	直接對應
activityDisplayName	metadata.product_event_type	直接對應
operationName	metadata.product_event_type	直接對應
record_OperationName	metadata.product_event_type	直接對應
record_operationName	metadata.product_event_type	直接對應
type	metadata.product_event_type	直接對應
EventRecordID	metadata.product_log_id	直接對應
Id	metadata.product_log_id	直接對應
id	metadata.product_log_id	直接對應
properties.id	metadata.product_log_id	直接對應
record_Id	metadata.product_log_id	直接對應
record_correlationId	metadata.product_log_id	直接對應
Version	metadata.product_version	直接對應
operationVersion	metadata.product_version	直接對應
record_operationVersion	metadata.product_version	直接對應
properties.SignInBondData.ProtocolDetails.Protocol	network.application_protocol	直接對應
properties_requestMethod	network.http.method	直接對應
record_properties_requestMethod	network.http.method	直接對應
browser	network.http.parsed_user_agent	直接對應
deviceDetail.browser	network.http.parsed_user_agent	直接對應
properties.deviceDetail.browser	network.http.parsed_user_agent	直接對應
properties.userAgent	network.http.parsed_user_agent	直接對應
record_UserAgent	network.http.parsed_user_agent	直接對應
record_properties_userAgent	network.http.parsed_user_agent	直接對應
userAgent	network.http.parsed_user_agent	直接對應
user_agent	network.http.parsed_user_agent	直接對應
value	network.http.parsed_user_agent	直接對應
value1	network.http.parsed_user_agent	已重新命名/對應
properties_requestUri	network.http.referral_url	直接對應
record_properties_requestUri	network.http.referral_url	直接對應
properties_responseStatusCode	network.http.response_code	直接對應
record_properties_responseStatusCode	network.http.response_code	直接對應
browser	network.http.user_agent	直接對應
deviceDetail.browser	network.http.user_agent	直接對應
properties.deviceDetail.browser	network.http.user_agent	直接對應
properties.userAgent	network.http.user_agent	直接對應
record_UserAgent	network.http.user_agent	直接對應
record_properties_userAgent	network.http.user_agent	直接對應
userAgent	network.http.user_agent	直接對應
user_agent	network.http.user_agent	直接對應
value	network.http.user_agent	直接對應
value1	network.http.user_agent	直接對應
properties_responseSizeBytes	network.received_bytes	直接對應
record_properties_responseSizeBytes	network.received_bytes	直接對應
originalRequestId	network.session_id	直接對應
properties.originalRequestId	network.session_id	直接對應
properties.sessionId	network.session_id	直接對應
record_OriginalRequestId	network.session_id	直接對應
record_properties_sessionId	network.session_id	直接對應
sessionId	network.session_id	直接對應
value	network.session_id	直接對應
loggedByService	observer.application	直接對應
properties.loggedByService	observer.application	直接對應
SubjectDomainName	principal.administrative_domain	直接對應
domain	principal.administrative_domain	直接對應
initiatedBy_app_displayName	principal.application	直接對應
record_ClientAppUsed	principal.application	直接對應
deviceId	principal.asset.asset_id	直接對應
properties_deviceDetail_deviceId	principal.asset.asset_id	直接對應
record_DeviceDetail_deviceId	principal.asset.asset_id	直接對應
record_properties_C_DeviceId	principal.asset.asset_id	直接對應
record_properties_deviceDetail_deviceId	principal.asset.asset_id	直接對應
additional_fields	principal.asset.attribute.labels	已合併
device_trust_type_label	principal.asset.attribute.labels	已合併
isManaged_label	principal.asset.attribute.labels	已合併
is_managed_label	principal.asset.attribute.labels	已合併
trustType_label	principal.asset.attribute.labels	已合併
deviceDetail.displayName	principal.asset.hostname	直接對應
displayName	principal.asset.hostname	直接對應
properties.deviceDetail.displayName	principal.asset.hostname	直接對應
ActorIpAddress	principal.asset.ip	已合併
IpAddress	principal.asset.ip	已合併
SourceIpAddress	principal.asset.ip	已合併
initiatedBy.user.ipAddress	principal.asset.ip	已合併
principal_ip	principal.asset.ip	已合併
properties.initiatedBy.user.ipAddress	principal.asset.ip	已合併
properties_ip_address	principal.asset.ip	已合併
record.IPAddress	principal.asset.ip	已合併
record_callerIpAddress	principal.asset.ip	已合併
deviceId	principal.asset_id	直接對應
record_DeviceDetail_deviceId	principal.asset_id	直接對應
record_properties_deviceDetail_deviceId	principal.asset_id	直接對應
value	principal.asset_id	直接對應
deviceDetail.displayName	principal.hostname	直接對應
displayName	principal.hostname	直接對應
properties.deviceDetail.displayName	principal.hostname	直接對應
ActorIpAddress	principal.ip	已合併
IpAddress	principal.ip	已合併
SourceIpAddress	principal.ip	已合併
initiatedBy.user.ipAddress	principal.ip	已合併
principal_ip	principal.ip	已合併
properties.initiatedBy.user.ipAddress	principal.ip	已合併
properties_ip_address	principal.ip	已合併
record_IPAddress	principal.ip	已合併
record_callerIpAddress	principal.ip	已合併
location_city	principal.location.city	直接對應
record_properties_location_city	principal.location.city	直接對應
location_countryOrRegion	principal.location.country_or_region	直接對應
properties.tenantGeo	principal.location.country_or_region	直接對應
record_properties_location_countryOrRegion	principal.location.country_or_region	直接對應
location_name	principal.location.name	直接對應
record_location	principal.location.name	直接對應
location_geo_latitude	principal.location.region_coordinates.latitude	直接對應
record_LocationDetails_geoCoordinates_latitude	principal.location.region_coordinates.latitude	直接對應
record_properties_location_geoCoordinates_latitude	principal.location.region_coordinates.latitude	直接對應
location_geo_longitude	principal.location.region_coordinates.longitude	直接對應
record_LocationDetails_geoCoordinates_longitude	principal.location.region_coordinates.longitude	直接對應
record_properties_location_geoCoordinates_longitude	principal.location.region_coordinates.longitude	直接對應
location_state	principal.location.state	直接對應
record_properties_location_state	principal.location.state	直接對應
operatingSystem	principal.platform	對應：Win → WINDOWS、Mac → MAC、Lin → LINUX
properties_deviceDetail_operatingSystem	principal.platform	對應：Win → WINDOWS、Mac → MAC、Lin → LINUX
record_properties_deviceDetail_operatingSystem	principal.platform	對應：Win → WINDOWS、Mac → MAC、Lin → LINUX
operatingSystem	principal.platform_version	直接對應
properties_deviceDetail_operatingSystem	principal.platform_version	直接對應
record_properties_deviceDetail_operatingSystem	principal.platform_version	直接對應
IpPort	principal.port	直接對應
CallerProcessName	principal.process.file.full_path	直接對應
CallerProcessId	principal.process.pid	直接對應
actor_label	principal.resource.attribute.labels	已合併
actor_type_label	principal.resource.attribute.labels	已合併
autonomousSystemNumber_label	principal.resource.attribute.labels	已合併
autonomous_system_number_label	principal.resource.attribute.labels	已合併
clientRequestId_label	principal.resource.attribute.labels	已合併
displayName	principal.resource.attribute.labels	已對應：(?i)(iphone.*) → displayName_label
displayName_label	principal.resource.attribute.labels	已合併
ip_address_from_resource_provider_label	principal.resource.attribute.labels	已合併
properties_label	principal.resource.attribute.labels	已合併
subject_logon_id_label	principal.resource.attribute.labels	已合併
record_properties_resourceDisplayName	principal.resource.name	直接對應
ObjectId	principal.resource.product_object_id	直接對應
OrganizationId	principal.resource.product_object_id	直接對應
initializedBy_app_servicePrincipalId	principal.resource.product_object_id	直接對應
record_properties_UserPrincipalObjectID	principal.resource.product_object_id	直接對應
userType_label	principal.user.attribute.labels	已合併
user_key_label	principal.user.attribute.labels	已合併
role_to_merge	principal.user.attribute.roles	已合併
roles_to_merge	principal.user.attribute.roles	已合併
initiatedBy.user.userPrincipalName	principal.user.email_addresses	已合併
operationName	principal.user.email_addresses	對應：Add member to group → properties.initiatedBy.user.userPrincipalName
properties.SignInBondData.DisplayDetails.AttemptedUsername	principal.user.email_addresses	已合併
properties.initiatedBy.user.userPrincipalName	principal.user.email_addresses	已合併
record_UserPrincipalName	principal.user.email_addresses	已合併
mfaDetail.authDetail	principal.user.phone_numbers	已合併
properties.mfaDetail.authDetail	principal.user.phone_numbers	已合併
properties.appId	principal.user.product_object_id	直接對應
identity	principal.user.user_display_name	直接對應
initiatedBy.user.displayName	principal.user.user_display_name	直接對應
properties.initiatedBy.app.displayName	principal.user.user_display_name	直接對應
properties.initiatedBy.user.displayName	principal.user.user_display_name	直接對應
properties.userDisplayName	principal.user.user_display_name	已重新命名/對應
record_UserDisplayName	principal.user.user_display_name	直接對應
record_properties_deviceDetail_displayName	principal.user.user_display_name	直接對應
userDisplayName	principal.user.user_display_name	直接對應
value	principal.user.user_display_name	直接對應
SubjectUserName	principal.user.userid	直接對應
UserId	principal.user.userid	直接對應
first_user_id	principal.user.userid	直接對應
initiatedBy.user.id	principal.user.userid	直接對應
properties.initiatedBy.user.userPrincipalName	principal.user.userid	直接對應
properties.userPrincipalName	principal.user.userid	直接對應
record_SignInIdentifier	principal.user.userid	直接對應
record_UserId	principal.user.userid	直接對應
record_properties_servicePrincipalId	principal.user.userid	直接對應
SubjectUserSid	principal.user.windows_sid	直接對應
properties.initiatedBy.user.id	principal.user.windows_sid	直接對應
auth_sec_res	security_result	已合併
sec_res	security_result	已合併
sr_result	security_result	已合併
AuthenticationPackageName	security_result.about.resource.name	直接對應
action	security_result.action	已合併
errorCode	security_result.action	已對應：0 → action
operationName	security_result.action	對應：Sign-in activity → action，Add member to group → action
properties_status_errorCode	security_result.action	已對應：0 → action
record_properties_status_errorCode	security_result.action	對應：0 → action
record_resultType	security_result.action	對應：0 → action
result	security_result.action	已對應：success → action
resultType	security_result.action	已對應：0 → action
operationType	security_result.action_details	直接對應
properties.result	security_result.action_details	直接對應
Category	security_result.category	已合併
operationName	security_result.category	已對應：Sign-in activity → Category
properties.category	security_result.category_details	已合併
failureReason	security_result.description	直接對應
operationName	security_result.description	對應：Add member to group → Group membership modified
resultDescription	security_result.description	直接對應
AuthenticationProtocol_label	security_result.detection_fields	已合併
NewSd_label	security_result.detection_fields	已合併
OldSd_label	security_result.detection_fields	已合併
agent_agentType_label	security_result.detection_fields	已合併
apiVersion_label	security_result.detection_fields	已合併
associated_admin_units_label	security_result.detection_fields	已合併
auth_label	security_result.detection_fields	已合併
authenticationContextClassReference_detail_label	security_result.detection_fields	已合併
authenticationContextClassReference_id_label	security_result.detection_fields	已合併
authenticationProcessingDetails_label	security_result.detection_fields	已合併
authenticationProtocol_label	security_result.detection_fields	已合併
correlationId_label	security_result.detection_fields	已合併
correlationId_label2	security_result.detection_fields	已合併
correlationId_label3	security_result.detection_fields	已合併
detail_label	security_result.detection_fields	已合併
detection_ActorContextId	security_result.detection_fields	已合併
detection_ApplicationId	security_result.detection_fields	已合併
detection_InterSystemsId	security_result.detection_fields	已合併
detection_IntraSystemId	security_result.detection_fields	已合併
device_property_label	security_result.detection_fields	已合併
error_code_label	security_result.detection_fields	已合併
expirationRequirement_label	security_result.detection_fields	已合併
extended_property_label	security_result.detection_fields	已合併
logon_guid_label	security_result.detection_fields	已合併
method_label	security_result.detection_fields	已合併
modified_property_label	security_result.detection_fields	已合併
name_label	security_result.detection_fields	已合併
namespace_label	security_result.detection_fields	已合併
network_type_label	security_result.detection_fields	已合併
prop_risk_event_label	security_result.detection_fields	已合併
prop_risk_event_v2_label	security_result.detection_fields	已合併
properties.status.errorCode_label	security_result.detection_fields	已合併
protocol_label	security_result.detection_fields	已合併
record_type_label	security_result.detection_fields	已合併
requestId_label	security_result.detection_fields	已合併
requirement_provider_label	security_result.detection_fields	已合併
riskDetail_label	security_result.detection_fields	已合併
riskEventType_label	security_result.detection_fields	已合併
riskEventTypes_label	security_result.detection_fields	已合併
riskLastUpdatedDateTime_label	security_result.detection_fields	已合併
riskLevelAggregated_label	security_result.detection_fields	已合併
riskLevelDuringSignIn_label	security_result.detection_fields	已合併
riskLevel_label	security_result.detection_fields	已合併
riskState_label	security_result.detection_fields	已合併
riskType_label	security_result.detection_fields	已合併
risk_event_label	security_result.detection_fields	已合併
risk_event_label_v2	security_result.detection_fields	已合併
risk_level_aggregated_label	security_result.detection_fields	已合併
risk_level_during_sign_in_label	security_result.detection_fields	已合併
scopes_label	security_result.detection_fields	已合併
signInSessionStatus_label	security_result.detection_fields	已合併
status_label	security_result.detection_fields	已合併
step_date_label	security_result.detection_fields	已合併
step_detail_label	security_result.detection_fields	已合併
step_requirement_label	security_result.detection_fields	已合併
support_ticket_id_label	security_result.detection_fields	已合併
target_displayName_label	security_result.detection_fields	已合併
target_label	security_result.detection_fields	已合併
target_type	security_result.detection_fields	已對應：Policy → target_displayName_label、Policy → target_label、Policy → `modifi...
ticket_encryption_type_label	security_result.detection_fields	已合併
ticket_options_label	security_result.detection_fields	已合併
transmitted_services_label	security_result.detection_fields	已合併
operationName	security_result.priority	對應：Sign-in activity → MEDIUM_PRIORITY
additional_fields	security_result.rule_labels	已合併
isCompliant_label	security_result.rule_labels	已合併
is_compliant_label	security_result.rule_labels	已合併
level	security_result.severity	已對應："INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3" ...
operationName	security_result.severity	對應：Sign-in activity → ERROR
record_Level	security_result.severity	已對應："INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3" ...
record_level	security_result.severity	已對應："INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3" ...
level	security_result.severity_details	直接對應
record_Level	security_result.severity_details	直接對應
record_level	security_result.severity_details	直接對應
AzureActiveDirectoryEventType	security_result.summary	對應：0 → Account Logon、1 → Azure Application AuditEvent
activityDisplayName	security_result.summary	直接對應
errorCode	security_result.summary	已對應：0 → Successful login occurred
operationName	security_result.summary	對應：Sign-in activity → Successful login occurred、Sign-in activity → `Failed login...
properties.activity	security_result.summary	直接對應
properties.activityDisplayName	security_result.summary	直接對應
properties.result	security_result.summary	直接對應
properties_status_errorCode	security_result.summary	已對應：0 → Successful login occurred
record_properties_status_errorCode	security_result.summary	對應：0 → Successful login occurred
record_resultType	security_result.summary	對應：0 → Successful login occurred
resultType	security_result.summary	對應：0 → Successful login occurred
TargetDomainName	target.administrative_domain	直接對應
ServiceName	target.application	直接對應
properties.appDisplayName	target.application	直接對應
record_AppDisplayName	target.application	直接對應
record_properties_appDisplayName	target.application	直接對應
record_AppId	target.asset.asset_id	直接對應
modified_property_label	target.asset.attribute.labels	已合併
target_displayName_label	target.asset.attribute.labels	已合併
target_label	target.asset.attribute.labels	已合併
target_type	target.asset.attribute.labels	對應：Device → target_displayName_label、Device → target_label、Device → `modifi...
WorkstationName	target.asset.hostname	直接對應
authenticationDetail.value	target.asset.hostname	直接對應
ClientIP	target.asset.ip	已合併
modifiedProperty.newValue	target.group.group_display_name	直接對應
modifiedProperty.newValue	target.group.product_object_id	直接對應
properties.targetResources.modifiedProperties.0.newValue	target.group.product_object_id	直接對應
WorkstationName	target.hostname	直接對應
authenticationDetail.value	target.hostname	直接對應
ClientIP	target.ip	已合併
ip	target.ip	已合併
properties_regionScope	target.location.country_or_region	直接對應
record_properties_UDI_RequiredFields_RegionScope	target.location.country_or_region	直接對應
record_properties_location	target.location.name	直接對應
ProcessName	target.process.file.full_path	直接對應
LogonProcessName	target.process.file.names	已合併
ProcessId	target.process.pid	直接對應
__UDI_RequiredFields_EventTime	target.resource.attribute.labels	已合併
__UDI_RequiredFields_TenantId	target.resource.attribute.labels	已合併
__UDI_RequiredFields_UniqueId	target.resource.attribute.labels	已合併
_label	target.resource.attribute.labels	已合併
add_label	target.resource.attribute.labels	已合併
additional_homeTenantId	target.resource.attribute.labels	已合併
additional_resourceServicePrincipalId	target.resource.attribute.labels	已合併
app_owner_tenant_id_label	target.resource.attribute.labels	已合併
conditionalAccessStatus	target.resource.attribute.labels	已合併
detection_TargetContextId	target.resource.attribute.labels	已合併
handleId	target.resource.attribute.labels	已合併
homeTenantId_label	target.resource.attribute.labels	已合併
homeTenantName_label	target.resource.attribute.labels	已合併
home_tenant_id_label	target.resource.attribute.labels	已合併
home_tenant_name_label	target.resource.attribute.labels	已合併
internal_workspace_label	target.resource.attribute.labels	已合併
item_id_label	target.resource.attribute.labels	已合併
label	target.resource.attribute.labels	已合併
lmPackageNameLabel_label	target.resource.attribute.labels	已合併
modified_property_label	target.resource.attribute.labels	已合併
objectServer	target.resource.attribute.labels	已合併
old_label	target.resource.attribute.labels	已合併
operationId_label	target.resource.attribute.labels	已合併
operationName	target.resource.attribute.labels	已對應：Add member to group → add_label
operationType_label	target.resource.attribute.labels	已合併
properties_resourceTenantId_label	target.resource.attribute.labels	已合併
record_properties_appId_label	target.resource.attribute.labels	已合併
requestId_label	target.resource.attribute.labels	已合併
resourceOwnerTenantId_label	target.resource.attribute.labels	已合併
resource_display_name_label	target.resource.attribute.labels	已合併
resource_group_label	target.resource.attribute.labels	已合併
resource_id_label	target.resource.attribute.labels	已合併
resource_identity_label	target.resource.attribute.labels	已合併
resource_label	target.resource.attribute.labels	已合併
resource_owner_tenant_id_label	target.resource.attribute.labels	已合併
resource_service_principal_id_label	target.resource.attribute.labels	已合併
resource_tenant_id_label	target.resource.attribute.labels	已合併
resultSignature_label	target.resource.attribute.labels	已合併
resultSignature_label1	target.resource.attribute.labels	已合併
service_principal_id_label	target.resource.attribute.labels	已合併
source_label	target.resource.attribute.labels	已合併
target_displayName_label	target.resource.attribute.labels	已合併
target_label	target.resource.attribute.labels	已合併
target_logon_id_label	target.resource.attribute.labels	已合併
target_type_label	target.resource.attribute.labels	已合併
temp_resourceId	target.resource.attribute.labels	已合併
tenant_id_label	target.resource.attribute.labels	已合併
tokenIssuerType_label	target.resource.attribute.labels	已合併
uniqueTokenIdentifier_label	target.resource.attribute.labels	已合併
user_type_label	target.resource.attribute.labels	已合併
ObjectName	target.resource.name	直接對應
properties.SignInBondData.DisplayDetails.ResourceDisplayName	target.resource.name	直接對應
properties.resourceDisplayName	target.resource.name	已重新命名/對應
resourceDisplayName	target.resource.name	已重新命名/對應
field.newValue	target.resource.product_object_id	直接對應
record_resourceId	target.resource.product_object_id	直接對應
resourceId	target.resource.product_object_id	直接對應
ObjectType	target.resource.resource_subtype	直接對應
target.type	target.resource.type	直接對應
%{ServiceSid}	target.resource.user.windows_sid	已合併
record_properties_identityProvider	target.url	直接對應
value	target.url	直接對應
modified_property_label	target.user.attribute.labels	已合併
target_label	target.user.attribute.labels	已合併
target_type	target.user.attribute.labels	已對應：User → target_label、User → modified_property_label
user_display_name_label	target.user.attribute.labels	已合併
record_properties_userPrincipalName	target.user.email_addresses	已對應：^.+@.+$ → record_properties_userPrincipalName
target_displayName	target.user.email_addresses	已對應：^.+@.+$ → target_displayName
target_userPrincipalName	target.user.email_addresses	對應：^.+@.+$ → target_userPrincipalName
userPrincipalName	target.user.email_addresses	對應：^.+@.+$ → userPrincipalName
groupInfo	target.user.group_identifiers	已合併
operationName	target.user.group_identifiers	已對應：Add member to group → groupInfo
properties.servicePrincipalId	target.user.product_object_id	直接對應
properties.targetResources.0.id	target.user.product_object_id	直接對應
properties.userId	target.user.product_object_id	直接對應
record_properties_userId	target.user.product_object_id	直接對應
userId	target.user.product_object_id	直接對應
record_Identity	target.user.user_display_name	直接對應
record_identity	target.user.user_display_name	直接對應
targetUser	target.user.user_display_name	直接對應
target_displayName	target.user.user_display_name	直接對應
target_userPrincipalName	target.user.user_display_name	直接對應
TargetUserName	target.user.userid	直接對應
properties.alternateSignInName	target.user.userid	直接對應
properties.servicePrincipalName	target.user.userid	直接對應
properties.userId	target.user.userid	直接對應
properties.userPrincipalName	target.user.userid	直接對應
record_AlternateSignInName	target.user.userid	直接對應
signInIdentifier	target.user.userid	直接對應
userPrincipalName	target.user.userid	直接對應
TargetSid	target.user.windows_sid	直接對應
TargetUserSid	target.user.windows_sid	直接對應
不適用	extensions.auth.type	常數：AUTHTYPE_UNSPECIFIED
不適用	metadata.event_type	常數：STATUS_UPDATE
不適用	metadata.product_name	常數：Azure AD
不適用	metadata.vendor_name	常數：Microsoft
不適用	network.http.parsed_user_agent	常數：parseduseragent
不適用	principal.platform	常數：WINDOWS
不適用	security_result.description	常數：Group membership modified
不適用	security_result.priority	常數：MEDIUM_PRIORITY
不適用	security_result.severity	常數：INFORMATIONAL
不適用	security_result.summary	常數：Successful login occurred

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。