Microsoft Entra ID in Google SecOps einbinden

In diesem Dokument finden Sie eine Anleitung zum Einbinden von Microsoft Entra ID in Google Security Operations (Google SecOps).

Diese Integration verwendet eine oder mehrere Open-Source-Komponenten. Sie können eine ZIP-Datei des vollständigen Quellcodes dieser Integration aus dem Cloud Storage-Bucket herunterladen.

Anwendungsfälle

Die Einbindung von Microsoft Entra ID in Google SecOps kann Ihnen bei den folgenden Anwendungsfällen helfen:

  • Nutzerkontenverwaltung: Mit den Google SecOps-Funktionen können Sie das Deaktivieren und Aktivieren von Nutzerkonten in Microsoft Entra ID basierend auf Sicherheitsereignissen wie vermuteten Kompromittierungen oder dem Offboarding von Mitarbeitern automatisieren.

  • Passwort zurücksetzen: Mit den Google SecOps-Funktionen können Sie das Zurücksetzen von Passwörtern für gehackte Konten oder Nutzer, die aus ihren Konten ausgesperrt wurden, orchestrieren. Durch das Zurücksetzen von Passwörtern können Sie den Prozess der Passwortwiederherstellung optimieren und die Anzahl der Helpdesk-Tickets reduzieren.

  • Gruppenverwaltung: Verwenden Sie die Google SecOps-Funktionen, um das Erstellen, Ändern und Löschen von Microsoft Entra ID-Gruppen zu automatisieren.

  • Erzwingung von Richtlinien für bedingten Zugriff: Verwenden Sie die Microsoft Entra ID-Richtlinien für bedingten Zugriff in Google SecOps-Playbooks, um den Zugriff basierend auf dem Kontext dynamisch zu steuern und eine detaillierte Kontrolle über den Zugriff auf Ressourcen basierend auf Faktoren wie Standort, Gerät und Nutzerrisiko zu ermöglichen.

  • Sicherheitswarnungen und Incident Response: Integrieren Sie die Microsoft Entra ID-Sicherheitswarnungen in Google SecOps, um Workflows für die Incident Response zu automatisieren.

Hinweis

Bevor Sie die Integration in Google SecOps konfigurieren, müssen Sie prüfen, ob die folgenden Anforderungen in Ihrer Microsoft-Umgebung erfüllt sind:

  • Azure-App-Registrierung: Sie müssen eine Anwendung im Microsoft Entra Admin Center registrieren, um eine Client-ID und eine Mandanten-ID zu erhalten.

    Eine ausführliche Anleitung finden Sie unter Anwendung in Microsoft Entra ID registrieren.

  • API-Berechtigungen: Gewähren Sie Ihrer App die folgenden Microsoft Graph > Anwendungsberechtigungen und erteilen Sie die Administratoreinwilligung:

    • Directory.Read.All
    • Directory.ReadWrite.All
    • Group.ReadWrite.All
    • User.ReadWrite.All
    • AuditLog.Read.All (erforderlich, um den Parameter Include MFA Details zu verwenden)

  • Rollenzuweisungen: Wenn Sie passwortbezogene Aktionen wie Passwortaktualisierung erzwingen oder Nutzerpasswort zurücksetzen ausführen möchten, müssen Sie Ihrer Anwendung in Microsoft Entra ID die Rolle Password Administrator zuweisen.

  • Clientschlüssel: Generieren Sie im Abschnitt Zertifikate und Secrets Ihrer Azure-Anwendung einen Clientschlüssel. Speichern Sie den geheimen Wert (nicht die Secret-ID) sofort, da er nur einmal angezeigt wird und für die Konfiguration erforderlich ist.

Integrationsparameter

Für die Microsoft Entra ID-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Login API Root Optional

Der API-Stamm, der für die Authentifizierung bei der Microsoft Identity Platform verwendet wird.

Der Standardwert ist https://login.microsoftonline.com.
API Root Optional

Der API-Stamm der Azure Active Directory-Instanz.

Der Standardwert ist https://graph.microsoft.com.
Client ID Erforderlich

Der Wert der Anwendungs-ID (Client-ID) Ihres Microsoft Entra ID-Kontos.
Client Secret Erforderlich

Der Clientschlüsselwert Ihres Microsoft Entra ID-Kontos.
Directory ID Erforderlich

Die Verzeichnis-ID (Mandanten-ID) Ihres Microsoft Entra ID-Kontos.
Verify SSL Optional

Wenn diese Option ausgewählt ist, wird bei der Integration geprüft, ob das SSL-Zertifikat, das für die Verbindung zum Microsoft Entra ID-Server verwendet wird, gültig ist.

Standardmäßig ausgewählt.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Nutzer zu einer Gruppe hinzufügen

Verwenden Sie die Aktion Nutzer zu einer Gruppe hinzufügen, um einen Nutzer der spezifischen Microsoft Entra ID-Gruppe hinzuzufügen. Bei dieser Aktion müssen Sie die Entität User im Format username@domain konfigurieren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Nutzer zu einer Gruppe hinzufügen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Group ID Erforderlich

Die ID der Microsoft Entra ID-Gruppe, der der Nutzer hinzugefügt werden soll, z. B. 00e40000-1971-439d-80fc-d0e000001dbd.

Aktionsausgaben

Die Aktion Nutzer zu einer Gruppe hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Nutzer zu einer Gruppe hinzufügen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Member USER_ID was added to the group GROUP_ID successfully.

Some errors occurred. Please check the logs.

 Die Aktion war erfolgreich.
Member could not be added successfully.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzer zu einer Gruppe hinzufügen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Konto deaktivieren

Verwenden Sie die Aktion Konto deaktivieren, um ein Konto in Microsoft Entra ID zu deaktivieren. Bei dieser Aktion müssen Sie die Entität User im Format username@domain konfigurieren.

Wenn Sie die Aktion Konto deaktivieren ausführen möchten, müssen Sie dem Microsoft Entra ID-Konto, das Sie in der Integration verwenden, Administratorberechtigungen gewähren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Zusätzliche Berechtigungen konfigurieren

Für die Aktion Konto deaktivieren müssen Sie zusätzlich die folgende API-Berechtigung für die Anwendung konfigurieren:

  • User.EnableDisableAccount.All

Eine Anleitung zum Konfigurieren von API-Berechtigungen in Microsoft Entra ID finden Sie im Abschnitt API-Berechtigungen konfigurieren dieses Dokuments.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Konto deaktivieren liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Konto deaktivieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

User account disabled successfully.

Some errors occurred. Please check the logs.

 Die Aktion war erfolgreich.
Disable user account was not successful.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Konto deaktivieren verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Konto aktivieren

Verwenden Sie die Aktion Konto aktivieren, um ein Konto in Microsoft Entra ID zu aktivieren. Bei dieser Aktion müssen Sie die Entität User im Format username@domain konfigurieren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Zusätzliche Berechtigungen konfigurieren

Für die Aktion Konto aktivieren müssen Sie zusätzlich die folgende API-Berechtigung für die Anwendung konfigurieren:

  • User.EnableDisableAccount.All

Eine Anleitung zum Konfigurieren von API-Berechtigungen in Microsoft Entra ID finden Sie im Abschnitt API-Berechtigungen konfigurieren dieses Dokuments.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Konto aktivieren liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Konto aktivieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

User account was enabled successfully.

Some errors occurred. Please check the logs.

 Die Aktion war erfolgreich.
Enable user account was not successful.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Konto aktivieren verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Host anreichern

Verwenden Sie die Aktion Host anreichern, um die Google SecOps-Entität Host mit Informationen aus Microsoft Entra ID anzureichern. Mit dieser Aktion wird eine Übereinstimmung für eine angegebene Host-Entität anhand des Felds displayName des Geräts in Microsoft Entra ID gesucht.

Diese Aktion wird für die Google SecOps-Entität Host ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Host anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Tabelle mit Entitätsanreicherungen Verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Tabelle mit Entitätsanreicherungen

Die Aktion Host anreichern unterstützt die folgende Entitätsanreicherung:

Anreicherungsfeld Logik
AAD_Name Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Enabled Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Property Device ID Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_OS Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Version Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Profile Type Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Compliant Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Last Sign In Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Host anreichern empfangen wird:

[
    {
        "EntityResult": {
            "deletedDateTime": "1234569",
            "complianceExpirationDateTime": "1234567",
            "profileType": "RegisteredDevice",
            "key": "007",
            "if":"889922-aaaa-123123"
        },
        "Entity": "us-lt-v13001"
    }
]
Ausgabenachrichten

Die Aktion Host anreichern kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Host details were fetched successfully: HOSTNAME.

Some errors occurred. Please check log.

 Die Aktion war erfolgreich.
Host details were not found.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Host anreichern verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Nutzer anreichern

Verwenden Sie die Aktion Nutzer anreichern, um die Google SecOps-Entität User mit Informationen aus Microsoft Entra ID anzureichern. Bei dieser Aktion müssen Sie die Entität User im Format username@domain konfigurieren.

Diese Aktion wird für die Google SecOps-Entität Host ausgeführt.

Aktionseingaben

Für die Aktion Nutzer anreichern sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Include MFA Details

Optional.

Wenn diese Option ausgewählt ist, gibt die Aktion MFA-Details zum Nutzer zurück.
Include Last Sign In Details

Optional.

Wenn diese Option ausgewählt ist, werden die Anmeldeaktivitäten des Nutzers abgerufen (einschließlich der Zeitstempel für interaktive und nicht interaktive Anmeldungen).

Aktionsausgaben

Die Aktion Nutzer anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Tabelle mit Entitätsanreicherungen Verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Tabelle mit Entitätsanreicherungen

Die Aktion Nutzer anreichern unterstützt die folgende Entitätsanreicherung:

Anreicherungsfeld Logik
AAD_Name Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Mobile Phone Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Preferred Language Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Job Title Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Username Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Nutzer anreichern erhalten:

[
  {
    "Entity": "user@domain.com",
    "EntityResult": {
      "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#users/$entity",
      "accountEnabled": true,
      "ageGroup": null,
      "businessPhones": [],
      "city": "New York",
      "companyName": "ExampleCorp",
      "consentProvidedForMinor": null,
      "country": "US",
      "createdDateTime": "2025-01-01T00:00:00Z",
      "creationType": null,
      "department": "Security",
      "displayName": "User Name",
      "mail": "user@domain.com",
      "employeeId": "12345",
      "employeeHireDate": null,
      "employeeType": null,
      "externalUserStateChangeDateTime": null,
      "faxNumber": null,
      "givenName": "User",
      "imAddresses": [],
      "externalUserState": null,
      "jobTitle": "Security Analyst",
      "surname": "Surname",
      "lastPasswordChangeDateTime": "2025-01-01T00:00:00Z",
      "legalAgeGroupClassification": null,
      "mailNickname": "usernickname",
      "mobilePhone": "+11234567890",
      "id": "user-id-12345",
      "officeLocation": null,
      "onPremisesSamAccountName": null,
      "onPremisesDistinguishedName": null,
      "onPremisesDomainName": null,
      "onPremisesImmutableId": null,
      "onPremisesLastSyncDateTime": null,
      "onPremisesProvisioningErrors": [],
      "onPremisesSecurityIdentifier": null,
      "onPremisesSyncEnabled": null,
      "onPremisesUserPrincipalName": null,
      "otherMails": [],
      "passwordPolicies": "None",
      "preferredDataLocation": null,
      "preferredLanguage": "en-US",
      "proxyAddresses": [],
      "signInSessionsValidFromDateTime": "2025-01-01T00:00:00Z",
      "state": "NY",
      "streetAddress": "123 Main St",
      "usageLocation": "US",
      "userPrincipalName": "user@domain.com",
      "userType": "Member",
      "postalCode": "10001",
      "deletedDateTime": null,
      "showInAddressList": null,
      "isResourceAccount": null,
      "refreshTokensValidFromDateTime": "2025-01-01T00:00:00Z",
      "employeeOrgData": null,
      "passwordProfile": null,
      "authorizationInfo": {
        "certificateUserIds": []
      },
      "mfa_details": {
        "id": "user-id-12345",
        "userPrincipalName": "user@domain.com",
        "userDisplayName": "User Name",
        "userType": "member",
        "isAdmin": false,
        "isSsprRegistered": true,
        "isSsprEnabled": true,
        "isSsprCapable": true
        "isMfaRegistered": true,
        "isMfaCapable": true,
        "isPasswordlessCapable": false,
        "methodsRegistered": [
          "email",
          "mobilePhone"
        ],
        "defaultMfaMethod": "mobilePhone",
        "isSystemPreferredAuthenticationMethodEnabled": false,
        "systemPreferredAuthenticationMethods": [],
        "userPreferredMethodForSecondaryAuthentication": "oath",
        "lastUpdatedDateTime": "2026-01-01T00:00:00Z"
      }
    }
  }
]
Ausgabenachrichten

Die Aktion Nutzer anreichern kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

User details were fetched successfully: USERNAME.

Some errors occurred. Please check the logs.

 Die Aktion war erfolgreich.
Users list fetch was not successful.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzer anreichern verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Passwortaktualisierung erzwingen

Verwenden Sie die Aktion Passwortaktualisierung erzwingen, um eine Passwortaktualisierung für den Nutzer zu erzwingen. Bei dieser Aktion muss der Nutzer sein Passwort bei der nächsten Anmeldung ändern.

Für die Aktion Passwortaktualisierung erzwingen müssen Sie die Entität User im Format username@domain konfigurieren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Zusätzliche Berechtigungen konfigurieren

Für die Aktion Passwortaktualisierung erzwingen müssen Sie zusätzlich die folgende API-Berechtigung für die Anwendung konfigurieren:

  • User-PasswordProfile.ReadWrite.All

Eine Anleitung zum Konfigurieren von API-Berechtigungen in Microsoft Entra ID finden Sie im Abschnitt API-Berechtigungen konfigurieren dieses Dokuments.

Anwendung eine Rolle zuweisen

Für die Aktion Passwortaktualisierung erzwingen müssen Sie Ihrer Anwendung die Rolle Password Administrator zuweisen.

So weisen Sie Ihrer Anwendung die Rolle Password Administrator zu:

  1. Melden Sie sich mit Ihrem Microsoft-Konto im Azure-Portal an.
  2. Suchen Sie in Microsoft Entra ID nach Rollen und Administratoren.
  3. Wählen Sie die Rolle Password Administrator aus der Liste aus oder suchen Sie danach.
  4. Klicken Sie auf Zuweisung hinzufügen.
  5. Wählen Sie ein Konto (Mitglied) aus, das Sie in der Integration verwenden, und klicken Sie auf Weiter.
  6. Geben Sie eine Begründung für die Zuweisung einer Rolle ein.
  7. Klicken Sie auf Zuweisen.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Passwortaktualisierung erzwingen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Passwortaktualisierung erzwingen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Force password update on the user was successful.

Some errors occurred. Please check the logs.

 Die Aktion war erfolgreich.
Attempt to Force user password update was not successful.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Passwortaktualisierung erzwingen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Kontaktdaten des Managers abrufen

Verwenden Sie die Aktion Kontaktdaten des Managers abrufen, um die Kontaktdaten des Managers für den Nutzer abzurufen.

Bei der Aktion Kontaktdaten des Managers abrufen müssen Sie die Entität User im Format username@domain konfigurieren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Kontaktdaten des Managers abrufen ist der folgende Parameter erforderlich:

Parameter Beschreibung
Fields To Return

Optional.

Eine durch Kommas getrennte Liste der abzurufenden Attribute des Managerprofils.

Wenn kein Wert angegeben ist, gibt die Aktion die von der API definierten Standardattribute zurück.

Der Standardwert ist accountEnabled,ageGroup,assignedLicenses, businessPhones,city,companyName,consentProvidedForMinor,country, createdDateTime,creationType,department,displayName,mail,employeeId, employeeHireDate,employeeOrgData,employeeType,onPremisesExtensionAttributes, externalUserStateChangeDateTime,faxNumber,givenName,imAddresses,identities, externalUserState,jobTitle,surname,lastPasswordChangeDateTime, legalAgeGroupClassification,mailNickname,mobilePhone,id,officeLocation, onPremisesSamAccountName,onPremisesDistinguishedName,onPremisesDomainName, onPremisesImmutableId,onPremisesLastSyncDateTime, onPremisesProvisioningErrors,onPremisesSecurityIdentifier, onPremisesSyncEnabled,onPremisesUserPrincipalName,otherMails, passwordPolicies,passwordProfile,preferredDataLocation,preferredLanguage, proxyAddresses,signInSessionsValidFromDateTime,sponsors,state,streetAddress, usageLocation,userPrincipalName,userType,postalCode,authorizationInfo, deletedDateTime,showInAddressList,isResourceAccount, refreshTokensValidFromDateTime.
Include MFA Details

Optional.

Wenn diese Option ausgewählt ist, gibt die Aktion MFA-Details zum Nutzer zurück.
Include Last Sign In Details

Optional.

Wenn diese Option ausgewählt ist, werden die Anmeldeaktivitäten des Nutzers abgerufen (einschließlich der Zeitstempel für interaktive und nicht interaktive Anmeldungen).

Aktionsausgaben

Die Aktion Kontaktdaten des Managers abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Verfügbar
Tabelle mit Entitätsanreicherungen Verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Tabelle mit Fall-Repository

Die Aktion Kontaktdaten des Managers abrufen kann die folgende Tabelle in Google SecOps zurückgeben:

Tabellenname: Manager contact

Spalten:

  • Name
  • Telefonnummer
Tabelle mit Entitätsanreicherungen

Die Aktion Kontaktdaten des Managers abrufen unterstützt die folgende Entitätsanreicherung:

Anreicherungsfeld Logik
Display Name Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
Mobile Phone Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
@odata.context Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Job Title Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
AAD_Username Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Kontaktdaten des Managers abrufen verwenden:

[
  {
    "Entity": "user@example.com",
    "EntityResult": {
      "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#users/$entity",
      "accountEnabled": true,
      "ageGroup": null,
      "businessPhones": [],
      "city": "Anytown",
      "companyName": "Example Corporation",
      "consentProvidedForMinor": null,
      "country": "US",
      "createdDateTime": "2025-01-01T00:00:00Z",
      "creationType": null,
      "department": "Security Operations",
      "displayName": "Internal User",
      "mail": "user@example.com",
      "employeeId": "ID-00001",
      "employeeHireDate": null,
      "employeeType": "Full-time",
      "externalUserStateChangeDateTime": null,
      "faxNumber": null,
      "givenName": "Alex",
      "imAddresses": [],
      "externalUserState": null,
      "jobTitle": "Security Lead",
      "surname": "Doe",
      "lastPasswordChangeDateTime": "2025-01-01T00:00:00Z",
      "legalAgeGroupClassification": null,
      "mailNickname": "alexdoe",
      "mobilePhone": "+1 555-0100",
      "id": "00000000-0000-0000-0000-000000000000",
      "officeLocation": null,
      "usageLocation": "US",
      "userPrincipalName": "user@example.com",
      "userType": "Member",
      "postalCode": "00000",
      "deletedDateTime": null,
      "showInAddressList": null,
      "isResourceAccount": null,
      "refreshTokensValidFromDateTime": "2025-01-01T00:00:00Z",
      "employeeOrgData": null,
      "authorizationInfo": {
        "certificateUserIds": []
      },
      "sponsors": [],
      "mfa_details": {
        "id": "00000000-0000-0000-0000-000000000000",
        "userPrincipalName": "user@example.com",
        "userDisplayName": "Internal User",
        "userType": "member",
        "isAdmin": true,
        "isSsprRegistered": false,
        "isSsprEnabled": true,
        "isSsprCapable": false,
        "isMfaRegistered": true,
        "isMfaCapable": true,
        "isPasswordlessCapable": false,
        "methodsRegistered": [
          "mobilePhone",
          "softwareOneTimePasscode"
        ],
        "defaultMfaMethod": "softwareOneTimePasscode",
        "isSystemPreferredAuthenticationMethodEnabled": true,
        "systemPreferredAuthenticationMethods": [
          "SoftwareOTP"
        ],
        "userPreferredMethodForSecondaryAuthentication": "oath",
        "lastUpdatedDateTime": "2026-01-01T00:00:00Z"
      }
    }
  }
]
Ausgabenachrichten

Die Aktion Kontaktdaten des Managers abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

User manager details were fetched successfully.

Some errors occurred. Please check the logs.

 Die Aktion war erfolgreich.
Could not fetch user manager's details successfully.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Kontaktdaten des Managers abrufen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Ist Nutzer in Gruppe

Mit der Aktion Is User in Group können Sie prüfen, ob der Nutzer Mitglied einer bestimmten Microsoft Entra ID-Gruppe ist. Bei dieser Aktion müssen Sie die Entität User im Format username@domain konfigurieren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Is User in Group sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Group ID Erforderlich

Die ID der Microsoft Entra ID-Gruppe, der der Nutzer hinzugefügt werden soll, z. B. 00e40000-1971-439d-80fc-d0e000001dbd.

Aktionsausgaben

Die Aktion Is User in Group liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Is User in Group zurückgegeben wird:

[
    {
        "EntityResult": "true",
        "Entity": "user@example.com"
    }
]
Ausgabenachrichten

Die Aktion Ist Nutzer in Gruppe kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

The following user was found in the group: USER_ID.

Some errors occurred. Please check the logs.

 Die Aktion war erfolgreich.
User was not found in the group.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Is User in Group verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Gruppen auflisten

Verwenden Sie die Aktion Gruppen auflisten, um Microsoft Entra ID-Gruppen anhand der angegebenen Suchkriterien aufzulisten.

Bei der Aktion Gruppen auflisten funktioniert das Filtern mit dem Feld Name.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Gruppen auflisten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Order By Optional

Die Reihenfolge, in der die zurückgegebenen Gruppen nach ihrem Namen sortiert werden sollen.

Der Standardwert ist ASC.

Folgende Werte sind möglich:

  • DESC
  • ASC
Results Limit Optional

Die maximale Anzahl der zurückzugebenden Gruppen.
Filter Logic Optional

Die Logik zum Filtern von Gruppen nach ihrem Namen.

Der Standardwert ist Equal.

Folgende Werte sind möglich:

  • Equal
  • Contains
Filter Value Optional

Der Wert, nach dem Gruppen mit der ausgewählten Filterlogik gefiltert werden sollen. Dieser Wert gilt für den Gruppennamen.

Wenn Sie Equal auswählen, versucht die Aktion, die genaue Übereinstimmung unter den Ergebnissen zu finden. Wenn Sie Contain auswählen, versucht die Aktion, Ergebnisse zu finden, die den angegebenen Teilstring enthalten.

Wenn Sie keinen Wert festlegen, wird der Filter nicht angewendet.

Aktionsausgaben

Die Aktion Gruppen auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Verfügbar
Tabelle mit Entitätsanreicherungen Verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Tabelle mit Fall-Repository

Die Aktion Gruppen auflisten kann die folgende Tabelle in Google SecOps zurückgeben:

Tabellenname: Groups

Spalten:

  • Name
  • ID
  • Beschreibung
  • E-Mail
  • Erstellungszeit
  • Gruppentyp
Tabelle mit Entitätsanreicherungen

Die Aktion Gruppen auflisten unterstützt die folgende Entitätsanreicherung:

Anreicherungsfeld Logik
Group Type Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
ID Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
Name Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
Description Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
Created Time Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Gruppen auflisten empfangen wird:

[
  {
    "Group_Type": "managed",
    "Id": "1212-12312-123",
    "Name": "Group Name",
    "Description": "This group is ...",
    "Created_Time": "2019-10-24T19:10:18Z",
    "onPremisesSamAccountName": "alext"
  }
]
Ausgabenachrichten

Die Aktion Gruppen auflisten kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Groups list was fetched successfully.

Some errors occurred. Please check the logs.

 Die Aktion war erfolgreich.
Groups list fetch was not successful.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Gruppen auflisten verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Mitglieder der Gruppe auflisten

Verwenden Sie die Aktion Mitglieder in der Gruppe auflisten, um Mitglieder in der angegebenen Microsoft Entra ID-Gruppe aufzulisten.

Die Filterlogik basiert auf dem Parameterwert Filter Key.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Mitglieder in der Gruppe auflisten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Max Records To Return Optional

Die maximale Anzahl der zurückzugebenden Datensätze.

Der Standardwert ist 50.
Group Name Optional

Der Name der Microsoft Entra ID-Gruppe, deren Mitglieder aufgelistet werden sollen.
Group ID Optional

Die ID der Microsoft Entra ID-Gruppe, deren Mitglieder aufgelistet werden sollen. Wenn Sie sowohl den Parameter Group Name als auch den Parameter Group ID konfigurieren, wird für die Aktion der Parameterwert Group ID verwendet.
Filter Key Optional

Das Feld, nach dem Gruppenmitglieder gefiltert werden sollen, z. B. User Display Name.

Folgende Werte sind möglich:

  • Select One
  • User Display Name
  • User Principal Name
  • User Mail Name
Filter Logic Optional

Die Logik, die auf den Filter angewendet werden soll.

Folgende Werte sind möglich:

  • Not Specified
  • Equal
  • Contains
Filter Value Optional

Der Wert, der zum Filtern von Gruppenmitgliedern basierend auf den ausgewählten Parameterwerten Filter Key und Filter Logic verwendet werden soll.

Wenn Sie Equal auswählen, versucht die Aktion, die genaue Übereinstimmung unter den Ergebnissen zu finden. Wenn Sie Contain auswählen, versucht die Aktion, Ergebnisse zu finden, die den angegebenen Teilstring enthalten.

Wenn Sie keinen Wert festlegen, wird der Filter nicht angewendet.

Aktionsausgaben

Die Aktion Mitglieder in der Gruppe auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Tabelle mit Fall-Repository

Die Aktion Mitglieder in der Gruppe auflisten kann die folgende Tabelle in Google SecOps zurückgeben:

Tabellenname: Verfügbare Mitglieder der Gruppe

Spalten:

  • ID
  • User Principal Name
  • Anzeigename
  • Nachname
  • Vorname
  • E-Mail
  • Position
  • Geschäftliche Telefonnummern
  • Smartphone
  • Standort des Büros
  • Bevorzugte Sprache
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Mitglieder in der Gruppe auflisten verwenden:

[
  {
    "@odata.type": "#microsoft.graph.user",
    "id": "b786d3cf-e97d-4511-b61c-0559e9f4da75",
    "businessPhones": [],
    "displayName": "Alex T",
    "givenName": "Alex",
    "jobTitle": "Software Engineer",
    "mail": "alex.t@example.com",
    "mobilePhone": null,
    "officeLocation": "Building A",
    "preferredLanguage": "en-US",
    "surname": "T",
    "userPrincipalName": "alex.t@example.com"
  }
]
Ausgabenachrichten

Die Aktion Mitglieder in der Gruppe auflisten kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully found members for the provided criteria in Azure AD group.

No members were found for the provided criteria in Azure AD group.

The filter was not applied, because parameter "Filter Value" has an empty value.

 Die Aktion war erfolgreich.
Error executing action "List Members in the Group". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Mitglieder in der Gruppe auflisten verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Gruppenmitgliedschaften eines Nutzers auflisten

Verwenden Sie die Aktion Gruppenmitgliedschaft des Nutzers auflisten, um die Microsoft Entra ID-Gruppen aufzulisten, in denen der Nutzer Mitglied ist.

Sie können den Nutzernamen als Entität oder als Eingabeparameter für eine Aktion angeben. Wenn Sie den Nutzernamen sowohl als Entität als auch als Eingabeparameter konfigurieren, verwendet die Aktion den Eingabeparameter.

Verwenden Sie für den Nutzernamen das Format username@domain.

Diese Aktion wird für die Google SecOps-Entität Username ausgeführt.

Aktionseingaben

Für die Aktion Gruppenmitgliedschaften des Nutzers auflisten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
User Name Optional

Eine durch Kommas getrennte Liste von Nutzernamen, für die Gruppenmitgliedschaften abgerufen werden sollen, z. B. username@domain. Wenn Sie keinen Wert festlegen, werden für die Aktion die Nutzer-IDs aus der Entität Username verwendet.
Return Only Security Enabled Groups Optional

Wenn diese Option ausgewählt ist, werden nur sicherheitsaktivierte Gruppen zurückgegeben, zu denen der Nutzer gehört.

Standardmäßig nicht ausgewählt.
Return Detailed Groups Information Optional

Wenn diese Option ausgewählt ist, gibt die Aktion detaillierte Informationen zu den Microsoft Entra ID-Gruppen zurück.

Standardmäßig nicht ausgewählt.
Filter Key Optional

Der Schlüssel, der zum Filtern von Gruppen verwendet werden soll.

Der Standardwert ist Select One.

Folgende Werte sind möglich:

  • Select One
  • Group Display Name
  • Group Description
Filter Logic Optional

Die Logik, die beim Filtern der Gruppen angewendet werden soll.

Der Standardwert ist Not Specified.

Folgende Werte sind möglich:

  • Not Specified
  • Equal
  • Contains
Filter Value Optional

Der Wert, der zum Filtern von Gruppen verwendet werden soll.

Wenn Sie Equal auswählen, versucht die Aktion, die genaue Übereinstimmung unter den Ergebnissen zu finden. Wenn Sie Contain auswählen, versucht die Aktion, Ergebnisse zu finden, die den angegebenen Teilstring enthalten.

Wenn Sie keinen Wert festlegen, wird der Filter nicht angewendet.
Max Records To Return Optional

Die maximale Anzahl der zurückzugebenden Datensätze. Wenn Sie keinen Wert festlegen, gibt die Aktion standardmäßig 50 Einträge zurück.

Aktionsausgaben

Die Aktion Gruppenmitgliedschaften des Nutzers auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Tabelle mit Fall-Repository

Die Aktion Gruppenmitgliedschaften des Nutzers auflisten kann die folgende Tabelle in Google SecOps zurückgeben:

Tabellenname: Group Memberships

Spalten:

  • ID
  • Anzeigename
  • Beschreibung
  • Sicherheit aktiviert
  • Sicherheits-ID
  • Created DateTime (Erstellungsdatum und -uhrzeit)
  • Klassifikation
  • Sichtbarkeit
  • E-Mail
  • E-Mail-aktiviert
  • E‑Mail-Alias
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Gruppenmitgliedschaft des Nutzers auflisten zurückgegeben wird:

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#Collection(Edm.String)",
    "value": [
        "ID",
        "ID",
        "ID",
    ]
}
Ausgabenachrichten

Die Aktion Gruppenmitgliedschaft des Nutzers auflisten kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully found groups for the provided criteria for the following entities: ENTITY_ID

The following entities were not found in the Azure AD: ENTITY_ID

No groups were found in Azure Active Directory for the following entities: ENTITY_ID

The filter was not applied, because parameter "Filter Value" has an empty value.

 Die Aktion war erfolgreich.
Error executing action "List User's Groups Membership". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn Sie die Aktion Gruppenmitgliedschaften des Nutzers auflisten verwenden:

Name des Skriptergebnisses Wert
is_success True oder False

Nutzer auflisten

Verwenden Sie die Aktion Nutzer auflisten, um Microsoft Entra ID-Nutzer anhand der angegebenen Suchkriterien aufzulisten.

Bei der Aktion Nutzer auflisten funktioniert das Filtern mit dem Feld Username (userPrincipalName).

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Nutzer auflisten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Filter Optional

Die Felder, die in die Ergebnisse aufgenommen werden sollen.

Der Standardwert ist All Fields.

Folgende Werte sind möglich:

  • All Fields
  • displayName
  • userPrincipalName
  • id
  • jobTitle
  • mail
  • mobilePhone
  • preferredLanguage
  • surname
  • givenName
Order By Field Optional

Das Feld, nach dem die Ergebnisse sortiert werden sollen.

Der Standardwert ist displayName.

Folgende Werte sind möglich:

  • displayName
  • userPrincipalName
Order By Optional

Die Reihenfolge der Ergebnisse (aufsteigend oder absteigend).

Der Standardwert ist ASC.

Folgende Werte sind möglich:

  • DESC
  • ASC
Results Limit Optional

Die maximale Anzahl der zurückzugebenden Nutzer.
Advanced Filter Logic Optional

Die Logik für die erweiterte Filterung, die auf das Feld Username (userPrincipalName) angewendet wird.

Der Standardwert ist Equal.

Folgende Werte sind möglich:

  • Equal
  • Contains
Advanced Filter Value Optional

Der Wert, der im erweiterten Filter für das Feld Username (userPrincipalName) verwendet werden soll.

Wenn Sie Equal auswählen, versucht die Aktion, die genaue Übereinstimmung unter den Ergebnissen zu finden. Wenn Sie Contain auswählen, versucht die Aktion, Ergebnisse zu finden, die den angegebenen Teilstring enthalten.

Wenn Sie keinen Wert festlegen, wird der Filter nicht angewendet.

Aktionsausgaben

Die Aktion Nutzer auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Verfügbar
Tabelle mit Entitätsanreicherungen Verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Tabelle mit Fall-Repository

Die Aktion Nutzer auflisten kann die folgende Tabelle in Google SecOps zurückgeben:

Tabellenname: Users

Spalten:

  • Name
  • Nutzername
  • ID
  • Vorname
  • Bevorzugte Sprache
  • E-Mail
  • Smartphone
  • Nachname
  • Position
Tabelle mit Entitätsanreicherungen

Die Aktion Nutzer auflisten unterstützt die folgende Entitätsanreicherung:

Anreicherungsfeld Logik
Username Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
Surname Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
Name Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
Job Title Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
Mail Wird zurückgegeben, wenn im JSON-Ergebnis vorhanden.
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Nutzer auflisten zurückgegeben wird:

[
    {
        "Group Type": "managed",
        "Id": "ID",
        "Name": "Example",
        "Description": "Example",
        "Created Time":"2019-10-24T19:10:18Z"
    }
]
Ausgabenachrichten

Die Aktion Nutzer auflisten kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

List of users was fetched successfully.

Some errors occurred. Please check the logs.

 Die Aktion war erfolgreich.
User list fetch was not successful.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzer auflisten verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Microsoft Entra ID zu testen.

Diese Aktion wird für alle Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Connection established successfully.

 Die Aktion war erfolgreich.
Connection could not be established successfully.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Skriptergebnisses Wert
is_success True oder False

Nutzer aus der Gruppe entfernen

Verwenden Sie die Aktion Nutzer aus der Gruppe entfernen, um einen Nutzer aus der angegebenen Gruppe in Microsoft Entra ID zu entfernen.

Sie können den Nutzernamen als Entität oder als Eingabeparameter für eine Aktion angeben. Wenn Sie den Nutzernamen sowohl als Entität als auch als Eingabeparameter konfigurieren, verwendet die Aktion den Eingabeparameter.

Verwenden Sie für den Nutzernamen das Format username@domain.

Diese Aktion wird für die Google SecOps-Entität Username ausgeführt.

Aktionseingaben

Für die Aktion Nutzer aus der Gruppe entfernen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
User Name Optional

Ein kommagetrennter String mit Nutzernamen, die aus der angegebenen Gruppe entfernt werden sollen. Verwenden Sie das Format username@domain, um diesen Parameterwert zu konfigurieren.

Wenn Sie keinen Wert festlegen, wird die Aktion für die Nutzernamen der Nutzerentitäten aus einem Aktionsvorfall ausgeführt.
Group Name Optional

Der Name der Gruppe, aus der der Nutzer entfernt werden soll.
Group ID Optional

Die ID der Gruppe, aus der der Nutzer entfernt werden soll.

Wenn Sie sowohl den Parameter Group Name als auch den Parameter Group ID festlegen, wird der Wert Group ID priorisiert.

Aktionsausgaben

Die Aktion Nutzer aus der Gruppe entfernen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Nutzer aus der Gruppe entfernen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully removed the following entities from the Azure AD group: ENTITY_ID

The following entities were not found in the Azure AD: ENTITY_ID

No usernames were removed from the Azure AD group.

 Die Aktion war erfolgreich.
Error executing action "Remove User from the Group". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzer aus der Gruppe entfernen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Nutzerpasswort zurücksetzen

Mit der Aktion Nutzerpasswort zurücksetzen können Sie das Nutzerpasswort auf das in der Aktion angegebene Passwort zurücksetzen. Bei dieser Aktion muss der Nutzer sein Passwort beim nächsten Anmeldeversuch ändern.

Für die Aktion Nutzerpasswort zurücksetzen müssen Sie die Entität User im Format username@domain konfigurieren.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Anwendung eine Rolle zuweisen

Für die Aktion Nutzerpasswort zurücksetzen müssen Sie Ihrer Anwendung die Rolle Password Administrator zuweisen.

So weisen Sie Ihrer Anwendung die Rolle Password Administrator zu:

  1. Melden Sie sich mit Ihrem Microsoft-Konto im Azure-Portal an.
  2. Suchen Sie in Microsoft Entra ID nach Rollen und Administratoren.
  3. Wählen Sie die Rolle Password Administrator aus der Liste aus oder suchen Sie danach.
  4. Klicken Sie auf Zuweisung hinzufügen.
  5. Wählen Sie ein Konto (Mitglied) aus, das Sie in der Integration verwenden, und klicken Sie auf Weiter.
  6. Geben Sie eine Begründung für die Zuweisung einer Rolle ein.
  7. Klicken Sie auf Zuweisen.

Aktionseingaben

Für die Aktion Nutzerpasswort zurücksetzen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Password Erforderlich

Das neue Passwort, das für den Nutzer festgelegt werden soll.

Aktionsausgaben

Die Aktion Nutzerpasswort zurücksetzen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Nutzerpasswort zurücksetzen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

User password was reset successfully.

Some errors occurred. Please check the logs.

 Die Aktion war erfolgreich.
User password reset was not successful.

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzerpasswort zurücksetzen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Nutzersitzung widerrufen

Verwenden Sie die Aktion Nutzersitzung widerrufen, um eine Nutzersitzung zu widerrufen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • Username
  • Email Address

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Nutzersitzung widerrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Die folgenden Beispiele zeigen die JSON-Ergebnisausgaben, die bei Verwendung der Aktion Nutzersitzung widerrufen empfangen werden:

  • Wenn der Nutzer vorhanden ist:

    {
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#Edm.Boolean",
    "value": true
}

  • Wenn der Nutzer nicht gefunden wird:

    {
    "error": "User not found."
}
Ausgabenachrichten

Die Aktion Nutzersitzung widerrufen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully revoked sessions for the following users in Azure AD: ENTITY_ID

Action wasn't able to find the following users in Azure AD: ENTITY_ID

None of the provided users were found in Azure AD.

 Die Aktion war erfolgreich.
Error executing action "Revoke User Session". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzersitzung widerrufen verwendet wird:

Name des Skriptergebnisses Wert
is_success True oder False

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten