Microsoft Entra ID を Google SecOps と統合する

このドキュメントでは、Microsoft Entra ID を Google Security Operations（Google SecOps）と統合する方法について説明します。

この統合では、1 つ以上のオープンソース コンポーネントを使用します。この統合の完全なソースコードのコピーを Cloud Storage バケットからダウンロードできます。

ユースケース

Microsoft Entra ID を Google SecOps と統合すると、次のユースケースを解決できます。

  • ユーザー アカウント管理: Google SecOps の機能を使用して、セキュリティ イベント（不正使用の疑い、従業員のオフボーディングなど）に基づいて Microsoft Entra ID のユーザー アカウントの無効化と有効化を自動化します。

  • パスワードの再設定: Google SecOps の機能を使用して、不正使用されたアカウントやアカウントからロックアウトされたユーザーのパスワードの再設定をオーケストレートします。パスワードをリセットすると、パスワードの復元プロセスを効率化し、ヘルプデスク チケットを減らすことができます。

  • グループ管理: Google SecOps の機能を使用して、Microsoft Entra ID グループの作成、変更、削除を自動化します。

  • 条件付きアクセス ポリシーの適用: Google SecOps のハンドブック内で Microsoft Entra ID の条件付きアクセス ポリシーを使用して、コンテキストに基づいてアクセスを動的に制御し、場所、デバイス、ユーザーのリスクなどの要因に基づいてリソースへのアクセスをきめ細かく制御できます。

  • セキュリティ通知とインシデント対応: Microsoft Entra ID のセキュリティ通知を Google SecOps に統合して、インシデント対応ワークフローを自動化します。

始める前に

Google SecOps で統合を構成する前に、Microsoft 環境で次の要件を満たしていることを確認します。

  • Azure アプリの登録: クライアント ID とテナント ID を取得するには、Microsoft Entra 管理センターでアプリケーションを登録する必要があります。

    詳細な手順については、Microsoft Entra ID でアプリケーションを登録するをご覧ください。

  • API 権限: アプリに次の Microsoft Graph > アプリケーション権限を付与し、管理者の同意を提供します。

    • Directory.Read.All
    • Directory.ReadWrite.All
    • Group.ReadWrite.All
    • User.ReadWrite.All
    • AuditLog.Read.All（MFA の詳細を含めるパラメータを使用するために必要）

  • ロールの割り当て: パスワードの更新を強制するやユーザー パスワードをリセットするなどのパスワード関連のアクションを実行するには、Microsoft Entra ID 内でアプリケーションに Password Administrator ロールを割り当てる必要があります。

  • クライアント シークレット: Azure アプリの [Certificates & secrets] セクションでクライアント シークレットを生成します。シークレット値（シークレット ID ではない）は 1 回しか表示されず、構成に必要であるため、すぐに保存します。

統合のパラメータ

Microsoft Entra ID の統合には、次のパラメータが必要です。

パラメータ 説明
Login API Root 省略可

Microsoft ID プラットフォームでの認証に使用される API ルート。

デフォルト値は https://login.microsoftonline.com です。
API Root 省略可

Azure Active Directory インスタンスの API ルート。

デフォルト値は https://graph.microsoft.com です。
Client ID 必須

Microsoft Entra ID アカウントのアプリケーション（クライアント）ID 値。
Client Secret 必須

Microsoft Entra ID アカウントのクライアント シークレット値。
Directory ID 必須

Microsoft Entra ID アカウントのディレクトリ（テナント）ID 値。
Verify SSL 省略可

選択すると、統合によって、Microsoft Entra ID サーバーへの接続に使用される SSL 証明書が有効かどうかが検証されます。

デフォルトで選択されます。

Google SecOps で統合を構成する方法については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できます。複数のインスタンスを構成してサポートする方法の詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応するとケースで手動アクションを実行するをご覧ください。

ユーザーをグループに追加する

[Add User to a Group] アクションを使用して、特定の Microsoft Entra ID グループにユーザーを追加します。このアクションでは、User エンティティを username@domain 形式で構成する必要があります。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

Add User to a Group アクションには、次のパラメータが必要です。

パラメータ 説明
Group ID 必須

ユーザーを追加する Microsoft Entra ID グループの ID（00e40000-1971-439d-80fc-d0e000001dbd など）。

アクションの出力

Add User to a Group アクションの出力は次のとおりです。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Add User to a Group アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Member USER_ID was added to the group GROUP_ID successfully.

Some errors occurred. Please check the logs.

 アクションが成功しました。
Member could not be added successfully.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[Add User to a Group] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

アカウントを無効にする

Microsoft Entra ID でアカウントを無効にするには、[Disable Account] アクションを使用します。このアクションでは、User エンティティを username@domain 形式で構成する必要があります。

アカウントを無効にするアクションを実行するには、統合で使用する Microsoft Entra ID アカウントに管理者権限を付与します。

このアクションは、Google SecOps User エンティティに対して実行されます。

追加の権限を設定する

アカウントを無効にするアクションでは、アプリケーションに次の API 権限を追加で構成する必要があります。

  • User.EnableDisableAccount.All

Microsoft Entra ID で API 権限を構成する方法については、このドキュメントの API 権限を構成するをご覧ください。

アクションへの入力

なし

アクションの出力

アカウントを無効にするアクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

アカウントを無効にするアクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

User account disabled successfully.

Some errors occurred. Please check the logs.

 アクションが成功しました。
Disable user account was not successful.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[アカウントを無効にする] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

アカウントを有効にする

Microsoft Entra ID でアカウントを有効にするには、[Enable Account] アクションを使用します。このアクションでは、User エンティティを username@domain 形式で構成する必要があります。

このアクションは、Google SecOps User エンティティに対して実行されます。

追加の権限を設定する

アカウントを有効にするアクションでは、アプリケーションに次の API 権限を追加で構成する必要があります。

  • User.EnableDisableAccount.All

Microsoft Entra ID で API 権限を構成する方法については、このドキュメントの API 権限を構成するをご覧ください。

アクションへの入力

なし

アクションの出力

アカウントを有効にするアクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

アカウントを有効にするアクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

User account was enabled successfully.

Some errors occurred. Please check the logs.

 アクションが成功しました。
Enable user account was not successful.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、アカウントを有効にするアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ホストを拡充する

[Enrich Host] アクションを使用して、Microsoft Entra ID の情報で Google SecOps Host エンティティを拡充します。このアクションは、Microsoft Entra ID のデバイス displayName フィールドを使用して、指定された Host エンティティの一致を検索します。

このアクションは、Google SecOps Host エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

Enrich Host アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
エンティティ拡充テーブル

ホストを拡充アクションは、次のエンティティ拡充をサポートしています。

拡充フィールド ロジック
AAD_Name JSON の結果に存在する場合に返します。
AAD_Enabled JSON の結果に存在する場合に返します。
AAD_Property Device ID JSON の結果に存在する場合に返します。
AAD_OS JSON の結果に存在する場合に返します。
AAD_Version JSON の結果に存在する場合に返します。
AAD_Profile Type JSON の結果に存在する場合に返します。
AAD_Compliant JSON の結果に存在する場合に返します。
AAD_Last Sign In JSON の結果に存在する場合に返します。
JSON の結果

次の例は、Enrich Host アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
    {
        "EntityResult": {
            "deletedDateTime": "1234569",
            "complianceExpirationDateTime": "1234567",
            "profileType": "RegisteredDevice",
            "key": "007",
            "if":"889922-aaaa-123123"
        },
        "Entity": "us-lt-v13001"
    }
]
出力メッセージ

Enrich Host アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Host details were fetched successfully: HOSTNAME.

Some errors occurred. Please check log.

 アクションが成功しました。
Host details were not found.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、ホストを拡充アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ユーザーを拡充

[Enrich User] アクションを使用して、Microsoft Entra ID の情報で Google SecOps User エンティティを拡充します。このアクションでは、User エンティティを username@domain 形式で構成する必要があります。

このアクションは、Google SecOps Host エンティティに対して実行されます。

アクションへの入力

ユーザーを拡充アクションには、次のパラメータが必要です。

パラメータ 説明
Include MFA Details

省略可。

選択すると、アクションはユーザーに関する MFA の詳細を返します。
Include Last Sign In Details

省略可。

選択すると、このアクションはユーザーのログイン アクティビティ（インタラクティブなログイン タイムスタンプと非インタラクティブなログイン タイムスタンプの両方を含む）を取得します。

アクションの出力

Enrich User アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
エンティティ拡充テーブル

Enrich User アクションは、次のエンティティの拡充をサポートしています。

拡充フィールド ロジック
AAD_Name JSON の結果に存在する場合に返します。
AAD_Mobile Phone JSON の結果に存在する場合に返します。
AAD_Preferred Language JSON の結果に存在する場合に返します。
AAD_Job Title JSON の結果に存在する場合に返します。
AAD_Username JSON の結果に存在する場合に返します。
JSON の結果

次の例は、Enrich User アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
  {
    "Entity": "user@domain.com",
    "EntityResult": {
      "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#users/$entity",
      "accountEnabled": true,
      "ageGroup": null,
      "businessPhones": [],
      "city": "New York",
      "companyName": "ExampleCorp",
      "consentProvidedForMinor": null,
      "country": "US",
      "createdDateTime": "2025-01-01T00:00:00Z",
      "creationType": null,
      "department": "Security",
      "displayName": "User Name",
      "mail": "user@domain.com",
      "employeeId": "12345",
      "employeeHireDate": null,
      "employeeType": null,
      "externalUserStateChangeDateTime": null,
      "faxNumber": null,
      "givenName": "User",
      "imAddresses": [],
      "externalUserState": null,
      "jobTitle": "Security Analyst",
      "surname": "Surname",
      "lastPasswordChangeDateTime": "2025-01-01T00:00:00Z",
      "legalAgeGroupClassification": null,
      "mailNickname": "usernickname",
      "mobilePhone": "+11234567890",
      "id": "user-id-12345",
      "officeLocation": null,
      "onPremisesSamAccountName": null,
      "onPremisesDistinguishedName": null,
      "onPremisesDomainName": null,
      "onPremisesImmutableId": null,
      "onPremisesLastSyncDateTime": null,
      "onPremisesProvisioningErrors": [],
      "onPremisesSecurityIdentifier": null,
      "onPremisesSyncEnabled": null,
      "onPremisesUserPrincipalName": null,
      "otherMails": [],
      "passwordPolicies": "None",
      "preferredDataLocation": null,
      "preferredLanguage": "en-US",
      "proxyAddresses": [],
      "signInSessionsValidFromDateTime": "2025-01-01T00:00:00Z",
      "state": "NY",
      "streetAddress": "123 Main St",
      "usageLocation": "US",
      "userPrincipalName": "user@domain.com",
      "userType": "Member",
      "postalCode": "10001",
      "deletedDateTime": null,
      "showInAddressList": null,
      "isResourceAccount": null,
      "refreshTokensValidFromDateTime": "2025-01-01T00:00:00Z",
      "employeeOrgData": null,
      "passwordProfile": null,
      "authorizationInfo": {
        "certificateUserIds": []
      },
      "mfa_details": {
        "id": "user-id-12345",
        "userPrincipalName": "user@domain.com",
        "userDisplayName": "User Name",
        "userType": "member",
        "isAdmin": false,
        "isSsprRegistered": true,
        "isSsprEnabled": true,
        "isSsprCapable": true
        "isMfaRegistered": true,
        "isMfaCapable": true,
        "isPasswordlessCapable": false,
        "methodsRegistered": [
          "email",
          "mobilePhone"
        ],
        "defaultMfaMethod": "mobilePhone",
        "isSystemPreferredAuthenticationMethodEnabled": false,
        "systemPreferredAuthenticationMethods": [],
        "userPreferredMethodForSecondaryAuthentication": "oath",
        "lastUpdatedDateTime": "2026-01-01T00:00:00Z"
      }
    }
  }
]
出力メッセージ

Enrich User アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

User details were fetched successfully: USERNAME.

Some errors occurred. Please check the logs.

 アクションが成功しました。
Users list fetch was not successful.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Enrich User アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

パスワードの更新を強制する

[パスワードの更新を強制する] アクションを使用して、ユーザーにパスワードの更新を強制します。この操作を行うと、ユーザーは次回のログイン時にパスワードを変更する必要があります。

[Force Password Update] アクションでは、User エンティティを username@domain 形式で構成する必要があります。

このアクションは、Google SecOps User エンティティに対して実行されます。

追加の権限を設定する

パスワードの更新を強制するアクションでは、アプリケーションに次の API 権限を追加で構成する必要があります。

  • User-PasswordProfile.ReadWrite.All

Microsoft Entra ID で API 権限を構成する方法については、このドキュメントの API 権限を構成するをご覧ください。

アプリケーションにロールを割り当てる

[パスワードの更新を強制する] アクションでは、アプリケーションに Password Administrator ロールを割り当てる必要があります。

アプリケーションに Password Administrator ロールを割り当てるには、次の操作を行います。

  1. Microsoft アカウントを使用して Azure ポータルにログインします。
  2. Microsoft Entra ID で、[Roles and administrators] を検索します。
  3. リストから Password Administrator ロールを選択または検索します。
  4. [割り当てを追加] をクリックします。
  5. 統合で使用するアカウント（メンバー）を選択し、[次へ] をクリックします。
  6. ロールを割り当てる理由を入力します。
  7. [割り当て] をクリックします。

アクションへの入力

なし

アクションの出力

パスワードの更新を強制するアクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

[パスワードの更新を強制する] 操作では、次の出力メッセージが返されることがあります。

出力メッセージ メッセージの説明

Force password update on the user was successful.

Some errors occurred. Please check the logs.

 アクションが成功しました。
Attempt to Force user password update was not successful.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[パスワードの更新を強制する] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

マネージャーの連絡先情報を取得する

[Get Manager Contact Details] アクションを使用して、ユーザーのマネージャーの連絡先情報を取得します。

[Get Manager Contact Details] アクションでは、User エンティティを username@domain 形式で構成する必要があります。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

Get Manager Contact Details アクションには、次のパラメータが必要です。

パラメータ 説明
Fields To Return

省略可。

取得する特定のマネージャー プロファイル属性のカンマ区切りのリスト。

値を指定しない場合、アクションは API で定義されたデフォルトの属性セットを返します。

デフォルト値は accountEnabled,ageGroup,assignedLicenses, businessPhones,city,companyName,consentProvidedForMinor,country, createdDateTime,creationType,department,displayName,mail,employeeId, employeeHireDate,employeeOrgData,employeeType,onPremisesExtensionAttributes, externalUserStateChangeDateTime,faxNumber,givenName,imAddresses,identities, externalUserState,jobTitle,surname,lastPasswordChangeDateTime, legalAgeGroupClassification,mailNickname,mobilePhone,id,officeLocation, onPremisesSamAccountName,onPremisesDistinguishedName,onPremisesDomainName, onPremisesImmutableId,onPremisesLastSyncDateTime, onPremisesProvisioningErrors,onPremisesSecurityIdentifier, onPremisesSyncEnabled,onPremisesUserPrincipalName,otherMails, passwordPolicies,passwordProfile,preferredDataLocation,preferredLanguage, proxyAddresses,signInSessionsValidFromDateTime,sponsors,state,streetAddress, usageLocation,userPrincipalName,userType,postalCode,authorizationInfo, deletedDateTime,showInAddressList,isResourceAccount, refreshTokensValidFromDateTime です。
Include MFA Details

省略可。

選択すると、アクションはユーザーに関する MFA の詳細を返します。
Include Last Sign In Details

省略可。

選択すると、このアクションはユーザーのログイン アクティビティ（インタラクティブなログイン タイムスタンプと非インタラクティブなログイン タイムスタンプの両方を含む）を取得します。

アクションの出力

[Get Manager Contact Details] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

Get Manager Contact Details アクションは、Google SecOps で次のテーブルを返すことができます。

テーブル名: Manager contact

列:

  • 名前
  • 電話番号
エンティティ拡充テーブル

[Get Manager Contact Details] アクションは、次のエンティティの拡充をサポートしています。

拡充フィールド ロジック
Display Name JSON の結果に存在する場合に返します。
Mobile Phone JSON の結果に存在する場合に返します。
@odata.context JSON の結果に存在する場合に返します。
AAD_Job Title JSON の結果に存在する場合に返します。
AAD_Username JSON の結果に存在する場合に返します。
JSON の結果

次の例は、Get Manager Contact Details アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
  {
    "Entity": "user@example.com",
    "EntityResult": {
      "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#users/$entity",
      "accountEnabled": true,
      "ageGroup": null,
      "businessPhones": [],
      "city": "Anytown",
      "companyName": "Example Corporation",
      "consentProvidedForMinor": null,
      "country": "US",
      "createdDateTime": "2025-01-01T00:00:00Z",
      "creationType": null,
      "department": "Security Operations",
      "displayName": "Internal User",
      "mail": "user@example.com",
      "employeeId": "ID-00001",
      "employeeHireDate": null,
      "employeeType": "Full-time",
      "externalUserStateChangeDateTime": null,
      "faxNumber": null,
      "givenName": "Alex",
      "imAddresses": [],
      "externalUserState": null,
      "jobTitle": "Security Lead",
      "surname": "Doe",
      "lastPasswordChangeDateTime": "2025-01-01T00:00:00Z",
      "legalAgeGroupClassification": null,
      "mailNickname": "alexdoe",
      "mobilePhone": "+1 555-0100",
      "id": "00000000-0000-0000-0000-000000000000",
      "officeLocation": null,
      "usageLocation": "US",
      "userPrincipalName": "user@example.com",
      "userType": "Member",
      "postalCode": "00000",
      "deletedDateTime": null,
      "showInAddressList": null,
      "isResourceAccount": null,
      "refreshTokensValidFromDateTime": "2025-01-01T00:00:00Z",
      "employeeOrgData": null,
      "authorizationInfo": {
        "certificateUserIds": []
      },
      "sponsors": [],
      "mfa_details": {
        "id": "00000000-0000-0000-0000-000000000000",
        "userPrincipalName": "user@example.com",
        "userDisplayName": "Internal User",
        "userType": "member",
        "isAdmin": true,
        "isSsprRegistered": false,
        "isSsprEnabled": true,
        "isSsprCapable": false,
        "isMfaRegistered": true,
        "isMfaCapable": true,
        "isPasswordlessCapable": false,
        "methodsRegistered": [
          "mobilePhone",
          "softwareOneTimePasscode"
        ],
        "defaultMfaMethod": "softwareOneTimePasscode",
        "isSystemPreferredAuthenticationMethodEnabled": true,
        "systemPreferredAuthenticationMethods": [
          "SoftwareOTP"
        ],
        "userPreferredMethodForSecondaryAuthentication": "oath",
        "lastUpdatedDateTime": "2026-01-01T00:00:00Z"
      }
    }
  }
]
出力メッセージ

Get Manager Contact Details アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

User manager details were fetched successfully.

Some errors occurred. Please check the logs.

 アクションが成功しました。
Could not fetch user manager's details successfully.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Get Manager Contact Details アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ユーザーがグループに属しているかどうか

[Is User in Group] アクションを使用して、ユーザーが特定の Microsoft Entra ID グループのメンバーであるかどうかを確認します。このアクションでは、User エンティティを username@domain 形式で構成する必要があります。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

Is User in Group アクションには、次のパラメータが必要です。

パラメータ 説明
Group ID 必須

ユーザーを追加する Microsoft Entra ID グループの ID（00e40000-1971-439d-80fc-d0e000001dbd など）。

アクションの出力

Is User in Group アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、Is User in Group アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
    {
        "EntityResult": "true",
        "Entity": "user@example.com"
    }
]
出力メッセージ

Is User in Group アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

The following user was found in the group: USER_ID.

Some errors occurred. Please check the logs.

 アクションが成功しました。
User was not found in the group.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Is User in Group アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

グループの一覧表示

List Groups アクションを使用して、指定した検索条件で Microsoft Entra ID グループを一覧表示します。

リスティング グループ アクションの場合、フィルタリングは Name フィールドで機能します。

このアクションは Google SecOps エンティティでは実行されません。

アクションへの入力

List Groups アクションには、次のパラメータが必要です。

パラメータ 説明
Order By 省略可

返されたグループを名前で並べ替える順序。

デフォルト値は ASC です。

値は次のいずれかになります。

  • DESC
  • ASC
Results Limit 省略可

返されるグループの最大数。
Filter Logic 省略可

グループを名前でフィルタするロジック。

デフォルト値は Equal です。

値は次のいずれかになります。

  • Equal
  • Contains
Filter Value 省略可

選択したフィルタ ロジックを使用してグループをフィルタする値。この値はグループ名に適用されます。

Equal を選択すると、アクションは結果から完全一致を探します。Contain を選択すると、指定された部分文字列を含む結果が検索されます。

値を設定しない場合、フィルタは適用されません。

アクションの出力

[List Groups] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

List Groups アクションは、Google SecOps で次のテーブルを返すことができます。

テーブル名: Groups

列:

  • 名前
  • ID
  • 説明
  • メール
  • 作成日時
  • グループの種類
エンティティ拡充テーブル

List Groups アクションは、次のエンティティの拡充をサポートしています。

拡充フィールド ロジック
Group Type JSON の結果に存在する場合に返します。
ID JSON の結果に存在する場合に返します。
Name JSON の結果に存在する場合に返します。
Description JSON の結果に存在する場合に返します。
Created Time JSON の結果に存在する場合に返します。
JSON の結果

次の例は、List Groups アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
  {
    "Group_Type": "managed",
    "Id": "1212-12312-123",
    "Name": "Group Name",
    "Description": "This group is ...",
    "Created_Time": "2019-10-24T19:10:18Z",
    "onPremisesSamAccountName": "alext"
  }
]
出力メッセージ

リスティング グループ アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Groups list was fetched successfully.

Some errors occurred. Please check the logs.

 アクションが成功しました。
Groups list fetch was not successful.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、List Groups アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

グループのメンバーを一覧表示する

[List Members in the Group] アクションを使用して、指定した Microsoft Entra ID グループのメンバーを一覧表示します。

フィルタリング ロジックは、Filter Key パラメータ値に基づいて機能します。

このアクションは Google SecOps エンティティでは実行されません。

アクションへの入力

[List Members in the Group] アクションには、次のパラメータが必要です。

パラメータ 説明
Max Records To Return 省略可

返すレコードの最大数。

デフォルト値は 50 です。
Group Name 省略可

メンバーを一覧表示する Microsoft Entra ID グループの名前。
Group ID 省略可

メンバーを一覧表示する Microsoft Entra ID グループの ID。Group Name パラメータと Group ID パラメータの両方を構成すると、アクションは Group ID パラメータ値を使用します。
Filter Key 省略可

グループ メンバーをフィルタするフィールド（User Display Name など）。

値は次のいずれかになります。

  • Select One
  • User Display Name
  • User Principal Name
  • User Mail Name
Filter Logic 省略可

フィルタに適用するロジック。

値は次のいずれかになります。

  • Not Specified
  • Equal
  • Contains
Filter Value 省略可

選択した Filter Key パラメータ値と Filter Logic パラメータ値に基づいてグループ メンバーをフィルタするために使用する値。

Equal を選択すると、アクションは結果から完全一致を探します。Contain を選択すると、指定された部分文字列を含む結果が検索されます。

値を設定しない場合、フィルタは適用されません。

アクションの出力

[List Members in the Group] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

[List Members in the Group] アクションは、Google SecOps で次のテーブルを返すことができます。

テーブル名: グループの利用可能なメンバー

列:

  • ID
  • ユーザー プリンシパル名
  • 表示名
  • 姓
  • 名
  • メール
  • 役職
  • ビジネス用スマートフォン
  • スマートフォン
  • オフィスの所在地
  • 優先言語
JSON の結果

次の例は、グループ内のメンバーを一覧表示するアクションを使用した場合に受信される JSON 結果の出力を示しています。

[
  {
    "@odata.type": "#microsoft.graph.user",
    "id": "b786d3cf-e97d-4511-b61c-0559e9f4da75",
    "businessPhones": [],
    "displayName": "Alex T",
    "givenName": "Alex",
    "jobTitle": "Software Engineer",
    "mail": "alex.t@example.com",
    "mobilePhone": null,
    "officeLocation": "Building A",
    "preferredLanguage": "en-US",
    "surname": "T",
    "userPrincipalName": "alex.t@example.com"
  }
]
出力メッセージ

List Members in the Group アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully found members for the provided criteria in Azure AD group.

No members were found for the provided criteria in Azure AD group.

The filter was not applied, because parameter "Filter Value" has an empty value.

 アクションが成功しました。
Error executing action "List Members in the Group". Reason: ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[グループのメンバーを一覧表示する] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ユーザーのグループ メンバーシップを一覧表示する

[List User's Groups Membership] アクションを使用して、ユーザーがメンバーになっている Microsoft Entra ID グループを一覧表示します。

ユーザー名は、エンティティまたはアクション入力パラメータとして指定できます。ユーザー名をエンティティと入力パラメータの両方として構成すると、アクションは入力パラメータを使用します。

ユーザー名を構成するには、username@domain 形式に従います。

このアクションは、Google SecOps Username エンティティに対して実行されます。

アクションへの入力

List User's Groups Membership アクションには、次のパラメータが必要です。

パラメータ 説明
User Name 省略可

グループ メンバーシップを取得するユーザー名のカンマ区切りのリスト（username@domain など）。値を設定しない場合、アクションは Username エンティティのユーザー識別子を使用します。
Return Only Security Enabled Groups 省略可

選択すると、ユーザーが属するセキュリティ対応グループのみが返されます。

デフォルトでは選択されていません。
Return Detailed Groups Information 省略可

選択すると、アクションは Microsoft Entra ID グループに関する詳細情報を返します。

デフォルトでは選択されていません。
Filter Key 省略可

グループのフィルタリングに使用するキー。

デフォルト値は Select One です。

値は次のいずれかになります。

  • Select One
  • Group Display Name
  • Group Description
Filter Logic 省略可

グループをフィルタリングするときに適用するロジック。

デフォルト値は Not Specified です。

次の値を指定できます。

  • Not Specified
  • Equal
  • Contains
Filter Value 省略可

グループのフィルタリングに使用する値。

Equal を選択すると、アクションは結果から完全一致を探します。Contain を選択すると、指定された部分文字列を含む結果が検索されます。

値を設定しない場合、フィルタは適用されません。
Max Records To Return 省略可

返すレコードの最大数。値を設定しない場合、アクションはデフォルトで 50 件のレコードを返します。

アクションの出力

[List User's Groups Membership] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

ユーザーのグループ メンバーシップを一覧表示するアクションは、Google SecOps で次のテーブルを返すことができます。

テーブル名: グループ メンバーシップ

列:

  • ID
  • 表示名
  • 説明
  • セキュリティが有効
  • セキュリティ識別子
  • Created DateTime
  • 分類
  • 公開設定
  • メール
  • メールが有効
  • メールのニックネーム
JSON の結果

次の例は、List User's Groups Membership アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#Collection(Edm.String)",
    "value": [
        "ID",
        "ID",
        "ID",
    ]
}
出力メッセージ

ユーザーのグループ メンバーシップを一覧表示するアクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully found groups for the provided criteria for the following entities: ENTITY_ID

The following entities were not found in the Azure AD: ENTITY_ID

No groups were found in Azure Active Directory for the following entities: ENTITY_ID

The filter was not applied, because parameter "Filter Value" has an empty value.

 アクションが成功しました。
Error executing action "List User's Groups Membership". Reason: ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、ユーザーのグループ メンバーシップを一覧表示するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ユーザーの一覧表示

List Users アクションを使用して、指定した検索条件で Microsoft Entra ID ユーザーを一覧表示します。

[List Users] アクションの場合、フィルタリングは Username（userPrincipalName）フィールドで機能します。

このアクションは Google SecOps エンティティでは実行されません。

アクションへの入力

List Users アクションには、次のパラメータが必要です。

パラメータ 説明
Filter 省略可

結果に含めるフィールド。

デフォルト値は All Fields です。

値は次のいずれかになります。

  • All Fields
  • displayName
  • userPrincipalName
  • id
  • jobTitle
  • mail
  • mobilePhone
  • preferredLanguage
  • surname
  • givenName
Order By Field 省略可

結果の並べ替え基準となるフィールド。

デフォルト値は displayName です。

値は次のいずれかになります。

  • displayName
  • userPrincipalName
Order By 省略可

結果の順序（昇順または降順）。

デフォルト値は ASC です。

値は次のいずれかになります。

  • DESC
  • ASC
Results Limit 省略可

返されるユーザーの最大数。
Advanced Filter Logic 省略可

Username（userPrincipalName）フィールドに適用される高度なフィルタリングに使用するロジック。

デフォルト値は Equal です。

次の値を指定できます。

  • Equal
  • Contains
Advanced Filter Value 省略可

Username（userPrincipalName）フィールドの高度なフィルタで使用する値。

Equal を選択すると、アクションは結果から完全一致を探します。Contain を選択すると、指定された部分文字列を含む結果が検索されます。

値を設定しない場合、フィルタは適用されません。

アクションの出力

[List Users] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
エンティティ拡充テーブル 利用可能
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

List Users アクションは、Google SecOps で次のテーブルを返すことができます。

テーブル名: Users

列:

  • 名前
  • ユーザー名
  • ID
  • 名
  • 優先言語
  • メール
  • スマートフォン
  • 姓
  • 役職
エンティティ拡充テーブル

List Users アクションは、次のエンティティの拡充をサポートしています。

拡充フィールド ロジック
Username JSON の結果に存在する場合に返します。
Surname JSON の結果に存在する場合に返します。
Name JSON の結果に存在する場合に返します。
Job Title JSON の結果に存在する場合に返します。
Mail JSON の結果に存在する場合に返します。
JSON の結果

次の例は、List Users アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
    {
        "Group Type": "managed",
        "Id": "ID",
        "Name": "Example",
        "Description": "Example",
        "Created Time":"2019-10-24T19:10:18Z"
    }
]
出力メッセージ

ユーザーを一覧表示するアクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

List of users was fetched successfully.

Some errors occurred. Please check the logs.

 アクションが成功しました。
User list fetch was not successful.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、ユーザーを一覧表示アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

Ping

[Ping] アクションを使用して、Microsoft Entra ID への接続性をテストします。

このアクションは、すべての Google SecOps エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

Ping アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Ping アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Connection established successfully.

 アクションが成功しました。
Connection could not be established successfully.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

グループからユーザーを削除する

グループからユーザーを削除するアクションを使用して、Microsoft Entra ID の指定されたグループからユーザーを削除します。

ユーザー名は、エンティティまたはアクション入力パラメータとして指定できます。ユーザー名をエンティティと入力パラメータの両方として構成すると、アクションは入力パラメータを使用します。

ユーザー名を構成するには、username@domain 形式に従います。

このアクションは、Google SecOps Username エンティティに対して実行されます。

アクションへの入力

Remove User from the Group アクションには、次のパラメータが必要です。

パラメータ 説明
User Name 省略可

指定したグループから削除するユーザー名のカンマ区切りの文字列。このパラメータ値を構成するには、username@domain 形式を使用します。

値を設定しない場合、アクションはアクション インシデントのユーザー エンティティのユーザー名で実行されます。
Group Name 省略可

ユーザーを削除するグループの名前。
Group ID 省略可

ユーザーを削除するグループの ID。

Group Name と Group ID の両方のパラメータを設定した場合、アクションは Group ID の値を優先します。

アクションの出力

Remove User from the Group アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Remove User from the Group アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully removed the following entities from the Azure AD group: ENTITY_ID

The following entities were not found in the Azure AD: ENTITY_ID

No usernames were removed from the Azure AD group.

 アクションが成功しました。
Error executing action "Remove User from the Group". Reason: ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[Remove User from the Group] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ユーザー パスワードを再設定

[Reset User Password] アクションを使用して、ユーザー パスワードをアクションで指定したパスワードに再設定します。この操作を行うと、ユーザーは次回ログイン時にパスワードを変更する必要があります。

ユーザー パスワードを再設定するアクションでは、User エンティティを username@domain 形式で構成する必要があります。

このアクションは、Google SecOps User エンティティに対して実行されます。

アプリケーションにロールを割り当てる

ユーザー パスワードをリセットアクションでは、アプリケーションに Password Administrator ロールを割り当てる必要があります。

アプリケーションに Password Administrator ロールを割り当てるには、次の操作を行います。

  1. Microsoft アカウントを使用して Azure ポータルにログインします。
  2. Microsoft Entra ID で、[Roles and administrators] を検索します。
  3. リストから Password Administrator ロールを選択または検索します。
  4. [割り当てを追加] をクリックします。
  5. 統合で使用するアカウント（メンバー）を選択し、[次へ] をクリックします。
  6. ロールを割り当てる理由を入力します。
  7. [割り当て] をクリックします。

アクションへの入力

ユーザー パスワードを再設定するアクションには、次のパラメータが必要です。

パラメータ 説明
Password 必須

ユーザーに設定する新しいパスワード。

アクションの出力

ユーザー パスワードを再設定アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Reset User Password アクションは、次の出力メッセージを返すことがあります。

出力メッセージ メッセージの説明

User password was reset successfully.

Some errors occurred. Please check the logs.

 アクションが成功しました。
User password reset was not successful.

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、[Reset User Password] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

ユーザー セッションの取り消し

ユーザー セッションを取り消すには、[Revoke User Session] アクションを使用します。

このアクションは、次の Google SecOps エンティティに対して実行されます。

  • Username
  • Email Address

アクションへの入力

なし

アクションの出力

[Revoke User Session] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、ユーザー セッションを取り消すアクションを使用した場合に受信される JSON 結果の出力を示しています。

  • ユーザーが存在する場合:

    {
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#Edm.Boolean",
    "value": true
}

  • ユーザーが見つからない場合:

    {
    "error": "User not found."
}
出力メッセージ

ユーザー セッションの取り消しアクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully revoked sessions for the following users in Azure AD: ENTITY_ID

Action wasn't able to find the following users in Azure AD: ENTITY_ID

None of the provided users were found in Azure AD.

 アクションが成功しました。
Error executing action "Revoke User Session". Reason: ERROR_REASON

アクションが失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、ユーザー セッションを取り消すアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名 値
is_success True または False

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。