Tilpas lagerinstallationer

Der er to primære måder at tilpasse udrulningen af dit lagerindhold på Microsoft Sentinel arbejdsområder. Hver metode bruger forskellige filer og syntaks, så overvej disse eksempler for at komme i gang.

Forudsætninger

Hvis du vil tilpasse en udrulning af lagre, skal der findes en lagerforbindelse. Du kan få flere oplysninger om oprettelse af forbindelsen under Installér brugerdefineret indhold fra dit lager. Når forbindelsen er oprettet, gælder følgende forudsætninger:

• Samarbejdspartneradgang til dit GitHub-lager eller Project Administrator-adgang til dit Azure DevOps-lager
• Handlinger, der er aktiveret for GitHub og pipelines, som er aktiveret for Azure DevOps
• Sørg for, at brugerdefinerede indholdsfiler, du vil installere i dine arbejdsområder, er i et understøttet format. Hvis du vil se understøttede formater, skal du se Planlæg dit lagerindhold.

Du kan få flere oplysninger om udrullelige indholdstyper under Planlæg dit lagerindhold.

Tilpas arbejdsprocessen eller pipelinen

Standardarbejdsprocessen installerer kun indhold, der er ændret siden sidste installation, baseret på bekræftelser til lageret. Tilpas til at konfigurere forskellige udrulningsudløsere eller til udelukkende at installere indhold fra en bestemt rodmappe.

Vælg en af følgende faner, afhængigt af din forbindelsestype:

Skaler dine installationer med parameterfiler

I stedet for at overføre parametre som indbyggede værdier i dine indholdsfiler kan du overveje at bruge en Bicep-parameterfil eller en JSON-fil, der indeholder parameterværdierne. Knyt derefter disse parameterfiler til deres tilknyttede Microsoft Sentinel indholdsfiler for bedre at skalere dine udrulninger på tværs af forskellige arbejdsområder.

Der er flere måder at knytte parameterfiler til indholdsfilerne på. Vær opmærksom på, at Bicep-parameterfiler kun understøtter Bicep-filskabeloner, men JSON-parameterfiler understøtter begge. Lagerinstallationspipelinen tager parameterfiler i følgende rækkefølge i betragtning:

1. Er der en tilknytning i sentinel-deployment.config?
   Du kan få flere oplysninger under Tilpas forbindelseskonfigurationen.

2. Er der en parameterfil, der er tilknyttet et arbejdsområde? Ja, indholdsfilerne er i den samme mappe med en parameterfil, der er tilknyttet et arbejdsområde, og som svarer til et af disse mønstre:
   .<WorkspaceID.bicepparam.parameters-WorkspaceID>
   <>.json

3. Er der en standardparameterfil? Ja, indholdsfilerne er i samme mappe med en parameterfil, der matcher et af disse mønstre:
   .bicepparam
   .parameters.json

Undgå sammenstød med flere udrulninger af arbejdsområder ved at knytte parameterfilerne via konfigurationsfilen eller angive arbejdsområde-id'et i filnavnet.

Hvis du ændrer den tilknyttede parameterfil, der er angivet i sentinel-deployment.config , udløses installationen af den parrede indholdsfil. Tilføjelse eller ændring af en parameterfil, der er tilknyttet et arbejdsområde eller en standardparameterfil, udløser også en installation af de parrede indholdsfiler sammen med de nyligt ændrede parametre, medmindre der er en parametertilknytning med højere prioritet. Andre indholdsfiler installeres ikke, så længe funktionen til intelligente udrulninger stadig er aktiveret i definitionsfilen for arbejdsprocessen/pipelinen.

Tilpas forbindelseskonfigurationen

Installationsscriptet til lagre understøtter brugen af en installationskonfigurationsfil for hver lagergren fra og med juli 2022. JSON-konfigurationsfilen hjælper dig med at knytte parameterfiler til relevante indholdsfiler, prioritere bestemt indhold i installationer og udelade bestemt indhold fra installationer.

1. Opret filen sentinel-deployment.config i roden af dit lager. Tilføjelse, sletning eller ændring af denne konfigurationsfil udløser en fuld installation af alt indholdet i lageret i henhold til den opdaterede konfiguration.

   

2. Medtag dit strukturerede indhold i tre valgfri sektioner, "prioritizedcontentfiles":, "excludecontentfiles":og "parameterfilemappings":. Hvis der ikke er medtaget nogen sektioner, eller .config-filen er udeladt, kører installationsprocessen stadig. Ugyldige eller ukendte sektioner ignoreres.

Her er et eksempel på hele indholdet af en gyldig sentinel-deployment.config fil. Du kan også finde dette eksempel i eksemplet på Microsoft Sentinel CICD-lagre.

{
  "prioritizedcontentfiles": [
    "parsers/Sample/ASimAuthenticationAWSCloudTrail.json",
    "workbooks/sample/TrendMicroDeepSecurityAttackActivity_ARM.json",
    "Playbooks/PaloAlto-PAN-OS/PaloAltoCustomConnector/azuredeploy.bicep"
  ], 
  "excludecontentfiles": [
     "Detections/Sample/PaloAlto-PortScanning.json",
     "parameters"
  ],
  "parameterfilemappings": {
    "879001c8-2181-4374-be7d-72e5dc69bd2b": {
      "Playbooks/PaloAlto-PAN-OS/Playbooks/PaloAlto-PAN-OS-BlockIP/azuredeploy.bicep": "parameters/samples/auzredeploy.bicepparam"
    },
    "9af71571-7181-4cef-992e-ef3f61506b4e": {
      "Playbooks/Enrich-SentinelIncident-GreyNoiseCommunity-IP/azuredeploy.json": "path/to/any-parameter-file.json"
    }
  },
  "DummySection": "This shouldn't impact deployment"
}

• Sådan prioriterer du indholdsfiler:

  I takt med at mængden af indhold i dit lager vokser, kan udrulningstiden øges. Føj tidsfølsomt indhold til denne sektion for at prioritere udrulningen, når der opstår en udløser.

  Føj fulde stinavne til "prioritizedcontentfiles": sektionen. Jokertegnmatchning understøttes ikke i øjeblikket.

• Hvis du vil udelade indholdsfiler, skal du redigere "excludecontentfiles": sektionen med fulde stinavne på de enkelte .json indholdsfiler.

• Sådan tilknyttes parametre:

  Installationsscriptet accepterer tre metoder til tilknytning af parametre, som beskrevet i Skaler dine installationer med parameterfiler. Tilknytning af parametre via sentinel-deployment.config har den højeste prioritet og garanterer, at en given parameterfil er knyttet til dens tilknyttede indholdsfiler. "parameterfilemappings": Rediger sektionen med destinationsforbindelsens arbejdsområde-id og fulde stinavne på de enkelte .json filer.

Relateret indhold

Der findes et eksempellager, der demonstrerer installationskonfigurationsfilen og alle tre metoder til tilknytning af parametre. Du kan få flere oplysninger under eksempel på Microsoft Sentinel CICD-lagre.

• Forstå strukturen og syntaksen i Bicep-filer
• Parametre i Bicep
• Opret ressourceadministration parameterfil
• Parametre i ARM-skabeloner