Azure Reference til Lager-Blob-dataconnector til Codeless Connector Framework

Hvis du vil oprette en Azure Storage Blob-dataconnector med Codeless Connector Framework (CCF), skal du bruge denne reference ud over artiklen Microsoft Sentinel REST API til Data Connectors.

Hver dataConnector repræsenterer en bestemt forbindelse for en Microsoft Sentinel dataconnector. En dataconnector kan have flere forbindelser, som henter data fra forskellige slutpunkter. Den JSON-konfiguration, der oprettes ved hjælp af dette referencedokument, bruges til at fuldføre installationsskabelonen for CCF-dataconnectoren.

Du kan få flere oplysninger under Opret en kodeløs connector til Microsoft Sentinel.

Byg Azure Storage Blob CCF-dataconnectoren

Gør det nemmere at oprette forbindelse til din Azure Storage Blob-datakilde med en eksempelskabelon til udrulning af Storage Blob CCF-dataconnector. Du kan få flere oplysninger under Connector StorageBlob CCF-skabelon.

Når de fleste afsnit med udrulningsskabeloner er udfyldt, skal du kun oprette de første to komponenter, outputtabellen og DCR. Du kan få flere oplysninger i afsnittene Definition af outputtabel og DCR (Data Collection Rule).

Dataconnectors – Opret eller opdater

Se opret eller opdater-handlingen i REST API-dokumentation for at finde den nyeste stabile API-version eller prøveversion. Forskellen mellem oprettelses - og opdateringshandlingen er, at opdateringen kræver etag-værdien .

PUT-metode

https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.OperationalInsights/workspaces/{{workspaceName}}/providers/Microsoft.SecurityInsights/dataConnectors/{{dataConnectorId}}?api-version={{apiVersion}}

URI-parametre

Du kan få flere oplysninger om den nyeste API-version under DataConnectors – Opret eller opdater URI-parametre.

Brødtekst i anmodning

Anmodningens brødtekst for en StorageAccountBlobContainer CCF-dataconnector har følgende struktur:

{
   "name": "{{dataConnectorId}}",
   "kind": "StorageAccountBlobContainer",
   "etag": "",
   "properties": {
        "connectorDefinitionName": "",
        "auth": {},
        "request": {},
        "dcrConfig": {},
        "response": {}
   }
}

StorageAccountBlobContainer

StorageAccountBlobContainer repræsenterer en CCF-dataconnector, hvor de forventede svarnyttedata for din Azure Storage Blob-datakilde allerede er konfigureret. Konfiguration af producenten til at sende data til Lager-Blob skal udføres separat.

Godkendelseskonfiguration

Azure Storage Blob-connectoren er afhængig af en tjenesteprincipal, der er oprettet i din lejer, og som er knyttet til et Microsoft-administreret multitenantprogram (kursusplan for tjenesteprincipal). Lejeradministratoren skal give samtykke for at oprette denne tjenesteprincipal. ARM-skabelonen giver mulighed for at bekræfte, om den tjenesteprincipal, der er knyttet til programmet, allerede findes i din lejer, og hvis ikke, kan du oprette tjenesteprincipalen med brugerens samtykke.

ARM-skabeloneksepelet indeholder handlinger til at anvende al nødvendig rollebaseret adgang på lagerkontoen til at læse blobs og bidrage til køer. Sørg for, at skabelonen og de anvendte tjenesteprincipaler er knyttet til programmet for dit miljø, og at der er givet samtykke til lejeradministratoren.

I følgende tabel vises program-id'erne pr. Azure miljø:

Eksempel på godkendelse af StorageAccountBlobContainer:

"auth": {
    "type": "ServicePrincipal"
}

Anmodningskonfiguration

I anmodningsafsnittet beskrives de Azure Lagerkøer, der modtager meddelelser om bloboprettede hændelser.

Eksempel på anmodning om StorageAccountBlobContainer:

"request": {
    "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
    "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
}

Svarkonfiguration

Definer svarhåndteringen for dataconnectoren med følgende parametre:

Eksempler på svarkonfiguration

Ukomprimeret JSON:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "json"
}

Komprimeret CSV:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "csv",
    "IsGzipCompressed": true
}

Parquet (komprimering kan udledes):

"response": {
    "EventsJsonPaths": ["$"],
    "format": "parquet"
}

DCR-konfiguration

Eksempel på CCF-dataconnector

Her er et eksempel på alle komponenterne i StorageAccountBlobContainer JSON for CCF-dataconnectoren sammen.

{
    "kind": "StorageAccountBlobContainer",
    "properties": {
        "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
        "dcrConfig": {
            "streamName": "[variables('streamName')]",
            "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
            "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]"
        },
        "auth": {
            "type": "ServicePrincipal"
        },
        "request": {
            "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
            "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
        }
    }
}

Du kan få flere oplysninger under Opret REST API-eksempel til dataconnector.

Relateret indhold

• Konfigurer din Azure Storage-connector til at streame logge til Microsoft Sentinel
• Opret en kodeløs connector til Microsoft Sentinel
• Aktivér netværkssikkerhed på forbindelsesintegrerede lagerressourcer