Azure Blob-tallennustilan tietoyhdistimen viittaus koodittomaan liitinkehykseen

Jos haluat luoda Azure -tallennustilan Blob-tietoliittimen CCF-kehyksen avulla, käytä tätä viittausta Microsoft Sentinel REST API for Data Connectors -artikkelin lisäksi.

Jokainen dataConnector edustaa Microsoft Sentinel -tietoliittimen tiettyä yhteyttä. Yhdellä tietoyhdistimellä voi olla useita yhteyksiä, jotka noutavat tietoja eri päätepisteistä. Tämän viiteasiakirjan avulla luotua JSON-määritystä käytetään CCF-tietoliittimen käyttöönottomallin viimeistelemiseen.

Lisätietoja on artikkelissa Koodittoman liittimen luominen Microsoft Sentinel varten.

Blob-Azure säilön CCF-tietoliittimen luominen

Yksinkertaista Azure säilön Blob-tietolähteen yhdistämistä Blob-tietoyhdistimen mallimallin avulla. Lisätietoja on kohdassa Yhdistimen tallennustilanBlob CCF -malli.

Kun suurin osa käyttöönottomallin osista on täytetty, sinun tarvitsee luoda vain kaksi ensimmäistä osaa, tulostetaulukko ja DCR. Lisätietoja on Output-taulukon määrityksen ja tietojen keräämissäännön (DCR) osioissa.

Tietoyhdistimet - Luo tai päivitä

Katso uusin vakaa tai esikatselun ohjelmointirajapinnan versio rest-ohjelmointirajapinnan ohjeissa luonti- tai päivitystoiminnon avulla. Luonti- ja päivitystoiminnon ero on siinä, että päivitys edellyttää etag-arvoa.

PUT-menetelmä

https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.OperationalInsights/workspaces/{{workspaceName}}/providers/Microsoft.SecurityInsights/dataConnectors/{{dataConnectorId}}?api-version={{apiVersion}}

URI-parametrit

Lisätietoja uusimmasta ohjelmointirajapintaversiosta on kohdassa Tietoyhdistimet – URI-parametrien luominen tai päivittäminen.

Pyynnön leipäteksti

CCF-tietoliittimen pyynnön leipätekstillä StorageAccountBlobContainer on seuraava rakenne:

{
   "name": "{{dataConnectorId}}",
   "kind": "StorageAccountBlobContainer",
   "etag": "",
   "properties": {
        "connectorDefinitionName": "",
        "auth": {},
        "request": {},
        "dcrConfig": {},
        "response": {}
   }
}

StorageAccountBlobContainer

StorageAccountBlobContainer edustaa CCF-tietoyhdistintä, jossa Azure Blob-tallennustilan tietolähteen odotetut vastauskuormat on jo määritetty. Tuottajan määrittäminen lähettämään tietoja Blob-tallennustilaan on tehtävä erikseen.

Todennusmääritys

Azure -säilön Blob-liitin käyttää vuokraajassasi luotua palvelun päänimeä, joka on liitetty Microsoftin hallinnoimaan usean kohteen sovellukseen (palvelun päänimi Blueprint). Vuokraajan järjestelmänvalvojan on myönnettävä suostumus tämän palvelun päänimen luomiseen. ARM-malli tarjoaa mahdollisuuden vahvistaa, onko sovellukseen liittyvä palvelun päänimi jo vuokraajassasi, ja jos ei, tarjoaa mahdollisuuden luoda palvelun päänimi käyttäjän suostumuksella.

ARM-malliesimerkki sisältää toiminnot, joilla käytetään kaikkia tarvittavia roolipohjaisia käyttöoikeuksia tallennustiliin blob-objektien lukemiseksi ja jonoihin osallistumiseksi. Varmista, että malli ja käytetyt palvelun päänimet liittyvät ympäristösi sovellukseen ja että vuokraajan järjestelmänvalvojan suostumus on myönnetty.

Seuraavassa taulukossa on lueteltu sovellustunnukset Azure ympäristöä kohden:

StorageAccountBlobContainer-todennusesimerkki:

"auth": {
    "type": "ServicePrincipal"
}

Pyynnön määritys

Pyyntö-osiossa kuvataan Azure-tallennusjonot, jotka vastaanottavat blob-objektilla luotuja tapahtumaviestejä.

StorageAccountBlobContainer-pyynnön esimerkki:

"request": {
    "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
    "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
}

Vastauksen määritys

Määritä tietoyhdistimen vastausten käsittely seuraavien parametrien avulla:

Vastauksen määritysesimerkkejä

Pakkaamaton JSON:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "json"
}

Pakattu CSV:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "csv",
    "IsGzipCompressed": true
}

Parquet (pakkaus voidaan päätellä):

"response": {
    "EventsJsonPaths": ["$"],
    "format": "parquet"
}

Dcr-määritys

Esimerkki CCF-tietoyhdistimestä

Tässä on esimerkki kaikista CCF-tietoliittimen JSON:n osista StorageAccountBlobContainer yhdessä.

{
    "kind": "StorageAccountBlobContainer",
    "properties": {
        "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
        "dcrConfig": {
            "streamName": "[variables('streamName')]",
            "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
            "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]"
        },
        "auth": {
            "type": "ServicePrincipal"
        },
        "request": {
            "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
            "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
        }
    }
}

Lisätietoja on artikkelissa Tietoliittimen REST-ohjelmointirajapinnan luominen esimerkki.

Aiheeseen liittyvä sisältö

• määritä Azure Storage -liitin virtautettavaksi lokitiedostoksi Microsoft Sentinel
• Luo kooditon liitin Microsoft Sentinel varten
• Ota verkon suojaus käyttöön yhdistimen integroiduissa tallennusresursseissa