Exporter et importer des règles d’automatisation vers et à partir de modèles ARM

  • S’applique à: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Gérez vos règles d’automatisation Microsoft Sentinel en tant que code ! Vous pouvez maintenant exporter vos règles d’automatisation vers des fichiers de modèle Azure Resource Manager (ARM) et importer des règles à partir de ces fichiers, dans le cadre de votre programme pour gérer et contrôler vos déploiements Microsoft Sentinel en tant que code. L’action d’exportation crée un fichier JSON dans l’emplacement des téléchargements de votre navigateur, que vous pouvez ensuite renommer, déplacer et gérer comme n’importe quel autre fichier.

Le fichier JSON exporté étant indépendant de l’espace de travail, il peut être importé dans d’autres espaces de travail et même dans d’autres locataires. En tant que code, il peut également être contrôlé par une version, mis à jour et déployé dans une infrastructure CI/CD managée.

Le fichier inclut tous les paramètres définis dans la règle d’automatisation. Les règles de n’importe quel type de déclencheur peuvent être exportées vers un fichier JSON.

Cet article explique comment exporter et importer des règles d’automatisation.

Importante

Après le 31 mars 2027, Microsoft Sentinel ne seront plus pris en charge dans le Portail Azure et ne seront disponibles que dans le portail Microsoft Defender. Tous les clients qui utilisent Microsoft Sentinel dans le Portail Azure sont redirigés vers le portail Defender et utilisent Microsoft Sentinel dans le portail Defender uniquement.

Si vous utilisez toujours Microsoft Sentinel dans le Portail Azure, nous vous recommandons de commencer à planifier votre transition vers le portail Defender pour garantir une transition en douceur et tirer pleinement parti de l’expérience unifiée des opérations de sécurité offerte par Microsoft Defender.

Règles d’exportation

  1. Dans le menu de navigation Microsoft Sentinel, sélectionnez Automation.

  2. Sélectionnez la règle (ou les règles, voir remarque) que vous souhaitez exporter, puis sélectionnez Exporter dans la barre en haut de l’écran.

    Capture d’écran montrant comment exporter une règle d’automatisation.

    Recherchez le fichier exporté dans votre dossier Téléchargements. Il porte le même nom que la règle d’automatisation, avec une extension .json.

    Remarque

    • Vous pouvez sélectionner plusieurs règles d’automatisation à la fois pour l’exportation en marquant les zones case activée en regard des règles et en sélectionnant Exporter à la fin.

    • Vous pouvez exporter toutes les règles sur une seule page de la grille d’affichage à la fois, en marquant la zone case activée dans la ligne d’en-tête avant de cliquer sur Exporter. Toutefois, vous ne pouvez pas exporter plus d’une page de règles à la fois.

    • Dans ce scénario, un seul fichier (nommé Azure_Sentinel_automation_rules.json) est créé et contient du code JSON pour toutes les règles exportées.

Règles d’importation

  1. Disposer d’un fichier JSON de modèle ARM de règle d’automatisation prêt.

  2. Dans le menu de navigation Microsoft Sentinel, sélectionnez Automation.

  3. Sélectionnez Importer dans la barre en haut de l’écran. Dans la boîte de dialogue qui s’affiche, accédez à et sélectionnez le fichier JSON représentant la règle que vous souhaitez importer, puis sélectionnez Ouvrir.

    Capture d’écran montrant comment importer une règle d’automatisation.

    Remarque

    Vous pouvez importer jusqu’à 50 règles d’automatisation à partir d’un seul fichier de modèle ARM.

Résolution des problèmes

Si vous rencontrez des problèmes lors de l’importation d’une règle d’automatisation exportée, consultez le tableau suivant.

Comportement (avec erreur) Reason Action suggérée
La règle d’automatisation importée est désactivée
- Et-
La condition de règle d’analyse de la règle affiche « Règle inconnue »		 La règle contient une condition qui fait référence à une règle d’analyse qui n’existe pas dans l’espace de travail cible.
  1. Exportez la règle d’analyse référencée à partir de l’espace de travail d’origine et importez-la dans l’espace de travail cible.
  2. Modifiez la règle d’automatisation dans l’espace de travail cible, en choisissant la règle d’analyse maintenant présente dans la liste déroulante.
  3. Activez la règle d’automatisation.
La règle d’automatisation importée est désactivée
- Et-
La condition de clé de détails personnalisés de la règle affiche « Clé de détails personnalisés inconnue »		 La règle contient une condition qui fait référence à une clé de détails personnalisée qui n’est définie dans aucune règle d’analyse de l’espace de travail cible.
  1. Exportez la règle d’analyse référencée à partir de l’espace de travail d’origine et importez-la dans l’espace de travail cible.
  2. Modifiez la règle d’automatisation dans l’espace de travail cible, en choisissant la règle d’analyse maintenant présente dans la liste déroulante.
  3. Activez la règle d’automatisation.
Le déploiement a échoué dans l’espace de travail cible, avec le message d’erreur « Échec du déploiement des règles Automation ».
Les détails du déploiement contiennent les raisons de l’échec répertoriées dans la colonne suivante.		 Le playbook a été déplacé.
- Ou-
Le playbook a été supprimé.
- Ou-
L’espace de travail cible n’a pas accès au playbook.		 Vérifiez que le playbook existe et que l’espace de travail cible dispose du bon accès au groupe de ressources qui contient le playbook.
Le déploiement a échoué dans l’espace de travail cible, avec le message d’erreur « Échec du déploiement des règles Automation ».
Les détails du déploiement contiennent les raisons répertoriées dans la colonne suivante pour l’échec.		 La règle d’automatisation a dépassé sa date d’expiration définie lorsque vous l’avez importée. Si vous souhaitez que la règle reste expirée dans son espace de travail d’origine :
  1. Modifiez le fichier JSON qui représente la règle d’automatisation exportée.
  2. Recherchez la date d’expiration (qui apparaît immédiatement après la chaîne "expirationTimeUtc":) et remplacez-la par une nouvelle date d’expiration (à l’avenir).
  3. Enregistrez le fichier et réimportez-le dans l’espace de travail cible.
Si vous souhaitez que la règle revient à status actif dans son espace de travail d’origine :
  1. Modifiez la règle d’automatisation dans l’espace de travail d’origine et remplacez sa date d’expiration par une date ultérieure.
  2. Réexportez la règle à partir de l’espace de travail d’origine.
  3. Importez la version nouvellement exportée dans l’espace de travail cible.
Le déploiement a échoué dans l’espace de travail cible, avec le message d’erreur :
« Le format du fichier JSON que vous avez tenté d’importer n’est pas valide. Veuillez case activée le fichier et réessayer. »		 Le fichier importé n’est pas un fichier JSON valide. Recherchez les problèmes dans le fichier et réessayez. Pour obtenir de meilleurs résultats, réexportez la règle d’origine vers un nouveau fichier, puis réessayez l’importation.
Le déploiement a échoué dans l’espace de travail cible, avec le message d’erreur :
« Aucune ressource trouvée dans le fichier. Vérifiez que le fichier contient des ressources de déploiement et réessayez. »		 La liste des ressources sous la clé « resources » dans le fichier JSON est vide. Recherchez les problèmes dans le fichier et réessayez. Pour obtenir de meilleurs résultats, réexportez la règle d’origine vers un nouveau fichier, puis réessayez l’importation.

Étapes suivantes

Dans ce document, vous avez appris à exporter et importer des règles d’automatisation vers et à partir de modèles ARM.

  • Last updated on