Azure informazioni di riferimento sul connettore dati BLOB di archiviazione per codeless Connector Framework

Per creare un connettore di dati blob di archiviazione Azure con Codeless Connector Framework (CCF), usare questo riferimento oltre all'articolo Microsoft Sentinel API REST per connettori dati.

Ogni dataConnector rappresenta una connessione specifica di un connettore dati Microsoft Sentinel. Un connettore dati potrebbe avere più connessioni, che recuperano dati da endpoint diversi. La configurazione JSON creata usando questo documento di riferimento viene usata per completare il modello di distribuzione per il connettore dati CCF.

Per altre informazioni, vedere Creare un connettore senza codice per Microsoft Sentinel.

Compilare il connettore dati CCF del BLOB di archiviazione Azure

Semplificare lo sviluppo della connessione dell'origine dati blob di archiviazione Azure con un modello di distribuzione del connettore di dati CCF del BLOB di archiviazione di esempio. Per altre informazioni, vedere Modello CCF Connector StorageBlob.

Con la maggior parte delle sezioni del modello di distribuzione compilate, è sufficiente compilare solo i primi due componenti, la tabella di output e il DCR. Per altre informazioni, vedere le sezioni Definizione tabella di output e Regola raccolta dati (DCR).

Connettori dati - Creare o aggiornare

Fare riferimento all'operazione Di creazione o aggiornamento nella documentazione dell'API REST per trovare la versione più recente dell'API stabile o di anteprima. La differenza tra l'operazione di creazione e aggiornamento è che l'aggiornamento richiede il valore etag .

Metodo PUT

https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.OperationalInsights/workspaces/{{workspaceName}}/providers/Microsoft.SecurityInsights/dataConnectors/{{dataConnectorId}}?api-version={{apiVersion}}

Parametri URI

Per altre informazioni sulla versione più recente dell'API, vedere Connettori dati - Creare o aggiornare parametri URI.

Corpo della richiesta

Il corpo della richiesta per un StorageAccountBlobContainer connettore dati CCF ha la struttura seguente:

{
   "name": "{{dataConnectorId}}",
   "kind": "StorageAccountBlobContainer",
   "etag": "",
   "properties": {
        "connectorDefinitionName": "",
        "auth": {},
        "request": {},
        "dcrConfig": {},
        "response": {}
   }
}

StorageAccountBlobContainer

StorageAccountBlobContainer rappresenta un connettore dati CCF in cui sono già stati configurati i payload di risposta previsti per l'origine dati blob di archiviazione Azure. La configurazione del producer per l'invio dei dati al BLOB di archiviazione deve essere eseguita separatamente.

Configurazione dell'autenticazione

Il connettore BLOB di archiviazione Azure si basa su un'entità servizio creata nel tenant associata a un'applicazione multi-tenant gestita da Microsoft (progetto dell'entità servizio). L'amministratore del tenant deve concedere il consenso per creare questa entità servizio. Il modello arm offre la possibilità di verificare se l'entità servizio associata all'applicazione esiste già nel tenant e, in caso contrario, offre un'opzione per creare l'entità servizio con il consenso dell'utente.

L'esempio di modello arm include operazioni per applicare tutti gli accessi in base al ruolo necessari all'account di archiviazione per leggere i BLOB e contribuire alle code. Assicurarsi che il modello e le entità servizio usate siano associati all'applicazione per l'ambiente e che sia stato concesso il consenso dell'amministratore del tenant.

Nella tabella seguente sono elencati gli ID applicazione per ogni ambiente Azure:

Esempio di autenticazione StorageAccountBlobContainer:

"auth": {
    "type": "ServicePrincipal"
}

Configurazione della richiesta

La sezione della richiesta descrive le code di archiviazione Azure che ricevono messaggi di evento creati dal BLOB.

Esempio di richiesta StorageAccountBlobContainer:

"request": {
    "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
    "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
}

Configurazione della risposta

Definire la gestione della risposta del connettore dati con i parametri seguenti:

Esempi di configurazione della risposta

JSON non compresso:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "json"
}

CSV compresso:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "csv",
    "IsGzipCompressed": true
}

Parquet (la compressione può essere dedotta):

"response": {
    "EventsJsonPaths": ["$"],
    "format": "parquet"
}

Configurazione DCR

Esempio di connettore dati CCF

Ecco un esempio di tutti i componenti del StorageAccountBlobContainer connettore dati CCF JSON insieme.

{
    "kind": "StorageAccountBlobContainer",
    "properties": {
        "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
        "dcrConfig": {
            "streamName": "[variables('streamName')]",
            "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
            "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]"
        },
        "auth": {
            "type": "ServicePrincipal"
        },
        "request": {
            "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
            "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
        }
    }
}

Per altre informazioni, vedere Creare un esempio di API REST del connettore dati.

Contenuto correlato

• Configurare il connettore di archiviazione Azure per trasmettere i log a Microsoft Sentinel
• Creare un connettore senza codice per Microsoft Sentinel
• Abilitare la sicurezza di rete nelle risorse di archiviazione integrate del connettore