Azure datakoblingsreferanse for Storage Blob for Codeless Connector Framework

Hvis du vil opprette en Azure Storage Blob-datakobling med Codeless Connector Framework (CCF), bruker du denne referansen i tillegg til artikkelen Microsoft Sentinel REST-API for datakoblinger.

Hver dataConnector av dem representerer en bestemt tilkobling til en Microsoft Sentinel datakobling. Én datakobling kan ha flere tilkoblinger, som henter data fra forskjellige endepunkter. JSON-konfigurasjonen som er bygget ved hjelp av dette referansedokumentet, brukes til å fullføre distribusjonsmalen for CCF-datakoblingen.

Hvis du vil ha mer informasjon, kan du se Opprette en kodeløs kobling for Microsoft Sentinel.

Bygg Azure Storage Blob CCF-datakoblingen

Forenkle utviklingen av tilkoblingen av datakilden Azure Storage Blob med en eksempel på distribusjonsmal for Lagringsblob CCF-datakobling. Hvis du vil ha mer informasjon , kan du se CCF-mal for Connector StorageBlob.

Med de fleste delene av distribusjonsmalen fylt ut, trenger du bare å bygge de to første komponentene, utdatatabellen og DCR. Hvis du vil ha mer informasjon, kan du se avsnittene Definisjon av utdatatabell og Datainnsamlingsregel (DCR ).

Datakoblinger – Opprett eller oppdater

Referer til opprettings- eller oppdateringsoperasjonen i REST-API-dokumentene for å finne den nyeste stabile API-versjonen eller forhåndsversjonen av API-en. Forskjellen mellom opprettingen og oppdateringsoperasjonen er at oppdateringen krever etag-verdien .

PUT-metode

https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.OperationalInsights/workspaces/{{workspaceName}}/providers/Microsoft.SecurityInsights/dataConnectors/{{dataConnectorId}}?api-version={{apiVersion}}

URI-parametere

Hvis du vil ha mer informasjon om den nyeste API-versjonen, kan du se Datakoblinger – Opprette eller oppdatere URI-parametere.

Forespørselstekst

Forespørselsteksten for en StorageAccountBlobContainer CCF-datakobling har følgende struktur:

{
   "name": "{{dataConnectorId}}",
   "kind": "StorageAccountBlobContainer",
   "etag": "",
   "properties": {
        "connectorDefinitionName": "",
        "auth": {},
        "request": {},
        "dcrConfig": {},
        "response": {}
   }
}

StorageAccountBlobContainer

StorageAccountBlobContainer representerer en CCF-datakobling der de forventede nyttelastene for respons for datakilden for Azure Storage Blob allerede er konfigurert. Konfigurering av produsenten til å sende data til Lagringsblob må gjøres separat.

Godkjenningskonfigurasjon

Azure Storage Blob-koblingen er avhengig av en tjenestekontohaver som er opprettet i leieren, knyttet til et Microsoft-administrert flertenantprogram (plantegning for tjenestekontohaver). Leieradministratoren må gi samtykke for å opprette denne tjenestekontohaveren. ARM-malen gir mulighet til å bekrefte om tjenestekontohaveren som er knyttet til programmet, allerede finnes i leieren, og hvis ikke, gir du et alternativ for å opprette tjenestekontohaveren med brukerens samtykke.

Arm-maleksemplet inneholder operasjoner for å bruke all nødvendig rollebasert tilgang på lagringskontoen for å lese blober og bidra til køer. Kontroller at malen og tjenestekontohaverne som brukes, er knyttet til programmet for miljøet ditt, og at leieradministratorsamtykke er gitt.

Tabellen nedenfor viser program-ID-ene per Azure miljøet:

Eksempel på godkjenning av StorageAccountBlobContainer:

"auth": {
    "type": "ServicePrincipal"
}

Be om konfigurasjon

Forespørselsdelen beskriver Azure Lagringskøer som mottar blobopprettede hendelsesmeldinger.

Eksempel på StorageAccountBlobContainer-forespørsel:

"request": {
    "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
    "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
}

Svarkonfigurasjon

Definer svarbehandlingen for datakoblingen med følgende parametere:

Eksempler på svarkonfigurasjon

Ukomprimert JSON:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "json"
}

Komprimert CSV:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "csv",
    "IsGzipCompressed": true
}

Parquet (komprimering kan utledes):

"response": {
    "EventsJsonPaths": ["$"],
    "format": "parquet"
}

DCR-konfigurasjon

Eksempel på CCF-datakobling

Her er et eksempel på alle komponentene i CCF-datakoblingen StorageAccountBlobContainer JSON sammen.

{
    "kind": "StorageAccountBlobContainer",
    "properties": {
        "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
        "dcrConfig": {
            "streamName": "[variables('streamName')]",
            "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
            "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]"
        },
        "auth": {
            "type": "ServicePrincipal"
        },
        "request": {
            "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
            "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
        }
    }
}

Hvis du vil ha mer informasjon, kan du se Eksempel på OPPRETT REST-API for datakobling.

Beslektet innhold

• Konfigurer Azure Storage-koblingen til å strømme logger til Microsoft Sentinel
• Opprett en kodeløs kobling for Microsoft Sentinel
• Aktiver nettverkssikkerhet på integrerte lagringsressurser for kobling