Azure naslaginformatie over storage-blobgegevensconnector voor het connectorframework zonder code

Als u een Azure Storage Blob-gegevensconnector wilt maken met het Codeless Connector Framework (CCF), gebruikt u deze verwijzing naast het artikel Microsoft Sentinel REST API voor gegevensconnectors.

Elk dataConnector vertegenwoordigt een specifieke verbinding van een Microsoft Sentinel-gegevensconnector. Eén gegevensconnector kan meerdere verbindingen hebben, waarmee gegevens van verschillende eindpunten worden opgehaald. De JSON-configuratie die is gebouwd met behulp van dit referentiedocument, wordt gebruikt om de implementatiesjabloon voor de CCF-gegevensconnector te voltooien.

Zie Een connector zonder code maken voor Microsoft Sentinel voor meer informatie.

De Azure Storage Blob CCF-gegevensconnector bouwen

Vereenvoudig de ontwikkeling van het verbinden van uw Azure Storage Blob-gegevensbron met een voorbeeldsjabloon voor de implementatie van een Storage Blob CCF-gegevensconnector. Zie Connector StorageBlob CCF-sjabloon voor meer informatie.

Nu de meeste secties van de implementatiesjabloon zijn ingevuld, hoeft u alleen de eerste twee onderdelen te bouwen, de uitvoertabel en de DCR. Zie de secties Definitie van uitvoertabel en DCR (Data Collection Rule) voor meer informatie.

Gegevensconnectors - Maken of bijwerken

Raadpleeg de bewerking Maken of Bijwerken in de REST API-documenten om de nieuwste stabiele of preview-API-versie te vinden. Het verschil tussen de bewerking maken en bijwerken is dat de update de etag-waarde vereist.

PUT-methode

https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.OperationalInsights/workspaces/{{workspaceName}}/providers/Microsoft.SecurityInsights/dataConnectors/{{dataConnectorId}}?api-version={{apiVersion}}

URI-parameters

Zie Gegevensconnectors - URI-parameters maken of bijwerken voor meer informatie over de nieuwste API-versie.

Aanvraagtekst

De aanvraagtekst voor een StorageAccountBlobContainer CCF-gegevensconnector heeft de volgende structuur:

{
   "name": "{{dataConnectorId}}",
   "kind": "StorageAccountBlobContainer",
   "etag": "",
   "properties": {
        "connectorDefinitionName": "",
        "auth": {},
        "request": {},
        "dcrConfig": {},
        "response": {}
   }
}

StorageAccountBlobContainer

StorageAccountBlobContainer vertegenwoordigt een CCF-gegevensconnector waar de verwachte nettoladingen voor uw Azure Storage Blob-gegevensbron al zijn geconfigureerd. Het configureren van uw producent voor het verzenden van gegevens naar Storage Blob moet afzonderlijk worden uitgevoerd.

Verificatieconfiguratie

De Azure Storage Blob-connector is afhankelijk van een service-principal die is gemaakt in uw tenant die is gekoppeld aan een door Microsoft beheerde multitenanttoepassing (blauwdruk service-principal). De tenantbeheerder moet toestemming verlenen om deze service-principal te maken. De ARM-sjabloon biedt de mogelijkheid om te bevestigen of de service-principal die is gekoppeld aan de toepassing al bestaat in uw tenant en zo niet, biedt een optie om de service-principal te maken met toestemming van de gebruiker.

Het VOORBEELD van een ARM-sjabloon bevat bewerkingen voor het toepassen van alle benodigde op rollen gebaseerde toegang op het opslagaccount om blobs te lezen en bij te dragen aan wachtrijen. Zorg ervoor dat de sjabloon en de gebruikte service-principals zijn gekoppeld aan de toepassing voor uw omgeving en dat toestemming voor tenantbeheerders is verleend.

De volgende tabel bevat de toepassings-id's per Azure omgeving:

Voorbeeld van StorageAccountBlobContainer-verificatie:

"auth": {
    "type": "ServicePrincipal"
}

Aanvraagconfiguratie

In de sectie aanvraag worden de Azure Storage-wachtrijen beschreven die berichten ontvangen die zijn gemaakt met blob-gebeurtenissen.

Voorbeeld van StorageAccountBlobContainer-aanvraag:

"request": {
    "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
    "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
}

Antwoordconfiguratie

Definieer de reactieafhandeling van uw gegevensconnector met de volgende parameters:

Voorbeelden van antwoordconfiguratie

Niet-gecomprimeerde JSON:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "json"
}

Gecomprimeerd CSV:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "csv",
    "IsGzipCompressed": true
}

Parquet (compressie kan worden afgeleid):

"response": {
    "EventsJsonPaths": ["$"],
    "format": "parquet"
}

DCR-configuratie

Voorbeeld van CCF-gegevensconnector

Hier volgt een voorbeeld van alle onderdelen van de JSON van de StorageAccountBlobContainer CCF-gegevensconnector.

{
    "kind": "StorageAccountBlobContainer",
    "properties": {
        "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
        "dcrConfig": {
            "streamName": "[variables('streamName')]",
            "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
            "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]"
        },
        "auth": {
            "type": "ServicePrincipal"
        },
        "request": {
            "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
            "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
        }
    }
}

Zie Rest API-voorbeeld van gegevensconnector maken voor meer informatie.

Verwante onderwerpen

• Uw Azure Storage-connector instellen voor het streamen van logboeken naar Microsoft Sentinel
• Een connector zonder code maken voor Microsoft Sentinel
• Netwerkbeveiliging inschakelen voor geïntegreerde opslagresources voor connectoren