Uw Azure Storage-connector instellen voor het streamen van logboeken naar Microsoft Sentinel

De Azure Storage Blob-connector vereenvoudigt het verzamelen van logboeken van Azure Storage. Hiermee kunnen ISV's en gebruikers schaalbare connectors bouwen bovenop Azure Storage-integraties via het volledig beheerde CCF (Codeless Connector Framework).

Dit artikel bevat een overzicht van de connectorresources en bevat stappen voor het maken en valideren van uw eerste Azure Storage-connector.

Vereisten

Voordat u begint, moet u het volgende doen:

  • Een Azure Storage-account met hiërarchische naamruimte ingeschakeld (Azure Data Lake Storage Gen2) en een container met de logboekbestanden.
  • Een Microsoft Sentinel werkruimte met de rol Microsoft Sentinel Inzender of hoger om gegevensconnectors te maken.
  • Machtigingen voor de rol Eigenaar of EventGrid-inzender voor het opslagaccount om Event Grid-systeemonderwerpen en -abonnementen te maken.

Opmerking

Zorg ervoor dat de resourceprovider Microsoft.EventGrid is geregistreerd in het abonnement dat het opslagaccount bevat.

Overzicht van connectorresources

De Azure Storage Blob-connector maakt gebruik van een blobaanwijzermodel op basis van wachtrijen om u te abonneren op gebeurtenissen die zijn gemaakt met blob in uw opslagaccount. Een Event Grid-systeemonderwerpabonnement luistert naar activiteiten voor het maken van blobs en pusht gebeurtenissen, op basis van configureerbare filtercriteria, naar een Azure Storage-wachtrij. Meerdere connectorexemplaren kunnen uit dezelfde container worden opgenomen tijdens het verkennen van bestanden op map en bestandspatroon. U kunt filteren via de portal of de ARM-sjabloon van de connector beheren door blobvoorvoegsel- en achtervoegselpatronen in te stellen.

Een diagram met de architectuur Azure Storage Blob-connector, met inbegrip van gebeurtenissen die door blob zijn gemaakt, Event Grid, opslagwachtrij en Microsoft Sentinel opnamestroom.

De Microsoft Sentinel-connector:

  • Hiermee wordt de Azure Storage-wachtrij gecontroleerd op berichten die door blob zijn gemaakt.
  • Hiermee worden bestanden opgehaald uit de Azure Storage Blob-container op basis van het pad in het wachtrijbericht.
  • Hiermee verwijdert u het wachtrijbericht nadat het doorsturen is geslaagd.

De connector verifieert het opslagaccount met behulp van een service-principal die toegankelijk is voor de connectortoepassing. Zie de API-verwijzing voor Azure Storage Blob-connectors voor de toepassings-id's per cloud en het volledige sjabloonschema. Gebruik de automatisering van arm-sjablonen om te controleren of de service-principal bestaat en om de vereiste roltoewijzingen toe te passen op het opslagaccount.

Een Azure Storage Blob-connector maken

  1. Bekijk en pas de ARM-voorbeeldsjabloon in de API-referentie voor Azure Storage Blob-connectors aan. Stel de containernaam, wachtrijnaam (indien niet automatisch gemaakt), blobvoorvoegsel-/achtervoegselfilters en toewijzing van doeltabellen in.
  2. Implementeer de sjabloon door Een connector zonder code maken voor Microsoft Sentinel te volgen. Zorg ervoor dat het implementatiebereik overeenkomt met het opslagaccount en Microsoft Sentinel werkruimte.
  3. Controleer na de implementatie of het connectorexemplaren is gemaakt in Microsoft Sentinel en of de status van het Event Grid-abonnement in orde is.

De connector valideren

  • Upload een voorbeeldbestand dat overeenkomt met uw voorvoegsel-/achtervoegselfilter en controleer of wachtrijberichten zijn gemaakt en gebruikt.
  • Controleer de opname in de doeltabel in Microsoft Sentinel en controleer op fouten in de blade connectorstatus.
  • Als u netwerkbeperkingen gebruikt, controleert u of de door de connector beheerde resources de blob- en wachtrijeindpunten kunnen bereiken.

Problemen oplossen

Zie Problemen met Azure Storage Blob-connector oplossen voor stappen voor probleemoplossing.

Verwante onderwerpen

  • Last updated on