Azure storage blob-dataanslutningsreferens för Codeless Connector Framework

Om du vill skapa en Azure Storage Blob-dataanslutning med Codeless Connector Framework (CCF) använder du den här referensen utöver artikeln Microsoft Sentinel REST API for Data Connectors.

Var dataConnector och en representerar en specifik anslutning för en Microsoft Sentinel dataanslutning. En dataanslutning kan ha flera anslutningar som hämtar data från olika slutpunkter. JSON-konfigurationen som skapats med det här referensdokumentet används för att slutföra distributionsmallen för CCF-dataanslutningen.

Mer information finns i Skapa en kodlös anslutningsapp för Microsoft Sentinel.

Skapa Azure Storage Blob CCF-dataanslutningsappen

Förenkla utvecklingen av att ansluta din Azure Storage Blob-datakälla med en exempeldistributionsmall för Storage Blob CCF-dataanslutningsappen. Mer information finns i mallen StorageBlob CCF för anslutningsprogram.

När de flesta avsnitten för distributionsmallen är ifyllda behöver du bara skapa de två första komponenterna, utdatatabellen och DCR. Mer information finns i avsnitten Definition av utdatatabell och Datainsamlingsregel (DCR).

Dataanslutningsprogram – Skapa eller uppdatera

Referera till åtgärden Skapa eller uppdatera i REST API-dokumenten för att hitta den senaste stabila api-versionen eller förhandsversionen av API:et. Skillnaden mellan åtgärden skapa och uppdatera är att uppdateringen kräver etag-värdet .

PUT-metod

https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.OperationalInsights/workspaces/{{workspaceName}}/providers/Microsoft.SecurityInsights/dataConnectors/{{dataConnectorId}}?api-version={{apiVersion}}

URI-parametrar

Mer information om den senaste API-versionen finns i Dataanslutningsprogram – Skapa eller uppdatera URI-parametrar.

Frågebrödtext

Begärandetexten för en StorageAccountBlobContainer CCF-dataanslutning har följande struktur:

{
   "name": "{{dataConnectorId}}",
   "kind": "StorageAccountBlobContainer",
   "etag": "",
   "properties": {
        "connectorDefinitionName": "",
        "auth": {},
        "request": {},
        "dcrConfig": {},
        "response": {}
   }
}

StorageAccountBlobContainer

StorageAccountBlobContainer representerar en CCF-dataanslutning där de förväntade svarsnyttolasterna för din Azure Storage Blob-datakälla redan har konfigurerats. Du måste konfigurera din producent för att skicka data till Storage Blob separat.

Autentiseringskonfiguration

Azure Storage Blob-anslutningsprogrammet förlitar sig på ett huvudnamn för tjänsten som skapats i din klientorganisation som är associerad med ett Microsoft-hanterat program för flera klienter (skiss för tjänstens huvudnamn). Innehavaradministratören måste bevilja medgivande för att skapa tjänstens huvudnamn. ARM-mallen ger möjlighet att bekräfta om tjänstens huvudnamn som är associerat med programmet redan finns i din klientorganisation, och om inte, ger det ett alternativ för att skapa tjänstens huvudnamn med användarens medgivande.

ARM-mallexemplet innehåller åtgärder för att tillämpa all nödvändig rollbaserad åtkomst på lagringskontot för att läsa blobar och bidra till köer. Se till att mallen och de tjänsthuvudnamn som används är associerade med programmet för din miljö och att administratörsmedgivande för klientorganisationen har beviljats.

I följande tabell visas program-ID:t per Azure miljö:

StorageAccountBlobContainer-autentiseringsexempel:

"auth": {
    "type": "ServicePrincipal"
}

Konfiguration av begäranden

I begärandeavsnittet beskrivs de Azure Storage-köer som tar emot händelsemeddelanden som skapats av blobar.

Exempel på StorageAccountBlobContainer-begäran:

"request": {
    "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
    "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
}

Svarskonfiguration

Definiera svarshanteringen för din dataanslutning med följande parametrar:

Exempel på svarskonfiguration

Okomprimerad JSON:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "json"
}

Komprimerad CSV:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "csv",
    "IsGzipCompressed": true
}

Parquet (komprimering kan härledas):

"response": {
    "EventsJsonPaths": ["$"],
    "format": "parquet"
}

DCR-konfiguration

Exempel på CCF-dataanslutning

Här är ett exempel på alla komponenter i StorageAccountBlobContainer CCF-dataanslutningens JSON tillsammans.

{
    "kind": "StorageAccountBlobContainer",
    "properties": {
        "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
        "dcrConfig": {
            "streamName": "[variables('streamName')]",
            "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
            "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]"
        },
        "auth": {
            "type": "ServicePrincipal"
        },
        "request": {
            "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
            "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
        }
    }
}

Mer information finns i Skapa rest-API-exempel för dataanslutningsappen.

Relaterat innehåll

• Konfigurera din Azure Storage-anslutningsapp för att strömma loggar till Microsoft Sentinel
• Skapa en kodlös anslutningsapp för Microsoft Sentinel
• Aktivera nätverkssäkerhet på integrerade lagringsresurser för anslutningsappen