翻译 SID

translate_sid处理器将Windows安全标识符 (SID) 转换为帐户名称。它检索与SID关联的帐户名称、找到SID的第一个域以及帐户类型。此功能仅在Windows上可用。

每个网络帐户在首次创建时都会获得一个唯一的SID。Windows中的内部进程引用帐户的SID而不是帐户的用户或组名称，这些值有时会出现在日志中。

如果SID无效（格式错误）或未映射到本地系统或域上的任何帐户，则除非设置了ignore_failure，否则处理器将返回错误。

processors:
  - translate_sid:
      field: winlog.event_data.MemberSid
      account_name_target: user.name
      domain_target: user.domain
      ignore_missing: true
      ignore_failure: true

translate_sid 处理器具有以下配置设置

* 至少需要配置account_name_target、account_type_target和domain_target中的一个。