转换 SID

translate_sid 处理器将 Windows 安全标识符 (SID) 转换为帐户名称。它检索与 SID 关联的帐户名称、找到 SID 的第一个域以及帐户类型。 这仅在 Windows 上可用。

当帐户首次创建时，网络上的每个帐户都会被分配一个唯一的 SID。Windows 中的内部进程会引用帐户的 SID 而不是帐户的用户或组名称，这些值有时会出现在日志中。

如果 SID 无效（格式错误）或未映射到本地系统或域上的任何帐户，则会导致处理器返回错误，除非设置了 ignore_failure。

processors:
  - translate_sid:
      field: winlog.event_data.MemberSid
      account_name_target: user.name
      domain_target: user.domain
      ignore_missing: true
      ignore_failure: true

translate_sid 处理器具有以下配置设置

* 至少需要配置 account_name_target、 account_type_target 和 domain_target 中的一个。