SID 翻译

translate_sid 处理器将 Windows 安全标识符 (SID) 翻译成帐户名。它检索与 SID 关联的帐户的名称、找到 SID 的第一个域以及帐户类型。此功能仅在 Windows 上可用。

网络上的每个帐户在首次创建时都会被分配一个唯一的 SID。Windows 的内部进程引用帐户的 SID 而不是帐户的用户名或组名，这些值有时会出现在日志中。

如果 SID 无效（格式错误）或未映射到本地系统或域上的任何帐户，则处理器将返回错误，除非设置了 ignore_failure。

processors:
  - translate_sid:
      field: winlog.event_data.MemberSid
      account_name_target: user.name
      domain_target: user.domain
      ignore_missing: true
      ignore_failure: true

translate_sid 处理器具有以下配置设置

* 至少需要配置 account_name_target、account_type_target 和 domain_target 之一。