翻译 GUID
编辑翻译 GUID
编辑translate_ldap_attribute
处理器在 LDAP 属性之间进行转换。它通常用于将 AD 全局唯一标识符 (GUID) 转换为其常用名称。
Active Directory 或 LDAP 服务器上的每个对象都会颁发一个 GUID。内部进程引用它们的 GUID,而不是对象的名称,这些值有时会出现在日志中。
如果搜索属性无效(格式错误)或未映射到域上的任何对象,则除非设置了 ignore_failure
,否则此操作将导致处理器返回错误。
此操作的结果是一个值数组,因为单个属性可以包含多个值。
注意:搜索属性应映射到单个对象。如果不是,则不会返回错误,但只会将第一个条目的结果添加到事件中。
processors: - translate_ldap_attribute: field: winlog.event_data.ObjectGuid ldap_address: "ldap://" ldap_base_dn: "dc=example,dc=com" ignore_missing: true ignore_failure: true
translate_ldap_attribute
处理器具有以下配置设置
表 5. 翻译 GUID 选项
名称 | 必需 | 默认 | 描述 |
---|---|---|---|
|
是 |
包含 GUID 的源字段。 |
|
|
否 |
映射的属性值的目标字段。如果未设置,则将就地替换。 |
|
|
是 |
LDAP 服务器地址。例如: |
|
|
是 |
LDAP 基本 DN。例如: |
|
|
否 |
LDAP 用户。 |
|
|
否 |
LDAP 密码。 |
|
|
是 |
|
要搜索的 LDAP 属性。 |
|
是 |
|
要映射到的 LDAP 属性。 |
|
否 |
30 |
LDAP 搜索时间限制(以秒为单位)。 |
|
否 |
30 |
LDAP TLS/SSL 连接设置。 |
|
否 |
false |
当缺少源字段时忽略错误。 |
|
否 |
false |
忽略处理器产生的所有错误。 |
* 另请参阅 SSL,了解 ldap_ssl
选项的完整说明。
如果搜索速度较慢或者您预计会找到大量不同的键属性,请考虑使用缓存处理器来加快处理速度
processors: - cache: backend: memory: id: ldapguids get: key_field: winlog.event_data.ObjectGuid target_field: winlog.common_name ignore_missing: true - if: not: - has_fields: winlog.common_name then: - translate_ldap_attribute: field: winlog.event_data.ObjectGuid target_field: winlog.common_name ldap_address: "ldap://" ldap_base_dn: "dc=example,dc=com" - cache: backend: memory: id: ldapguids capacity: 10000 put: key_field: winlog.event_data.ObjectGuid value_field: winlog.common_name