› ›

翻译 SID

编辑

翻译 SID

编辑

translate_sid 处理器将 Windows 安全标识符 (SID) 翻译成帐户名称。它检索与 SID 关联的帐户名称、找到 SID 的第一个域以及帐户类型。此功能仅在 Windows 上可用。

网络上的每个帐户在首次创建时都会获得一个唯一的 SID。Windows 的内部进程引用帐户的 SID 而不是帐户的用户或组名称，这些值有时会出现在日志中。

如果 SID 无效（格式错误）或未映射到本地系统或域上的任何帐户，则除非设置了 ignore_failure，否则处理器将返回错误。

示例

编辑

  - translate_sid:
      field: winlog.event_data.MemberSid
      account_name_target: user.name
      domain_target: user.domain
      ignore_missing: true
      ignore_failure: true

配置设置

编辑

Elastic Agent 处理器在摄取管道之前执行，这意味着您的处理器配置不能引用由摄取管道或 Logstash 创建的字段。有关更多限制，请参阅使用处理器的局限性是什么？

名称	必填	默认值	描述
`field`	是		包含 Windows 安全标识符 (SID) 的源字段。
`account_name_target`	是*		帐户名称值的目標字段。
`account_type_target`	是*		帐户类型值的目標字段。
`domain_target`	是*		域值的目標字段。
`ignore_missing`	否	`false`	源字段缺失时忽略错误。
`ignore_failure`	否	`false`	忽略处理器产生的所有错误。

* 必须至少配置一个 account_name_target、account_type_target 和 domain_target。

« 时间戳截断字段 »