« Azure Functions Azure 资源指标集成 »
Elastic 文档 ›Elastic 集成 ›Azure 日志集成

Microsoft Entra ID 日志

编辑

Microsoft Entra ID 日志

编辑

版本

1.20.1 (查看全部)

兼容的 Kibana 版本

8.13.0 或更高版本

支持的无服务器项目类型
这是什么？

安全性
可观测性

订阅级别
这是什么？

基本

Microsoft Entra ID 日志是记录组织 Microsoft Entra ID 环境中发生的事件和活动的记录。

这些日志捕获重要信息，例如用户登录、用户帐户的更改等。它们可用于监控和跟踪用户活动、识别安全威胁、解决问题以及生成合规性报告。

Microsoft Entra ID 日志集成包含多个数据流

  • 登录日志 – 有关登录以及用户如何使用资源的信息。
  • 身份保护日志 - 有关用户风险状态以及更改它的事件的信息。
  • 预配日志 - 有关用户和组与外部企业应用程序之间同步的信息。
  • 审核日志 – 有关租户更改的信息，例如用户和组管理，或对租户资源的更新。

支持的 Azure 日志类别

数据流 日志类别

登录

SignInLogs

登录

NonInteractiveUserSignInLogs

登录

ServicePrincipalSignInLogs

登录

ManagedIdentitySignInLogs

审核

AuditLogs

身份保护

RiskyUsers

身份保护

UserRiskEvents

预配

ProvisioningLogs

要求和设置

编辑

有关设置和使用此集成的更多信息，请参阅 Azure 日志 页面。

设置

编辑

eventhub : 字符串 此设置需要单个事件中心的名称（请参阅 命名空间和事件中心之间的区别）。它是一种完全托管的实时数据引入服务。Elastic 建议事件中心名称仅使用字母、数字和连字符 (-)，以最大限度地提高兼容性。您可以使用事件中心名称中包含下划线 (_) 的现有事件中心；在这种情况下，当集成使用事件中心名称在后台创建依赖的 Azure 资源（例如，存储事件中心消费者偏移量的存储帐户容器）时，会将下划线替换为连字符 (-)。Elastic 还建议每个日志类型使用单独的事件中心，因为每个日志类型的字段映射不同。默认值 insights-operational-logs。

consumer_group : 字符串 事件中心的发布/订阅机制通过消费者组启用。消费者组是整个事件中心的视图（状态、位置或偏移量）。消费者组使多个消费应用程序能够各自拥有事件流的单独视图，并以自己的速度和偏移量独立读取流。默认值： $Default

connection_string : 字符串 与指定的事件中心通信所需的连接字符串，步骤请参考 https://docs.microsoft.com/zh-cn/azure/event-hubs/event-hubs-get-connection-string。

需要 Blob 存储帐户才能存储/检索/更新事件中心消息的偏移量或状态。这意味着在停止 filebeat azure 模块后，它可以从停止处理消息的位置重新启动。

storage_account : 字符串 将存储和更新状态/偏移量的存储帐户的名称。

storage_account_key : 字符串 存储帐户密钥，此密钥将用于授权访问存储帐户中的数据。

storage_account_container : 字符串 集成存储消费者组检查点数据的存储帐户容器。这是一个高级选项，需要非常谨慎地使用。您必须为每个 Azure 日志类型（活动、登录、审核日志等）使用专用的存储帐户容器。不要为多个 Azure 日志类型重用相同的容器名称。有关 Microsoft 命名规则的详细信息，请参阅 容器名称。如果未指定，集成将生成默认容器名称。

resource_manager_endpoint : 字符串 可选，默认情况下我们使用 Azure 公共环境，要覆盖此设置，用户可以提供特定的资源管理器终结点以使用不同的 Azure 环境。

资源管理器终结点

# Azure ChinaCloud
https://management.chinacloudapi.cn/

# Azure GermanCloud
https://management.microsoftazure.de/

# Azure PublicCloud
https://management.azure.com/

# Azure USGovernmentCloud
https://management.usgovcloudapi.net/

日志

编辑
登录日志
编辑

检索 Microsoft Entra ID 登录日志。登录报告提供有关托管应用程序的使用情况和用户登录活动的信息。

示例

一个 signinlogs 的示例事件如下所示

{
    "@timestamp": "2019-10-18T09:45:48.072Z",
    "azure": {
        "correlation_id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
        "resource": {
            "id": "/tenants/8a4de8b5-095c-47d0-a96f-a75130c61d53/providers/Microsoft.aadiam",
            "provider": "Microsoft.aadiam"
        },
        "signinlogs": {
            "category": "SignInLogs",
            "identity": "Test LTest",
            "operation_name": "Sign-in activity",
            "operation_version": "1.0",
            "properties": {
                "app_display_name": "Office 365",
                "app_id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
                "client_app_used": "Browser",
                "conditional_access_status": "notApplied",
                "correlation_id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
                "created_at": "2019-10-18T04:45:48.0729893-05:00",
                "device_detail": {
                    "browser": "Chrome 77.0.3865",
                    "device_id": "",
                    "operating_system": "MacOs"
                },
                "id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
                "is_interactive": false,
                "original_request_id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
                "processing_time_ms": 239,
                "risk_detail": "none",
                "risk_level_aggregated": "none",
                "risk_level_during_signin": "none",
                "risk_state": "none",
                "service_principal_id": "",
                "status": {
                    "error_code": 50140
                },
                "token_issuer_name": "",
                "token_issuer_type": "AzureAD",
                "user_display_name": "Test LTest",
                "user_id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
                "user_principal_name": "[email protected]"
            },
            "result_description": "This error occurred due to 'Keep me signed in' interrupt when the user was signing-in.",
            "result_signature": "None",
            "result_type": "50140"
        },
        "tenant_id": "8a4de8b5-095c-47d0-a96f-a75130c61d53"
    },
    "client": {
        "ip": "1.1.1.1"
    },
    "cloud": {
        "provider": "azure"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "event": {
        "action": "Sign-in activity",
        "category": [
            "authentication"
        ],
        "duration": 0,
        "id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
        "ingested": "2021-09-14T17:20:47.736433526Z",
        "kind": "event",
        "original": "{\"Level\":\"4\",\"callerIpAddress\":\"1.1.1.1\",\"category\":\"SignInLogs\",\"correlationId\":\"8a4de8b5-095c-47d0-a96f-a75130c61d53\",\"durationMs\":0,\"identity\":\"Test LTest\",\"location\":\"FR\",\"operationName\":\"Sign-in activity\",\"operationVersion\":\"1.0\",\"properties\":{\"appDisplayName\":\"Office 365\",\"appId\":\"8a4de8b5-095c-47d0-a96f-a75130c61d53\",\"clientAppUsed\":\"Browser\",\"conditionalAccessStatus\":\"notApplied\",\"correlationId\":\"8a4de8b5-095c-47d0-a96f-a75130c61d53\",\"createdDateTime\":\"2019-10-18T04:45:48.0729893-05:00\",\"deviceDetail\":{\"browser\":\"Chrome 77.0.3865\",\"deviceId\":\"\",\"operatingSystem\":\"MacOs\"},\"id\":\"8a4de8b5-095c-47d0-a96f-a75130c61d53\",\"ipAddress\":\"1.1.1.1\",\"isInteractive\":false,\"location\":{\"city\":\"Champs-Sur-Marne\",\"countryOrRegion\":\"FR\",\"geoCoordinates\":{\"latitude\":48.12341234,\"longitude\":2.12341234},\"state\":\"Seine-Et-Marne\"},\"originalRequestId\":\"8a4de8b5-095c-47d0-a96f-a75130c61d53\",\"processingTimeInMilliseconds\":239,\"riskDetail\":\"none\",\"riskLevelAggregated\":\"none\",\"riskLevelDuringSignIn\":\"none\",\"riskState\":\"none\",\"servicePrincipalId\":\"\",\"status\":{\"errorCode\":50140,\"failureReason\":\"This error occurred due to 'Keep me signed in' interrupt when the user was signing-in.\"},\"tokenIssuerName\":\"\",\"tokenIssuerType\":\"AzureAD\",\"userDisplayName\":\"Test LTest\",\"userId\":\"8a4de8b5-095c-47d0-a96f-a75130c61d53\",\"userPrincipalName\":\"[email protected]\"},\"resourceId\":\"/tenants/8a4de8b5-095c-47d0-a96f-a75130c61d53/providers/Microsoft.aadiam\",\"resultDescription\":\"This error occurred due to 'Keep me signed in' interrupt when the user was signing-in.\",\"resultSignature\":\"None\",\"resultType\":\"50140\",\"tenantId\":\"8a4de8b5-095c-47d0-a96f-a75130c61d53\",\"time\":\"2019-10-18T09:45:48.0729893Z\"}",
        "outcome": "failure",
        "type": [
            "info"
        ]
    },
    "geo": {
        "city_name": "Champs-Sur-Marne",
        "country_iso_code": "FR",
        "country_name": "Seine-Et-Marne",
        "location": {
            "lat": 48.12341234,
            "lon": 2.12341234
        }
    },
    "log": {
        "level": "4"
    },
    "message": "This error occurred due to 'Keep me signed in' interrupt when the user was signing-in.",
    "related": {
        "ip": [
            "1.1.1.1"
        ]
    },
    "source": {
        "address": "1.1.1.1",
        "as": {
            "number": 13335,
            "organization": {
                "name": "Cloudflare, Inc."
            }
        },
        "geo": {
            "continent_name": "Oceania",
            "country_iso_code": "AU",
            "country_name": "Australia",
            "location": {
                "lat": -33.494,
                "lon": 143.2104
            }
        },
        "ip": "1.1.1.1"
    },
    "tags": [
        "preserve_original_event"
    ],
    "user": {
        "domain": "elastic.co",
        "full_name": "Test LTest",
        "id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
        "name": "test"
    }
}

ECS 字段参考

有关 ECS 字段的详细信息，请参阅以下文档。

导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

azure.correlation_id

关联 ID

关键词

azure.resource.authorization_rule

授权规则

关键词

azure.resource.group

资源组

关键词

azure.resource.id

资源 ID

关键词

azure.resource.name

名称

关键词

azure.resource.namespace

资源类型/命名空间

关键词

azure.resource.provider

资源类型/命名空间

关键词

azure.signinlogs.caller_ip_address

发出请求的客户端的 IP 地址。

IP

azure.signinlogs.category

类别

关键词

azure.signinlogs.identity

标识

关键词

azure.signinlogs.operation_name

操作名称

关键词

azure.signinlogs.operation_version

操作版本

关键词

azure.signinlogs.properties.app_display_name

应用显示名称

关键词

azure.signinlogs.properties.app_id

应用 ID

关键词

azure.signinlogs.properties.applied_conditional_access_policies

由相应的登录活动触发的条件访问策略列表。

扁平化

azure.signinlogs.properties.authentication_details

身份验证尝试的结果以及有关身份验证方法的其他详细信息。

扁平化

azure.signinlogs.properties.authentication_processing_details

其他身份验证处理详细信息，例如 PTA/PHS 的代理名称或联合身份验证的服务器/场名称。

扁平化

azure.signinlogs.properties.authentication_protocol

身份验证协议类型。

关键词

azure.signinlogs.properties.authentication_requirement

此设置保存登录成功所需的所有登录步骤中最高的身份验证级别。

关键词

azure.signinlogs.properties.authentication_requirement_policies

适用于此登录的 CA 策略集，每个策略集为 CA：策略名称和/或 MFA：每个用户

扁平化

azure.signinlogs.properties.autonomous_system_number

自治系统编号。

长整型

azure.signinlogs.properties.client_app_used

使用的客户端应用

关键词

azure.signinlogs.properties.conditional_access_status

条件访问状态

关键词

azure.signinlogs.properties.correlation_id

关联 ID

关键词

azure.signinlogs.properties.created_at

启动登录的日期和时间 (UTC)。

日期

azure.signinlogs.properties.cross_tenant_access_type

关键词

azure.signinlogs.properties.device_detail.browser

浏览器

关键词

azure.signinlogs.properties.device_detail.device_id

设备 ID

关键词

azure.signinlogs.properties.device_detail.display_name

显示名称

关键词

azure.signinlogs.properties.device_detail.is_compliant

设备是否合规

布尔型

azure.signinlogs.properties.device_detail.is_managed

设备是否已托管

布尔型

azure.signinlogs.properties.device_detail.operating_system

操作系统

关键词

azure.signinlogs.properties.device_detail.trust_type

信任类型

关键词

azure.signinlogs.properties.flagged_for_review

布尔型

azure.signinlogs.properties.home_tenant_id

关键词

azure.signinlogs.properties.id

表示登录活动的唯一 ID。

关键词

azure.signinlogs.properties.incoming_token_type

传入令牌类型。

关键词

azure.signinlogs.properties.is_interactive

是否为交互式

布尔型

azure.signinlogs.properties.is_tenant_restricted

布尔型

azure.signinlogs.properties.network_location_details

网络位置详细信息，包括使用的网络类型及其名称。

扁平化

azure.signinlogs.properties.original_request_id

原始请求 ID

关键词

azure.signinlogs.properties.processing_time_ms

处理时间（毫秒）

浮点型

azure.signinlogs.properties.resource_display_name

资源显示名称

关键词

azure.signinlogs.properties.resource_id

用户登录的资源的标识符。

关键词

azure.signinlogs.properties.resource_tenant_id

关键词

azure.signinlogs.properties.risk_detail

风险详细信息

关键词

azure.signinlogs.properties.risk_event_types

与登录关联的风险事件类型列表。可能的值：unlikelyTravel、anonymizedIPAddress、maliciousIPAddress、unfamiliarFeatures、malwareInfectedIPAddress、suspiciousIPAddress、leakedCredentials、investigationsThreatIntelligence、generic 或 unknownFutureValue。

关键词

azure.signinlogs.properties.risk_event_types_v2

与登录关联的风险事件类型列表。可能的值：unlikelyTravel、anonymizedIPAddress、maliciousIPAddress、unfamiliarFeatures、malwareInfectedIPAddress、suspiciousIPAddress、leakedCredentials、investigationsThreatIntelligence、generic 或 unknownFutureValue。

关键词

azure.signinlogs.properties.risk_level_aggregated

聚合的风险级别

关键词

azure.signinlogs.properties.risk_level_during_signin

登录期间的风险级别

关键词

azure.signinlogs.properties.risk_state

风险状态

关键词

azure.signinlogs.properties.service_principal_credential_key_id

启动登录的服务主体的密钥 ID。

关键词

azure.signinlogs.properties.service_principal_id

用于登录的应用程序标识符。当您使用应用程序登录时，将填充此字段。

关键词

azure.signinlogs.properties.service_principal_name

用于登录的应用程序名称。当您使用应用程序登录时，将填充此字段。

关键词

azure.signinlogs.properties.sso_extension_version

关键词

azure.signinlogs.properties.status.error_code

错误代码

长整型

azure.signinlogs.properties.token_issuer_name

令牌颁发者名称

关键词

azure.signinlogs.properties.token_issuer_type

令牌颁发者类型

关键词

azure.signinlogs.properties.unique_token_identifier

请求的唯一令牌标识符。

关键词

azure.signinlogs.properties.user_display_name

用户显示名称

关键词

azure.signinlogs.properties.user_id

用户 ID

关键词

azure.signinlogs.properties.user_principal_name

用户主体名称

关键词

azure.signinlogs.properties.user_type

关键词

azure.signinlogs.result_description

结果描述

关键词

azure.signinlogs.result_signature

结果签名

关键词

azure.signinlogs.result_type

结果类型

关键词

azure.signinlogs.tenant_id

租户 ID

关键词

azure.subscription_id

Azure 订阅 ID

关键词

azure.tenant_id

租户 ID

关键词

cloud.image.id

云实例的映像 ID。

关键词

data_stream.dataset

数据流数据集名称。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

geo.city_name

城市名称。

关键词

geo.continent_name

大陆名称。

关键词

geo.country_iso_code

国家/地区 ISO 代码。

关键词

geo.country_name

国家/地区名称。

关键词

geo.location

经度和纬度。

geo_point

host.containerized

如果主机是容器。

布尔型

host.os.build

OS 版本信息。

关键词

host.os.codename

OS 代码名称（如果有）。

关键词

related.entity

与文档相关的所有实体标识符。如果文档包含多个实体，则将显示属于不同实体的标识符。示例标识符包括云资源 ID、ARN、电子邮件地址或主机名。

关键词
标识保护日志
编辑

检索 Microsoft Entra ID 标识保护日志。 Microsoft Entra ID 标识保护服务分析来自 Microsoft Entra ID 用户行为的事件，检测风险情况，并可以根据策略配置通过仅报告或甚至阻止有风险的用户来做出响应。

示例

identity_protection 的一个示例事件如下所示

{
    "@timestamp": "2022-08-22T18:07:16.000Z",
    "azure": {
        "correlation_id": "ce0ed07f9ccf5be15e4b97d2979af6569b1f67db87ddc9b88b5bb743ea091e47",
        "identityprotection": {
            "category": "UserRiskEvents",
            "operation_name": "User Risk Detection",
            "operation_version": "1.0",
            "properties": {
                "activity": "signin",
                "activity_datetime": "2022-08-22T18:05:06.133Z",
                "additional_info": [
                    {
                        "Key": "userAgent",
                        "Value": "Mozilla/5.0 (Windows NT 10.0; rv:91.0) Gecko/20100101 Firefox/91.0"
                    }
                ],
                "correlation_id": "266133c2-fabb-492f-9ebf-bdf12317b817",
                "detected_datetime": "2022-08-22T18:05:06.133Z",
                "detection_timing_type": "realtime",
                "id": "ce0ed07f9ccf5be15e4b97d2979af6569b1f67db87ddc9b88b5bb743ea091e47",
                "ip_address": "67.43.156.42",
                "location": {
                    "city": "Dresden",
                    "countryOrRegion": "DE",
                    "geoCoordinates": {
                        "altitude": 0,
                        "latitude": 51.0714,
                        "longitude": 13.7399
                    },
                    "state": "Sachsen"
                },
                "request_id": "e1b6d9d7-5fc0-4638-ae1a-e0abceb92200",
                "risk_detail": "none",
                "risk_event_type": "anonymizedIPAddress",
                "risk_last_updated_datetime": "2022-08-22T18:07:16.894Z",
                "risk_level": "high",
                "risk_state": "atRisk",
                "risk_type": "anonymizedIPAddress",
                "source": "IdentityProtection",
                "token_issuer_type": "AzureAD",
                "user_display_name": "Joe Danger",
                "user_id": "51e26eae-d07b-44e5-bb0b-249f49569a8c",
                "user_principal_name": "[email protected]",
                "user_type": "member"
            },
            "result_signature": "None"
        },
        "resource": {
            "id": "/tenants/5611623b-9128-461e-9d7f-a0d9c270ead2/providers/microsoft.aadiam",
            "provider": "microsoft.aadiam"
        },
        "tenant_id": "5611623b-9128-461e-9d7f-a0d9c270ead2"
    },
    "cloud": {
        "provider": "azure"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "event": {
        "action": "User Risk Detection",
        "duration": 0,
        "kind": "event"
    },
    "source": {
        "as": {
            "number": 35908
        },
        "geo": {
            "continent_name": "Asia",
            "country_iso_code": "BT",
            "country_name": "Bhutan",
            "location": {
                "lat": 27.5,
                "lon": 90.5
            }
        },
        "ip": "67.43.156.42"
    }
}

ECS 字段参考

有关 ECS 字段的详细信息，请参阅以下文档。

导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

azure.correlation_id

关联 ID

关键词

azure.identityprotection.category

类别

关键词

azure.identityprotection.operation_name

操作名称

关键词

azure.identityprotection.operation_version

操作版本

关键词

azure.identityprotection.properties.activity

指示检测到的风险链接到的活动类型。可能的值为：signin、user、unknownFutureValue。

关键词

azure.identityprotection.properties.activity_datetime

风险活动发生时的日期和时间。 DateTimeOffset 类型使用 ISO 8601 格式表示日期和时间信息，并且始终为 UTC 时间。例如，2014 年 1 月 1 日午夜 UTC 时间看起来像这样：2014-01-01T00:00:00Z。

日期

azure.identityprotection.properties.additional_info

与风险检测相关的其他信息。additionalInfo JSON 字符串中可能的键为：userAgent、alertUrl、relatedEventTimeInUtc、relatedUserAgent、deviceInformation、relatedLocation、requestId、correlationId、lastActivityTimeInUtc、malwareName、clientLocation、clientIp、riskReasons。有关 riskReasons 和可能值的更多信息，请参阅 https://docs.microsoft.com/zh-cn/graph/api/resources/riskdetection?view=graph-rest-1.0#riskreasons-values。

扁平化

azure.identityprotection.properties.correlation_id

与风险检测关联的登录的关联 ID。 如果风险检测与登录无关，则此属性为 null。

关键词

azure.identityprotection.properties.cross_tenant_access_type

关键词

azure.identityprotection.properties.detected_datetime

检测到风险的日期和时间。 DateTimeOffset 类型使用 ISO 8601 格式表示日期和时间信息，并且始终为 UTC 时间。 例如，2014 年 1 月 1 日午夜 UTC 时间看起来像这样：2014-01-01T00:00:00Z。

日期

azure.identityprotection.properties.detection_timing_type

检测到的风险的时序（实时/脱机）。可能的值为：notDefined、realtime、nearRealtime、offline、unknownFutureValue。

关键词

azure.identityprotection.properties.home_tenant_id

关键词

azure.identityprotection.properties.id

风险检测的唯一 ID。

关键词

azure.identityprotection.properties.ip_address

提供发生风险的客户端的 IP 地址。

IP

azure.identityprotection.properties.is_deleted

指示用户是否已删除。

布尔型

azure.identityprotection.properties.is_guest

布尔型

azure.identityprotection.properties.is_processing

指示用户的风险状态是否正在由后端处理。

布尔型

azure.identityprotection.properties.last_updated_datetime

上次更新风险检测的日期和时间。

日期

azure.identityprotection.properties.location

登录的位置。

扁平化

azure.identityprotection.properties.request_id

与风险检测关联的登录的请求 ID。 如果风险检测与登录无关，则此属性为 null。

关键词

azure.identityprotection.properties.resource_tenant_id

关键词

azure.identityprotection.properties.risk_detail

检测到的风险的详细信息。可能的值为：none、adminGeneratedTemporaryPassword、userPerformedSecuredPasswordChange、userPerformedSecuredPasswordReset、adminConfirmedSigninSafe、aiConfirmedSigninSafe、userPassedMFADrivenByRiskBasedPolicy、adminDismissedAllRiskForUser、adminConfirmedSigninCompromised、hidden、adminConfirmedUserCompromised、unknownFutureValue。

关键词

azure.identityprotection.properties.risk_event_type

检测到的风险事件的类型。可能的值为 unlikelyTravel、anonymizedIPAddress、maliciousIPAddress、unfamiliarFeatures、malwareInfectedIPAddress、suspiciousIPAddress、leakedCredentials、investigationsThreatIntelligence、generic、adminConfirmedUserCompromised、passwordSpray、impossibleTravel、newCountry、anomalousToken、tokenIssuerAnomaly、suspiciousBrowser、riskyIPAddress、mcasSuspiciousInboxManipulationRules、suspiciousInboxForwarding 和 unknownFutureValue。如果风险检测是高级检测，将显示 generic。有关每个值的更多信息，请参阅 https://docs.microsoft.com/zh-cn/graph/api/resources/riskdetection?view=graph-rest-1.0#riskeventtype-values 值。

关键词

azure.identityprotection.properties.risk_last_updated_datetime

上次更新风险用户时的日期和时间。

日期

azure.identityprotection.properties.risk_level

检测到的风险的级别。可能的值为：low、medium、high、hidden、none、unknownFutureValue。

关键词

azure.identityprotection.properties.risk_state

检测到的有风险用户或登录的状态。可能的值为：none、confirmedSafe、remediated、dismissed、atRisk、confirmedCompromised、unknownFutureValue。

关键词

azure.identityprotection.properties.risk_type

关键词

azure.identityprotection.properties.source

风险检测的来源。例如，activeDirectory。

关键词

azure.identityprotection.properties.token_issuer_type

指示检测到的登录风险的令牌颁发者类型。 可能的值为：AzureAD、ADFederationServices、UnknownFutureValue。

关键词

azure.identityprotection.properties.user_display_name

用户的用户显示名称。

关键词

azure.identityprotection.properties.user_id

用户的唯一 ID。

关键词

azure.identityprotection.properties.user_principal_name

用户的用户主体名称 (UPN)。

关键词

azure.identityprotection.properties.user_type

用户类型（例如，“成员”）。

关键词

azure.identityprotection.result_signature

结果签名

关键词

azure.resource.group

资源组

关键词

azure.resource.id

资源 ID

关键词

azure.resource.name

名称

关键词

azure.resource.namespace

资源类型/命名空间

关键词

azure.resource.provider

资源类型/命名空间

关键词

azure.subscription_id

Azure 订阅 ID

关键词

azure.tenant_id

租户 ID

关键词

cloud.image.id

云实例的映像 ID。

关键词

data_stream.dataset

数据流数据集名称。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

geo.city_name

城市名称。

关键词

geo.continent_name

大陆名称。

关键词

geo.country_iso_code

国家/地区 ISO 代码。

关键词

geo.country_name

国家/地区名称。

关键词

geo.location

经度和纬度。

geo_point

geo.name

用户定义的位置描述，在其关心的粒度级别上。可能是他们的数据中心的名称、楼层号（如果这描述本地物理实体）或城市名称。通常不用于自动地理位置。

关键词

geo.region_iso_code

区域 ISO 代码。

关键词

geo.region_name

区域名称。

关键词

host.containerized

如果主机是容器。

布尔型

host.os.build

OS 版本信息。

关键词

host.os.codename

OS 代码名称（如果有）。

关键词
预配日志
编辑

检索 Microsoft Entra ID 预配日志。 Microsoft Entra ID 预配服务将 Microsoft Entra ID 用户和组同步到外部企业应用程序并从中同步。例如，你可以将预配服务配置为将所有现有的 Microsoft Entra ID 用户和组复制到外部 Dropbox Business 帐户，反之亦然。

预配日志包含有关入站/出站同步活动的许多详细信息，例如

  • 用户或组详细信息。
  • 源系统和目标系统（例如，从 Microsoft Entra ID 到 Dropbox）。
  • 预配状态。
  • 预配步骤（每个步骤的详细信息）。
示例

provisioning 的一个示例事件如下所示

{
    "@timestamp": "2022-08-23T13:36:50.353Z",
    "azure": {
        "correlation_id": "54416401-eef2-461c-8de7-385dde2b3cba",
        "provisioning": {
            "category": "ProvisioningLogs",
            "identity": "d6cbb0bd-c3ec-6455-bd3e-4282141ce369",
            "level": 4,
            "operation_name": "Provisioning activity",
            "operation_version": "1.0",
            "properties": {
                "action": "Create",
                "activity_datetime": "2022-08-23T13:36:50.3538931Z",
                "change_id": "54416401-eef2-461c-8de7-385dde2b3cba",
                "cycle_id": "cc305635-a28e-4139-a056-42b5102933fe",
                "duration_ms": 828,
                "id": "d6cbb0bd-c3ec-6455-bd3e-4282141ce369",
                "initiated_by": {
                    "id": "",
                    "name": "Azure AD Provisioning Service",
                    "type": "system"
                },
                "job_id": "DropboxSCIMOutDelta.5611623b9128461e9d7fa0d9c270ead2.d6163622-bdf8-4b26-976f-7d573c638e2a",
                "modified_properties": [],
                "provisioning_action": "create",
                "provisioning_status_info": {
                    "status": "skipped"
                },
                "provisioning_steps": [
                    {
                        "description": "Received User '[email protected]' change of type (Add) from Azure Active Directory",
                        "details": {
                            "IsSoftDeleted": "False",
                            "accountEnabled": "True",
                            "appRoleAssignments": "User",
                            "displayName": "Ellie",
                            "givenName": "Ellie",
                            "mailNickname": "ellie",
                            "objectId": "7383d412-41f2-478f-a317-7396cc32ce9e",
                            "userPrincipalName": "[email protected]"
                        },
                        "name": "EntryImportAdd",
                        "provisioning_step_type": 0,
                        "status": 0
                    },
                    {
                        "description": "Determine if User in scope by evaluating against each scoping filter",
                        "details": {
                            "Active in the source system": "True",
                            "Assigned to the application": "True",
                            "ScopeEvaluationResult": "{}",
                            "Scoping filter evaluation passed": "True",
                            "User has the required role": "True"
                        },
                        "name": "EntrySynchronizationScoping",
                        "provisioning_step_type": 1,
                        "status": 0
                    },
                    {
                        "description": "User '[email protected]' will be created in Dropbox (User is active and assigned in Azure Active Directory, but no matching User was found in Dropbox)",
                        "details": {},
                        "name": "EntrySynchronizationAdd",
                        "provisioning_step_type": 2,
                        "status": 0
                    },
                    {
                        "description": "urn:ietf:params:scim:schemas:core:2.0:User '[email protected]' will be skipped because the value of the property name.familyName is missing or invalid. Please update the value of the property name.familyName on the object in the source system.",
                        "details": {
                            "PropertyName": "name.familyName",
                            "ReportableIdentifier": "[email protected]",
                            "SkipReason": "AttributeValidationFailed"
                        },
                        "name": "EntrySynchronizationSkip",
                        "provisioning_step_type": 3,
                        "status": 2
                    }
                ],
                "service_principal": {
                    "id": "74866461-3754-40ed-a743-9c88ff29643e",
                    "name": "Dropbox Business"
                },
                "source_identity": {
                    "details": {
                        "display_name": "Ellie",
                        "id": "7383d412-41f2-478f-a317-7396cc32ce9e",
                        "odatatype": "User",
                        "user_principal_name": "[email protected]"
                    },
                    "id": "7383d412-41f2-478f-a317-7396cc32ce9e",
                    "identity_type": "User",
                    "name": "Ellie"
                },
                "source_system": {
                    "details": {},
                    "id": "bab3751f-8f21-4657-8fce-698f7391dbdd",
                    "name": "Azure Active Directory"
                },
                "target_identity": {
                    "details": {},
                    "id": "",
                    "identity_type": "urn:ietf:params:scim:schemas:core:2.0:User",
                    "name": ""
                },
                "target_system": {
                    "details": {
                        "application_id": "97e0a159-74ec-4db1-918a-c03a9c3b6b81",
                        "dervice_principal_display_name": "Dropbox Business",
                        "service_principal_id": "74866461-3754-40ed-a743-9c88ff29643e"
                    },
                    "id": "011a448f-1441-4336-8c20-e2d2cef9c410",
                    "name": "Dropbox"
                },
                "tenant_id": "5611623b-9128-461e-9d7f-a0d9c270ead2"
            },
            "result_type": "Skipped"
        },
        "resource": {
            "id": "/tenants/5611623b-9128-461e-9d7f-a0d9c270ead2/providers/Microsoft.aadiam",
            "provider": "Microsoft.aadiam"
        },
        "tenant_id": "5611623b-9128-461e-9d7f-a0d9c270ead2"
    },
    "cloud": {
        "provider": "azure"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "event": {
        "action": "Provisioning activity",
        "duration": 828000000,
        "kind": "event"
    }
}

ECS 字段参考

有关 ECS 字段的详细信息，请参阅以下文档。

导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

azure.correlation_id

关联 ID

关键词

azure.provisioning.category

类别

关键词

azure.provisioning.identity

描述执行操作的用户或应用程序的标识

关键词

azure.provisioning.level

事件的严重级别

长整型

azure.provisioning.operation_name

操作名称

关键词

azure.provisioning.operation_version

操作版本

关键词

azure.provisioning.properties.action

指示活动名称或操作名称。

关键词

azure.provisioning.properties.activity_datetime

指示执行活动的日期和时间。Timestamp 类型使用 ISO 8601 格式表示日期和时间信息，并且始终为 UTC 时间。例如，2014 年 1 月 1 日午夜 UTC 时间看起来像这样：2014-01-01T00:00:00Z

日期

azure.provisioning.properties.change_id

此周期中此更改的唯一 ID

关键词

azure.provisioning.properties.cycle_id

每个作业迭代的唯一 ID

关键词

azure.provisioning.properties.duration_ms

指示完成此预配操作所花费的时间。以毫秒为单位进行度量。

长整型

azure.provisioning.properties.id

指示活动的唯一 ID

关键词

azure.provisioning.properties.initiated_by.id

唯一标识启动预配事件的人员或服务。

关键词

azure.provisioning.properties.initiated_by.name

启动预配事件的人员或服务的名称。

关键词

azure.provisioning.properties.initiated_by.type

启动程序类型。可能的值为：user、application、system、unknownFutureValue。

关键词

azure.provisioning.properties.job_id

整个预配作业的唯一 ID。

关键词

azure.provisioning.properties.modified_properties

在此对象的此预配操作中修改的每个属性的详细信息。

扁平化

azure.provisioning.properties.provisioning_action

指示活动名称或操作名称。 可能的值为：create、update、delete、stageddelete、disable、other 和 unknownFutureValue。 有关已记录活动的列表，请参阅 Microsoft Entra ID 活动列表。

关键词

azure.provisioning.properties.provisioning_status_info.error_information.additional_details

发生错误时的其他详细信息。

关键词

azure.provisioning.properties.provisioning_status_info.error_information.error_category

对错误代码进行分类。可能的值为 failure、nonServiceFailure、success、unknownFutureValue。

关键词

azure.provisioning.properties.provisioning_status_info.error_information.error_code

发生的任何唯一错误代码。要了解更多信息，请访问 https://docs.microsoft.com/zh-cn/azure/active-directory/reports-monitoring/concept-provisioning-logs#error-codes

关键词

azure.provisioning.properties.provisioning_status_info.error_information.reason

总结状态并描述发生状态的原因。

关键词

azure.provisioning.properties.provisioning_status_info.error_information.recommended_action

提供相应错误的解决方法。

关键词

azure.provisioning.properties.provisioning_status_info.status

可能的值为：success、warning、failure、skipped、unknownFutureValue。

关键词

azure.provisioning.properties.provisioning_steps.description

步骤期间发生情况的摘要。

关键词

azure.provisioning.properties.provisioning_steps.details

步骤期间发生情况的详细信息。

扁平化

azure.provisioning.properties.provisioning_steps.name

步骤的名称。

关键词

azure.provisioning.properties.provisioning_steps.provisioning_step_type

步骤的类型。

长整型

azure.provisioning.properties.provisioning_steps.status

步骤的状态。

长整型

azure.provisioning.properties.service_principal.id

唯一标识用于预配的 servicePrincipal。

关键词

azure.provisioning.properties.service_principal.name

servicePrincipal 的客户定义名称。

关键词

azure.provisioning.properties.source_identity.details

标识的详细信息。

扁平化

azure.provisioning.properties.source_identity.id

唯一标识标识。

关键词

azure.provisioning.properties.source_identity.identity_type

已预配的标识类型，例如用户或组。

关键词

azure.provisioning.properties.source_identity.name

标识的显示名称。

关键词

azure.provisioning.properties.source_system.details.application_id

关键词

azure.provisioning.properties.source_system.details.dervice_principal_display_name

关键词

azure.provisioning.properties.source_system.details.service_principal_id

关键词

azure.provisioning.properties.source_system.id

用户已预配到或来自的系统的标识符。

关键词

azure.provisioning.properties.source_system.name

用户已预配到或来自的系统的名称。

关键词

azure.provisioning.properties.target_identity.details

标识的详细信息。

扁平化

azure.provisioning.properties.target_identity.id

唯一标识标识。

关键词

azure.provisioning.properties.target_identity.identity_type

已预配的标识类型，例如用户或组。

关键词

azure.provisioning.properties.target_identity.name

标识的显示名称。

关键词

azure.provisioning.properties.target_system.details.application_id

关键词

azure.provisioning.properties.target_system.details.dervice_principal_display_name

关键词

azure.provisioning.properties.target_system.details.service_principal_id

关键词

azure.provisioning.properties.target_system.id

用户已预配到或来自的系统的标识符。

关键词

azure.provisioning.properties.target_system.name

用户已预配到或来自的系统的名称。

关键词

azure.provisioning.properties.tenant_id

唯一的 Microsoft Entra ID 租户 ID

关键词

azure.provisioning.result_signature

结果签名

关键词

azure.provisioning.result_type

结果类型

关键词

azure.provisioning.tenant_id

唯一的 Microsoft Entra ID 租户 ID

关键词

azure.resource.group

资源组

关键词

azure.resource.id

资源 ID

关键词

azure.resource.name

名称

关键词

azure.resource.namespace

资源类型/命名空间

关键词

azure.resource.provider

资源类型/命名空间

关键词

azure.subscription_id

Azure 订阅 ID

关键词

azure.tenant_id

租户 ID

关键词

cloud.image.id

云实例的映像 ID。

关键词

data_stream.dataset

数据流数据集名称。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

geo.city_name

城市名称。

关键词

geo.continent_name

大陆名称。

关键词

geo.country_iso_code

国家/地区 ISO 代码。

关键词

geo.country_name

国家/地区名称。

关键词

geo.location

经度和纬度。

geo_point

geo.name

用户定义的位置描述，在其关心的粒度级别上。可能是他们的数据中心的名称、楼层号（如果这描述本地物理实体）或城市名称。通常不用于自动地理位置。

关键词

geo.region_iso_code

区域 ISO 代码。

关键词

geo.region_name

区域名称。

关键词

host.containerized

如果主机是容器。

布尔型

host.os.build

OS 版本信息。

关键词

host.os.codename

OS 代码名称（如果有）。

关键词
审核日志
编辑

检索 Microsoft Entra ID 审核日志。审核日志通过日志提供 Microsoft Entra ID 中各种功能所做的所有更改的可追溯性。审核日志的示例包括对 Microsoft Entra ID 中任何资源所做的更改，例如添加或删除用户、应用程序、组、角色和策略。

示例

auditlogs 的示例事件如下所示

{
    "@timestamp": "2020-11-02T08:51:36.997Z",
    "azure.auditlogs.category": "AuditLogs",
    "azure.auditlogs.identity": "Device Registration Service",
    "azure.auditlogs.operation_name": "Update device",
    "azure.auditlogs.operation_version": "1.0",
    "azure.auditlogs.properties.activity_datetime": "2019-10-18T15:30:51.0273716+00:00",
    "azure.auditlogs.properties.activity_display_name": "Update device",
    "azure.auditlogs.properties.category": "Device",
    "azure.auditlogs.properties.correlation_id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
    "azure.auditlogs.properties.id": "Directory_ESQ",
    "azure.auditlogs.properties.initiated_by.app.displayName": "Device Registration Service",
    "azure.auditlogs.properties.initiated_by.app.servicePrincipalId": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
    "azure.auditlogs.properties.logged_by_service": "Core Directory",
    "azure.auditlogs.properties.operation_type": "Update",
    "azure.auditlogs.properties.result_reason": "",
    "azure.auditlogs.properties.target_resources.0.display_name": "LAPTOP-12",
    "azure.auditlogs.properties.target_resources.0.id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
    "azure.auditlogs.properties.target_resources.0.modified_properties.0.new_value": "\"\"",
    "azure.auditlogs.properties.target_resources.0.type": "Device",
    "azure.auditlogs.result_signature": "None",
    "azure.correlation_id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
    "azure.resource.id": "/tenants/8a4de8b5-095c-47d0-a96f-a75130c61d53/providers/Microsoft.aadiam",
    "azure.resource.provider": "Microsoft.aadiam",
    "azure.tenant_id": "8a4de8b5-095c-47d0-a96f-a75130c61d53",
    "cloud": {
        "provider": "azure"
    },
    "data_stream": {
        "dataset": "azure.auditlogs",
        "namespace": "default",
        "type": "logs"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "event": {
        "action": "MICROSOFT.RESOURCES/DEPLOYMENTS/WRITE",
        "dataset": "azure.auditlogs",
        "duration": 0,
        "ingested": "2020-10-30T20:47:48.123859400Z",
        "kind": "event",
        "outcome": "success"
    },
    "log": {
        "level": "Information"
    }
}

ECS 字段参考

有关 ECS 字段的详细信息，请参阅以下文档。

导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

azure.auditlogs.category

操作的类别。目前，仅支持“审核”值。

关键词

azure.auditlogs.identity

标识

关键词

azure.auditlogs.level

级别的取值。

浮点型

azure.auditlogs.operation_name

操作名称

关键词

azure.auditlogs.operation_version

操作版本

关键词

azure.auditlogs.properties.activity_datetime

活动时间戳

日期

azure.auditlogs.properties.activity_display_name

活动显示名称

关键词

azure.auditlogs.properties.additional_details.key

其他详细信息键

关键词

azure.auditlogs.properties.additional_details.user_agent

用户代理名称。

关键词

azure.auditlogs.properties.additional_details.value

其他详细信息值

关键词

azure.auditlogs.properties.authentication_protocol

身份验证协议类型。

关键词

azure.auditlogs.properties.category

类别

关键词

azure.auditlogs.properties.correlation_id

关联 ID

关键词

azure.auditlogs.properties.id

ID

关键词

azure.auditlogs.properties.initiated_by.app.appId

应用 ID

关键词

azure.auditlogs.properties.initiated_by.app.displayName

显示名称

关键词

azure.auditlogs.properties.initiated_by.app.servicePrincipalId

服务主体 ID

关键词

azure.auditlogs.properties.initiated_by.app.servicePrincipalName

服务主体名称

关键词

azure.auditlogs.properties.initiated_by.user.displayName

显示名称

关键词

azure.auditlogs.properties.initiated_by.user.id

ID

关键词

azure.auditlogs.properties.initiated_by.user.ipAddress

IP 地址

关键词

azure.auditlogs.properties.initiated_by.user.roles

用户角色

关键词

azure.auditlogs.properties.initiated_by.user.userPrincipalName

用户主体名称

关键词

azure.auditlogs.properties.logged_by_service

记录服务的名称

关键词

azure.auditlogs.properties.operation_type

操作类型

关键词

azure.auditlogs.properties.result

日志结果

关键词

azure.auditlogs.properties.result_reason

日志结果的原因

关键词

azure.auditlogs.properties.target_resources.*.display_name

显示名称

关键词

azure.auditlogs.properties.target_resources.*.id

ID

关键词

azure.auditlogs.properties.target_resources.*.ip_address

IP 地址

关键词

azure.auditlogs.properties.target_resources..modified_properties..display_name

显示值

关键词

azure.auditlogs.properties.target_resources..modified_properties..new_value

新值

关键词

azure.auditlogs.properties.target_resources..modified_properties..old_value

旧值

关键词

azure.auditlogs.properties.target_resources.*.type

类型

关键词

azure.auditlogs.properties.target_resources.*.user_principal_name

用户主体名称

关键词

azure.auditlogs.result_description

结果描述

关键词

azure.auditlogs.result_signature

结果签名

关键词

azure.auditlogs.tenant_id

租户 ID

关键词

azure.correlation_id

关联 ID

关键词

azure.resource.authorization_rule

授权规则

关键词

azure.resource.group

资源组

关键词

azure.resource.id

资源 ID

关键词

azure.resource.name

名称

关键词

azure.resource.namespace

资源类型/命名空间

关键词

azure.resource.provider

资源类型/命名空间

关键词

azure.subscription_id

Azure 订阅 ID

关键词

azure.tenant_id

租户 ID

关键词

cloud.image.id

云实例的映像 ID。

关键词

data_stream.dataset

数据流数据集名称。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集

constant_keyword

event.module

事件模块

constant_keyword

geo.city_name

城市名称。

关键词

geo.continent_name

大陆名称。

关键词

geo.country_iso_code

国家/地区 ISO 代码。

关键词

geo.country_name

国家/地区名称。

关键词

geo.location

经度和纬度。

geo_point

host.containerized

如果主机是容器。

布尔型

host.os.build

OS 版本信息。

关键词

host.os.codename

OS 代码名称（如果有）。

关键词

related.entity

与文档相关的所有实体标识符。如果文档包含多个实体，则将显示属于不同实体的标识符。示例标识符包括云资源 ID、ARN、电子邮件地址或主机名。

关键词

变更日志

编辑
变更日志
版本 详细信息 Kibana 版本

1.20.1

Bug 修复 (查看拉取请求)
修复 Painless 脚本中的字符串字面量。

8.13.0 或更高版本

1.20.0

增强 (查看拉取请求)
添加 Azure 日志集成 v2（预览版）

8.13.0 或更高版本

1.19.4

Bug 修复 (查看拉取请求)
修复 destination.geo.region_name 映射。

8.13.0 或更高版本

1.19.3

Bug 修复 (查看拉取请求)
将 Identity 字段重命名为 identity，以保持一致性。

8.13.0 或更高版本

1.19.2

Bug 修复 (查看拉取请求)
将 properties 字段重命名为 properties.raw，以避免当 properties 字段包含字符串时出现解析错误。

8.13.0 或更高版本

1.19.1

Bug 修复 (查看拉取请求)
修复错误并阐明有关存储帐户容器的文档。

8.13.0 或更高版本

1.18.0

增强 (查看拉取请求)
将实体标识符添加到 related.entity。

8.13.0 或更高版本

1.17.0

增强 (查看拉取请求)
添加 event.reason 日志字段，以便在与防火墙规则匹配的请求中查找确切数据。

8.13.0 或更高版本

1.16.0

增强 (查看拉取请求)
允许 @custom 管道访问 event.original，而无需设置 preserve_original_event。

8.13.0 或更高版本

1.15.1

Bug 修复 (查看拉取请求)
修复 [client|source].geo.location ECS 字段映射

8.13.0 或更高版本

1.15.0

增强 (查看拉取请求)
在 Azure Functions 托管计划中添加新部分。

8.13.0 或更高版本

1.14.0

增强 (查看拉取请求)
添加仪表板的全局数据集过滤器以提高性能。

8.13.0 或更高版本

1.13.1

增强 (查看拉取请求)
使用有关事件中心分区配置的更多详细信息来扩展文档。

8.13.0 或更高版本

1.13.0

增强 (查看拉取请求)
将结构化日志类别添加到 Azure 防火墙。

8.13.0 或更高版本

1.12.0

增强 (查看拉取请求)
ECS 版本更新到 8.11.0。将 kibana 约束更新到 ^8.13.0。修改了字段定义，以删除 ecs@mappings 组件模板使之多余的 ECS 字段。

重大更改 (查看拉取请求)
将“event.outcome”的值从“Succeeded”更新为“success”，将“Failed”更新为“failure”。

8.13.0 或更高版本

1.11.4

Bug 修复 (查看拉取请求)
将 Azure AD 替换为 Microsoft Entra ID。

8.12.0 或更高版本

1.11.3

Bug 修复 (查看拉取请求)
更新 Azure 审核日志管道，以支持 initiated_by 用户字段。

8.12.0 或更高版本

1.11.2

Bug 修复 (查看拉取请求)
添加缺少的 ECS 字段定义。

8.12.0 或更高版本

1.11.1

增强 (查看拉取请求)
更新事件中心参数名称建议的说明。

8.12.0 或更高版本

1.11.0

增强 (查看拉取请求)
为事件中心使用 event.dataset 字段的 ECS 定义

8.12.0 或更高版本

1.10.0

增强 (查看拉取请求)
添加 Microsoft Graph 活动日志

8.12.0 或更高版本

1.9.2

增强 (查看拉取请求)
添加有关在防火墙后运行集成的文档。

8.12.0 或更高版本

1.9.1

Bug 修复 (查看拉取请求)
在机密字段上将字段类型设置为密码。

8.12.0 或更高版本

1.9.0

增强 (查看拉取请求)
添加对集成机密的支持

8.12.0 或更高版本

1.8.3

增强 (查看拉取请求)
在 Azure 登录日志的管道中添加 caller_ip_address 字段。

8.8.0 或更高版本

1.8.2

增强 (查看拉取请求)
更新 Azure 日志文档。

8.8.0 或更高版本

1.8.1

增强 (查看拉取请求)
更新 AD 日志文档。

8.8.0 或更高版本

1.8.0

增强 (查看拉取请求)
允许将 Azure 日志事件重新路由到不同的数据流。

8.8.0 或更高版本

1.7.0

增强 (查看拉取请求)
将 Azure Spring Cloud 日志重新命名为 Azure Spring Apps

8.6.0 或更高版本

1.6.0

增强 (查看拉取请求)
将软件包 format_version 更新到 3.0.0。

8.6.0 或更高版本

1.5.33

Bug 修复 (查看拉取请求)
在应用程序网关日志中将 json.properties.clientIp 作为 json.properties.clientIP 的别名处理

8.6.0 或更高版本

1.5.32

Bug 修复 (查看拉取请求)
修复 azure.activitylogs.claims.* 的映射。

8.6.0 或更高版本

1.5.31

增强 (查看拉取请求)
将 Azure AD Identity Protection 仪表板迁移到 Lens。

8.6.0 或更高版本

1.5.30

增强功能 (查看拉取请求)
将 Azure AD 预配置日志仪表板迁移到 Lens。

8.6.0 或更高版本

1.5.29

增强功能 (查看拉取请求)
修复 Azure 仪表板的描述和标题。

8.6.0 或更高版本

1.5.28

增强功能 (查看拉取请求)
将警报概览仪表板迁移到 Lens

8.6.0 或更高版本

1.5.27

Bug 修复 (查看拉取请求)
修复防火墙仪表板中的问题

8.6.0 或更高版本

1.5.26

Bug 修复 (查看拉取请求)
处理登录日志中重复的 user_agent.original 字段

8.6.0 或更高版本

1.5.25

Bug 修复 (查看拉取请求)
处理应用程序网关日志中重复的 url.path 字段

8.6.0 或更高版本

1.5.24

Bug 修复 (查看拉取请求)
处理具有属性的 DNAT 请求的防火墙事件

8.6.0 或更高版本

1.5.23

增强功能 (查看拉取请求)
更新 Azure 日志屏幕截图

8.6.0 或更高版本

1.5.22

增强功能 (查看拉取请求)
将 Azure 云概述仪表板迁移到 Lens 并进行样式更改

8.6.0 或更高版本

1.5.21

增强功能 (查看拉取请求)
将用户活动仪表板迁移到 Lens

8.6.0 或更高版本

1.5.20

增强功能 (查看拉取请求)
用于清理的集成设置 UI

8.6.0 或更高版本

1.5.17

增强功能 (查看拉取请求)
将 Spring Cloud 概述仪表板迁移到 Lens

8.6.0 或更高版本

1.5.16

增强功能 (查看拉取请求)
将 Azure Spring Cloud 日志应用程序云日志仪表板迁移到 Lens

8.6.0 或更高版本

1.5.15

增强功能 (查看拉取请求)
将 Spring Cloud 系统日志仪表板迁移到 Lens

8.6.0 或更高版本

1.5.14

增强功能 (查看拉取请求)
增强/提高仪表板的性能

8.6.0 或更高版本

1.5.13

增强功能 (查看拉取请求)
扩展存储帐户容器文档并添加指向需求和设置说明的链接

7.16.0 或更高版本
8.0.0 或更高版本

1.5.12

增强功能 (查看拉取请求)
添加了类别和/或子类别。

7.16.0 或更高版本
8.0.0 或更高版本

1.5.11

增强功能 (查看拉取请求)
向 AzureFirewallNetworkRule 日志类别添加新的消息格式

7.16.0 或更高版本
8.0.0 或更高版本

1.5.10

Bug 修复 (查看拉取请求)
检查应用程序网关和事件中心提取管道中是否已存在 event.original

7.16.0 或更高版本
8.0.0 或更高版本

1.5.9

Bug 修复 (查看拉取请求)
检查防火墙日志提取管道中是否已存在 event.original

7.16.0 或更高版本
8.0.0 或更高版本

1.5.8

Bug 修复 (查看拉取请求)
向应用程序网关集成添加 storage_account_container 选项

7.16.0 或更高版本
8.0.0 或更高版本

1.5.7

Bug 修复 (查看拉取请求)
修复登录日志中 authentication_processing_details 字段的解析

7.16.0 或更高版本
8.0.0 或更高版本

1.5.6

Bug 修复 (查看拉取请求)
修复客户端端口为空的解析错误并调整时间戳

7.16.0 或更高版本
8.0.0 或更高版本

1.5.5

Bug 修复 (查看拉取请求)
当值为字符串时，将身份重命名为 identity_name

7.16.0 或更高版本
8.0.0 或更高版本

1.5.4

增强功能 (查看拉取请求)
默认启用事件中心集成并改进文档

7.16.0 或更高版本
8.0.0 或更高版本

1.5.3

增强功能 (查看拉取请求)
数据流在新安装时开始禁用

7.16.0 或更高版本
8.0.0 或更高版本

1.5.2

Bug 修复 (查看拉取请求)
修复变更日志中的 PR 链接

7.16.0 或更高版本
8.0.0 或更高版本

1.5.1

Bug 修复 (查看拉取请求)
修复文档格式（删除额外的概述标题）

7.16.0 或更高版本
8.0.0 或更高版本

1.5.0

增强功能 (查看拉取请求)
添加 Azure 应用程序网关数据流

7.16.0 或更高版本
8.0.0 或更高版本

1.4.1

增强功能 (查看拉取请求)
更新 Azure 日志文档

7.16.0 或更高版本
8.0.0 或更高版本

1.4.0

增强功能 (查看拉取请求)
向 Azure AD 日志集成添加两个新的数据流：Azure Identity Protection 日志和预配置日志

7.16.0 或更高版本
8.0.0 或更高版本

1.3.0

增强功能 (查看拉取请求)
添加覆盖默认生成的存储帐户容器的可能性

7.16.0 或更高版本
8.0.0 或更高版本

1.2.3

增强功能 (查看拉取请求)
使用推荐的事件中心配置更新文档

7.16.0 或更高版本
8.0.0 或更高版本

1.2.2

增强功能 (查看拉取请求)
更新包名称和描述以符合标准措辞

7.16.0 或更高版本
8.0.0 或更高版本

1.2.1

Bug 修复 (查看拉取请求)
修复 Azure 登录日志提取管道 Bug

7.16.0 或更高版本
8.0.0 或更高版本

1.2.0

增强功能 (查看拉取请求)
支持 Azure 防火墙日志

—

1.1.11

Bug 修复 (查看拉取请求)
改进对来自上游转发器的 event.original 字段的支持。

—

1.1.10

增强功能 (查看拉取请求)
使用指向 Microsoft 文档的链接更新自述文件

7.16.0 或更高版本
8.0.0 或更高版本

1.1.9

Bug 修复 (查看拉取请求)
改进 IPv6 IP 地址的处理。

—

1.1.8

增强功能 (查看拉取请求)
使用有关事件中心名称建议的详细信息更新文档

7.16.0 或更高版本
8.0.0 或更高版本

1.1.7

Bug 修复 (查看拉取请求)
在 platformlogs 中添加 geo.name 和 result_description 字段

7.16.0 或更高版本
8.0.0 或更高版本

1.1.6

Bug 修复 (查看拉取请求)
修复 azure.activitylogs.identity，使用具体值

Bug 修复 (查看拉取请求)
在活动日志中添加 identity_name、tenant_id、level 和 operation_version

7.16.0 或更高版本
8.0.0 或更高版本

1.1.5

增强功能 (查看拉取请求)
添加多字段文档

—

1.1.4

Bug 修复 (查看拉取请求)
修复所有 Azure 数据流中 event.duration 字段映射冲突。

—

1.1.3

增强功能 (查看拉取请求)
默认情况下，将 forwarded 标记添加到所有日志类型。

—

1.1.2

Bug 修复 (查看拉取请求)
添加 device_detail.is_compliant 和 device_detail.is_managed 字段

Bug 修复 (查看拉取请求)
将 authentication_requirement_policies 更改为展平类型

7.16.0 或更高版本
8.0.0 或更高版本

1.1.1

Bug 修复 (查看拉取请求)
修复审计日志数据流中 client.ip 的字段映射冲突。将 eventhub 数据流中的 azure-eventhub.offset 和 azure-eventhub.sequence_number 从关键字更改为 long。

—

1.1.0

增强功能 (查看拉取请求)
支持新的 Azure 审计日志和登录日志

—

1.0.1

增强功能 (查看拉取请求)
从数据流中删除 beta 发布标记

7.16.0 或更高版本
8.0.0 或更高版本

1.0.0

增强功能 (查看拉取请求)
将 Azure 包移至 GA

7.16.0 或更高版本
8.0.0 或更高版本

0.12.3

增强功能 (查看拉取请求)
更新到 ECS 8.0

—

0.12.2

Bug 修复 (查看拉取请求)
使用新的 GeoIP 数据库重新生成测试文件

—

0.12.1

Bug 修复 (查看拉取请求)
将测试公共 IP 更改为支持的子集

—

0.12.0

增强功能 (查看拉取请求)
发布 v8.0.0 版本的 Azure 包

—

0.11.0

增强 (查看拉取请求)
添加 Azure 事件中心输入

—

0.10.1

增强 (查看拉取请求)
统一遵循准则

—

0.10.0

增强 (查看拉取请求)
signinlogs - 添加对 ManagedIdentitySignInLogs、NonInteractiveUserSignInLogs 和 ServicePrincipalSignInLogs 的支持。

—

0.9.2

Bug 修复 (查看拉取请求)
防止管道脚本错误

—

0.9.1

Bug 修复 (查看拉取请求)
修复检查forwarded标签的逻辑

—

0.9.0

增强 (查看拉取请求)
更新至 ECS 1.12.0

—

0.8.6

Bug 修复 (查看拉取请求)
添加 ECS client.ip 映射

—

0.8.5

增强 (查看拉取请求)
更新文档和徽标

—

0.8.4

增强 (查看拉取请求)
转换为生成的 ECS 字段

—

0.8.3

增强 (查看拉取请求)
从 ECS 导入 geo_points

—

0.8.2

增强 (查看拉取请求)
更新错误消息

—

0.8.1

增强 (查看拉取请求)
在 platformlogs 管道中添加对 springcloud 日志的支持

—

0.8.0

增强 (查看拉取请求)
导入 ECS 字段定义

—

0.7.0

增强 (查看拉取请求)
添加 spring cloud 日志

—

0.6.2

增强 (查看拉取请求)
更新至 ECS 1.11.0

—

0.6.1

增强 (查看拉取请求)
转义文档中的特殊字符

—

0.6.0

增强 (查看拉取请求)
更新集成描述

—

0.5.1

增强 (查看拉取请求)
重新添加对无效 json 的管道更改

—

0.5.0

增强 (查看拉取请求)
添加输入组

—

0.4.0

增强 (查看拉取请求)
设置“event.module”和“event.dataset”

—

0.3.1

增强 (查看拉取请求)
将包与模块更改同步

—

0.3.0

增强 (查看拉取请求)
更新至 ECS 1.10.0 并添加 event.original 选项

—

0.2.3

增强 (查看拉取请求)
更新至 ECS 1.9.0

—

0.2.2

Bug 修复 (查看拉取请求)
更正示例事件文件。

—

0.2.1

Bug 修复 (查看拉取请求)
添加对空配置选项的检查。

—

0.2.0

增强 (查看拉取请求)
添加使用 ECS 1.8 字段的更改。

—

0.0.1

增强 (查看拉取请求)
初始发布

—
« Azure Functions Azure 资源指标集成 »