Azure Codeless Connector Framework の Storage BLOB データ コネクタ リファレンス

コードレス コネクタ フレームワーク (CCF) を使用して Azure Storage BLOB データ コネクタを作成するには、このリファレンスを、Microsoft Sentinel REST API for Data Connectors に関する記事に加えて使用します。

各dataConnectorは、Microsoft Sentinel データ コネクタの特定の接続を表します。 1 つのデータ コネクタに複数の接続があり、異なるエンドポイントからデータをフェッチします。 このリファレンス ドキュメントを使用して構築された JSON 構成は、CCF データ コネクタのデプロイ テンプレートを完了するために使用されます。

詳細については、「Microsoft Sentinel用のコードレス コネクタを作成する」を参照してください。

Azure Storage BLOB CCF データ コネクタを構築する

サンプルの Storage Blob CCF データ コネクタ デプロイ テンプレートを使用して、Azure Storage BLOB データ ソースを接続する開発を簡略化します。 詳細については、「 Connector StorageBlob CCF テンプレート」を参照してください。

ほとんどのデプロイ テンプレート セクションが入力された状態で、最初の 2 つのコンポーネント (出力テーブルと DCR) をビルドするだけで済みます。 詳細については、「 出力テーブル定義 」および「 データ収集規則 (DCR)」 セクションを参照してください。

データ コネクタ - 作成または更新

REST API ドキュメントの 作成または更新 操作を参照して、最新の安定した API バージョンまたはプレビュー API バージョンを見つけます。 作成操作と更新操作の違いは、更新に etag 値が必要です。

PUT メソッド

https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.OperationalInsights/workspaces/{{workspaceName}}/providers/Microsoft.SecurityInsights/dataConnectors/{{dataConnectorId}}?api-version={{apiVersion}}

URI パラメーター

最新の API バージョンの詳細については、「 データ コネクタ - URI パラメーターの作成または更新」を参照してください。

要求本文

StorageAccountBlobContainer CCF データ コネクタの要求本文には、次の構造があります。

{
   "name": "{{dataConnectorId}}",
   "kind": "StorageAccountBlobContainer",
   "etag": "",
   "properties": {
        "connectorDefinitionName": "",
        "auth": {},
        "request": {},
        "dcrConfig": {},
        "response": {}
   }
}

StorageAccountBlobContainer

StorageAccountBlobContainer は、Azure Storage BLOB データ ソースに対して予想される応答ペイロードが既に構成されている CCF データ コネクタを表します。 ストレージ BLOB にデータを送信するようにプロデューサーを構成するには、個別に行う必要があります。

認証の構成

Azure Storage Blob コネクタは、Microsoft が管理するマルチテナント アプリケーション (サービス プリンシパルブループリント) に関連付けられているテナントで作成されたサービス プリンシパルに依存します。 テナント管理者は、このサービス プリンシパルを作成するための同意を付与する必要があります。 ARM テンプレートは、アプリケーションに関連付けられているサービス プリンシパルがテナントに既に存在するかどうかを確認する機能を提供し、存在しない場合は、ユーザーの同意を得てサービス プリンシパルを作成するオプションを提供します。

ARM テンプレートの例には、ストレージ アカウントに必要なすべてのロールベースのアクセスを適用して BLOB を読み取り、キューに投稿する操作が含まれています。 使用するテンプレートとサービス プリンシパルが環境のアプリケーションに関連付けられていることを確認し、テナント管理者の同意が付与されていることを確認します。

次の表に、Azure環境ごとのアプリケーション ID を示します。

StorageAccountBlobContainer 認証の例:

"auth": {
    "type": "ServicePrincipal"
}

要求の構成

要求セクションでは、BLOB で作成されたイベント メッセージを受信するストレージ キュー Azureについて説明します。

StorageAccountBlobContainer 要求の例:

"request": {
    "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
    "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
}

応答構成

次のパラメーターを使用して、データ コネクタの応答処理を定義します。

応答構成の例

非圧縮 JSON:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "json"
}

圧縮された CSV:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "csv",
    "IsGzipCompressed": true
}

Parquet (圧縮は推論できます):

"response": {
    "EventsJsonPaths": ["$"],
    "format": "parquet"
}

DCR 構成

CCF データ コネクタの例

StorageAccountBlobContainer CCF データ コネクタ JSON のすべてのコンポーネントの例を次に示します。

{
    "kind": "StorageAccountBlobContainer",
    "properties": {
        "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
        "dcrConfig": {
            "streamName": "[variables('streamName')]",
            "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
            "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]"
        },
        "auth": {
            "type": "ServicePrincipal"
        },
        "request": {
            "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
            "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
        }
    }
}

詳細については、「 データ コネクタ REST API の作成の例」を参照してください。

関連コンテンツ

• ログをMicrosoft SentinelにストリーミングするようにAzure Storage コネクタを設定する
• Microsoft Sentinel用のコードレス コネクタを作成する
• コネクタ統合ストレージ リソースでネットワーク セキュリティを有効にする