Azure Referenz zum Speicherblob-Datenconnector für das Codeless Connector Framework

Um einen Azure Storage Blob-Datenconnector mit dem Codeless Connector Framework (CCF) zu erstellen, verwenden Sie diesen Verweis zusätzlich zum Artikel Microsoft Sentinel REST-API für Datenconnectors.

Jede dataConnector stellt eine bestimmte Verbindung eines Microsoft Sentinel-Datenconnectors dar. Ein Datenconnector kann über mehrere Verbindungen verfügen, die Daten von verschiedenen Endpunkten abrufen. Die mithilfe dieses Referenzdokuments erstellte JSON-Konfiguration wird verwendet, um die Bereitstellungsvorlage für den CCF-Datenconnector abzuschließen.

Weitere Informationen finden Sie unter Erstellen eines Connectors ohne Code für Microsoft Sentinel.

Erstellen des Azure Storage Blob CCF-Datenconnectors

Vereinfachen Sie die Entwicklung der Verbindung Ihrer Azure Storage Blob-Datenquelle mit einer Beispielvorlage für den Storage Blob CCF-Datenconnector. Weitere Informationen finden Sie unter Connector StorageBlob CCF-Vorlage.

Da die meisten Bereitstellungsvorlagenabschnitte ausgefüllt sind, müssen Sie nur die ersten beiden Komponenten erstellen, die Ausgabetabelle und den DCR. Weitere Informationen finden Sie in den Abschnitten Ausgabetabellendefinition und Datensammlungsregel (Data Collection Rule, DCR).

Datenconnectors: Erstellen oder Aktualisieren

Verweisen Sie auf den Vorgang Erstellen oder Aktualisieren in der REST-API-Dokumentation, um die neueste stabile oder Vorschauversion der API zu finden. Der Unterschied zwischen dem Erstellungs - und dem Aktualisierungsvorgang besteht darin, dass das Update den etag-Wert erfordert.

PUT-Methode

https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.OperationalInsights/workspaces/{{workspaceName}}/providers/Microsoft.SecurityInsights/dataConnectors/{{dataConnectorId}}?api-version={{apiVersion}}

URI-Parameter

Weitere Informationen zur neuesten API-Version finden Sie unter Datenconnectors – Erstellen oder Aktualisieren von URI-Parametern.

Anforderungstext

Der Anforderungstext für einen StorageAccountBlobContainer CCF-Datenconnector weist die folgende Struktur auf:

{
   "name": "{{dataConnectorId}}",
   "kind": "StorageAccountBlobContainer",
   "etag": "",
   "properties": {
        "connectorDefinitionName": "",
        "auth": {},
        "request": {},
        "dcrConfig": {},
        "response": {}
   }
}

StorageAccountBlobContainer

StorageAccountBlobContainer stellt einen CCF-Datenconnector dar, bei dem die erwarteten Antwortnutzlasten für Ihre Azure Storage Blob-Datenquelle bereits konfiguriert wurden. Die Konfiguration Ihres Producers zum Senden von Daten an Storage Blob muss separat erfolgen.

Authentifizierungskonfiguration

Der Azure Storage Blob-Connector basiert auf einem Dienstprinzipal, der in Ihrem Mandanten erstellt wurde, der einer von Microsoft verwalteten mehrinstanzenfähigen Anwendung (Dienstprinzipal-Blaupause) zugeordnet ist. Der Mandantenadministrator muss die Zustimmung zum Erstellen dieses Dienstprinzipals erteilen. Die ARM-Vorlage bietet die Möglichkeit, zu bestätigen, ob der der Anwendung zugeordnete Dienstprinzipal bereits in Ihrem Mandanten vorhanden ist. Andernfalls bietet sie die Möglichkeit, den Dienstprinzipal mit der Zustimmung des Benutzers zu erstellen.

Das ARM-Vorlagenbeispiel enthält Vorgänge zum Anwenden des gesamten erforderlichen rollenbasierten Zugriffs auf das Speicherkonto, um Blobs zu lesen und an Warteschlangen mitzuwirken. Stellen Sie sicher, dass die Vorlage und die verwendeten Dienstprinzipale der Anwendung für Ihre Umgebung zugeordnet sind und dass die Zustimmung des Mandantenadministrators erteilt wurde.

In der folgenden Tabelle sind die Anwendungs-IDs pro Azure Umgebung aufgeführt:

Beispiel für die StorageAccountBlobContainer-Authentifizierung:

"auth": {
    "type": "ServicePrincipal"
}

Anforderungskonfiguration

Im Anforderungsabschnitt werden die Azure Storage-Warteschlangen beschrieben, die Blob-erstellte Ereignismeldungen empfangen.

StorageAccountBlobContainer-Anforderungsbeispiel:

"request": {
    "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
    "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
}

Antwortkonfiguration

Definieren Sie die Antwortbehandlung Ihres Datenconnectors mit den folgenden Parametern:

Antwortkonfigurationsbeispiele

Nicht komprimierter JSON-Code:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "json"
}

Komprimierte CSV-Datei:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "csv",
    "IsGzipCompressed": true
}

Parquet (Komprimierung kann abgeleitet werden):

"response": {
    "EventsJsonPaths": ["$"],
    "format": "parquet"
}

DCR-Konfiguration

Beispiel für einen CCF-Datenconnector

Hier sehen Sie ein Beispiel für alle Komponenten des JSON-Codes des StorageAccountBlobContainer CCF-Datenconnectors.

{
    "kind": "StorageAccountBlobContainer",
    "properties": {
        "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
        "dcrConfig": {
            "streamName": "[variables('streamName')]",
            "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
            "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]"
        },
        "auth": {
            "type": "ServicePrincipal"
        },
        "request": {
            "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
            "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
        }
    }
}

Weitere Informationen finden Sie unter Create data connector REST API example( Create data connector REST API example).

Verwandte Inhalte

• Richten Sie Ihren Azure Storage-Connector ein, um Protokolle an Microsoft Sentinel zu streamen.
• Erstellen eines Connectors ohne Code für Microsoft Sentinel
• Aktivieren der Netzwerksicherheit für integrierte Speicherressourcen des Connectors