監査イベントをSIEMにストリーミングする

受信先を接続する

オーナーまたは管理者として、「組織」→「コネクテッドサービス」→「SIEM」を開きます。名前、公開HTTPS受信先URL、トークンを追加します。一般的なHTTPSではJSON配列かNDJSONを選びます。SplunkではHECトークンと、末尾が/services/collector/eventのイベントエンドポイントを使用します。送信先を保存し、配信をテストして、テストが受け入れられてからストリーミングを有効にします。

イベントの内容を理解する

ストリームは、テナントのガバナンス監査ジャーナルにコミットされた各イベントを送信します。これには、そこに記録された判断、実行結果、管理イベントが含まれます。識別子と監査メタデータが含まれますが、取得したメッセージ、未加工の引数、認証情報は含まれません。権限を取り消されたユーザーの履歴も引き続き表示されます。独立したプロバイダーやコントロールプレーンの監査ジャーナルは、自動では含まれません。

配信を監視する

保留中、受け入れ済み、失敗、期限切れの件数、割り当て済みで最も古い保留イベント、最後に受け入れられた時点を確認します。一時的な失敗は、イベント発生時から7日間再試行されます。認証情報が無効な場合は配信が停止します。配信の欠落を調査できるよう、終端状態の配信記録と件数は、割り当てまたは再送から30日間保持されます。元の監査ジャーナルには、別の保持ポリシーが適用されます。

一時停止、認証情報の更新、再送

一時停止しても、復旧可能な期間内の処理対象は保持されます。認証情報を更新すると、新しいトークンがテストに合格するまでストリーミングが停止します。「復旧と認証情報」でUTCの期間を指定し、保持されている監査イベントの再送を依頼できます。再送では元のイベントIDが維持されるため、受信済みのイベントが重複する場合があります。一時停止する前に送信されたリクエストは、その後に完了することがあります。