收集 Salesforce 日志

支持的平台：

本文档介绍了如何使用第三方 API 设置 Google Security Operations Feed 来收集 Salesforce 日志。

Salesforce 是一个基于云的客户关系管理 (CRM) 平台，可提供销售、服务、营销和分析工具。Salesforce 日志会捕获整个平台中的用户活动、安全事件、系统更改和 API 使用情况。

准备工作

请确保您满足以下前提条件：

  • Google SecOps 实例
  • Salesforce 企业版或更高级别（已启用 API 访问权限）
  • 已启用 Salesforce Shield 事件监控许可（访问 EventLogFile 所需）
  • Salesforce 系统管理员权限
  • 已安装 OpenSSL（用于生成证书）

生成 RSA 密钥对和证书

生成用于 JWT 签名的 RSA 私钥和自签名 X.509 证书。

生成私钥

  • 以 PKCS#8 格式生成密钥。Google SecOps Feed 仅接受 PKCS#8 密钥（标头 -----BEGIN PRIVATE KEY-----）；旧版 PKCS#1 密钥 (-----BEGIN RSA PRIVATE KEY-----) 会在创建 Feed 时导致解析错误。

    openssl genpkey -algorithm RSA -out salesforce_private.key -pkeyopt rsa_keygen_bits:2048

生成自签名证书

  • 使用您的私钥生成有效期为 365 天的自签名 X.509 证书。

    openssl req -new -x509 -key salesforce_private.key -out salesforce_certificate.crt -days 365

出现提示时，输入证书详细信息：

  • 国家/地区名称：输入您的 2 字母国家/地区代码（例如 US）。
  • 州/省/直辖市/自治区名称：输入您的州/省/直辖市/自治区（例如，California）。
  • 市行政区名称：输入您的城市（例如 San Francisco）。
  • 组织名称：输入您的组织名称（例如 Acme Corp）。
  • 组织部门名称：输入部门（例如 IT Security）。
  • 通用名称：输入一个描述性名称（例如 SecOps Integration）。
  • 电子邮件地址：输入联系电子邮件地址。

创建 Salesforce 外部客户端应用

外部客户端应用是 Salesforce 中 OAuth 身份验证的推荐方法（Spring '26 及更高版本）。

  1. 登录 Salesforce。
  2. 前往设置（右上角的齿轮图标）。
  3. 在 Quick Find 框中，输入 External Client Apps。
  4. 点击外部客户端应用管理器。
  5. 点击新建外部客户端应用。

配置基本信息

  1. 提供以下配置详细信息：
    • 外部客户端应用名称：输入一个描述性名称（例如 Google SecOps Integration）。
    • API 名称：系统会根据应用名称自动填充。保留为默认值或进行自定义。
    • 联系电子邮件地址：输入您的电子邮件地址。
    • 分发状态：选择本地。
  2. 点击继续。

启用 OAuth 设置

  1. 选中启用 OAuth 复选框。
  2. 提供以下配置详细信息：
    • 回调网址：输入 https://login.salesforce.com/services/oauth2/callback。
  1. 在 OAuth Scopes（OAuth 范围）部分中，将以下范围从 Available OAuth Scopes（可用的 OAuth 范围）移至 Selected OAuth Scopes（选定的 OAuth 范围）：
    • 通过 API (api) 管理用户数据
    • Perform requests at any time (refresh_token, offline_access) (refresh_token, offline_access)

启用 JWT 不记名令牌流程并上传证书

  1. 在流程启用部分中，选中启用 JWT 不记名令牌流程复选框。
  2. 系统会显示证书上传部分。
  3. 点击上传文件，或拖放证书文件。
  4. 选择 salesforce_certificate.crt 文件。
  5. 等待上传完成。证书文件名应显示在“上传”按钮下方。

配置 OAuth 政策

  1. 在 OAuth 政策部分中：
    • 允许的用户：选择管理员批准的用户已获得预先授权。
  2. 点击保存。

获取使用方密钥

创建外部客户端应用后，检索 Google SecOps Feed 配置的 Consumer Key。

  1. 在外部客户端应用管理器中，点击您的应用名称（例如 Google SecOps Integration）。
  2. 转到设置标签页。
  3. 在 OAuth 设置部分，点击使用方密钥和 Secret。
  4. 复制并保存使用方密钥值。

  • 示例消费者密钥格式：

    3MVG9IKcPoNiNVBIPjdw4z.pcfRjTFBp7xC8x9k4U8jZ0HlLQdPqX5bKjR8yNzQ9_YvY.8xD3F2W6nXb5YgNx

预先授权外部客户端应用

Salesforce 要求预先授权才能使用 JWT 不记名令牌流程。通过权限集将外部客户端应用分配给用户，从而进行预授权。

创建权限集

  1. 依次前往设置 > 用户 > 权限集。
  2. 点击 New（新建）。
  3. 提供以下配置详细信息：
    • 标签：输入 SecOps Integration Users（例如）。
    • API 名称：系统会根据标签自动填充。
  4. 点击保存。

为外部客户端应用分配权限集

  1. 依次前往设置 > 外部客户端应用管理器。
  2. 点击您的外部客户端应用（例如 Google SecOps Integration）。
  3. 点击政策标签页。
  4. 在应用政策部分中的选择权限集下：
    1. 将您的权限集（例如 SecOps Integration Users）从可用权限集移至所选权限集。
  5. 点击保存。

为用户分配权限集

  1. 在权限集详情页面中，点击管理分配。
  2. 点击添加分配。
  3. 选中将用于 Google SecOps 集成的用户账号（例如 integration@acme.com）旁边的复选框。
  4. 点击分配。
  5. 点击完成。

在 Google SecOps 中配置 Feed 以注入 Salesforce 日志

  1. 依次前往 SIEM 设置 > Feed。
  2. 点击添加新 Feed。
  3. 在下一页上，点击配置单个 Feed。
  4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Salesforce EventLogFile）。
  5. 选择第三方 API 作为来源类型。
  6. 选择 SALESFORCE 作为日志类型。
  7. 点击下一步。

  8. 为以下输入参数指定值：

    • API 主机名：输入您的 Salesforce 实例主机名（例如 acme.my.salesforce.com）。
    • OAuth JWT 端点：输入 OAuth 令牌端点网址。grant_type 查询参数是 Google SecOps Feed 提取工具必需的参数，必须完全按照所示方式附加到网址：
      • 生产环境组织：https://login.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
      • 沙盒组织：https://test.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
      • 我的网域：https://acme.my.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
    • JWT 声明签发者：输入外部客户端应用的 Consumer Key。
    • JWT 声明主题：输入预授权用户的 Salesforce 用户名（例如 integration@acme.com）。
    • JWT 声明目标对象：输入授权服务器网址。请仅使用以下两个值之一；请勿替换为“我的网域”网址，因为 Salesforce 会在 JWT 签名验证期间拒绝该网址：
      • 生产环境组织和“我的网域”组织：https://login.salesforce.com
      • 沙盒组织：https://test.salesforce.com

    • RSA 私钥：粘贴完整的 PKCS#8 私钥内容，包括 -----BEGIN PRIVATE KEY----- 和 -----END PRIVATE KEY----- 标记。页眉和页脚中不得包含 RSA 一词。具有 -----BEGIN RSA PRIVATE KEY----- (PKCS#1) 的密钥会被 Feed 解析器拒绝。

    • 如需获取私钥内容，请执行以下操作：

      cat salesforce_private.key

    复制整个输出，包括页眉和页脚行。

    • 资产命名空间：资产命名空间。
    • 提取标签：要应用于相应 Feed 中事件的标签。

  9. 点击下一步。

  10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

Salesforce 实例类型参考

OAuth JWT 端点和受众群体值取决于您的 Salesforce 实例类型：

实例类型 OAuth JWT 端点 JWT 声明受众群体 API 主机名格式
生产 https://login.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer https://login.salesforce.com company.my.salesforce.com
沙盒 https://test.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer https://test.salesforce.com company--sandbox.sandbox.my.salesforce.com
我的网域 https://domain.my.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer https://login.salesforce.com domain.my.salesforce.com

UDM 映射表

日志字段 UDM 映射 逻辑
ApiType_label additional.fields 已合并
ApiVersion_label additional.fields 已合并
Application_label additional.fields 已合并
AuthMethodReference_label additional.fields 已合并
Browser_label additional.fields 已合并
ConnectedAppId_label additional.fields 已合并
CountryIso_label additional.fields 已合并
CreatedByContext_label additional.fields 已合并
CreatedById_label additional.fields 已合并
CreatedByIssuer_label additional.fields 已合并
CreatedBy_FederationIdentifier_label additional.fields 已合并
CreatedDate_label additional.fields 已合并
DeviceSessionId_label additional.fields 已合并
EffectivePageTimeDeviationReason_label additional.fields 已合并
EffectivePageTime_label additional.fields 已合并
Entityid_label additional.fields 已合并
EventIdentifier_label additional.fields 已合并
EventUuid_label additional.fields 已合并
FederationIdentifier_label additional.fields 已合并
HasEffectivePageTimeDeviation_label additional.fields 已合并
Id_label additional.fields 已合并
LoginGeoId_label additional.fields 已合并
LoginHistoryId_label additional.fields 已合并
LoginKey_label additional.fields 已合并
LoginSubType_label additional.fields 已合并
LoginType_label additional.fields 已合并
NetId_label additional.fields 已合并
NetworkId_label additional.fields 已合并
Operation_label additional.fields 已合并
OptionsIsGet_label additional.fields 已合并
OptionsIsPost_label additional.fields 已合并
Platform_label additional.fields 已合并
PolicyId_label additional.fields 已合并
PreviousPageAppName_label additional.fields 已合并
PreviousPageEntityType_label additional.fields 已合并
QueriedEntities_label additional.fields 已合并
RelatedEventIdentifier_label additional.fields 已合并
RequestIdentifier_label additional.fields 已合并
RowsProcessed_label additional.fields 已合并
RowsReturned_label additional.fields 已合并
SdkVersion_label additional.fields 已合并
SessionKey_label additional.fields 已合并
SessionLevel_label additional.fields 已合并
Subdivision_label additional.fields 已合并
api_token_label additional.fields 已合并
api_type_label additional.fields 已合并
auth_service_id_label additional.fields 已合并
auth_token additional.fields 已合并
browser_version_label additional.fields 已合并
channel_label additional.fields 已合并
connection_type_label additional.fields 已合并
customerName_label additional.fields 已合并
datacell_label additional.fields 已合并
decoded_body_size_label additional.fields 已合并
delegate_user_label additional.fields 已合并
device_label additional.fields 已合并
device_platform additional.fields 已映射：: → device_label
done_label additional.fields 已合并
encoded_body_size_label additional.fields 已合并
evaluation_time_label additional.fields 已合并
event_id additional.fields 已映射：`"LightningInteraction", "LightningPerformance", "LightningPageView", "LightningUriE...
initiator_type_label additional.fields 已合并
login_key_label additional.fields 已合并
loginkey_label additional.fields 已合并
map_field additional.fields 已合并
next_hop_protocol_label additional.fields 已合并
page_app_name_label additional.fields 已合并
page_context_label additional.fields 已合并
page_entity_id_label additional.fields 已合并
page_entity_type_label additional.fields 已合并
page_url_label additional.fields 已合并
parent_ui_element_label additional.fields 已合并
platform_label additional.fields 已合并
postal_code_label additional.fields 已合并
redirect_start_label additional.fields 已合并
render_blocking_status_label additional.fields 已合并
replayId_label additional.fields 已合并
request_start_label additional.fields 已合并
response_end_label additional.fields 已合并
response_start_label additional.fields 已合并
responsible_namespace_prefix_label additional.fields 已合并
schemaId_label additional.fields 已合并
schema_label additional.fields 已合并
section_label additional.fields 已合并
server_request_id_label additional.fields 已合并
target_ui_element_label additional.fields 已合并
totalSize_label additional.fields 已合并
transfer_size_label additional.fields 已合并
ts_label additional.fields 已合并
ui_event_id_label additional.fields 已合并
ui_event_sequence_num_label additional.fields 已合并
ui_event_source_label additional.fields 已合并
ui_event_timestamp_label additional.fields 已合并
ui_event_type_label additional.fields 已合并
ui_root_activity_id_label additional.fields 已合并
ui_thread_response_delay_label additional.fields 已合并
worker_start_label additional.fields 已合并
Login_type extensions.auth.auth_details 直接映射
auth.mechanism extensions.auth.mechanism 已合并
csv_format extensions.auth.mechanism 已映射：false → auth.mechanism
event_id extensions.auth.mechanism 已映射：Login: Success → auth.mechanism
mechanism extensions.auth.mechanism 已合并
LoginType extensions.auth.type 已映射：Application → AUTHTYPE_UNSPECIFIED
csv_format extensions.auth.type 已映射：false → AUTHTYPE_UNSPECIFIED
event_id extensions.auth.type 映射的值（总共 8 个，例如“IdentityProviderEventStore”“LoginEventStream”“WaveDownloa...
logintype extensions.auth.type 已映射：SAML Sfdc Initiated SSO → SSO
intermediary_ip intermediary.ip 已合并
user_name intermediary.user.user_display_name 直接映射
userid intermediary.user.userid 直接映射
Report_description metadata.description 直接映射
data.properties.Description.str metadata.description 直接映射
metadata_description metadata.description 直接映射
properties.Description metadata.description 直接映射
@timestamp metadata.event_timestamp 解析为 ISO8601
LoginTime metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ss.SSS+0000
TIMESTAMP metadata.event_timestamp 解析为 UNIX
TIMESTAMP_DERIVED metadata.event_timestamp 解析为 ISO8601
User.LastLoginDate metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ss.SSS+0000
collected_timestamp metadata.event_timestamp 解析为 yyyyMMddHHmmss
column6 metadata.event_timestamp 解析为 yyyyMMddHHmmss
createdAt metadata.event_timestamp 解析为 UNIX
detail.payload.EventDate metadata.event_timestamp 解析为 ISO8601
payload.EventDate metadata.event_timestamp 解析为 ISO8601
properties.EventDate metadata.event_timestamp 解析为 ISO8601
recordDate metadata.event_timestamp 解析为 UNIX_MS
startTime metadata.event_timestamp 解析为 MMM d yyyy, HH:mm:ss:SSS
time_stamp metadata.event_timestamp 解析为 YYYY-MM-ddTHH:mm:ss
timestamp metadata.event_timestamp 解析为 yyyyMMddHHmmss
ts_date metadata.event_timestamp 解析为 yyyy-MM-dd HH:mm:ss.SSSZ
event_type metadata.event_type 已映射："", "GENERIC_EVENT" → USER_UNCATEGORIZED、"", "GENERIC_EVENT" → `NETWORK_CONNE...
principal_machine_id_present metadata.event_type 已映射：true → NETWORK_CONNECTION、true → STATUS_UPDATE
principal_user_present metadata.event_type 已映射：true → USER_UNCATEGORIZED
label metadata.ingestion_labels 已合并
resource_name metadata.ingestion_labels 已映射：`"ReportEvent","SessionHijackingEventStore","BulkApiResultEventStore","CredentialStu...
action metadata.product_event_type 直接映射
attrs.cat metadata.product_event_type 直接映射
event_id metadata.product_event_type 直接映射
name metadata.product_event_type 直接映射
REQUEST_ID metadata.product_log_id 直接映射
column9 metadata.product_log_id 直接映射
data.properties.EventIdentifier.str metadata.product_log_id 直接映射
event_identifier metadata.product_log_id 直接映射
id metadata.product_log_id 直接映射
payload.EventIdentifier metadata.product_log_id 直接映射
product_log_id metadata.product_log_id 直接映射
properties.EventIdentifier metadata.product_log_id 直接映射
ClientVersion metadata.product_version 直接映射
payload.ClientVersion metadata.product_version 直接映射
data.properties.LoginUrl.str metadata.url_back_to_product 直接映射
data.properties.PageUrl.str metadata.url_back_to_product 直接映射
payload.PreviousPageUrl metadata.url_back_to_product 直接映射
protocol network.application_protocol 直接映射
METHOD network.http.method 直接映射
data.properties.HttpMethod.str network.http.method 直接映射
method network.http.method 直接映射
payload.HttpMethod network.http.method 直接映射
properties.HttpMethod network.http.method 直接映射
properties.UserAgent network.http.parsed_user_agent 直接映射
user_agent network.http.parsed_user_agent 直接映射
referral_url network.http.referral_url 直接映射
STATUS_CODE network.http.response_code 直接映射
request_status network.http.response_code 直接映射
Browser_type network.http.user_agent 直接映射
Client_info network.http.user_agent 直接映射
data.properties.UserAgent.str network.http.user_agent 直接映射
detail.payload.UserAgent network.http.user_agent 直接映射
payload.UserAgent network.http.user_agent 直接映射
properties.UserAgent network.http.user_agent 直接映射
user_agent network.http.user_agent 直接映射
RESPONSE_SIZE network.received_bytes 已重命名/已映射
REQUEST_SIZE network.sent_bytes 已重命名/已映射
column17 network.sent_bytes 直接映射
event_id network.sent_bytes 已映射：AuraRequest → uinteger
LOGIN_KEY network.session_id 直接映射
SESSION_KEY network.session_id 直接映射
data.properties.SESSION_KEY.str network.session_id 直接映射
data.properties.SessionKey.str network.session_id 直接映射
payload.SessionKey network.session_id 直接映射
properties.SessionKey network.session_id 直接映射
session_id network.session_id 直接映射
session_key network.session_id 直接映射
cipher_suite network.tls.cipher 直接映射
data.properties.CipherSuite.str network.tls.cipher 直接映射
payload.CipherSuite network.tls.cipher 直接映射
properties.CipherSuite network.tls.cipher 直接映射
data.properties.TlsProtocol.str network.tls.version 直接映射
payload.TlsProtocol network.tls.version 直接映射
properties.TlsProtocol network.tls.version 直接映射
tls_protocol network.tls.version_protocol 直接映射
data.properties.DelegatedUsername.str observer.user.userid 直接映射
application principal.application 直接映射
attrs.Application principal.application 已重命名/已映射
data.properties.Application.str principal.application 直接映射
payload.Application principal.application 直接映射
properties.Application principal.application 直接映射
src_app_name principal.application 直接映射
SourceIp principal.asset.hostname 直接映射
client_host principal.asset.hostname 直接映射
client_ip_1 principal.asset.hostname 直接映射
detail.payload.Client principal.asset.hostname 直接映射
CLIENT_IP principal.asset.ip 已合并
Client_ip principal.asset.ip 已合并
SourceIp principal.asset.ip 已合并
attrs.src principal.asset.ip 已合并
client_ip principal.asset.ip 已合并
client_ip_1 principal.asset.ip 已合并
column28 principal.asset.ip 已合并
csv_format principal.asset.ip 已映射：false → attrs.src
event_id principal.asset.ip 映射：API → prin_ip、Sites → column28、Login: Success → attrs.src
ip principal.asset.ip 已合并
prin_ip principal.asset.ip 已合并
principal_ip_address principal.asset.ip 已合并
src_ip1 principal.asset.ip 已合并
value principal.asset.ip 已合并
data.properties.ASSET_ID.str principal.asset_id 直接映射
SourceIp principal.hostname 直接映射
client_host principal.hostname 直接映射
client_ip_1 principal.hostname 直接映射
detail.payload.Client principal.hostname 直接映射
CLIENT_IP principal.ip 已合并
Client_ip principal.ip 已合并
SourceIp principal.ip 已合并
attrs.src principal.ip 已合并
client_ip principal.ip 已合并
client_ip_1 principal.ip 已合并
column28 principal.ip 已合并
csv_format principal.ip 已映射：false → attrs.src
event_id principal.ip 映射：API → prin_ip、Sites → column28、Login: Success → attrs.src
ip principal.ip 已合并
prin_ip principal.ip 已合并
principal_ip principal.ip 已合并
principal_ip_address principal.ip 已合并
src_ip1 principal.ip 已合并
value principal.ip 已合并
ApiType_label principal.labels 已合并
Client_label principal.labels 已合并
ConApp_label principal.labels 已合并
OrderBy_label principal.labels 已合并
Org_id principal.labels 已合并
Qentry_label principal.labels 已合并
Query_label principal.labels 已合并
Records_label principal.labels 已合并
channel principal.labels 已合并
colhdr_label principal.labels 已合并
disp_field_hdr_label principal.labels 已合并
evt_src_label principal.labels 已合并
federation_identifier principal.labels 已合并
grouped_colhdr_label principal.labels 已合并
city principal.location.city 直接映射
data.properties.City.str principal.location.city 直接映射
geoip_src.city_name principal.location.city 直接映射
payload.City principal.location.city 直接映射
properties.City principal.location.city 直接映射
client_geo principal.location.country_or_region 直接映射
data.properties.Country.str principal.location.country_or_region 直接映射
geoip_src.country_name principal.location.country_or_region 直接映射
payload.CountryIso principal.location.country_or_region 直接映射
properties.Country principal.location.country_or_region 直接映射
region principal.location.country_or_region 直接映射
data.properties.LoginLatitude.number principal.location.region_latitude 已重命名/已映射
payload.LoginLatitude principal.location.region_latitude 已重命名/已映射
properties.LoginLatitude principal.location.region_latitude 已重命名/已映射
data.properties.LoginLongitude.number principal.location.region_longitude 已重命名/已映射
payload.LoginLongitude principal.location.region_longitude 已重命名/已映射
properties.LoginLongitude principal.location.region_longitude 已重命名/已映射
geoip_src.region_name principal.location.state 直接映射
namespace principal.namespace 直接映射
source_ip principal.nat_ip 已合并
Platform principal.platform 映射：Windows → WINDOWS、Linux → LINUX、Mac → MAC
data.properties.OsName.str principal.platform 直接映射
os_name principal.platform 直接映射
payload.OsName principal.platform 直接映射
platform principal.platform 直接映射
data.properties.Platform.str principal.platform_version 直接映射
os_version principal.platform_version 直接映射
payload.OsVersion principal.platform_version 直接映射
properties.OsVersion principal.platform_version 直接映射
ApiVersion_label principal.resource.attribute.labels 已合并
IsDeleted_label principal.resource.attribute.labels 已合并
LogFileContentType_label principal.resource.attribute.labels 已合并
LogFileLength_label principal.resource.attribute.labels 已合并
LogFile_label principal.resource.attribute.labels 已合并
created_by_id_label principal.resource.attribute.labels 已合并
key principal.resource.attribute.labels 已映射：DisplayedFieldEntities → map_field
map_field principal.resource.attribute.labels 已合并
os_name_label principal.resource.attribute.labels 已合并
principal_ip_address principal.resource.attribute.labels 已合并
browser_name principal.resource.name 直接映射
data.properties.Browser.str principal.resource.name 直接映射
product_object_id principal.resource.product_object_id 直接映射
principal_resource_type principal.resource.type 直接映射
LoginUrl principal.url 直接映射
user_labels principal.user.attribute.labels 已合并
user_permission_label principal.user.attribute.labels 已合并
roles principal.user.attribute.roles 已合并
CreatedBy.Email principal.user.email_addresses 已合并
Email principal.user.email_addresses 已合并
User.Email principal.user.email_addresses 已合并
User.Username principal.user.email_addresses 直接映射
attrs.usrName principal.user.email_addresses 已合并
csv_format principal.user.email_addresses 已映射：false → attrs.usrName
email principal.user.email_addresses 已合并
properties.Username principal.user.email_addresses 已合并
src_email principal.user.email_addresses 已映射：^.+@.+$ → src_email
User.Id principal.user.product_object_id 直接映射
attrs.USER_ID_DERIVED principal.user.product_object_id 已重命名/已映射
data.properties.USER_ID_DERIVED.str principal.user.product_object_id 直接映射
principal_product_object_id principal.user.product_object_id 直接映射
payload.UserType principal.user.role_name 直接映射
properties.UserType principal.user.role_name 直接映射
CreatedBy.Name principal.user.user_display_name 直接映射
Name principal.user.user_display_name 直接映射
User.Name principal.user.user_display_name 直接映射
email principal.user.user_display_name 直接映射
profile_name principal.user.user_display_name 直接映射
user_display_name principal.user.user_display_name 直接映射
username principal.user.user_display_name 直接映射
Id principal.user.userid 直接映射
USER_ID principal.user.userid 直接映射
account principal.user.userid 直接映射
attrs.usrName principal.user.userid 直接映射
data.properties.LoginKey.str principal.user.userid 直接映射
data.properties.USER_ID.str principal.user.userid 直接映射
login_key principal.user.userid 直接映射
payload.UserId principal.user.userid 直接映射
principal_user principal.user.userid 直接映射
properties.UserId principal.user.userid 直接映射
user_id principal.user.userid 直接映射
username principal.user.userid 直接映射
action security_result.action 已映射："ALLOW", "BLOCK" → action
csv_format security_result.action 已映射：false → sec_action
event_id security_result.action 已映射：“Login”“LoginAsEvent”“IdentityVerificationEvent”...
sec_action security_result.action 已合并
status security_result.action 已映射：Success → sec_action
Status security_result.action_details 直接映射
action security_result.action_details 直接映射
data.properties.Status.str security_result.action_details 直接映射
properties.Status security_result.action_details 直接映射
detail.payload.Query security_result.category_details 已合并
LoginType security_result.description 直接映射
description security_result.description 直接映射
logintype security_result.description 直接映射
ActionMessage_label security_result.detection_fields 已合并
ElapsedTime_label security_result.detection_fields 已合并
EvaluationTime_label security_result.detection_fields 已合并
Id_label security_result.detection_fields 已合并
NumberOfFailedLogins_label security_result.detection_fields 已合并
PolicyOutcome_label security_result.detection_fields 已合并
User_url_label security_result.detection_fields 已合并
event_id security_result.detection_fields 已映射：AuraRequest → ActionMessage_label
type_label security_result.detection_fields 已合并
column5 security_result.rule_author 直接映射
column1 security_result.rule_id 直接映射
payload.PolicyId security_result.rule_id 直接映射
properties.PolicyId security_result.rule_id 直接映射
column4 security_result.rule_name 直接映射
rule_name security_result.rule_name 直接映射
REQUEST_STATUS security_result.summary 直接映射
column10 security_result.summary 直接映射
data.properties.LoginType.str security_result.summary 直接映射
forecastcategory security_result.summary 直接映射
newvalue security_result.summary 直接映射
oldvalue security_result.summary 直接映射
summary security_result.summary 直接映射
ORGANIZATION_ID target.administrative_domain 直接映射
domain target.administrative_domain 直接映射
organization_id target.administrative_domain 直接映射
properties.OrgName target.administrative_domain 直接映射
app_name target.application 直接映射
data.properties.Application.str target.application 直接映射
payload.AppName target.application 直接映射
properties.AppName target.application 直接映射
target_host target.asset.hostname 直接映射
target_hostname target.asset.hostname 直接映射
data.properties.CLIENT_IP.str target.asset.ip 已合并
device_id target.asset_id 直接映射
file_type target.file.mime_type 直接映射
size_bytes target.file.size 直接映射
target_host target.hostname 直接映射
target_hostname target.hostname 直接映射
data.properties.CLIENT_IP.str target.ip 已合并
QUERY_IDENTIFIER target.process.command_line 直接映射
cmd_line target.process.command_line 直接映射
data.properties.Query.str target.process.command_line 直接映射
query_exec target.process.command_line 直接映射
job_id target.process.pid 直接映射
PageStartTime_label target.resource.attribute.labels 已合并
call_time target.resource.attribute.labels 已合并
counts_against_api_limit_label target.resource.attribute.labels 已合并
cpu target.resource.attribute.labels 已合并
cpu_time_label target.resource.attribute.labels 已合并
db_blocks_label target.resource.attribute.labels 已合并
db_cpu target.resource.attribute.labels 已合并
db_cpu_time_label target.resource.attribute.labels 已合并
db_total_time_label target.resource.attribute.labels 已合并
db_type target.resource.attribute.labels 已合并
duration_time target.resource.attribute.labels 已合并
entity_name target.resource.attribute.labels 已合并
entity_name_label target.resource.attribute.labels 已合并
entry_p target.resource.attribute.labels 已合并
event_id target.resource.attribute.labels 映射的值（总共 5 个，例如 ApiEventStream → ope、ApiEventStream → ses_level、`ApiT...
exception_label target.resource.attribute.labels 已合并
exe_time target.resource.attribute.labels 已合并
key target.resource.attribute.labels 已映射："PageStartTime", "PreviousPageUrl", "Description", "ReportId" → map_field
label target.resource.attribute.labels 已合并
map_field target.resource.attribute.labels 已合并
media_type_label target.resource.attribute.labels 已合并
no_sql_que target.resource.attribute.labels 已合并
number_fields_label target.resource.attribute.labels 已合并
ope target.resource.attribute.labels 已合并
query_type_label target.resource.attribute.labels 已合并
rows_proc target.resource.attribute.labels 已合并
rows_proc_label target.resource.attribute.labels 已合并
run target.resource.attribute.labels 已合并
run_time_label target.resource.attribute.labels 已合并
ses_level target.resource.attribute.labels 已合并
sql_id_label target.resource.attribute.labels 已合并
ss_type target.resource.attribute.labels 已合并
total_time target.resource.attribute.labels 已合并
uripath_label target.resource.attribute.labels 已合并
user_derieved_label target.resource.attribute.labels 已合并
user_ty target.resource.attribute.labels 已合并
user_type_label target.resource.attribute.labels 已合并
verify_method target.resource.attribute.labels 已合并
wave target.resource.attribute.labels 已合并
URI target.resource.id 直接映射
accountid target.resource.id 直接映射
attrs.AccountId target.resource.id 已重命名/已映射
attrs.CaseId target.resource.id 已重命名/已映射
attrs.ContactId target.resource.id 已重命名/已映射
caseid target.resource.id 直接映射
contactid target.resource.id 直接映射
detail.id target.resource.id 直接映射
leadid target.resource.id 直接映射
opportunityid target.resource.id 直接映射
payload.RecordId target.resource.id 直接映射
properties.RecordId target.resource.id 直接映射
request_id target.resource.id 直接映射
StageName target.resource.name 直接映射
data.properties.DATASET_IDS.str target.resource.name 直接映射
field target.resource.name 直接映射
properties.Name target.resource.name 直接映射
resource_name target.resource.name 直接映射
column13 target.resource.product_object_id 直接映射
data.properties.REQUEST_ID.str target.resource.product_object_id 直接映射
properties.OrgId target.resource.product_object_id 直接映射
target_product_object_id target.resource.product_object_id 直接映射
event_id target.resource.resource_type 映射：PlatformEncryption → ACCESS_POLICY、ApexCallout → ACCESS_POLICY、`ApexTrigge...
target_resource_type target.resource.resource_type 直接映射
event_id target.resource.type 已映射：(QueuedExecution/ApexExecution) → BATCH、ApexTrigger → DATABASE_TRIGGER、`Co...
URI target.url 直接映射
attrs.LoginUrl target.url 已重命名/已映射
attrs.attributes.url target.url 已重命名/已映射
login_url target.url 直接映射
payload.LoginUrl target.url 直接映射
properties.LoginUrl target.url 直接映射
properties.PageUrl target.url 直接映射
uri target.url 直接映射
uripath target.url 直接映射
attrs.usrName target.user.email_addresses 已合并
csv_format target.user.email_addresses 已映射：false → attrs.usrName
email_address target.user.email_addresses 已合并
event_id target.user.email_addresses 已映射：Logout → attrs.usrName
target_user_display_name target.user.user_display_name 直接映射
column5 target.user.userid 直接映射
data.properties.CreatedById.str target.user.userid 直接映射
data.properties.UserId.str target.user.userid 直接映射
detail.payload.UserId target.user.userid 直接映射
target_login_key target.user.userid 直接映射
target_user_id target.user.userid 直接映射
target_user_name target.user.userid 直接映射
不适用 extensions.auth.auth_details 常量：ACTIVE
不适用 extensions.auth.type 常量：AUTHTYPE_UNSPECIFIED
不适用 metadata.event_type 常量：USER_UNCATEGORIZED
不适用 metadata.product_name 常量：SALESFORCE
不适用 metadata.vendor_name 常量：SALESFORCE
不适用 network.application_protocol 常量：HTTP
不适用 network.http.parsed_user_agent 常量：parseduseragent
不适用 principal.platform 常量：WINDOWS
不适用 principal.resource.type 常量：USER
不适用 target.resource.resource_type 常量：ACCESS_POLICY
不适用 target.resource.type 常量：BATCH
column17 event.idm.read_only_udm.principal.user.email_addresses 从变更日志映射
column5 event.idm.read_only_udm.principal.user.userid 从变更日志映射
user_type event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
USER_ID_DERIVED event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
ApiVersion event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
column9 event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
column9 event.idm.read_only_udm.network.http.user_agent 从变更日志映射
column9 event.idm.read_only_udm.network.http.parsed_user_agent 从变更日志映射
column4 event.idm.read_only_udm.target.administrative_domain 从变更日志映射
column18 event.idm.read_only_udm.principal.user.email_addresses 从变更日志映射
request_id event.idm.read_only_udm.target.resource.product_object_id 从变更日志映射
column13 event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
column18 event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
column20 event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
column8 event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
column7 event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
column16 event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
login_subtype event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
column28 event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
column26 event.idm.read_only_udm.metadata.collected_timestamp 从变更日志映射
source_ip event.idm.read_only_udm.principal.nat_ip 从变更日志映射
x_forwarded_for_ip event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
column13 event.idm.read_only_udm.target.resource.name 从变更日志映射
column14 event.idm.read_only_udm.security_result.description 从变更日志映射
properties.Description event.idm.read_only_udm.metadata.description 从变更日志映射
properties.City event.idm.read_only_udm.principal.location.city 从变更日志映射
properties.AppName event.idm.read_only_udm.target.application 从变更日志映射
properties.OrgId event.idm.read_only_udm.target.resource.product_object_id 从变更日志映射
properties.OrgName event.idm.read_only_udm.target.administrative_domain 从变更日志映射
namespace event.idm.read_only_udm.principal.namespace 从变更日志映射
properties.LoginUrl, properties.PageUrl event.idm.read_only_udm.target.url 从变更日志映射
properties.Application event.idm.read_only_udm.principal.application 从变更日志映射
recordDate event.idm.read_only_udm.metadata.collected_timestamp 从变更日志映射
name event.idm.read_only_udm.metadata.product_event_type 从变更日志映射
properties.Username event.idm.read_only_udm.principal.user.email_addresses 从变更日志映射
properties.UserId event.idm.read_only_udm.principal.user.userid 从变更日志映射
properties.UserType event.idm.read_only_udm.principal.user.role_name 从变更日志映射
properties.Country event.idm.read_only_udm.principal.location.country_or_region 从变更日志映射
properties.SourceIp event.idm.read_only_udm.principal.ip 从变更日志映射
properties.SourceIp event.idm.read_only_udm.principal.asset.ip 从变更日志映射
properties.SourceIp (if not a valid IP), properties.OsName (if not Windows, Linux, or Mac), properties.DisplayedFieldEntities event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
properties.TlsProtocol event.idm.read_only_udm.network.tls.version 从变更日志映射
properties.CipherSuite event.idm.read_only_udm.network.tls.cipher 从变更日志映射
properties.EventDate, startTime event.idm.read_only_udm.metadata.event_timestamp 从变更日志映射
properties.EventIdentifier event.idm.read_only_udm.metadata.product_log_id 从变更日志映射
properties.HttpMethod event.idm.read_only_udm.network.http.method 从变更日志映射
properties.HttpMethod event.idm.read_only_udm.network.application_protocol 从变更日志映射
properties.LoginLatitude event.idm.read_only_udm.principal.location.region_latitude 从变更日志映射
properties.LoginLongitude event.idm.read_only_udm.principal.location.region_longitude 从变更日志映射
properties.OsName, properties.Platform event.idm.read_only_udm.principal.platform 从变更日志映射
properties.OsVersion event.idm.read_only_udm.principal.platform_version 从变更日志映射
properties.RecordId event.idm.read_only_udm.target.resource.id 从变更日志映射
properties.SessionKey event.idm.read_only_udm.network.session_id 从变更日志映射
properties.UserAgent event.idm.read_only_udm.network.http.user_agent 从变更日志映射
properties.UserAgent event.idm.read_only_udm.network.http.parsed_user_agent 从变更日志映射
properties.PageStartTime, properties.PreviousPageUrl, properties.Description, properties.ReportId event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
properties.Name event.idm.read_only_udm.target.resource.name 从变更日志映射
and event.idm.read_only_udm.additional.fields 从变更日志映射
detail.payload.ConnectedAppId additional.fields 从变更日志映射
detail.payload.Platform additional.fields 从变更日志映射
detail.payload.EvaluationTime additional.fields 从变更日志映射
detail.payload.Operation additional.fields 从变更日志映射
detail.payload.LoginHistoryId additional.fields 从变更日志映射
detail.payload.CreatedById additional.fields 从变更日志映射
detail.payload.SessionKey additional.fields 从变更日志映射
detail.payload.ApiType additional.fields 从变更日志映射
detail.payload.PolicyOutcome security_result.detection_fields 从变更日志映射
detail.payload.EventIdentifier additional.fields 从变更日志映射
detail.payload.RequestIdentifier additional.fields 从变更日志映射
detail.payload.ApiVersion additional.fields 从变更日志映射
detail.payload.RelatedEventIdentifier additional.fields 从变更日志映射
detail.payload.Username target.user.email_addresses 从变更日志映射
detail.payload.RowsProcessed additional.fields 从变更日志映射
detail.payload.RowsReturned additional.fields 从变更日志映射
detail.payload.SourceIp principal.ip 从变更日志映射
detail.payload.CreatedDate additional.fields 从变更日志映射
detail.payload.LoginKey additional.fields 从变更日志映射
detail.payload.Application additional.fields 从变更日志映射
detail.payload.PolicyId additional.fields 从变更日志映射
detail.payload.QueriedEntities additional.fields 从变更日志映射
detail.payload.SessionLevel additional.fields 从变更日志映射
detail.schemaId additional.fields 从变更日志映射
records_index.attributes.type security_result.detection_fields 从变更日志映射
column25 network.http.user_agent 从变更日志映射
column24 network.http.user_agent 从变更日志映射
column24 network.http.method 从变更日志映射
CreatedBy.FederationIdentifier additional.fields 从变更日志映射
Section additional.fields 从变更日志映射
DelegateUser additional.fields 从变更日志映射
ResponsibleNamespacePrefix additional.fields 从变更日志映射
payload.PreviousPageEntityId", "payload.SdkVersion", "payload.Operation", "payload.PageUrl", "HasEffectivePageTimeDeviation_label", "payload.EffectivePageTime", "payload.EffectivePageTimeDeviationReason", "payload.DeviceSessionId", "payload.PreviousPageAppName", and "payload.PreviousPageEntityType additional.fields 从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。