收集 Microsoft Entra ID 登录日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Microsoft Entra ID（以前称为 Azure Active Directory）登录日志。您可以使用以下两种方法配置数据提取：Azure Event Hub（推荐）或第三方 API。

注意： 注入标签用于标识将原始日志数据标准化为结构化 UDM 格式的解析器。本文档中的信息适用于具有 AZURE_AD 注入标签的解析器。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例
• 对 Microsoft Azure 门户的特权访问权限
• Microsoft Entra ID 中的安全管理员或全局管理员角色（诊断设置需要此角色）
• 对于第三方 API 方法，用于授予管理员同意权限的角色如下：
  • 全局管理员：可以针对任何 API 授予任何权限的同意情况
  • 特许角色管理员：可以针对任何 API 授予任何权限的同意声明
  • Cloud Application Administrator：可以针对任何 API 的任何权限授予同意，但 Microsoft Graph 应用角色（应用权限）除外

注意： 对于 Microsoft Graph 应用权限（在 API 方法中使用），您需要拥有全局管理员或特权角色管理员角色。

方法 1：Azure 事件中心（推荐）

此方法通过 Azure 事件中心使用诊断设置来流式传输 Microsoft Entra ID 登录日志。Google SecOps 使用 Azure Event Hub Feed 类型直接从 Event Hub 提取日志。

注意： 与第三方 API 方法相比，此方法可提供近乎实时的日志传送。

创建事件中心命名空间

事件中心命名空间是一个管理容器，用于容纳一个或多个事件中心。

1. 在 Azure 门户中，搜索事件中心。
2. 点击 + 创建。

3. 提供以下配置详细信息：

   设置	值
   订阅	选择您的 Azure 订阅
   资源组	选择现有组或创建新组
   命名空间名称	输入唯一名称（例如 secops-entraid-signin）
   位置	选择距离您的 Microsoft Entra 租户最近的区域
   价格层级	标准（建议用于生产环境）
   吞吐量单位	从 1 开始，启用“自动增加”（推荐）

4. 点击 Review + create（检查 + 创建）。

5. 查看概览，然后点击创建。

6. 等待部署完成（1-2 分钟）。

   注意： 吞吐量单位决定了命名空间容量。一个吞吐量单位允许 1 MBps 入站和 2 MBps 出站。启用自动扩容，以便在流量增加时自动扩容。

创建事件中心

1. 部署命名空间后，前往事件中心命名空间。
2. 在左侧导航栏中，选择实体下的事件中心。
3. 点击 + 活动中心。

4. 提供以下配置详细信息：

   设置	值
   名称	输入唯一名称（例如 entraid-signin-logs）
   分区数	40（建议采用此值，以便实现最佳的 Google SecOps 伸缩）
   消息保留	7 天（建议的最低限度）
   拍摄	已停用（Google SecOps 不需要）

5. 点击创建。

   注意： 建议 Google SecOps Feed 的分区数为 40，以实现最佳伸缩效果。此设置一经创建便无法更改，因此请务必在初始设置期间正确设置。

获取 Event Hub 连接字符串

Google SecOps 需要连接字符串才能向事件中心进行身份验证。

方案 A：命名空间级连接字符串（推荐）

1. 前往事件中心命名空间。
2. 在左侧导航栏中，选择设置下的共享访问权限政策。
3. 点击默认政策 RootManageSharedAccessKey。
4. 复制连接字符串 - 主密钥。
5. 请妥善保存此连接字符串。

重要提示： 使用命名空间级连接字符串时，您必须先移除 EntityPath 参数，然后再将其提供给 Google SecOps。

• 示例：

  Original: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=entraid-signin-logs
  
  Remove EntityPath: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==
  

选项 B：事件中心级连接字符串

1. 前往事件中心（而非命名空间）。
2. 在左侧导航栏中，选择设置下的共享访问权限政策。
3. 点击 + 添加以创建新政策。
4. 提供以下配置详细信息：
   • 政策名称：输入一个描述性名称（例如 chronicle-read）
   • 权限：仅选择收听（只读权限）
5. 点击创建。
6. 点击新创建的政策。
7. 复制连接字符串 - 主密钥。

8. 请妥善保存此连接字符串。

   注意： Event Hub 级连接字符串已包含 EntityPath 参数，因此无需进行修改。

配置 Microsoft Entra ID 诊断设置

1. 以至少安全管理员身份登录 Microsoft Entra 管理中心。
2. 依次前往 Entra ID > 监控和运行状况 > 诊断设置。
3. 点击 + 添加诊断设置。

4. 提供以下配置详细信息：

   • 诊断设置名称：输入一个描述性名称（例如 signin-logs-to-eventhub）。

   • 在日志部分，选择要导出的登录日志类别：

     • SignInLogs - 交互式用户登录。
     • NonInteractiveUserSignInLogs - 非交互式用户登录（推荐）。
     • ServicePrincipalSignInLogs - 服务正文登录（可选）。
     • ManagedIdentitySignInLogs - 托管式身份登录（可选）。
     • ADFSSignInLogs - AD FS 登录日志（可选，如果使用 AD FS）。
     • RiskyUsers - 由 Microsoft Entra ID 保护标记为有风险的用户（可选）。
     • UserRiskEvents - 存在风险的登录事件详情（可选）。
     注意： 如果您需要这些登录类型，请选择 NonInteractiveUserSignInLogs、ServicePrincipalSignInLogs 和 ManagedIdentitySignInLogs。这些是方法 2 无法收集的类别。规划容量：Microsoft 表示，非交互式用户和服务正文登录次数可能是交互式登录次数的 5 到 10 倍。

   • 在目标详细信息部分中，选择流式传输到事件中心。

   • 订阅：选择包含 Event Hub 命名空间的订阅。

   • 事件中心命名空间：选择您创建的命名空间（例如 secops-entraid-signin）。

   • 事件中心名称：选择您创建的事件中心（例如 entraid-signin-logs）。

   • 事件中心政策名称：选择 RootManageSharedAccessKey。

5. 点击保存。

   注意： Microsoft 表示，创建诊断设置后，日志最多可能需要三天时间才会开始显示在目标位置。数据通常会更早到达，但请勿将第一天的空事件中心视为配置错误。您还可以从审核日志或登录页面中选择导出设置，以进入诊断设置。

（可选）配置 Azure Blob Storage 以进行检查点设置

Google SecOps 可以使用 Azure Blob Storage 来存储事件中心检查点，这些检查点用于跟踪已处理的事件。这样可以防止 Feed 暂时中断时出现重复提取的情况。

创建用于检查点设置的存储账号

1. 在 Azure 门户中，搜索存储账号。
2. 点击 + 创建。

3. 提供以下配置详细信息：

   设置	值
   订阅	选择您的 Azure 订阅
   资源组	使用与事件中心相同的资源组
   存储账号名称	输入唯一名称（例如 secopsaadsignin）
   区域	与事件中心位于同一区域
   性能	标准
   冗余	LRS（本地冗余存储）

4. 点击 Review + create（检查 + 创建）。

5. 点击创建。

创建 Blob 容器

1. 前往您创建的存储账号。
2. 在左侧导航栏中，选择数据存储区下的容器。
3. 点击 + 容器。
4. 提供以下配置详细信息：
   • 名称：输入 checkpoints
   • 公开访问权限级别：私密（不允许匿名访问）
5. 点击创建。

获取存储账号凭据

1. 在存储账号中，选择安全性 + 网络下的访问密钥。
2. 点击显示密钥。
3. 复制并保存：
   • 存储账号名称：存储账号的名称。
   • 密钥 1：访问密钥值。

（可选）创建专用消费群组

默认情况下，事件中心提供名为 $Default 的消费者群组。对于生产环境，建议为 Google SecOps 创建专用消费者群组。

1. 前往事件中心（而非命名空间）。
2. 在左侧导航栏中，选择实体下的消费群体。
3. 点击 + 消费群体。
4. 提供以下配置详细信息：
   • 名称：输入一个描述性名称（例如 chronicle）

5. 点击创建。

   注意： 如果您创建了专用消费者群组，则必须在 Google SecOps 中创建 Feed 时指定该群组。否则，请使用默认的 $Default 消费群组。

在 Google SecOps 中配置 Feed 以注入 Microsoft Entra ID 登录日志

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Microsoft Entra ID Sign-In Logs - Event Hub）。
5. 选择 Microsoft Azure Event Hub 作为来源类型。
6. 选择 Microsoft Azure AD 作为日志类型。
7. 点击下一步。

8. 为以下输入参数指定值：

   • 事件中心连接字符串：输入您之前捕获的事件中心连接字符串。

     如果使用命名空间级连接字符串：

     • 确保您已移除 EntityPath 参数。
     • 您还必须在下一个字段中提供事件中心名称。

     如果使用事件中心级连接字符串：

     • 按原样使用连接字符串（包括 EntityPath）。

     • 事件中心名称字段可以留空。

     • 事件中心名称：输入事件中心名称（例如 entraid-signin-logs）。

     如果使用命名空间级连接字符串，则为必需属性。如果使用事件中心级连接字符串，则为可选参数。

     • 消费者群组（可选）：输入消费者群组名称。
     • 留空可使用默认的 $Default 使用方群组。

     • 如果您创建了专用消费者群组，请输入其名称（例如 chronicle）。

     • Blob Storage 容器名称（可选）：对于检查点，请输入容器名称（例如 checkpoints）。

     如果提供 Blob 存储空间用于检查点设置：

     • Azure 存储账号名称：输入来自检查点配置的存储账号名称。

     • Azure 存储账号密钥：输入来自检查点配置的访问密钥。

     • 资产命名空间：资产命名空间。

     • 提取标签：要应用于此 Feed 中事件的标签。

9. 点击下一步。

10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

    注意： 创建 Feed 后，可能需要 1-2 分钟时间，Google SecOps 才会开始显示事件。

方法 2：第三方 API

此方法使用 Microsoft Graph API 直接从 Microsoft 租户检索 Microsoft Entra ID 登录日志。

重要提示： 此方法仅收集互动式和成功的联合登录。graph.microsoft.com/v1.0/auditLogs/signIns 不会返回非交互式用户、服务正文和受管身份登录信息，也无法从中请求这些信息。选择这些类别的 signInEventTypes 属性仅存在于 Microsoft Graph 的 Beta 版中，而不存在于 v1.0 中。如需注入这些登录类型，请使用方法 1：Azure 事件中心或 Microsoft Azure Blob Storage V2，并在 Microsoft Entra ID 诊断设置中选择 NonInteractiveUserSignInLogs、ServicePrincipalSignInLogs 和 ManagedIdentitySignInLogs 类别。

注意： Google SecOps 要求对从第三方 API 注入的日志类型进行许可名单设置。请参阅制定 IP 许可名单。实际上，这适用于数据源强制执行基于 IP 的限制的情况：如果 Feed 返回 403 错误，请检查数据源是否启用了许可名单，并添加相应范围。请注意，已发布的列表是所有 Google goog.json，而不是 Google SecOps 出站列表，并且 Google SecOps 无法保证 Feed 源自特定区域。如需通过更窄的范围限制访问权限，请新建支持服务工单。

配置 IP 许可名单

Google SecOps 要求对从第三方 API 注入的日志类型进行许可名单设置，因此请先在 Microsoft Azure 网络设置或条件访问政策中添加 Google IP 范围，然后再创建 Feed。如果数据源强制执行基于 IP 地址的限制，这一点就非常重要。如果 Feed 返回 403 错误，请验证是否已在该 Feed 中启用许可名单。请注意，已发布的列表是所有 Google goog.json，而不是 Google SecOps 出站列表，并且 Google SecOps 无法保证 Feed 源自给定区域中的地址。如需通过更窄的范围限制访问权限，请开立支持服务工单。

获取 Google SecOps IP 范围

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 记下 Feed 创建界面中显示的 IP 范围。
4. 或者，您也可以使用 Feed Management API 以编程方式检索 IP 范围。

为工作负载身份配置条件访问权限（如果需要）

如果您的组织使用按位置限制访问权限的条件访问政策，请执行以下操作：

1. 在 Microsoft Entra 管理中心内，依次前往保护 > 条件访问 > 命名位置。
2. 点击 + 新地点。
3. 提供以下配置详细信息：
   • 名称：输入 Google SecOps IP Ranges。
   • 标记为可信位置：可选，具体取决于您的安全政策。
   • IP 范围：以 CIDR 表示法添加每个 Google SecOps IP 范围。
4. 点击创建。
5. 前往条件访问> 政策。
6. 对于适用于工作负载身份的任何政策，请为 Google SecOps IP Ranges 命名位置或特定服务正文配置排除对象。

配置 Microsoft Entra ID API 访问权限

创建应用注册

1. 登录 Microsoft Entra 管理中心或 Azure 门户。
2. 依次前往身份 > 应用 > 应用注册。
3. 点击 New registration（新注册）。

4. 提供以下配置详细信息：

   • 名称：输入一个描述性名称（例如 Google SecOps Sign-In Logs Integration）。
   • 支持的账号类型：选择仅此组织目录中的账号（单租户）。
   注意： 对于第三方 API 集成，单租户是正确的选择。Google SecOps 将仅访问您特定 Microsoft Entra 租户中的登录日志。只有在您有意需要在代管式服务提供商方案中访问多个租户的日志时，才应选择多租户。
   • 重定向 URI：留空（服务正文身份验证不需要此字段）。

5. 点击注册。

6. 注册后，复制并保存以下值：

   • 应用（客户端）ID
   • 目录（租户）ID

配置 API 权限

此集成需要以下 Microsoft Graph 应用权限：

1. 在应用注册中，前往 API 权限。
2. 点击添加权限。
3. 依次选择 Microsoft Graph > 应用权限。
4. 选择以下权限：
   • AuditLog.Read.All：读取登录日志所需的权限。
   • Directory.Read.All：Microsoft Graph API 需要此权限才能访问登录日志（已知问题）。
   • SecurityEvents.Read.All：Google SecOps 需要此权限。
5. 可选：如需同时捕获应用于每次登录的条件式访问权限政策，请添加条件式访问权限读取权限：
   • Policy.Read.ConditionalAccess：推荐（最小权限）。允许 Feed 填充每个登录记录中的 appliedConditionalAccessPolicies 字段。
6. 点击添加权限。
7. 点击为 [您的组织]授予管理员同意书。
8. 验证状态列是否针对您添加的每项权限显示已授予 [您的组织]。

注意： 如果授予管理员同意权限按钮处于停用状态，请确保您拥有全局管理员或特权角色管理员角色。Cloud Application Administrator 和 Application Administrator 角色无法为 Microsoft Graph 应用权限授予同意权限。

注意： Policy.Read.ConditionalAccess 是可选权限。如果没有条件访问读取权限，Microsoft Graph 会从每条登录记录中省略 appliedConditionalAccessPolicies 属性（登录日志仍会仅通过 AuditLog.Read.All 流动）。如果您想查看每次登录时评估了哪些条件访问政策，并在 Google Security Operations 中构建条件访问差距检测使用情形，请授予此权限。如果您的组织希望采用更广泛的范围，Policy.Read.All 或 Policy.ReadWrite.ConditionalAccess 也符合要求。

权限	类型	说明
AuditLog.Read.All	应用	读取所有登录和审核日志数据
Directory.Read.All	应用	读取目录数据（API 访问权限必需）
SecurityEvents.Read.All	应用	读取安全事件
Policy.Read.ConditionalAccess	应用	可选。读取条件式访问权限政策，以便在登录日志中包含 appliedConditionalAccessPolicies

创建客户端密钥

1. 前往证书和密钥。
2. 点击 New client secret（新建客户端密钥）。

3. 提供以下配置详细信息：

   • 说明：输入描述性名称（例如 Google SecOps Feed）。
   • 失效：选择失效期限。
   注意： Microsoft 建议将失效日期设为小于 12 个月的值。最长不得超过 24 个月。为提高安全性，请考虑使用证书凭据或联合身份凭据，而不是客户端密钥。请参阅从基于密钥的身份验证迁移应用。

4. 点击 Add（添加）。

5. 重要提示：请立即复制客户端密钥值。此值仅显示一次，以后无法再检索。

在创建 Feed 之前验证 API 访问权限

在创建 Google SecOps Feed 之前，请验证服务正文是否可以成功进行身份验证并访问 Microsoft Graph API。

• 使用 PowerShell 测试身份验证

  # Replace with your actual values
  $tenantId = "your-tenant-id"
  $clientId = "your-client-id"
  $clientSecret = "your-client-secret"
  
  # Token request parameters (must be lowercase)
  $tokenBody = @{
      grant_type    = "client_credentials"
      client_id     = $clientId
      client_secret = $clientSecret
      scope         = "https://graph.microsoft.com/.default"
  }
  
  # Request access token
  $tokenEndpoint = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
  $tokenResponse = Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $tokenBody -ContentType "application/x-www-form-urlencoded"
  
  if ($tokenResponse.access_token) {
      Write-Host "✓ Successfully obtained access token" -ForegroundColor Green
  
      # Test API call to sign-ins endpoint
      $apiUrl = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$top=1"
      $headers = @{
          Authorization = "Bearer $($tokenResponse.access_token)"
      }
  
      try {
          $signInResponse = Invoke-RestMethod -Method Get -Uri $apiUrl -Headers $headers
          Write-Host "✓ Successfully accessed sign-ins API" -ForegroundColor Green
          Write-Host "Sample sign-in log retrieved successfully" -ForegroundColor Green
      }
      catch {
          Write-Host "✗ Failed to access sign-ins API" -ForegroundColor Red
          Write-Host "Error: $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  else {
      Write-Host "✗ Failed to obtain access token" -ForegroundColor Red
  }
  

• 预期输出：

  ✓ Successfully obtained access token
  ✓ Successfully accessed sign-ins API
  Sample sign-in log retrieved successfully
  

• 使用 curl 测试身份验证

  # Replace with your actual values
  TENANT_ID="your-tenant-id"
  CLIENT_ID="your-client-id"
  CLIENT_SECRET="your-client-secret"
  
  # Request access token
  curl -X POST "https://login.microsoftonline.com/$TENANT_ID/oauth2/v2.0/token" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "grant_type=client_credentials" \
    -d "client_id=$CLIENT_ID" \
    -d "client_secret=$CLIENT_SECRET" \
    -d "scope=https://graph.microsoft.com/.default"
  
  # Test API access
  curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
    "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$top=1"
  

在 Google SecOps 中配置 Feed 以注入 Microsoft Entra ID 登录日志

设置 Feed

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Microsoft Entra ID Sign-In Logs）。
5. 选择第三方 API 作为来源类型。
6. 选择 Microsoft Azure AD 作为日志类型。
7. 点击下一步。

配置 Feed 参数

1. 为以下输入参数指定值：

   • OAuth 客户端 ID：应用注册中的应用（客户端）ID。
   • OAuth 客户端密钥：您之前复制的客户端密钥值。
   • 租户 ID：应用注册中的 Microsoft 租户 ID（UUID 格式，例如 0fc279f9-fe30-41be-97d3-abe1d7681418）。

   • API 完整路径：Microsoft Graph REST API 端点网址：

     graph.microsoft.com/v1.0/auditLogs/signIns
     

     注意： 请勿添加 https:// 前缀。Feed 会自动添加协议。

   • API 身份验证端点：Microsoft Active Directory 身份验证端点：

     login.microsoftonline.com
     

     注意： 请勿添加 https:// 前缀或 /oauth2/v2.0/token 路径。Feed 将使用您的租户 ID 自动构建完整的身份验证网址。

   高级选项：

   • Feed 名称：用于标识 Feed 的预填充值。
   • 来源类型：第三方 API（用于将日志收集到 Google SecOps 中的机制）。
   • 素材资源命名空间：Feed 将关联的素材资源命名空间。
   • 提取标签：系统会将标签添加到此 Feed 中的所有事件。

2. 点击下一步。

3. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

   注意： 创建 Feed 后，日志可能需要 5-10 分钟才会开始显示在 Google SecOps 中。

区域端点

对于主权云中的 Microsoft Entra ID 部署，请使用相应的区域端点：

云环境	API 完整路径	API 身份验证端点
全球	graph.microsoft.com/v1.0/auditLogs/signIns	login.microsoftonline.com
美国政府 L4	graph.microsoft.us/v1.0/auditLogs/signIns	login.microsoftonline.us
美国政府 L5 (DOD)	dod-graph.microsoft.us/v1.0/auditLogs/signIns	login.microsoftonline.us
中国（世纪互联）	microsoftgraph.chinacloudapi.cn/v1.0/auditLogs/signIns	login.chinacloudapi.cn

注意： Google SecOps 文档仅将 API 主机名记录为具有商业默认值的可选替换项，并且未记录对主权云主机的支持。对于 Azure Blob Storage 和 Event Hub Feed 类型，它指出不支持主权云。在依赖此处的主权端点之前，请先与支持团队确认。

UDM 映射表

日志字段	UDM 映射	逻辑
CertSerialNumber	about.artifact.last_https_certificate.serial_number	直接映射
modifiedProperty.newValue	about.location.city	直接映射
modifiedProperty.newValue	about.location.country_or_region	直接映射
modifiedProperty.newValue	about.location.state	直接映射
modifiedProperty.newValue	about.user.department	已合并
modifiedProperty.newValue	about.user.email_addresses	已合并
modifiedProperty.newValue	about.user.first_name	直接映射
modifiedProperty.newValue	about.user.last_name	直接映射
modifiedProperty.newValue	about.user.phone_numbers	已合并
modifiedProperty.newValue	about.user.product_object_id	直接映射
modifiedProperty.newValue	about.user.title	直接映射
modifiedProperty.newValue	about.user.user_display_name	直接映射
modifiedProperty.newValue	about.user.userid	直接映射
C_DeviceId_label	additional.fields	已合并
C_Iat_label	additional.fields	已合并
C_Idtyp_label	additional.fields	已合并
C_Sid_label	additional.fields	已合并
CorrelationId_label	additional.fields	已合并
CrossTenantAccessType_label	additional.fields	已合并
ImpersonationLevel_label	additional.fields	已合并
KeyLength_label	additional.fields	已合并
aadtenant_label	additional.fields	已合并
additionalDetails_label	additional.fields	已合并
additional_crossTenantAccessType	additional.fields	已合并
additional_detail_label	additional.fields	已合并
additional_detectedDateTime	additional.fields	已合并
additional_detectionTimingType	additional.fields	已合并
additional_durationMs	additional.fields	已合并
additional_fields	additional.fields	已合并
additional_isDeleted	additional.fields	已合并
additional_isGuest	additional.fields	已合并
additional_isProcessing	additional.fields	已合并
additional_lastUpdatedDateTime	additional.fields	已合并
additional_resultSignature	additional.fields	已合并
additional_source	additional.fields	已合并
additional_tokenIssuerName	additional.fields	已合并
additional_tokenIssuerType	additional.fields	已合并
additional_userType	additional.fields	已合并
altitude_loc	additional.fields	已合并
appServicePrincipalId_label	additional.fields	已合并
atContentH_label	additional.fields	已合并
atContentP_label	additional.fields	已合并
auth_detail_label	additional.fields	已合并
auth_id_label	additional.fields	已合并
authentication	additional.fields	已合并
authenticationDetail_label	additional.fields	已合并
authenticationProtocol_label	additional.fields	已合并
authentication_app_device_details_label	additional.fields	已合并
authentication_requirement_label	additional.fields	已合并
auto_label	additional.fields	已合并
autonomousSystemNumber_label	additional.fields	已合并
cert_issuer_name_label	additional.fields	已合并
cert_thumbprint_label	additional.fields	已合并
clientCredentialType_label	additional.fields	已合并
client_credential_type	additional.fields	已合并
client_credential_type_label	additional.fields	已合并
conditionalAccessStatus_label	additional.fields	已合并
cribl_pipe_label	additional.fields	已合并
crossTenantAccessType_label	additional.fields	已合并
cross_tenant_access_type_label	additional.fields	已合并
domain_hint_present_label	additional.fields	已合并
durationMs_label	additional.fields	已合并
error_number_label	additional.fields	已合并
federated_credential_id_label	additional.fields	已合并
flaggedForReview_label	additional.fields	已合并
flagged_for_review_label	additional.fields	已合并
hometenant_label	additional.fields	已合并
incomingTokenType_label	additional.fields	已合并
incoming_token_type_label	additional.fields	已合并
isTenantRestricted_label	additional.fields	已合并
isThroughGlobalSecureAccess_label	additional.fields	已合并
is_interactive_label	additional.fields	已合并
is_tenant_restricted_label	additional.fields	已合并
latitude_label	additional.fields	已合并
login_hint_present_label	additional.fields	已合并
longitude_label	additional.fields	已合并
mfa_details_label	additional.fields	已合并
name_list	additional.fields	已合并
networkName_label	additional.fields	已合并
networkType_additional_fields	additional.fields	已合并
networkType_label	additional.fields	已合并
network_location_label	additional.fields	已合并
network_names_additional_fields	additional.fields	已合并
originalRequestId_label	additional.fields	已合并
originalTransferMethod_label	additional.fields	已合并
original_transfer_method_label	additional.fields	已合并
processing_time_in_milliseconds_label	additional.fields	已合并
properties_incomingTokenType	additional.fields	已合并
properties_isInteractive	additional.fields	已合并
properties_location_geoCoordinates_altitude	additional.fields	已合并
properties_processingTimeInMilliseconds	additional.fields	已合并
properties_rngcStatus	additional.fields	已合并
proxy_restriction_target_tenant_name_label	additional.fields	已合并
prp_networkType_additional_fields	additional.fields	已合并
prp_network_names_additional_fields	additional.fields	已合并
ram_recommended_action_label	additional.fields	已合并
ram_recommender_label	additional.fields	已合并
record_properties_id_label	additional.fields	已合并
resultReason_label	additional.fields	已合并
resultType_label	additional.fields	已合并
resultstatus_label	additional.fields	已合并
rngcStatus_label	additional.fields	已合并
service_principal_credential_key_id_label	additional.fields	已合并
service_principal_credential_thumbprint_label	additional.fields	已合并
service_principal_name_label	additional.fields	已合并
signInActivityId_label	additional.fields	已合并
signInSessionStatusCode_label	additional.fields	已合并
signInSessionStatus_label	additional.fields	已合并
signInTokenProtectionStatus_label	additional.fields	已合并
sign_in_identifier_type_label	additional.fields	已合并
sign_in_token_protection_status_label	additional.fields	已合并
ssoExtensionVersion_label	additional.fields	已合并
status_additionalDetails_label	additional.fields	已合并
tokenIssuedAt_label	additional.fields	已合并
tokenIssuerType_label	additional.fields	已合并
token_issuer_name_label	additional.fields	已合并
token_issuer_type_label	additional.fields	已合并
token_protection_status_details_label	additional.fields	已合并
token_protection_status_details_signInSessionStatus_label	additional.fields	已合并
type_list	additional.fields	已合并
uniqueTokenIdentifier_label	additional.fields	已合并
unique_token_identifier_label	additional.fields	已合并
userType_label	additional.fields	已合并
user_type_label	additional.fields	已合并
wids_label	additional.fields	已合并
workload_label	additional.fields	已合并
LogonType	extensions.auth.auth_details	直接映射
properties.SignInBondData.ProtocolDetails.AuthenticationMethodsUsed	extensions.auth.auth_details	直接映射
properties_clientAuthMethod	extensions.auth.auth_details	直接映射
record_properties_clientAuthMethod	extensions.auth.auth_details	直接映射
auth_mechanism	extensions.auth.mechanism	已合并
ext_mech	extensions.auth.mechanism	已合并
mechanism	extensions.auth.mechanism	已合并
operationName	extensions.auth.type	已映射：Sign-in activity → SSO
record_operationName	extensions.auth.type	已映射：Sign-in activity → AUTHTYPE_UNSPECIFIED
category	metadata.description	直接映射
record_category	metadata.description	直接映射
CreationTime	metadata.event_timestamp	解析为 yyyy-MM-ddTHH:mm:ss
activityDateTime	metadata.event_timestamp	解析为 ISO8601
date	metadata.event_timestamp	解析为 ISO8601
properties.activityDateTime	metadata.event_timestamp	解析为 yyyy-MM-ddTHH:mm:ss.SSSZ
record_CreatedDateTime	metadata.event_timestamp	解析为 ISO8601
record_time	metadata.event_timestamp	解析为 ISO8601
when	metadata.event_timestamp	解析为 yyyy-MM-dd HH:mm:ss
category	metadata.event_type	已映射：(?i)AccountManagement → USER_CHANGE_PERMISSIONS
event_type	metadata.event_type	直接映射
has_principal	metadata.event_type	已映射：true → STATUS_UPDATE
has_principal_user	metadata.event_type	已映射：true → USER_UNCATEGORIZED
has_resource	metadata.event_type	已映射：true → USER_RESOURCE_ACCESS
has_target	metadata.event_type	已映射：true → NETWORK_CONNECTION
has_target_user	metadata.event_type	已映射：true → USER_LOGOUT、true → USER_CHANGE_PERMISSIONS、true → USER_LOGIN
record_tenantId	metadata.product_deployment_id	直接映射
tenantId	metadata.product_deployment_id	直接映射
Operation	metadata.product_event_type	直接映射
activityDisplayName	metadata.product_event_type	直接映射
operationName	metadata.product_event_type	直接映射
record_OperationName	metadata.product_event_type	直接映射
record_operationName	metadata.product_event_type	直接映射
type	metadata.product_event_type	直接映射
EventRecordID	metadata.product_log_id	直接映射
Id	metadata.product_log_id	直接映射
id	metadata.product_log_id	直接映射
properties.id	metadata.product_log_id	直接映射
record_Id	metadata.product_log_id	直接映射
record_correlationId	metadata.product_log_id	直接映射
Version	metadata.product_version	直接映射
operationVersion	metadata.product_version	直接映射
record_operationVersion	metadata.product_version	直接映射
properties.SignInBondData.ProtocolDetails.Protocol	network.application_protocol	直接映射
properties_requestMethod	network.http.method	直接映射
record_properties_requestMethod	network.http.method	直接映射
browser	network.http.parsed_user_agent	直接映射
deviceDetail.browser	network.http.parsed_user_agent	直接映射
properties.deviceDetail.browser	network.http.parsed_user_agent	直接映射
properties.userAgent	network.http.parsed_user_agent	直接映射
record_UserAgent	network.http.parsed_user_agent	直接映射
record_properties_userAgent	network.http.parsed_user_agent	直接映射
userAgent	network.http.parsed_user_agent	直接映射
user_agent	network.http.parsed_user_agent	直接映射
value	network.http.parsed_user_agent	直接映射
value1	network.http.parsed_user_agent	已重命名/已映射
properties_requestUri	network.http.referral_url	直接映射
record_properties_requestUri	network.http.referral_url	直接映射
properties_responseStatusCode	network.http.response_code	直接映射
record_properties_responseStatusCode	network.http.response_code	直接映射
browser	network.http.user_agent	直接映射
deviceDetail.browser	network.http.user_agent	直接映射
properties.deviceDetail.browser	network.http.user_agent	直接映射
properties.userAgent	network.http.user_agent	直接映射
record_UserAgent	network.http.user_agent	直接映射
record_properties_userAgent	network.http.user_agent	直接映射
userAgent	network.http.user_agent	直接映射
user_agent	network.http.user_agent	直接映射
value	network.http.user_agent	直接映射
value1	network.http.user_agent	直接映射
properties_responseSizeBytes	network.received_bytes	直接映射
record_properties_responseSizeBytes	network.received_bytes	直接映射
originalRequestId	network.session_id	直接映射
properties.originalRequestId	network.session_id	直接映射
properties.sessionId	network.session_id	直接映射
record_OriginalRequestId	network.session_id	直接映射
record_properties_sessionId	network.session_id	直接映射
sessionId	network.session_id	直接映射
value	network.session_id	直接映射
loggedByService	observer.application	直接映射
properties.loggedByService	observer.application	直接映射
SubjectDomainName	principal.administrative_domain	直接映射
domain	principal.administrative_domain	直接映射
initiatedBy_app_displayName	principal.application	直接映射
record_ClientAppUsed	principal.application	直接映射
deviceId	principal.asset.asset_id	直接映射
properties_deviceDetail_deviceId	principal.asset.asset_id	直接映射
record_DeviceDetail_deviceId	principal.asset.asset_id	直接映射
record_properties_C_DeviceId	principal.asset.asset_id	直接映射
record_properties_deviceDetail_deviceId	principal.asset.asset_id	直接映射
additional_fields	principal.asset.attribute.labels	已合并
device_trust_type_label	principal.asset.attribute.labels	已合并
isManaged_label	principal.asset.attribute.labels	已合并
is_managed_label	principal.asset.attribute.labels	已合并
trustType_label	principal.asset.attribute.labels	已合并
deviceDetail.displayName	principal.asset.hostname	直接映射
displayName	principal.asset.hostname	直接映射
properties.deviceDetail.displayName	principal.asset.hostname	直接映射
ActorIpAddress	principal.asset.ip	已合并
IpAddress	principal.asset.ip	已合并
SourceIpAddress	principal.asset.ip	已合并
initiatedBy.user.ipAddress	principal.asset.ip	已合并
principal_ip	principal.asset.ip	已合并
properties.initiatedBy.user.ipAddress	principal.asset.ip	已合并
properties_ip_address	principal.asset.ip	已合并
record.IPAddress	principal.asset.ip	已合并
record_callerIpAddress	principal.asset.ip	已合并
deviceId	principal.asset_id	直接映射
record_DeviceDetail_deviceId	principal.asset_id	直接映射
record_properties_deviceDetail_deviceId	principal.asset_id	直接映射
value	principal.asset_id	直接映射
deviceDetail.displayName	principal.hostname	直接映射
displayName	principal.hostname	直接映射
properties.deviceDetail.displayName	principal.hostname	直接映射
ActorIpAddress	principal.ip	已合并
IpAddress	principal.ip	已合并
SourceIpAddress	principal.ip	已合并
initiatedBy.user.ipAddress	principal.ip	已合并
principal_ip	principal.ip	已合并
properties.initiatedBy.user.ipAddress	principal.ip	已合并
properties_ip_address	principal.ip	已合并
record_IPAddress	principal.ip	已合并
record_callerIpAddress	principal.ip	已合并
location_city	principal.location.city	直接映射
record_properties_location_city	principal.location.city	直接映射
location_countryOrRegion	principal.location.country_or_region	直接映射
properties.tenantGeo	principal.location.country_or_region	直接映射
record_properties_location_countryOrRegion	principal.location.country_or_region	直接映射
location_name	principal.location.name	直接映射
record_location	principal.location.name	直接映射
location_geo_latitude	principal.location.region_coordinates.latitude	直接映射
record_LocationDetails_geoCoordinates_latitude	principal.location.region_coordinates.latitude	直接映射
record_properties_location_geoCoordinates_latitude	principal.location.region_coordinates.latitude	直接映射
location_geo_longitude	principal.location.region_coordinates.longitude	直接映射
record_LocationDetails_geoCoordinates_longitude	principal.location.region_coordinates.longitude	直接映射
record_properties_location_geoCoordinates_longitude	principal.location.region_coordinates.longitude	直接映射
location_state	principal.location.state	直接映射
record_properties_location_state	principal.location.state	直接映射
operatingSystem	principal.platform	映射：Win → WINDOWS、Mac → MAC、Lin → LINUX
properties_deviceDetail_operatingSystem	principal.platform	映射：Win → WINDOWS、Mac → MAC、Lin → LINUX
record_properties_deviceDetail_operatingSystem	principal.platform	映射：Win → WINDOWS、Mac → MAC、Lin → LINUX
operatingSystem	principal.platform_version	直接映射
properties_deviceDetail_operatingSystem	principal.platform_version	直接映射
record_properties_deviceDetail_operatingSystem	principal.platform_version	直接映射
IpPort	principal.port	直接映射
CallerProcessName	principal.process.file.full_path	直接映射
CallerProcessId	principal.process.pid	直接映射
actor_label	principal.resource.attribute.labels	已合并
actor_type_label	principal.resource.attribute.labels	已合并
autonomousSystemNumber_label	principal.resource.attribute.labels	已合并
autonomous_system_number_label	principal.resource.attribute.labels	已合并
clientRequestId_label	principal.resource.attribute.labels	已合并
displayName	principal.resource.attribute.labels	已映射：(?i)(iphone.*) → displayName_label
displayName_label	principal.resource.attribute.labels	已合并
ip_address_from_resource_provider_label	principal.resource.attribute.labels	已合并
properties_label	principal.resource.attribute.labels	已合并
subject_logon_id_label	principal.resource.attribute.labels	已合并
record_properties_resourceDisplayName	principal.resource.name	直接映射
ObjectId	principal.resource.product_object_id	直接映射
OrganizationId	principal.resource.product_object_id	直接映射
initializedBy_app_servicePrincipalId	principal.resource.product_object_id	直接映射
record_properties_UserPrincipalObjectID	principal.resource.product_object_id	直接映射
userType_label	principal.user.attribute.labels	已合并
user_key_label	principal.user.attribute.labels	已合并
role_to_merge	principal.user.attribute.roles	已合并
roles_to_merge	principal.user.attribute.roles	已合并
initiatedBy.user.userPrincipalName	principal.user.email_addresses	已合并
operationName	principal.user.email_addresses	已映射：Add member to group → properties.initiatedBy.user.userPrincipalName
properties.SignInBondData.DisplayDetails.AttemptedUsername	principal.user.email_addresses	已合并
properties.initiatedBy.user.userPrincipalName	principal.user.email_addresses	已合并
record_UserPrincipalName	principal.user.email_addresses	已合并
mfaDetail.authDetail	principal.user.phone_numbers	已合并
properties.mfaDetail.authDetail	principal.user.phone_numbers	已合并
properties.appId	principal.user.product_object_id	直接映射
identity	principal.user.user_display_name	直接映射
initiatedBy.user.displayName	principal.user.user_display_name	直接映射
properties.initiatedBy.app.displayName	principal.user.user_display_name	直接映射
properties.initiatedBy.user.displayName	principal.user.user_display_name	直接映射
properties.userDisplayName	principal.user.user_display_name	已重命名/已映射
record_UserDisplayName	principal.user.user_display_name	直接映射
record_properties_deviceDetail_displayName	principal.user.user_display_name	直接映射
userDisplayName	principal.user.user_display_name	直接映射
value	principal.user.user_display_name	直接映射
SubjectUserName	principal.user.userid	直接映射
UserId	principal.user.userid	直接映射
first_user_id	principal.user.userid	直接映射
initiatedBy.user.id	principal.user.userid	直接映射
properties.initiatedBy.user.userPrincipalName	principal.user.userid	直接映射
properties.userPrincipalName	principal.user.userid	直接映射
record_SignInIdentifier	principal.user.userid	直接映射
record_UserId	principal.user.userid	直接映射
record_properties_servicePrincipalId	principal.user.userid	直接映射
SubjectUserSid	principal.user.windows_sid	直接映射
properties.initiatedBy.user.id	principal.user.windows_sid	直接映射
auth_sec_res	security_result	已合并
sec_res	security_result	已合并
sr_result	security_result	已合并
AuthenticationPackageName	security_result.about.resource.name	直接映射
action	security_result.action	已合并
errorCode	security_result.action	已映射：0 → action
operationName	security_result.action	已映射：Sign-in activity → action，Add member to group → action
properties_status_errorCode	security_result.action	已映射：0 → action
record_properties_status_errorCode	security_result.action	已映射：0 → action
record_resultType	security_result.action	已映射：0 → action
result	security_result.action	已映射：success → action
resultType	security_result.action	已映射：0 → action
operationType	security_result.action_details	直接映射
properties.result	security_result.action_details	直接映射
Category	security_result.category	已合并
operationName	security_result.category	已映射：Sign-in activity → Category
properties.category	security_result.category_details	已合并
failureReason	security_result.description	直接映射
operationName	security_result.description	已映射：Add member to group → Group membership modified
resultDescription	security_result.description	直接映射
AuthenticationProtocol_label	security_result.detection_fields	已合并
NewSd_label	security_result.detection_fields	已合并
OldSd_label	security_result.detection_fields	已合并
agent_agentType_label	security_result.detection_fields	已合并
apiVersion_label	security_result.detection_fields	已合并
associated_admin_units_label	security_result.detection_fields	已合并
auth_label	security_result.detection_fields	已合并
authenticationContextClassReference_detail_label	security_result.detection_fields	已合并
authenticationContextClassReference_id_label	security_result.detection_fields	已合并
authenticationProcessingDetails_label	security_result.detection_fields	已合并
authenticationProtocol_label	security_result.detection_fields	已合并
correlationId_label	security_result.detection_fields	已合并
correlationId_label2	security_result.detection_fields	已合并
correlationId_label3	security_result.detection_fields	已合并
detail_label	security_result.detection_fields	已合并
detection_ActorContextId	security_result.detection_fields	已合并
detection_ApplicationId	security_result.detection_fields	已合并
detection_InterSystemsId	security_result.detection_fields	已合并
detection_IntraSystemId	security_result.detection_fields	已合并
device_property_label	security_result.detection_fields	已合并
error_code_label	security_result.detection_fields	已合并
expirationRequirement_label	security_result.detection_fields	已合并
extended_property_label	security_result.detection_fields	已合并
logon_guid_label	security_result.detection_fields	已合并
method_label	security_result.detection_fields	已合并
modified_property_label	security_result.detection_fields	已合并
name_label	security_result.detection_fields	已合并
namespace_label	security_result.detection_fields	已合并
network_type_label	security_result.detection_fields	已合并
prop_risk_event_label	security_result.detection_fields	已合并
prop_risk_event_v2_label	security_result.detection_fields	已合并
properties.status.errorCode_label	security_result.detection_fields	已合并
protocol_label	security_result.detection_fields	已合并
record_type_label	security_result.detection_fields	已合并
requestId_label	security_result.detection_fields	已合并
requirement_provider_label	security_result.detection_fields	已合并
riskDetail_label	security_result.detection_fields	已合并
riskEventType_label	security_result.detection_fields	已合并
riskEventTypes_label	security_result.detection_fields	已合并
riskLastUpdatedDateTime_label	security_result.detection_fields	已合并
riskLevelAggregated_label	security_result.detection_fields	已合并
riskLevelDuringSignIn_label	security_result.detection_fields	已合并
riskLevel_label	security_result.detection_fields	已合并
riskState_label	security_result.detection_fields	已合并
riskType_label	security_result.detection_fields	已合并
risk_event_label	security_result.detection_fields	已合并
risk_event_label_v2	security_result.detection_fields	已合并
risk_level_aggregated_label	security_result.detection_fields	已合并
risk_level_during_sign_in_label	security_result.detection_fields	已合并
scopes_label	security_result.detection_fields	已合并
signInSessionStatus_label	security_result.detection_fields	已合并
status_label	security_result.detection_fields	已合并
step_date_label	security_result.detection_fields	已合并
step_detail_label	security_result.detection_fields	已合并
step_requirement_label	security_result.detection_fields	已合并
support_ticket_id_label	security_result.detection_fields	已合并
target_displayName_label	security_result.detection_fields	已合并
target_label	security_result.detection_fields	已合并
target_type	security_result.detection_fields	已映射：Policy → target_displayName_label、Policy → target_label、Policy → `modifi…
ticket_encryption_type_label	security_result.detection_fields	已合并
ticket_options_label	security_result.detection_fields	已合并
transmitted_services_label	security_result.detection_fields	已合并
operationName	security_result.priority	已映射：Sign-in activity → MEDIUM_PRIORITY
additional_fields	security_result.rule_labels	已合并
isCompliant_label	security_result.rule_labels	已合并
is_compliant_label	security_result.rule_labels	已合并
level	security_result.severity	已映射："INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3"…
operationName	security_result.severity	已映射：Sign-in activity → ERROR
record_Level	security_result.severity	已映射："INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3"…
record_level	security_result.severity	已映射："INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3"…
level	security_result.severity_details	直接映射
record_Level	security_result.severity_details	直接映射
record_level	security_result.severity_details	直接映射
AzureActiveDirectoryEventType	security_result.summary	已映射：0 → Account Logon，1 → Azure Application AuditEvent
activityDisplayName	security_result.summary	直接映射
errorCode	security_result.summary	已映射：0 → Successful login occurred
operationName	security_result.summary	已映射：Sign-in activity → Successful login occurred，Sign-in activity →“登录失败…
properties.activity	security_result.summary	直接映射
properties.activityDisplayName	security_result.summary	直接映射
properties.result	security_result.summary	直接映射
properties_status_errorCode	security_result.summary	已映射：0 → Successful login occurred
record_properties_status_errorCode	security_result.summary	已映射：0 → Successful login occurred
record_resultType	security_result.summary	已映射：0 → Successful login occurred
resultType	security_result.summary	已映射：0 → Successful login occurred
TargetDomainName	target.administrative_domain	直接映射
ServiceName	target.application	直接映射
properties.appDisplayName	target.application	直接映射
record_AppDisplayName	target.application	直接映射
record_properties_appDisplayName	target.application	直接映射
record_AppId	target.asset.asset_id	直接映射
modified_property_label	target.asset.attribute.labels	已合并
target_displayName_label	target.asset.attribute.labels	已合并
target_label	target.asset.attribute.labels	已合并
target_type	target.asset.attribute.labels	已映射：Device → target_displayName_label、Device → target_label、Device → `modifi…
WorkstationName	target.asset.hostname	直接映射
authenticationDetail.value	target.asset.hostname	直接映射
ClientIP	target.asset.ip	已合并
modifiedProperty.newValue	target.group.group_display_name	直接映射
modifiedProperty.newValue	target.group.product_object_id	直接映射
properties.targetResources.modifiedProperties.0.newValue	target.group.product_object_id	直接映射
WorkstationName	target.hostname	直接映射
authenticationDetail.value	target.hostname	直接映射
ClientIP	target.ip	已合并
ip	target.ip	已合并
properties_regionScope	target.location.country_or_region	直接映射
record_properties_UDI_RequiredFields_RegionScope	target.location.country_or_region	直接映射
record_properties_location	target.location.name	直接映射
ProcessName	target.process.file.full_path	直接映射
LogonProcessName	target.process.file.names	已合并
ProcessId	target.process.pid	直接映射
__UDI_RequiredFields_EventTime	target.resource.attribute.labels	已合并
__UDI_RequiredFields_TenantId	target.resource.attribute.labels	已合并
__UDI_RequiredFields_UniqueId	target.resource.attribute.labels	已合并
_label	target.resource.attribute.labels	已合并
add_label	target.resource.attribute.labels	已合并
additional_homeTenantId	target.resource.attribute.labels	已合并
additional_resourceServicePrincipalId	target.resource.attribute.labels	已合并
app_owner_tenant_id_label	target.resource.attribute.labels	已合并
conditionalAccessStatus	target.resource.attribute.labels	已合并
detection_TargetContextId	target.resource.attribute.labels	已合并
handleId	target.resource.attribute.labels	已合并
homeTenantId_label	target.resource.attribute.labels	已合并
homeTenantName_label	target.resource.attribute.labels	已合并
home_tenant_id_label	target.resource.attribute.labels	已合并
home_tenant_name_label	target.resource.attribute.labels	已合并
internal_workspace_label	target.resource.attribute.labels	已合并
item_id_label	target.resource.attribute.labels	已合并
label	target.resource.attribute.labels	已合并
lmPackageNameLabel_label	target.resource.attribute.labels	已合并
modified_property_label	target.resource.attribute.labels	已合并
objectServer	target.resource.attribute.labels	已合并
old_label	target.resource.attribute.labels	已合并
operationId_label	target.resource.attribute.labels	已合并
operationName	target.resource.attribute.labels	已映射：Add member to group → add_label
operationType_label	target.resource.attribute.labels	已合并
properties_resourceTenantId_label	target.resource.attribute.labels	已合并
record_properties_appId_label	target.resource.attribute.labels	已合并
requestId_label	target.resource.attribute.labels	已合并
resourceOwnerTenantId_label	target.resource.attribute.labels	已合并
resource_display_name_label	target.resource.attribute.labels	已合并
resource_group_label	target.resource.attribute.labels	已合并
resource_id_label	target.resource.attribute.labels	已合并
resource_identity_label	target.resource.attribute.labels	已合并
resource_label	target.resource.attribute.labels	已合并
resource_owner_tenant_id_label	target.resource.attribute.labels	已合并
resource_service_principal_id_label	target.resource.attribute.labels	已合并
resource_tenant_id_label	target.resource.attribute.labels	已合并
resultSignature_label	target.resource.attribute.labels	已合并
resultSignature_label1	target.resource.attribute.labels	已合并
service_principal_id_label	target.resource.attribute.labels	已合并
source_label	target.resource.attribute.labels	已合并
target_displayName_label	target.resource.attribute.labels	已合并
target_label	target.resource.attribute.labels	已合并
target_logon_id_label	target.resource.attribute.labels	已合并
target_type_label	target.resource.attribute.labels	已合并
temp_resourceId	target.resource.attribute.labels	已合并
tenant_id_label	target.resource.attribute.labels	已合并
tokenIssuerType_label	target.resource.attribute.labels	已合并
uniqueTokenIdentifier_label	target.resource.attribute.labels	已合并
user_type_label	target.resource.attribute.labels	已合并
ObjectName	target.resource.name	直接映射
properties.SignInBondData.DisplayDetails.ResourceDisplayName	target.resource.name	直接映射
properties.resourceDisplayName	target.resource.name	已重命名/已映射
resourceDisplayName	target.resource.name	已重命名/已映射
field.newValue	target.resource.product_object_id	直接映射
record_resourceId	target.resource.product_object_id	直接映射
resourceId	target.resource.product_object_id	直接映射
ObjectType	target.resource.resource_subtype	直接映射
target.type	target.resource.type	直接映射
%{ServiceSid}	target.resource.user.windows_sid	已合并
record_properties_identityProvider	target.url	直接映射
value	target.url	直接映射
modified_property_label	target.user.attribute.labels	已合并
target_label	target.user.attribute.labels	已合并
target_type	target.user.attribute.labels	已映射：User → target_label、User → modified_property_label
user_display_name_label	target.user.attribute.labels	已合并
record_properties_userPrincipalName	target.user.email_addresses	已映射：^.+@.+$ → record_properties_userPrincipalName
target_displayName	target.user.email_addresses	已映射：^.+@.+$ → target_displayName
target_userPrincipalName	target.user.email_addresses	已映射：^.+@.+$ → target_userPrincipalName
userPrincipalName	target.user.email_addresses	已映射：^.+@.+$ → userPrincipalName
groupInfo	target.user.group_identifiers	已合并
operationName	target.user.group_identifiers	已映射：Add member to group → groupInfo
properties.servicePrincipalId	target.user.product_object_id	直接映射
properties.targetResources.0.id	target.user.product_object_id	直接映射
properties.userId	target.user.product_object_id	直接映射
record_properties_userId	target.user.product_object_id	直接映射
userId	target.user.product_object_id	直接映射
record_Identity	target.user.user_display_name	直接映射
record_identity	target.user.user_display_name	直接映射
targetUser	target.user.user_display_name	直接映射
target_displayName	target.user.user_display_name	直接映射
target_userPrincipalName	target.user.user_display_name	直接映射
TargetUserName	target.user.userid	直接映射
properties.alternateSignInName	target.user.userid	直接映射
properties.servicePrincipalName	target.user.userid	直接映射
properties.userId	target.user.userid	直接映射
properties.userPrincipalName	target.user.userid	直接映射
record_AlternateSignInName	target.user.userid	直接映射
signInIdentifier	target.user.userid	直接映射
userPrincipalName	target.user.userid	直接映射
TargetSid	target.user.windows_sid	直接映射
TargetUserSid	target.user.windows_sid	直接映射
不适用	extensions.auth.type	常量：AUTHTYPE_UNSPECIFIED
不适用	metadata.event_type	常量：STATUS_UPDATE
不适用	metadata.product_name	常量：Azure AD
不适用	metadata.vendor_name	常量：Microsoft
不适用	network.http.parsed_user_agent	常量：parseduseragent
不适用	principal.platform	常量：WINDOWS
不适用	security_result.description	常量：Group membership modified
不适用	security_result.priority	常量：MEDIUM_PRIORITY
不适用	security_result.severity	常量：INFORMATIONAL
不适用	security_result.summary	常量：Successful login occurred

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。