Azure无代码连接器框架的存储 Blob 数据连接器参考

若要使用无代码连接器框架 (CCF) 创建Azure存储 Blob 数据连接器，除了Microsoft Sentinel用于数据连接器的 REST API 一文外，还使用此参考。

每个dataConnector都表示Microsoft Sentinel数据连接器的特定连接。 一个数据连接器可能有多个连接，这些连接从不同的终结点提取数据。 使用此参考文档生成的 JSON 配置用于完成 CCF 数据连接器的部署模板。

有关详细信息，请参阅为Microsoft Sentinel创建无代码连接器。

生成Azure存储 Blob CCF 数据连接器

使用示例存储 Blob CCF 数据连接器部署模板简化Azure存储 Blob 数据源连接的开发。 有关详细信息，请参阅 连接器存储Blob CCF 模板。

大多数部署模板部分都填写完后，只需生成前两个组件，即输出表和 DCR。 有关详细信息，请参阅 输出表定义 和 数据收集规则 (DCR) 部分。

数据连接器 - 创建或更新

请参阅 REST API 文档中的 创建或更新 操作，查找最新的稳定或预览 API 版本。 创建操作和更新操作的区别在于更新需要 etag 值。

PUT 方法

https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.OperationalInsights/workspaces/{{workspaceName}}/providers/Microsoft.SecurityInsights/dataConnectors/{{dataConnectorId}}?api-version={{apiVersion}}

URI 参数

有关最新 API 版本的详细信息，请参阅 数据连接器 - 创建或更新 URI 参数。

请求正文

CCF 数据连接器的请求正文 StorageAccountBlobContainer 具有以下结构：

{
   "name": "{{dataConnectorId}}",
   "kind": "StorageAccountBlobContainer",
   "etag": "",
   "properties": {
        "connectorDefinitionName": "",
        "auth": {},
        "request": {},
        "dcrConfig": {},
        "response": {}
   }
}

StorageAccountBlobContainer

StorageAccountBlobContainer 表示 CCF 数据连接器，其中已配置Azure存储 Blob 数据源的预期响应有效负载。 必须将生成者配置为将数据发送到存储 Blob，必须单独完成。

身份验证配置

Azure存储 Blob 连接器依赖于与Microsoft托管的多租户应用程序关联的租户中创建的服务主体， (服务主体蓝图) 。 租户管理员需要授予创建此服务主体的许可。 ARM 模板提供确认租户中是否已存在与应用程序关联的服务主体的功能，如果不存在，则提供一个选项，用于在用户同意的情况下创建服务主体。

ARM 模板示例包括对存储帐户应用所有必要的基于角色的访问权限以读取 Blob 和参与队列的操作。 确保使用的模板和服务主体与环境的应用程序相关联，并且已授予租户管理员同意。

下表列出了每个Azure环境的应用程序 ID：

StorageAccountBlobContainer 身份验证示例：

"auth": {
    "type": "ServicePrincipal"
}

请求配置

请求部分介绍接收 blob 创建的事件消息Azure存储队列。

StorageAccountBlobContainer 请求示例：

"request": {
    "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
    "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
}

响应配置

使用以下参数定义数据连接器的响应处理：

响应配置示例

未压缩的 JSON：

"response": {
    "EventsJsonPaths": ["$"],
    "format": "json"
}

压缩的 CSV：

"response": {
    "EventsJsonPaths": ["$"],
    "format": "csv",
    "IsGzipCompressed": true
}

可以) 推断 Parquet (压缩：

"response": {
    "EventsJsonPaths": ["$"],
    "format": "parquet"
}

DCR 配置

CCF 数据连接器示例

下面是 CCF 数据连接器 JSON 的所有组件 StorageAccountBlobContainer 的示例。

{
    "kind": "StorageAccountBlobContainer",
    "properties": {
        "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
        "dcrConfig": {
            "streamName": "[variables('streamName')]",
            "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
            "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]"
        },
        "auth": {
            "type": "ServicePrincipal"
        },
        "request": {
            "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
            "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
        }
    }
}

有关详细信息，请参阅 创建数据连接器 REST API 示例。

相关内容

• 设置Azure存储连接器以将日志流式传输到Microsoft Sentinel
• 为Microsoft Sentinel创建无代码连接器
• 在连接器集成存储资源上启用网络安全