監査ストリーミングの作成

Azure DevOps サービス

さらに処理するためにデータを他の場所に送信する 監査 ストリームを作成する方法について説明します。 監査データを他のセキュリティ インシデントおよびイベント管理 (SIEM) ツールに送信し、特定のイベントのアラートをトリガーする機能、監査データに関するビューを作成する機能、異常検出を実行する機能など、新しい可能性を開きます。 ストリームを設定すると、90 日を超える監査データを格納することもできます。これは、組織Azure DevOps保持する最大データ量です。

監査ストリームは、Azure DevOps組織からストリーム ターゲットに監査イベントをフローするパイプラインを表します。 30 分以下ごとに、新しい監査イベントがバンドルされ、ターゲットにストリーミングされます。 構成には、次のストリーム ターゲットを使用できます。

• Splunk – オンプレミスまたはクラウドベースの Splunk に接続します。
• Azure Monitor Logs - 監査ログを Azure Monitor ログ に送信します。 Azure Monitor ログに格納されているログは、クエリを実行してアラートを構成できます。 AzureDevOpsAuditing という名前のテーブルを探します。 Microsoft Sentinelをワークスペースに接続することもできます。
• Azure Event Grid – 監査ログを他の場所 (Azureの内外を問わず) に送信するシナリオでは、Azure Event Grid 接続を設定できます。

プライベートのリンクされたワークスペースは、現在サポートされていません。

前提条件

監査は、すべてのAzure DevOpsサービス組織で既定で無効になっています。 承認された担当者のみが機密性の高い監査情報にアクセスできることを確認します。

ストリームの作成

1. 所属組織 (https://dev.azure.com/{Your_Organization}) にサインインします。

2. 組織の設定を選択します。

   

3. [監査] を選択します。

   

4. ストリーム タブに移動し、 新しいストリームを選択します。

   

5. 構成するストリーム ターゲットを選択し、次の手順から選択してストリーム ターゲットの種類を設定します。

   • Splunk
   • イベントグリッド
   • Azure Monitor ログ

Splunk ストリームを設定する

ストリームは、HTTP イベント コレクター エンドポイントを介して Splunk にデータを送信します。

1. Splunk でこの機能を有効にします。 詳細については、この Splunk のドキュメントを参照してください。

   有効にすると、HTTP イベント コレクター トークンと Splunk インスタンスへの URL が必要になります。 Splunk ストリームを作成するには、トークンと URL の両方が必要です。

   Note

   Splunk で新しいイベント コレクター トークンを作成するときは、[インデクサーの受信確認を有効にする] をオンにしないでください。 チェックが入っている場合、Splunk にイベントは流れ込まない。 Splunk でトークンを編集して、その設定を削除できます。

2. Splunk インスタンスへのポインターである Splunk URL を入力します。 URL の末尾にポートを指定してください。 既定のポートは 8088であるため、URL は https://prd-p-2k3mp2xhznbs.cloud.splunk.com:8088 または https://prd-p-2k3mp2xhznbs.splunkcloud.com のようになります。

3. 作成したイベント コレクター トークンをトークン フィールドに入力します。 トークンはAzure DevOps内に安全に格納され、UI に再び表示されることはありません。 定期的にトークンをローテーションすることをお勧めします。これを行うには、Splunk から新しいトークンを取得し、ストリームを編集します。

   

4. [セットアップ] を選択します。

ストリームが構成され、イベントは 30 分以内に Splunk に到着し始めます。

イベント グリッド ストリームをセットアップする

1. Azureで Event Grid トピックを作成します。

2. "トピック エンドポイント" と 2 つの "アクセス キー" のいずれかをメモしておきます。この情報を使用して、Event Grid 接続を作成します。

   

3. トピック エンドポイントといずれかのアクセス キーを入力します。 アクセス キーはAzure DevOps内に安全に格納され、UI に再び表示されることはありません。 アクセス キーを定期的にローテーションします。これを行うには、Azure Event Gridから新しいキーを取得し、ストリームを編集します。

   

Event Grid ストリームを構成したら、Event Grid でサブスクリプションを設定して、Azureのほぼすべての場所にデータを送信できます。

Azure Monitor ログ ストリームを設定する

1. Log Analytics ワークスペースを作成します。
2. Azure ポータルでワークスペースを開き、[概要>JSON ビュー] を選択します。
3. id プロパティの値をコピーします。 この値はワークスペース リソース ID です。
4. Azure ポータルで Microsoft Entra ID>Overview を選択し、ワークスペースのサブスクリプションに関連付けられているディレクトリのテナント ID をコピーします。 この値を見つけるその他の方法については、「Microsoft Entra テナント ID を検索する方法」を参照してください。
5. Azure DevOpsで、最初の手順に従ってストリームを作成します。
6. ストリーム ターゲットには、Azure Monitor Logs を選択します。
7. ワークスペースの リソース ID と テナント ID を入力し、[ セットアップ] を選択します。
8. メッセージが表示されたら、ワークスペースにアクセスできるMicrosoft Entra ID でAzureにサインインします。 Azure DevOpsは、サインイン ID を使用して、Azure Resource Managerを介してワークスペース アクセスを検証します。

ストリームが有効になり、30 分以内に新しいイベントのフローが開始されます。 AzureDevOpsAuditing テーブルを参照することができます。

ストリームの編集

ストリーム ターゲットに関する詳細は、時間の経過と同時に変化する可能性があります。 これらの変更をストリームに反映するには、それらを編集します。 ストリームを編集するには、 監査ストリームの管理 アクセス許可があることを確認します。

1. 編集するストリームの横にある右端にある縦 3 つのドットを選択し、 編集ストリームを選択します。

   

2. 保存を選びます。

編集に使用できるパラメーターは、ストリームの種類によって異なります。

ストリームを無効にする

1. 無効にするストリームの横にある 有効化 トグルを オン から オフ にします。
   ストリームで障害が発生すると、ストリームが無効になる可能性があります。 エラーの詳細は、ストリームの横に表示される状態から取得することも、 ストリームの編集 を選択して取得することもできます。 ストリームを手動で無効にしてから、後で再度有効にすることもできます。

   

2. 保存を選びます。

無効になっているストリームを再度有効にすることができます。 これは、過去 7 日間に見逃された監査イベントに追いつきます。 そうすることで、ストリームが無効にされた期間のイベントを見逃すことはありません。

ストリームを削除する

ストリームを削除するには、 監査ストリームの削除 アクセス許可があることを確認します。

1. 削除するストリームにカーソルを合わせ、右端にある垂直の 3 つのドットを選択します。

2. [ストリームの削除] を選択します。

   

3. 確認 を選択します。

システムによってストリームが削除されます。 削除前の未送信のイベントは送信されません。

関連コンテンツ

• 監査ログを確認する
• 監査イベントをエクスポートする
• 監査イベントの一覧を表示する
• Azure DevOps監査ストリームについてAzure DevOpsブログで読む