Referência do conector de dados do Blob de Armazenamento do Azure para a Estrutura do Conector Sem Codificação

Para criar um conector de dados do Blob de Armazenamento do Azure com o CCF (Codeless Connector Framework), use esta referência além do artigo API REST do Microsoft Sentinel para Conectores de Dados.

Nesse padrão de ingestão, um produtor escreve dados no Armazenamento de Blobs do Azure. Grade de Eventos do Azure envia eventos de criação de blobs para uma fila do Armazenamento do Azure, onde eles são armazenados em buffer até que o conector os processe. O conector então lê os blobs e roteia seu conteúdo através de uma regra de coleta de dados (DCR) do Azure Monitor até a tabela de destino. Esse design duradouro baseado em filas suporta o manejo de contrapressão e a ingestão resiliente para fontes de dados de alto volume.

Cada dataConnector um representa uma conexão específica de um conector de dados do Microsoft Sentinel. Um conector de dados pode ter várias conexões, que buscam dados de pontos de extremidade diferentes. A configuração JSON criada usando este documento de referência é usada para concluir o modelo de implantação do conector de dados CCF.

Para obter mais informações, consulte Criar um conector sem código para o Microsoft Sentinel.

Crie o conector de dados CCF do Blob de Armazenamento do Azure

Simplifique o desenvolvimento da conexão da fonte de dados do Blob de Armazenamento do Azure com um modelo de implantação do conector de dados CCF do Blob de Armazenamento de amostra. Para obter mais informações, consulte Modelo CCF do Conector StorageBlob.

Com a maioria das seções do modelo de implantação preenchidas, você só precisa criar os dois primeiros componentes, a tabela de saída e o DCR. Para obter mais informações, consulte as seções Definição da tabela de saída e Regra de coleta de dados (DCR).

Conectores de Dados \u2012 Criar ou atualizar

Consulte a operação Criar ou Atualizar nos documentos da API REST para encontrar a versão mais recente da API estável ou prévia. A diferença entre a operação de criação e a operação de atualização é que a atualização requer o valor etag .

Método PUT

https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.OperationalInsights/workspaces/{{workspaceName}}/providers/Microsoft.SecurityInsights/dataConnectors/{{dataConnectorId}}?api-version={{apiVersion}}

Parâmetros de URI

Para obter mais informações sobre a versão mais recente da API, consulte Conectores de dados - Criar ou atualizar parâmetros de URI.

Corpo da solicitação

O corpo da solicitação para um StorageAccountBlobContainer conector de dados CCF tem a seguinte estrutura:

{
   "name": "{{dataConnectorId}}",
   "kind": "StorageAccountBlobContainer",
   "etag": "",
   "properties": {
        "connectorDefinitionName": "",
        "auth": {},
        "request": {},
        "dcrConfig": {},
        "response": {}
   }
}

StorageAccountBlobContainer

StorageAccountBlobContainer representa um conector de dados CCF no qual as cargas de resposta esperadas para a fonte de dados do Blob de Armazenamento do Azure já foram configuradas. A configuração do produtor para enviar dados ao Blob de Armazenamento deve ser feita separadamente.

Configuração de autenticação

O conector de Blob de Armazenamento do Azure depende de uma entidade de serviço criada em seu locatário associada a um aplicativo multilocatário gerenciado pela Microsoft (blueprint da entidade de serviço). O administrador do locatário precisa conceder consentimento para criar essa entidade de serviço. O modelo ARM fornece a capacidade de confirmar se a entidade de serviço associada ao aplicativo já existe em seu locatário e, caso contrário, fornece uma opção para criar a entidade de serviço com o consentimento do usuário.

O exemplo de modelo do ARM inclui operações para aplicar todo o acesso baseado em função necessário na conta de armazenamento para ler blobs e contribuir para filas. Certifique-se de que o modelo e as entidades de serviço usadas estejam associados ao aplicativo para seu ambiente e que o consentimento do administrador do locatário tenha sido concedido.

A tabela a seguir lista as IDs de aplicativo por ambiente do Azure:

Exemplo de autenticação StorageAccountBlobContainer:

"auth": {
    "type": "ServicePrincipal"
}

Solicitar configuração

A seção de solicitação descreve as filas de Armazenamento do Azure que recebem mensagens de evento criadas por blobs.

Antes de configurar essa seção, crie as filas de notificação e de letras mortas. Configure uma assinatura do Grade de Eventos do Azure na conta de armazenamento para enviar Microsoft.Storage.BlobCreated eventos para a fila de notificações especificada pelo QueueUri. Para mais informações, veja Quickstart: Rotear eventos de armazenamento Blob para um endpoint web com o portal Azure.

Exemplo de solicitação StorageAccountBlobContainer:

"request": {
    "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
    "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]",
    "StorageAccountSubscriptionId": "[[parameters('StorageAccountSubscription')]",
    "StorageAccountResourceGroupName": "[[parameters('StorageAccountResourceGroupName')]"
}

Configuração de resposta

Defina o tratamento de resposta do conector de dados com os seguintes parâmetros:

Exemplos de configuração de resposta

JSON descompactado:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "json"
}

CSV compactado:

"response": {
    "EventsJsonPaths": ["$"],
    "format": "csv",
    "IsGzipCompressed": true
}

Parquet (a compactação pode ser inferida):

"response": {
    "EventsJsonPaths": ["$"],
    "format": "parquet"
}

Configuração do DCR

Exemplo de conector de dados CCF

Aqui está um exemplo de todos os componentes do JSON do conector de StorageAccountBlobContainer dados CCF juntos.

{
    "kind": "StorageAccountBlobContainer",
    "properties": {
        "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
        "dcrConfig": {
            "streamName": "[variables('streamName')]",
            "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
            "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]"
        },
        "auth": {
            "type": "ServicePrincipal"
        },
        "request": {
            "QueueUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('queueName'))]",
            "DlqUri": "[[concat('https://', variables('storageAccountName'), '.queue.core.windows.net/', variables('dlqName'))]"
        }
    }
}

Para obter mais informações, consulte Criar exemplo de API REST do conector de dados.

Conteúdo relacionado

• Configurar o conector de Armazenamento do Azure para transmitir logs para o Microsoft Sentinel
• Criar um conector sem código para o Microsoft Sentinel
• Habilitar a segurança de rede em recursos de armazenamento integrados ao conector