Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Соединитель BLOB-объектов хранилища Azure упрощает сбор журналов из хранилища Azure. Она позволяет независимым поставщикам программного обеспечения и пользователям создавать масштабируемые соединители на основе интеграции хранилища Azure с помощью полностью управляемой платформы соединителей без кода (CCF).
В этой статье перечислены ресурсы соединителя и приведены шаги по созданию и проверке первого соединителя хранилища Azure.
Предварительные условия
Перед началом работы убедитесь, что у вас есть:
- Учетная запись хранения Azure с включенным иерархическим пространством имен (Azure Data Lake Storage 2-го поколения) и контейнером, в котором хранятся файлы журнала.
- Рабочая область Microsoft Sentinel с ролью «Участник Microsoft Sentinel» или выше для создания соединителей данных.
- Разрешения роли "Владелец" или "Участник Event Grid" для учетной записи хранения, необходимые для создания системных тем Event Grid и подписок на события.
Примечание.
Убедитесь, что поставщик ресурсов Microsoft.EventGrid зарегистрирован в подписке, содержащей учетную запись хранения.
Общие сведения о ресурсах соединителя
Коннектор Хранилища BLOB-объектов Azure использует модель указателей на BLOB-объекты на основе очереди для подписки на события создания BLOB-объектов в вашей учетной записи хранения. Подписка на системную тему Event Grid отслеживает создание BLOB-объектов и передает события в очередь службы хранилища Azure на основе настраиваемых критериев фильтрации. Несколько экземпляров коннектора могут загружать данные из одного и того же контейнера, ограничивая набор файлов по папке и шаблону имени файла. Вы можете управлять фильтрацией через портал или шаблон ARM для соединителя, задав шаблоны префиксов и суффиксов BLOB-объектов.
Соединитель Microsoft Sentinel:
- Опрашивает очередь служба хранилища Azure на наличие сообщений о создании BLOB-объектов.
- Извлекает файлы из контейнера BLOB-объектов хранилища Azure на основе пути в сообщении очереди.
- Удаляет сообщение из очереди после успешной пересылки.
Соединитель проходит аутентификацию в учетной записи хранения данных с помощью субъекта-службы, доступного приложению соединителя. Сведения об идентификаторах приложений для каждого облака и полной схеме шаблона см. в справочнике по API коннекторов BLOB-объектов служба хранилища Azure. Используйте автоматизацию шаблонов ARM для проверки существования субъекта-службы и применения необходимых назначений ролей в учетной записи хранения.
Создание соединителя blob-объектов хранилища Azure
Выполните следующие действия, чтобы создать соединитель BLOB-объектов служба хранилища Azure:
- Просмотрите и адаптируйте пример шаблона ARM в справочнике по API соединителей BLOB-объектов хранилища Azure. Задайте имя контейнера, имя очереди (если она не создается автоматически), фильтры префикса и суффикса BLOB-объектов и сопоставление с целевой таблицей.
- Разверните шаблон, выполнив команду Создать соединитель без кода для Microsoft Sentinel. Убедитесь, что область развертывания соответствует учетной записи хранения и рабочей области Microsoft Sentinel.
- После развертывания убедитесь, что экземпляр коннектора создан в Microsoft Sentinel и что подписка Event Grid имеет состояние Исправно.
Проверка соединителя
Используйте следующие проверки, чтобы проверить правильность работы соединителя:
- Загрузите пример файла, который соответствует фильтру по префиксу/суффиксу, и убедитесь, что сообщения в очереди создаются и обрабатываются.
- Проверьте поступление данных в целевую таблицу в Microsoft Sentinel и проверьте наличие ошибок на панели работоспособности соединителя.
- Если вы используете ограничения сети, убедитесь, что управляемые соединителем ресурсы могут достигать конечных точек BLOB-объектов и очередей.
Устранение неполадок
Инструкции по устранению неполадок см. в статье Устранение неполадок с соединителем blob-объектов хранилища Azure.