收集 Salesforce 記錄

支援的國家/地區：

本文說明如何使用第三方 API 設定 Google Security Operations 資訊提供，以收集 Salesforce 記錄。

Salesforce 是雲端式客戶關係管理 (CRM) 平台，提供銷售、服務、行銷和數據分析工具。Salesforce 記錄檔會擷取平台上的使用者活動、安全性事件、系統變更和 API 使用情形。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Salesforce Enterprise Edition 以上版本 (已啟用 API 存取權)
  • 已啟用 Salesforce Shield 事件監控授權 (存取 EventLogFile 時必須啟用)
  • Salesforce 系統管理員權限
  • 已安裝 OpenSSL (用於產生憑證)

產生 RSA 金鑰組和憑證

產生 RSA 私密金鑰和自行簽署的 X.509 憑證，用於簽署 JWT。

產生私密金鑰

  • 以 PKCS#8 格式產生金鑰。Google SecOps 動態饋給只接受 PKCS#8 金鑰 (標頭 -----BEGIN PRIVATE KEY-----)；舊版 PKCS#1 金鑰 (-----BEGIN RSA PRIVATE KEY-----) 會在建立動態饋給時導致剖析錯誤。

    openssl genpkey -algorithm RSA -out salesforce_private.key -pkeyopt rsa_keygen_bits:2048

產生自行簽署的憑證

  • 使用私密金鑰產生自行簽署的 X.509 憑證，效期為 365 天。

    openssl req -new -x509 -key salesforce_private.key -out salesforce_certificate.crt -days 365

系統提示時，請輸入憑證詳細資料：

  • 國家/地區名稱：輸入 2 個字母的國家/地區代碼 (例如 US)。
  • 州/省名稱：輸入州/省 (例如 California)。
  • 縣市名稱：輸入您的城市 (例如 San Francisco)。
  • 機構名稱：輸入機構名稱 (例如 Acme Corp)。
  • 機構單位名稱：輸入部門 (例如 IT Security)。
  • 一般名稱：輸入描述性名稱 (例如 SecOps Integration)。
  • 電子郵件地址：輸入聯絡電子郵件地址。

建立 Salesforce 外部用戶端應用程式

在 Salesforce (2026 年春季版和後續版本) 中，建議使用外部用戶端應用程式進行 OAuth 驗證。

  1. 登入 Salesforce。
  2. 前往「設定」 (右上角的齒輪圖示)。
  3. 在「快速尋找」方塊中輸入 External Client Apps。
  4. 按一下「External Client App Manager」(外部用戶端應用程式管理工具)。
  5. 按一下「New External Client App」(新增外部用戶端應用程式)。

設定基本資訊

  1. 請提供下列設定詳細資料：
    • 外部用戶端應用程式名稱：輸入描述性名稱 (例如 Google SecOps Integration)。
    • API 名稱：系統會根據應用程式名稱自動填入。保留預設值或自訂。
    • 聯絡電子郵件地址：輸入電子郵件地址。
    • 發布狀態：選取「Local」(本機)。
  2. 按一下「繼續」。

啟用 OAuth 設定

  1. 勾選「Enable OAuth」核取方塊。
  2. 請提供下列設定詳細資料：
    • 回呼網址：輸入 https://login.salesforce.com/services/oauth2/callback。
  1. 在「OAuth 範圍」部分，將下列範圍從「可用的 OAuth 範圍」移至「選取的 OAuth 範圍」：
    • 透過 API 管理使用者資料 (api)
    • 隨時執行要求 (refresh_token, offline_access) (refresh_token, offline_access)

啟用 JWT 不記名權杖流程並上傳憑證

  1. 在「Flow Enablement」部分，勾選「Enable JWT Bearer Flow」核取方塊。
  2. 系統會顯示「憑證上傳」部分。
  3. 按一下「上傳檔案」，或拖曳憑證檔案。
  4. 選取 salesforce_certificate.crt 檔案。
  5. 等待上傳完成。上傳按鈕下方應會顯示憑證檔案名稱。

設定 OAuth 政策

  1. 在「OAuth 政策」部分：
    • 允許的使用者：選取「管理員核准的使用者已預先授權」。
  2. 按一下 [儲存]。

取得用戶端金鑰

建立外部用戶端應用程式後，請擷取 Google SecOps 動態饋給設定的消費者金鑰。

  1. 在外部用戶端應用程式管理工具中，按一下您的應用程式名稱 (例如 Google SecOps Integration)。
  2. 前往「設定」分頁。
  3. 在「OAuth Settings」部分，點選「Consumer Key and Secret」。
  4. 複製並儲存「Consumer Key」值。

  • 消費者金鑰格式範例：

    3MVG9IKcPoNiNVBIPjdw4z.pcfRjTFBp7xC8x9k4U8jZ0HlLQdPqX5bKjR8yNzQ9_YvY.8xD3F2W6nXb5YgNx

預先授權外部用戶端應用程式

Salesforce 需要預先授權才能使用 JWT 權杖流程。透過權限集將外部用戶端應用程式指派給使用者，即可預先授權。

建立權限集

  1. 依序前往「設定」>「使用者」>「權限集」。
  2. 點選「New」(新增)。
  3. 請提供下列設定詳細資料：
    • 標籤：輸入 SecOps Integration Users (例如)。
    • API 名稱：系統會根據標籤自動填入。
  4. 按一下 [儲存]。

將權限集指派給外部用戶端應用程式

  1. 依序前往「設定」>「外部用戶端應用程式管理工具」。
  2. 按一下外部用戶端應用程式 (例如 Google SecOps Integration)。
  3. 按一下「政策」分頁標籤。
  4. 在「應用程式政策」部分，選取「選取權限集」下方的選項：
    1. 將權限集 (例如 SecOps Integration Users) 從「Available Permission Sets」移至「Selected Permission Sets」。
  5. 按一下 [儲存]。

將權限集指派給使用者

  1. 在權限集詳細資料頁面中，按一下「管理指派作業」。
  2. 按一下「新增指派項目」。
  3. 勾選要用於 Google SecOps 整合的使用者帳戶旁的核取方塊 (例如 integration@acme.com)。
  4. 按一下「指派」。
  5. 按一下 [完成]。

在 Google SecOps 中設定動態饋給，擷取 Salesforce 記錄

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 在下一個頁面中，按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Salesforce EventLogFile)。
  5. 選取「第三方 API」做為「來源類型」。
  6. 選取「SALESFORCE」做為「記錄類型」。
  7. 點選「下一步」。

  8. 指定下列輸入參數的值：

    • API 主機名稱：輸入 Salesforce 執行個體主機名稱 (例如 acme.my.salesforce.com)。
    • OAuth JWT 端點：輸入 OAuth 權杖端點網址。Google SecOps 動態饋給擷取工具必須使用 grant_type 查詢參數，且必須將該參數附加至網址，如下所示：
      • 正式版機構：https://login.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
      • 沙箱機構：https://test.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
      • 我的網域：https://acme.my.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
    • JWT 憑證簽發者：輸入外部用戶端應用程式的消費者金鑰。
    • JWT 憑證附加資訊主體：輸入預先授權使用者的 Salesforce 使用者名稱 (例如 integration@acme.com)。
    • JWT 憑證附加資訊對象：輸入授權伺服器網址。請只使用下列兩個值之一，不要替換「我的網域」網址，因為 Salesforce 會在 JWT 簽章驗證期間拒絕該網址：
      • 正式版機構和「我的網域」機構：https://login.salesforce.com
      • 沙箱機構：https://test.salesforce.com

    • RSA 私密金鑰：貼上完整的 PKCS#8 私密金鑰內容，包括 -----BEGIN PRIVATE KEY----- 和 -----END PRIVATE KEY----- 標記。頁首和頁尾不得包含 RSA 一字。動態饋給剖析器會拒絕含有 -----BEGIN RSA PRIVATE KEY----- (PKCS#1) 的金鑰。

    • 如要取得私密金鑰內容，請按照下列步驟操作：

      cat salesforce_private.key

    複製整個輸出內容，包括標頭和頁尾行。

    • 資產命名空間：資產命名空間。
    • 擷取標籤：要套用至這個動態饋給事件的標籤。

  9. 點選「下一步」。

  10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

Salesforce 執行個體類型參考資料

OAuth JWT 端點和目標對象值取決於 Salesforce 執行個體類型：

執行個體類型 OAuth JWT 端點 JWT 憑證附加資訊目標對象 API 主機名稱格式
正式版 https://login.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer https://login.salesforce.com company.my.salesforce.com
沙箱 https://test.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer https://test.salesforce.com company--sandbox.sandbox.my.salesforce.com
我的網域 https://domain.my.salesforce.com/services/oauth2/token?grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer https://login.salesforce.com domain.my.salesforce.com

UDM 對應表

記錄欄位 UDM 對應 邏輯
ApiType_label additional.fields 已合併
ApiVersion_label additional.fields 已合併
Application_label additional.fields 已合併
AuthMethodReference_label additional.fields 已合併
Browser_label additional.fields 已合併
ConnectedAppId_label additional.fields 已合併
CountryIso_label additional.fields 已合併
CreatedByContext_label additional.fields 已合併
CreatedById_label additional.fields 已合併
CreatedByIssuer_label additional.fields 已合併
CreatedBy_FederationIdentifier_label additional.fields 已合併
CreatedDate_label additional.fields 已合併
DeviceSessionId_label additional.fields 已合併
EffectivePageTimeDeviationReason_label additional.fields 已合併
EffectivePageTime_label additional.fields 已合併
Entityid_label additional.fields 已合併
EventIdentifier_label additional.fields 已合併
EventUuid_label additional.fields 已合併
FederationIdentifier_label additional.fields 已合併
HasEffectivePageTimeDeviation_label additional.fields 已合併
Id_label additional.fields 已合併
LoginGeoId_label additional.fields 已合併
LoginHistoryId_label additional.fields 已合併
LoginKey_label additional.fields 已合併
LoginSubType_label additional.fields 已合併
LoginType_label additional.fields 已合併
NetId_label additional.fields 已合併
NetworkId_label additional.fields 已合併
Operation_label additional.fields 已合併
OptionsIsGet_label additional.fields 已合併
OptionsIsPost_label additional.fields 已合併
Platform_label additional.fields 已合併
PolicyId_label additional.fields 已合併
PreviousPageAppName_label additional.fields 已合併
PreviousPageEntityType_label additional.fields 已合併
QueriedEntities_label additional.fields 已合併
RelatedEventIdentifier_label additional.fields 已合併
RequestIdentifier_label additional.fields 已合併
RowsProcessed_label additional.fields 已合併
RowsReturned_label additional.fields 已合併
SdkVersion_label additional.fields 已合併
SessionKey_label additional.fields 已合併
SessionLevel_label additional.fields 已合併
Subdivision_label additional.fields 已合併
api_token_label additional.fields 已合併
api_type_label additional.fields 已合併
auth_service_id_label additional.fields 已合併
auth_token additional.fields 已合併
browser_version_label additional.fields 已合併
channel_label additional.fields 已合併
connection_type_label additional.fields 已合併
customerName_label additional.fields 已合併
datacell_label additional.fields 已合併
decoded_body_size_label additional.fields 已合併
delegate_user_label additional.fields 已合併
device_label additional.fields 已合併
device_platform additional.fields 已對應：: → device_label
done_label additional.fields 已合併
encoded_body_size_label additional.fields 已合併
evaluation_time_label additional.fields 已合併
event_id additional.fields 已對應：`"LightningInteraction", "LightningPerformance", "LightningPageView", "LightningUriE...
initiator_type_label additional.fields 已合併
login_key_label additional.fields 已合併
loginkey_label additional.fields 已合併
map_field additional.fields 已合併
next_hop_protocol_label additional.fields 已合併
page_app_name_label additional.fields 已合併
page_context_label additional.fields 已合併
page_entity_id_label additional.fields 已合併
page_entity_type_label additional.fields 已合併
page_url_label additional.fields 已合併
parent_ui_element_label additional.fields 已合併
platform_label additional.fields 已合併
postal_code_label additional.fields 已合併
redirect_start_label additional.fields 已合併
render_blocking_status_label additional.fields 已合併
replayId_label additional.fields 已合併
request_start_label additional.fields 已合併
response_end_label additional.fields 已合併
response_start_label additional.fields 已合併
responsible_namespace_prefix_label additional.fields 已合併
schemaId_label additional.fields 已合併
schema_label additional.fields 已合併
section_label additional.fields 已合併
server_request_id_label additional.fields 已合併
target_ui_element_label additional.fields 已合併
totalSize_label additional.fields 已合併
transfer_size_label additional.fields 已合併
ts_label additional.fields 已合併
ui_event_id_label additional.fields 已合併
ui_event_sequence_num_label additional.fields 已合併
ui_event_source_label additional.fields 已合併
ui_event_timestamp_label additional.fields 已合併
ui_event_type_label additional.fields 已合併
ui_root_activity_id_label additional.fields 已合併
ui_thread_response_delay_label additional.fields 已合併
worker_start_label additional.fields 已合併
Login_type extensions.auth.auth_details 直接對應
auth.mechanism extensions.auth.mechanism 已合併
csv_format extensions.auth.mechanism 已對應：false → auth.mechanism
event_id extensions.auth.mechanism 已對應：Login: Success → auth.mechanism
mechanism extensions.auth.mechanism 已合併
LoginType extensions.auth.type 已對應：Application → AUTHTYPE_UNSPECIFIED
csv_format extensions.auth.type 已對應：false → AUTHTYPE_UNSPECIFIED
event_id extensions.auth.type 對應的值 (共 8 個)，例如 `"IdentityProviderEventStore", "LoginEventStream", "WaveDownloa...
logintype extensions.auth.type 已對應：SAML Sfdc Initiated SSO → SSO
intermediary_ip intermediary.ip 已合併
user_name intermediary.user.user_display_name 直接對應
userid intermediary.user.userid 直接對應
Report_description metadata.description 直接對應
data.properties.Description.str metadata.description 直接對應
metadata_description metadata.description 直接對應
properties.Description metadata.description 直接對應
@timestamp metadata.event_timestamp 已剖析為 ISO8601
LoginTime metadata.event_timestamp 已剖析為 yyyy-MM-ddTHH:mm:ss.SSS+0000
TIMESTAMP metadata.event_timestamp 已剖析為 UNIX
TIMESTAMP_DERIVED metadata.event_timestamp 已剖析為 ISO8601
User.LastLoginDate metadata.event_timestamp 已剖析為 yyyy-MM-ddTHH:mm:ss.SSS+0000
collected_timestamp metadata.event_timestamp 已剖析為 yyyyMMddHHmmss
column6 metadata.event_timestamp 已剖析為 yyyyMMddHHmmss
createdAt metadata.event_timestamp 已剖析為 UNIX
detail.payload.EventDate metadata.event_timestamp 已剖析為 ISO8601
payload.EventDate metadata.event_timestamp 已剖析為 ISO8601
properties.EventDate metadata.event_timestamp 已剖析為 ISO8601
recordDate metadata.event_timestamp 已剖析為 UNIX_MS
startTime metadata.event_timestamp 已剖析為 MMM d yyyy, HH:mm:ss:SSS
time_stamp metadata.event_timestamp 已剖析為 YYYY-MM-ddTHH:mm:ss
timestamp metadata.event_timestamp 已剖析為 yyyyMMddHHmmss
ts_date metadata.event_timestamp 已剖析為 yyyy-MM-dd HH:mm:ss.SSSZ
event_type metadata.event_type 已對應："", "GENERIC_EVENT" → USER_UNCATEGORIZED、"", "GENERIC_EVENT" → `NETWORK_CONNE...
principal_machine_id_present metadata.event_type 已對應：true → NETWORK_CONNECTION、true → STATUS_UPDATE
principal_user_present metadata.event_type 已對應：true → USER_UNCATEGORIZED
label metadata.ingestion_labels 已合併
resource_name metadata.ingestion_labels 已對應：`"ReportEvent","SessionHijackingEventStore","BulkApiResultEventStore","CredentialStu...
action metadata.product_event_type 直接對應
attrs.cat metadata.product_event_type 直接對應
event_id metadata.product_event_type 直接對應
name metadata.product_event_type 直接對應
REQUEST_ID metadata.product_log_id 直接對應
column9 metadata.product_log_id 直接對應
data.properties.EventIdentifier.str metadata.product_log_id 直接對應
event_identifier metadata.product_log_id 直接對應
id metadata.product_log_id 直接對應
payload.EventIdentifier metadata.product_log_id 直接對應
product_log_id metadata.product_log_id 直接對應
properties.EventIdentifier metadata.product_log_id 直接對應
ClientVersion metadata.product_version 直接對應
payload.ClientVersion metadata.product_version 直接對應
data.properties.LoginUrl.str metadata.url_back_to_product 直接對應
data.properties.PageUrl.str metadata.url_back_to_product 直接對應
payload.PreviousPageUrl metadata.url_back_to_product 直接對應
protocol network.application_protocol 直接對應
METHOD network.http.method 直接對應
data.properties.HttpMethod.str network.http.method 直接對應
method network.http.method 直接對應
payload.HttpMethod network.http.method 直接對應
properties.HttpMethod network.http.method 直接對應
properties.UserAgent network.http.parsed_user_agent 直接對應
user_agent network.http.parsed_user_agent 直接對應
referral_url network.http.referral_url 直接對應
STATUS_CODE network.http.response_code 直接對應
request_status network.http.response_code 直接對應
Browser_type network.http.user_agent 直接對應
Client_info network.http.user_agent 直接對應
data.properties.UserAgent.str network.http.user_agent 直接對應
detail.payload.UserAgent network.http.user_agent 直接對應
payload.UserAgent network.http.user_agent 直接對應
properties.UserAgent network.http.user_agent 直接對應
user_agent network.http.user_agent 直接對應
RESPONSE_SIZE network.received_bytes 已重新命名/對應
REQUEST_SIZE network.sent_bytes 已重新命名/對應
column17 network.sent_bytes 直接對應
event_id network.sent_bytes 已對應：AuraRequest → uinteger
LOGIN_KEY network.session_id 直接對應
SESSION_KEY network.session_id 直接對應
data.properties.SESSION_KEY.str network.session_id 直接對應
data.properties.SessionKey.str network.session_id 直接對應
payload.SessionKey network.session_id 直接對應
properties.SessionKey network.session_id 直接對應
session_id network.session_id 直接對應
session_key network.session_id 直接對應
cipher_suite network.tls.cipher 直接對應
data.properties.CipherSuite.str network.tls.cipher 直接對應
payload.CipherSuite network.tls.cipher 直接對應
properties.CipherSuite network.tls.cipher 直接對應
data.properties.TlsProtocol.str network.tls.version 直接對應
payload.TlsProtocol network.tls.version 直接對應
properties.TlsProtocol network.tls.version 直接對應
tls_protocol network.tls.version_protocol 直接對應
data.properties.DelegatedUsername.str observer.user.userid 直接對應
application principal.application 直接對應
attrs.Application principal.application 已重新命名/對應
data.properties.Application.str principal.application 直接對應
payload.Application principal.application 直接對應
properties.Application principal.application 直接對應
src_app_name principal.application 直接對應
SourceIp principal.asset.hostname 直接對應
client_host principal.asset.hostname 直接對應
client_ip_1 principal.asset.hostname 直接對應
detail.payload.Client principal.asset.hostname 直接對應
CLIENT_IP principal.asset.ip 已合併
Client_ip principal.asset.ip 已合併
SourceIp principal.asset.ip 已合併
attrs.src principal.asset.ip 已合併
client_ip principal.asset.ip 已合併
client_ip_1 principal.asset.ip 已合併
column28 principal.asset.ip 已合併
csv_format principal.asset.ip 已對應：false → attrs.src
event_id principal.asset.ip 對應：API → prin_ip、Sites → column28、Login: Success → attrs.src
ip principal.asset.ip 已合併
prin_ip principal.asset.ip 已合併
principal_ip_address principal.asset.ip 已合併
src_ip1 principal.asset.ip 已合併
value principal.asset.ip 已合併
data.properties.ASSET_ID.str principal.asset_id 直接對應
SourceIp principal.hostname 直接對應
client_host principal.hostname 直接對應
client_ip_1 principal.hostname 直接對應
detail.payload.Client principal.hostname 直接對應
CLIENT_IP principal.ip 已合併
Client_ip principal.ip 已合併
SourceIp principal.ip 已合併
attrs.src principal.ip 已合併
client_ip principal.ip 已合併
client_ip_1 principal.ip 已合併
column28 principal.ip 已合併
csv_format principal.ip 已對應：false → attrs.src
event_id principal.ip 對應：API → prin_ip、Sites → column28、Login: Success → attrs.src
ip principal.ip 已合併
prin_ip principal.ip 已合併
principal_ip principal.ip 已合併
principal_ip_address principal.ip 已合併
src_ip1 principal.ip 已合併
value principal.ip 已合併
ApiType_label principal.labels 已合併
Client_label principal.labels 已合併
ConApp_label principal.labels 已合併
OrderBy_label principal.labels 已合併
Org_id principal.labels 已合併
Qentry_label principal.labels 已合併
Query_label principal.labels 已合併
Records_label principal.labels 已合併
channel principal.labels 已合併
colhdr_label principal.labels 已合併
disp_field_hdr_label principal.labels 已合併
evt_src_label principal.labels 已合併
federation_identifier principal.labels 已合併
grouped_colhdr_label principal.labels 已合併
city principal.location.city 直接對應
data.properties.City.str principal.location.city 直接對應
geoip_src.city_name principal.location.city 直接對應
payload.City principal.location.city 直接對應
properties.City principal.location.city 直接對應
client_geo principal.location.country_or_region 直接對應
data.properties.Country.str principal.location.country_or_region 直接對應
geoip_src.country_name principal.location.country_or_region 直接對應
payload.CountryIso principal.location.country_or_region 直接對應
properties.Country principal.location.country_or_region 直接對應
region principal.location.country_or_region 直接對應
data.properties.LoginLatitude.number principal.location.region_latitude 已重新命名/對應
payload.LoginLatitude principal.location.region_latitude 已重新命名/對應
properties.LoginLatitude principal.location.region_latitude 已重新命名/對應
data.properties.LoginLongitude.number principal.location.region_longitude 已重新命名/對應
payload.LoginLongitude principal.location.region_longitude 已重新命名/對應
properties.LoginLongitude principal.location.region_longitude 已重新命名/對應
geoip_src.region_name principal.location.state 直接對應
namespace principal.namespace 直接對應
source_ip principal.nat_ip 已合併
Platform principal.platform 對應：Windows → WINDOWS、Linux → LINUX、Mac → MAC
data.properties.OsName.str principal.platform 直接對應
os_name principal.platform 直接對應
payload.OsName principal.platform 直接對應
platform principal.platform 直接對應
data.properties.Platform.str principal.platform_version 直接對應
os_version principal.platform_version 直接對應
payload.OsVersion principal.platform_version 直接對應
properties.OsVersion principal.platform_version 直接對應
ApiVersion_label principal.resource.attribute.labels 已合併
IsDeleted_label principal.resource.attribute.labels 已合併
LogFileContentType_label principal.resource.attribute.labels 已合併
LogFileLength_label principal.resource.attribute.labels 已合併
LogFile_label principal.resource.attribute.labels 已合併
created_by_id_label principal.resource.attribute.labels 已合併
key principal.resource.attribute.labels 已對應：DisplayedFieldEntities → map_field
map_field principal.resource.attribute.labels 已合併
os_name_label principal.resource.attribute.labels 已合併
principal_ip_address principal.resource.attribute.labels 已合併
browser_name principal.resource.name 直接對應
data.properties.Browser.str principal.resource.name 直接對應
product_object_id principal.resource.product_object_id 直接對應
principal_resource_type principal.resource.type 直接對應
LoginUrl principal.url 直接對應
user_labels principal.user.attribute.labels 已合併
user_permission_label principal.user.attribute.labels 已合併
roles principal.user.attribute.roles 已合併
CreatedBy.Email principal.user.email_addresses 已合併
Email principal.user.email_addresses 已合併
User.Email principal.user.email_addresses 已合併
User.Username principal.user.email_addresses 直接對應
attrs.usrName principal.user.email_addresses 已合併
csv_format principal.user.email_addresses 已對應：false → attrs.usrName
email principal.user.email_addresses 已合併
properties.Username principal.user.email_addresses 已合併
src_email principal.user.email_addresses 已對應：^.+@.+$ → src_email
User.Id principal.user.product_object_id 直接對應
attrs.USER_ID_DERIVED principal.user.product_object_id 已重新命名/對應
data.properties.USER_ID_DERIVED.str principal.user.product_object_id 直接對應
principal_product_object_id principal.user.product_object_id 直接對應
payload.UserType principal.user.role_name 直接對應
properties.UserType principal.user.role_name 直接對應
CreatedBy.Name principal.user.user_display_name 直接對應
Name principal.user.user_display_name 直接對應
User.Name principal.user.user_display_name 直接對應
email principal.user.user_display_name 直接對應
profile_name principal.user.user_display_name 直接對應
user_display_name principal.user.user_display_name 直接對應
username principal.user.user_display_name 直接對應
Id principal.user.userid 直接對應
USER_ID principal.user.userid 直接對應
account principal.user.userid 直接對應
attrs.usrName principal.user.userid 直接對應
data.properties.LoginKey.str principal.user.userid 直接對應
data.properties.USER_ID.str principal.user.userid 直接對應
login_key principal.user.userid 直接對應
payload.UserId principal.user.userid 直接對應
principal_user principal.user.userid 直接對應
properties.UserId principal.user.userid 直接對應
user_id principal.user.userid 直接對應
username principal.user.userid 直接對應
action security_result.action 已對應："ALLOW", "BLOCK" → action
csv_format security_result.action 已對應：false → sec_action
event_id security_result.action 對應：` "Login", "LoginAsEvent", "IdentityVerificationEvent"...
sec_action security_result.action 已合併
status security_result.action 已對應：Success → sec_action
Status security_result.action_details 直接對應
action security_result.action_details 直接對應
data.properties.Status.str security_result.action_details 直接對應
properties.Status security_result.action_details 直接對應
detail.payload.Query security_result.category_details 已合併
LoginType security_result.description 直接對應
description security_result.description 直接對應
logintype security_result.description 直接對應
ActionMessage_label security_result.detection_fields 已合併
ElapsedTime_label security_result.detection_fields 已合併
EvaluationTime_label security_result.detection_fields 已合併
Id_label security_result.detection_fields 已合併
NumberOfFailedLogins_label security_result.detection_fields 已合併
PolicyOutcome_label security_result.detection_fields 已合併
User_url_label security_result.detection_fields 已合併
event_id security_result.detection_fields 已對應：AuraRequest → ActionMessage_label
type_label security_result.detection_fields 已合併
column5 security_result.rule_author 直接對應
column1 security_result.rule_id 直接對應
payload.PolicyId security_result.rule_id 直接對應
properties.PolicyId security_result.rule_id 直接對應
column4 security_result.rule_name 直接對應
rule_name security_result.rule_name 直接對應
REQUEST_STATUS security_result.summary 直接對應
column10 security_result.summary 直接對應
data.properties.LoginType.str security_result.summary 直接對應
forecastcategory security_result.summary 直接對應
newvalue security_result.summary 直接對應
oldvalue security_result.summary 直接對應
summary security_result.summary 直接對應
ORGANIZATION_ID target.administrative_domain 直接對應
domain target.administrative_domain 直接對應
organization_id target.administrative_domain 直接對應
properties.OrgName target.administrative_domain 直接對應
app_name target.application 直接對應
data.properties.Application.str target.application 直接對應
payload.AppName target.application 直接對應
properties.AppName target.application 直接對應
target_host target.asset.hostname 直接對應
target_hostname target.asset.hostname 直接對應
data.properties.CLIENT_IP.str target.asset.ip 已合併
device_id target.asset_id 直接對應
file_type target.file.mime_type 直接對應
size_bytes target.file.size 直接對應
target_host target.hostname 直接對應
target_hostname target.hostname 直接對應
data.properties.CLIENT_IP.str target.ip 已合併
QUERY_IDENTIFIER target.process.command_line 直接對應
cmd_line target.process.command_line 直接對應
data.properties.Query.str target.process.command_line 直接對應
query_exec target.process.command_line 直接對應
job_id target.process.pid 直接對應
PageStartTime_label target.resource.attribute.labels 已合併
call_time target.resource.attribute.labels 已合併
counts_against_api_limit_label target.resource.attribute.labels 已合併
cpu target.resource.attribute.labels 已合併
cpu_time_label target.resource.attribute.labels 已合併
db_blocks_label target.resource.attribute.labels 已合併
db_cpu target.resource.attribute.labels 已合併
db_cpu_time_label target.resource.attribute.labels 已合併
db_total_time_label target.resource.attribute.labels 已合併
db_type target.resource.attribute.labels 已合併
duration_time target.resource.attribute.labels 已合併
entity_name target.resource.attribute.labels 已合併
entity_name_label target.resource.attribute.labels 已合併
entry_p target.resource.attribute.labels 已合併
event_id target.resource.attribute.labels 對應值 (共 5 個，例如 ApiEventStream → ope、ApiEventStream → ses_level、`ApiT...
exception_label target.resource.attribute.labels 已合併
exe_time target.resource.attribute.labels 已合併
key target.resource.attribute.labels 已對應："PageStartTime", "PreviousPageUrl", "Description", "ReportId" → map_field
label target.resource.attribute.labels 已合併
map_field target.resource.attribute.labels 已合併
media_type_label target.resource.attribute.labels 已合併
no_sql_que target.resource.attribute.labels 已合併
number_fields_label target.resource.attribute.labels 已合併
ope target.resource.attribute.labels 已合併
query_type_label target.resource.attribute.labels 已合併
rows_proc target.resource.attribute.labels 已合併
rows_proc_label target.resource.attribute.labels 已合併
run target.resource.attribute.labels 已合併
run_time_label target.resource.attribute.labels 已合併
ses_level target.resource.attribute.labels 已合併
sql_id_label target.resource.attribute.labels 已合併
ss_type target.resource.attribute.labels 已合併
total_time target.resource.attribute.labels 已合併
uripath_label target.resource.attribute.labels 已合併
user_derieved_label target.resource.attribute.labels 已合併
user_ty target.resource.attribute.labels 已合併
user_type_label target.resource.attribute.labels 已合併
verify_method target.resource.attribute.labels 已合併
wave target.resource.attribute.labels 已合併
URI target.resource.id 直接對應
accountid target.resource.id 直接對應
attrs.AccountId target.resource.id 已重新命名/對應
attrs.CaseId target.resource.id 已重新命名/對應
attrs.ContactId target.resource.id 已重新命名/對應
caseid target.resource.id 直接對應
contactid target.resource.id 直接對應
detail.id target.resource.id 直接對應
leadid target.resource.id 直接對應
opportunityid target.resource.id 直接對應
payload.RecordId target.resource.id 直接對應
properties.RecordId target.resource.id 直接對應
request_id target.resource.id 直接對應
StageName target.resource.name 直接對應
data.properties.DATASET_IDS.str target.resource.name 直接對應
field target.resource.name 直接對應
properties.Name target.resource.name 直接對應
resource_name target.resource.name 直接對應
column13 target.resource.product_object_id 直接對應
data.properties.REQUEST_ID.str target.resource.product_object_id 直接對應
properties.OrgId target.resource.product_object_id 直接對應
target_product_object_id target.resource.product_object_id 直接對應
event_id target.resource.resource_type 已對應：PlatformEncryption → ACCESS_POLICY、ApexCallout → ACCESS_POLICY、`ApexTrigge...
target_resource_type target.resource.resource_type 直接對應
event_id target.resource.type 已對應：(QueuedExecution/ApexExecution) → BATCH、ApexTrigger → DATABASE_TRIGGER、`Co...
URI target.url 直接對應
attrs.LoginUrl target.url 已重新命名/對應
attrs.attributes.url target.url 已重新命名/對應
login_url target.url 直接對應
payload.LoginUrl target.url 直接對應
properties.LoginUrl target.url 直接對應
properties.PageUrl target.url 直接對應
uri target.url 直接對應
uripath target.url 直接對應
attrs.usrName target.user.email_addresses 已合併
csv_format target.user.email_addresses 已對應：false → attrs.usrName
email_address target.user.email_addresses 已合併
event_id target.user.email_addresses 已對應：Logout → attrs.usrName
target_user_display_name target.user.user_display_name 直接對應
column5 target.user.userid 直接對應
data.properties.CreatedById.str target.user.userid 直接對應
data.properties.UserId.str target.user.userid 直接對應
detail.payload.UserId target.user.userid 直接對應
target_login_key target.user.userid 直接對應
target_user_id target.user.userid 直接對應
target_user_name target.user.userid 直接對應
不適用 extensions.auth.auth_details 常數：ACTIVE
不適用 extensions.auth.type 常數：AUTHTYPE_UNSPECIFIED
不適用 metadata.event_type 常數：USER_UNCATEGORIZED
不適用 metadata.product_name 常數：SALESFORCE
不適用 metadata.vendor_name 常數：SALESFORCE
不適用 network.application_protocol 常數：HTTP
不適用 network.http.parsed_user_agent 常數：parseduseragent
不適用 principal.platform 常數：WINDOWS
不適用 principal.resource.type 常數：USER
不適用 target.resource.resource_type 常數：ACCESS_POLICY
不適用 target.resource.type 常數：BATCH
column17 event.idm.read_only_udm.principal.user.email_addresses 從變更記錄對應
column5 event.idm.read_only_udm.principal.user.userid 從變更記錄對應
user_type event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
USER_ID_DERIVED event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
ApiVersion event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
column9 event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
column9 event.idm.read_only_udm.network.http.user_agent 從變更記錄對應
column9 event.idm.read_only_udm.network.http.parsed_user_agent 從變更記錄對應
column4 event.idm.read_only_udm.target.administrative_domain 從變更記錄對應
column18 event.idm.read_only_udm.principal.user.email_addresses 從變更記錄對應
request_id event.idm.read_only_udm.target.resource.product_object_id 從變更記錄對應
column13 event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
column18 event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
column20 event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
column8 event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
column7 event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
column16 event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
login_subtype event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
column28 event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
column26 event.idm.read_only_udm.metadata.collected_timestamp 從變更記錄對應
source_ip event.idm.read_only_udm.principal.nat_ip 從變更記錄對應
x_forwarded_for_ip event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
column13 event.idm.read_only_udm.target.resource.name 從變更記錄對應
column14 event.idm.read_only_udm.security_result.description 從變更記錄對應
properties.Description event.idm.read_only_udm.metadata.description 從變更記錄對應
properties.City event.idm.read_only_udm.principal.location.city 從變更記錄對應
properties.AppName event.idm.read_only_udm.target.application 從變更記錄對應
properties.OrgId event.idm.read_only_udm.target.resource.product_object_id 從變更記錄對應
properties.OrgName event.idm.read_only_udm.target.administrative_domain 從變更記錄對應
namespace event.idm.read_only_udm.principal.namespace 從變更記錄對應
properties.LoginUrl, properties.PageUrl event.idm.read_only_udm.target.url 從變更記錄對應
properties.Application event.idm.read_only_udm.principal.application 從變更記錄對應
recordDate event.idm.read_only_udm.metadata.collected_timestamp 從變更記錄對應
name event.idm.read_only_udm.metadata.product_event_type 從變更記錄對應
properties.Username event.idm.read_only_udm.principal.user.email_addresses 從變更記錄對應
properties.UserId event.idm.read_only_udm.principal.user.userid 從變更記錄對應
properties.UserType event.idm.read_only_udm.principal.user.role_name 從變更記錄對應
properties.Country event.idm.read_only_udm.principal.location.country_or_region 從變更記錄對應
properties.SourceIp event.idm.read_only_udm.principal.ip 從變更記錄對應
properties.SourceIp event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
properties.SourceIp (if not a valid IP), properties.OsName (if not Windows, Linux, or Mac), properties.DisplayedFieldEntities event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
properties.TlsProtocol event.idm.read_only_udm.network.tls.version 從變更記錄對應
properties.CipherSuite event.idm.read_only_udm.network.tls.cipher 從變更記錄對應
properties.EventDate, startTime event.idm.read_only_udm.metadata.event_timestamp 從變更記錄對應
properties.EventIdentifier event.idm.read_only_udm.metadata.product_log_id 從變更記錄對應
properties.HttpMethod event.idm.read_only_udm.network.http.method 從變更記錄對應
properties.HttpMethod event.idm.read_only_udm.network.application_protocol 從變更記錄對應
properties.LoginLatitude event.idm.read_only_udm.principal.location.region_latitude 從變更記錄對應
properties.LoginLongitude event.idm.read_only_udm.principal.location.region_longitude 從變更記錄對應
properties.OsName, properties.Platform event.idm.read_only_udm.principal.platform 從變更記錄對應
properties.OsVersion event.idm.read_only_udm.principal.platform_version 從變更記錄對應
properties.RecordId event.idm.read_only_udm.target.resource.id 從變更記錄對應
properties.SessionKey event.idm.read_only_udm.network.session_id 從變更記錄對應
properties.UserAgent event.idm.read_only_udm.network.http.user_agent 從變更記錄對應
properties.UserAgent event.idm.read_only_udm.network.http.parsed_user_agent 從變更記錄對應
properties.PageStartTime, properties.PreviousPageUrl, properties.Description, properties.ReportId event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
properties.Name event.idm.read_only_udm.target.resource.name 從變更記錄對應
and event.idm.read_only_udm.additional.fields 從變更記錄對應
detail.payload.ConnectedAppId additional.fields 從變更記錄對應
detail.payload.Platform additional.fields 從變更記錄對應
detail.payload.EvaluationTime additional.fields 從變更記錄對應
detail.payload.Operation additional.fields 從變更記錄對應
detail.payload.LoginHistoryId additional.fields 從變更記錄對應
detail.payload.CreatedById additional.fields 從變更記錄對應
detail.payload.SessionKey additional.fields 從變更記錄對應
detail.payload.ApiType additional.fields 從變更記錄對應
detail.payload.PolicyOutcome security_result.detection_fields 從變更記錄對應
detail.payload.EventIdentifier additional.fields 從變更記錄對應
detail.payload.RequestIdentifier additional.fields 從變更記錄對應
detail.payload.ApiVersion additional.fields 從變更記錄對應
detail.payload.RelatedEventIdentifier additional.fields 從變更記錄對應
detail.payload.Username target.user.email_addresses 從變更記錄對應
detail.payload.RowsProcessed additional.fields 從變更記錄對應
detail.payload.RowsReturned additional.fields 從變更記錄對應
detail.payload.SourceIp principal.ip 從變更記錄對應
detail.payload.CreatedDate additional.fields 從變更記錄對應
detail.payload.LoginKey additional.fields 從變更記錄對應
detail.payload.Application additional.fields 從變更記錄對應
detail.payload.PolicyId additional.fields 從變更記錄對應
detail.payload.QueriedEntities additional.fields 從變更記錄對應
detail.payload.SessionLevel additional.fields 從變更記錄對應
detail.schemaId additional.fields 從變更記錄對應
records_index.attributes.type security_result.detection_fields 從變更記錄對應
column25 network.http.user_agent 從變更記錄對應
column24 network.http.user_agent 從變更記錄對應
column24 network.http.method 從變更記錄對應
CreatedBy.FederationIdentifier additional.fields 從變更記錄對應
Section additional.fields 從變更記錄對應
DelegateUser additional.fields 從變更記錄對應
ResponsibleNamespacePrefix additional.fields 從變更記錄對應
payload.PreviousPageEntityId", "payload.SdkVersion", "payload.Operation", "payload.PageUrl", "HasEffectivePageTimeDeviation_label", "payload.EffectivePageTime", "payload.EffectivePageTimeDeviationReason", "payload.DeviceSessionId", "payload.PreviousPageAppName", and "payload.PreviousPageEntityType additional.fields 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。