收集 SAP Cloud Identity Services 記錄
支援的國家/地區：
Google SecOps
SIEM
本文說明如何使用 Google Cloud Storage V2，將 SAP Cloud Identity Services 記錄檔擷取至 Google Security Operations。
SAP Cloud Identity Services 是一項雲端式身分與存取權管理 (IAM) 解決方案，可為 SAP 和第三方應用程式提供驗證、單一登入 (SSO) 和使用者佈建功能。SAP BTP 中的稽核記錄服務會記錄身分驗證租戶的驗證事件、資料變更和設定變更。您可以透過 SAP BTP 稽核記錄擷取 API 擷取這些稽核記錄，並寫入 GCS bucket，供 Google SecOps 擷取。
事前準備
請確認您已完成下列事前準備事項：
- Google SecOps 執行個體
- 已啟用 Cloud Storage API 的 GCP 專案
- 建立及管理 GCS bucket 的權限
- 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
- 具有 Cloud Foundry 子帳戶的 SAP BTP 全球帳戶
- SAP Cloud Identity Services 租戶 (身分驗證)
- 在 SAP BTP Cloud Foundry 子帳戶中具有 Space Developer 角色的使用者
- 已新增至子帳戶的稽核記錄管理服務授權
建立 auditlog-management 服務執行個體
在 SAP BTP Cloud Foundry 子帳戶中建立 auditlog-management 服務的服務執行個體，取得存取 Audit Log Retrieval API 時所需的憑證。
設定服務授權
- 登入 SAP BTP 主控台。
- 前往子帳戶。
- 前往「權利」。
- 依序點選「編輯」> 新增服務方案。
- 搜尋「稽核記錄管理」，然後選取「預設」核取方塊。
- 按一下「新增 1 個服務方案」。
- 按一下 [儲存]。
建立服務執行個體和金鑰
- 如果尚未安裝 Cloud Foundry CLI，請先安裝。
登入 Cloud Foundry 環境：
cf login -a <CF_API_ENDPOINT> -o <ORG> -s <SPACE> -u <USER>建立具有 mTLS 驗證的
auditlog-management服務執行個體 (建議)：cf create-service auditlog-management default sap-ias-auditlog \ -c '{"xs-security": {"xsappname": "sap-ias-auditlog", "oauth2-configuration": {"credential-types": ["x509"], "grant-types": ["client_credentials"]}}}'使用 X.509 憑證建立服務車鑰：
cf create-service-key sap-ias-auditlog sap-ias-auditlog-key \ -c '{"xsuaa": {"credential-type": "x509", "x509": {"key-length": 2048, "validity": 365, "validity-type": "DAYS"}}}'擷取服務金鑰：
cf service-key sap-ias-auditlog sap-ias-auditlog-key從服務金鑰輸出內容中，記下下列值：
- uaa.certurl：OAuth2 權杖端點網址 (例如
https://yoursubaccount.authentication.eu10.hana.ondemand.com) - uaa.clientid：OAuth2 用戶端 ID
- uaa.certificate：X.509 憑證 (PEM 格式)
- uaa.key：RSA 私密金鑰 (PEM 格式)
- url：稽核記錄擷取 API 基準網址 (例如
https://auditlog-management.cfapps.eu10.hana.ondemand.com)
- uaa.certurl：OAuth2 權杖端點網址 (例如
將憑證和私密金鑰擷取並儲存至 PEM 檔案：
cf service-key sap-ias-auditlog sap-ias-auditlog-key | sed '/Getting key/d' | jq --raw-output .credentials.uaa.certificate > certificate.pem cf service-key sap-ias-auditlog sap-ias-auditlog-key | sed '/Getting key/d' | jq --raw-output .credentials.uaa.key > private-key.pem
設定 Identity Authentication 稽核記錄傳送
- 前往
https://<tenant-id>.accounts.ondemand.com/admin，登入 SAP Cloud Identity Services 的管理控制台。 - 前往「稽核和變更記錄」動態磚。
- 選擇「稽核記錄」分頁 (如果您的租戶位於 SAP 基礎架構上，則為「Cloud Foundry」分頁)。
- 按一下 +Add。
請提供下列設定詳細資料：
- 租戶 ID：輸入 Cloud Foundry 子帳戶的租戶 ID
- 區域：選取對應身分驗證區域的 SAP BTP Cloud Foundry 區域
- 子網域 (選用)：輸入子帳戶子網域，啟用稽核記錄檢視器的直接連結
按一下 [儲存]。
測試 API 存取權
請先測試憑證，再繼續進行整合：
# Extract values from the service key CERT_URL="<uaa.certurl value>" CLIENT_ID="<uaa.clientid value>" API_URL="<url value>" # Get OAuth access token using mTLS TOKEN=$(curl -s --cert certificate.pem --key private-key.pem \ -X POST "${CERT_URL}/oauth/token?grant_type=client_credentials&client_id=${CLIENT_ID}" \ | python3 -c "import sys,json; print(json.load(sys.stdin).get('access_token',''))") echo "Token: ${TOKEN:0:50}..." # Test audit log retrieval curl -v -H "Authorization: Bearer ${TOKEN}" \ "${API_URL}/auditlog/v2/auditlogrecords?time_from=$(date -u -v-1d '+%Y-%m-%dT%H:%M:%S')&time_to=$(date -u '+%Y-%m-%dT%H:%M:%S')"
建立 Google Cloud Storage bucket
- 前往 Google Cloud 控制台。
- 選取專案或建立新專案。
- 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
- 按一下「建立值區」。
請提供下列設定詳細資料：
設定 值 為 bucket 命名 輸入全域不重複的名稱 (例如 sap-ias-audit-logs)位置類型 根據需求選擇 (區域、雙區域、多區域) 位置 選取位置 (例如 us-central1)儲存空間級別 標準 (建議用於經常存取的記錄) 存取控管 統一 (建議) 保護工具 選用：啟用物件版本管理或資料保留政策 點選「建立」。
為 Cloud Run 函式建立服務帳戶
Cloud Run 函式需要具備 GCS bucket 寫入權限，且可由 Pub/Sub 叫用的服務帳戶。
建立服務帳戶
- 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
- 按一下「Create Service Account」(建立服務帳戶)。
- 請提供下列設定詳細資料：
- 服務帳戶名稱：輸入
sap-ias-logs-collector-sa - 服務帳戶說明：輸入
Service account for Cloud Run function to collect SAP Cloud Identity Services audit logs
- 服務帳戶名稱：輸入
- 按一下「建立並繼續」。
- 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
- 按一下「選擇角色」。
- 搜尋並選取「Storage 物件管理員」。
- 點選「+ 新增其他角色」。
- 搜尋並選取「Cloud Run Invoker」。
- 點選「+ 新增其他角色」。
- 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
- 按一下「繼續」。
- 按一下 [完成]。
這些角色適用於：
- Storage 物件管理員：將記錄檔寫入 GCS bucket，並管理狀態檔案
- Cloud Run 叫用者：允許 Pub/Sub 叫用函式
- Cloud Functions 叫用者：允許函式叫用
授予 GCS 值區的 IAM 權限
將 GCS bucket 的寫入權限授予服務帳戶：
- 依序前往「Cloud Storage」>「Buckets」。
- 按一下 bucket 名稱。
- 前往「權限」分頁標籤。
- 按一下「授予存取權」。
- 請提供下列設定詳細資料：
- 新增主體：輸入服務帳戶電子郵件地址 (例如
sap-ias-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com) - 指派角色：選取「Storage 物件管理員」
- 新增主體：輸入服務帳戶電子郵件地址 (例如
- 按一下 [儲存]。
建立 Pub/Sub 主題
建立 Pub/Sub 主題，Cloud Scheduler 會將訊息發布至該主題，而 Cloud Run 函式會訂閱該主題。
- 在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
- 按一下「建立主題」。
- 請提供下列設定詳細資料：
- 主題 ID：輸入
sap-ias-logs-trigger - 其他設定保留預設值
- 主題 ID：輸入
- 點選「建立」。
建立 Cloud Run 函式來收集記錄
Cloud Run 函式會由 Cloud Scheduler 的 Pub/Sub 訊息觸發，從 SAP BTP 稽核記錄擷取 API 擷取稽核記錄，並將記錄寫入 GCS。
- 前往 GCP Console 的「Cloud Run」。
- 按一下「Create service」(建立服務)。
- 選取「函式」 (使用內嵌編輯器建立函式)。
在「設定」部分，提供下列設定詳細資料：
設定 值 服務名稱 sap-ias-logs-collector區域 選取與 GCS bucket 相符的區域 (例如 us-central1)執行階段 選取 Python 3.12 以上版本 在「Trigger (optional)」(觸發條件 (選用)) 專區：
- 按一下「+ 新增觸發條件」。
- 選取「Cloud Pub/Sub」。
- 在「選取 Cloud Pub/Sub 主題」中，選擇主題
sap-ias-logs-trigger。 - 按一下 [儲存]。
在「Authentication」(驗證) 部分：
- 選取「需要驗證」。
- 檢查 Identity and Access Management (IAM)。
向下捲動並展開「容器」、「網路」和「安全性」。
前往「安全性」分頁：
- 服務帳戶：選取服務帳戶
sap-ias-logs-collector-sa
- 服務帳戶：選取服務帳戶
前往「容器」分頁：
- 按一下「變數與密鑰」。
- 針對每個環境變數，按一下「+ 新增變數」：
變數名稱 範例值 說明 GCS_BUCKETsap-ias-audit-logsGCS bucket 名稱 GCS_PREFIXsap-ias記錄檔的前置字串 STATE_KEYsap-ias/state.json狀態檔案路徑 SAP_CERT_URLhttps://sub.authentication.eu10.hana.ondemand.comOAuth2 權杖端點 (uaa.certurl) SAP_CLIENT_IDsb-sap-ias-auditlog!t12345OAuth2 用戶端 ID (uaa.clientid) SAP_CERTIFICATEPEM 憑證內容 X.509 憑證 (uaa.certificate) SAP_PRIVATE_KEYPEM 私密金鑰內容 RSA 私密金鑰 (uaa.key) SAP_API_URLhttps://auditlog-management.cfapps.eu10.hana.ondemand.com稽核記錄擷取 API 基礎網址 MAX_RECORDS10000每次執行的記錄數上限 LOOKBACK_HOURS2初始回溯期 在「變數與密鑰」部分中，向下捲動至「要求」：
- 要求逾時：輸入
600秒 (10 分鐘)
- 要求逾時：輸入
前往「設定」分頁：
- 在「資源」部分：
- 記憶體：選取 512 MiB 以上
- CPU：選取 1
- 在「資源」部分：
在「修訂版本資源調度」部分：
- 執行個體數量下限：輸入
0 - 執行個體數量上限：輸入
100(或根據預期負載調整)
- 執行個體數量下限：輸入
點選「建立」。
等待服務建立完成 (1 到 2 分鐘)。
服務建立完成後，系統會自動開啟內嵌程式碼編輯器。
新增函式程式碼
- 在「進入點」欄位中輸入「main」。
在內嵌程式碼編輯器中，建立兩個檔案：
第一個檔案 - main.py:
import functions_framework from google.cloud import storage import json import os import urllib3 import tempfile from datetime import datetime, timezone, timedelta import time # Initialize Storage client storage_client = storage.Client() # Environment variables GCS_BUCKET = os.environ.get('GCS_BUCKET') GCS_PREFIX = os.environ.get('GCS_PREFIX', 'sap-ias').strip('/') STATE_KEY = os.environ.get('STATE_KEY') or f"{GCS_PREFIX}/state.json" SAP_CERT_URL = os.environ.get('SAP_CERT_URL', '').rstrip('/') SAP_CLIENT_ID = os.environ.get('SAP_CLIENT_ID') SAP_CERTIFICATE = os.environ.get('SAP_CERTIFICATE', '') SAP_PRIVATE_KEY = os.environ.get('SAP_PRIVATE_KEY', '') SAP_API_URL = os.environ.get('SAP_API_URL', '').rstrip('/') MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '10000')) LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '2')) def parse_datetime(value): """Parse ISO datetime string to datetime object.""" if not value: return None if value.endswith("Z"): value = value[:-1] + "+00:00" try: return datetime.fromisoformat(value) except Exception: return None def write_pem_to_tempfile(pem_content, suffix='.pem'): """Write PEM content to a temporary file and return the path.""" tmp = tempfile.NamedTemporaryFile( mode='w', suffix=suffix, delete=False ) tmp.write(pem_content) tmp.flush() tmp.close() return tmp.name def get_oauth_token(cert_file, key_file): """Get OAuth2 access token using mTLS client credentials.""" http = urllib3.PoolManager( cert_file=cert_file, key_file=key_file, timeout=urllib3.Timeout(connect=10.0, read=30.0), retries=False, ) token_url = ( f"{SAP_CERT_URL}/oauth/token" f"?grant_type=client_credentials" f"&client_id={SAP_CLIENT_ID}" ) response = http.request('POST', token_url) if response.status != 200: raise Exception( f"Failed to get OAuth token: HTTP {response.status} - " f"{response.data.decode('utf-8')}" ) token_data = json.loads(response.data.decode('utf-8')) return token_data['access_token'] @functions_framework.cloud_event def main(cloud_event): """ Cloud Run function triggered by Pub/Sub to fetch SAP Cloud Identity Services audit logs and write to GCS. Args: cloud_event: CloudEvent object containing Pub/Sub message """ if not all([ GCS_BUCKET, SAP_CERT_URL, SAP_CLIENT_ID, SAP_CERTIFICATE, SAP_PRIVATE_KEY, SAP_API_URL ]): print('Error: Missing required environment variables') return cert_file = None key_file = None try: bucket = storage_client.bucket(GCS_BUCKET) # Write certificate and key to temp files for mTLS cert_file = write_pem_to_tempfile(SAP_CERTIFICATE) key_file = write_pem_to_tempfile(SAP_PRIVATE_KEY) # Get OAuth2 access token access_token = get_oauth_token(cert_file, key_file) print("Successfully obtained OAuth2 access token") # Load state state = load_state(bucket, STATE_KEY) # Determine time window now = datetime.now(timezone.utc) last_time = None if isinstance(state, dict) and state.get("last_event_time"): try: last_time = parse_datetime(state["last_event_time"]) # Overlap by 2 minutes to catch delayed events if last_time: last_time = last_time - timedelta(minutes=2) except Exception as e: print(f"Warning: Could not parse last_event_time: {e}") if last_time is None: last_time = now - timedelta(hours=LOOKBACK_HOURS) time_from = last_time.strftime('%Y-%m-%dT%H:%M:%S') time_to = now.strftime('%Y-%m-%dT%H:%M:%S') print(f"Fetching audit logs from {time_from} to {time_to}") # Fetch audit logs records, newest_event_time = fetch_audit_logs( access_token=access_token, time_from=time_from, time_to=time_to, ) if not records: print("No new audit log records found.") save_state(bucket, STATE_KEY, now.isoformat()) return # Write to GCS as NDJSON timestamp = now.strftime('%Y%m%d_%H%M%S') object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson" blob = bucket.blob(object_key) ndjson = '\n'.join( [json.dumps(record, ensure_ascii=False) for record in records] ) + '\n' blob.upload_from_string( ndjson, content_type='application/x-ndjson' ) print( f"Wrote {len(records)} records to " f"gs://{GCS_BUCKET}/{object_key}" ) # Update state if newest_event_time: save_state(bucket, STATE_KEY, newest_event_time) else: save_state(bucket, STATE_KEY, now.isoformat()) print(f"Successfully processed {len(records)} records") except Exception as e: print(f'Error processing audit logs: {str(e)}') raise finally: # Clean up temp files for f in [cert_file, key_file]: if f: try: os.unlink(f) except OSError: pass def load_state(bucket, key): """Load state from GCS.""" try: blob = bucket.blob(key) if blob.exists(): state_data = blob.download_as_text() return json.loads(state_data) except Exception as e: print(f"Warning: Could not load state: {e}") return {} def save_state(bucket, key, last_event_time_iso): """Save the last event timestamp to GCS state file.""" try: state = {'last_event_time': last_event_time_iso} blob = bucket.blob(key) blob.upload_from_string( json.dumps(state, indent=2), content_type='application/json' ) print(f"Saved state: last_event_time={last_event_time_iso}") except Exception as e: print(f"Warning: Could not save state: {e}") def fetch_audit_logs(access_token, time_from, time_to): """ Fetch audit logs from SAP BTP Audit Log Retrieval API with handle-based pagination. Args: access_token: OAuth2 bearer token time_from: Start time in YYYY-MM-DDTHH:MM:SS format (UTC) time_to: End time in YYYY-MM-DDTHH:MM:SS format (UTC) Returns: Tuple of (records list, newest_event_time ISO string) """ http = urllib3.PoolManager( timeout=urllib3.Timeout(connect=5.0, read=30.0), retries=False, ) headers = { 'Authorization': f'Bearer {access_token}', 'Accept': 'application/json', } endpoint = f"{SAP_API_URL}/auditlog/v2/auditlogrecords" records = [] newest_time = None page_num = 0 handle = None backoff = 1.0 while True: if len(records) >= MAX_RECORDS: print(f"Reached max_records limit ({MAX_RECORDS})") break # Build URL with parameters if handle: url = f"{endpoint}?handle={handle}" else: url = ( f"{endpoint}" f"?time_from={time_from}" f"&time_to={time_to}" ) try: response = http.request('GET', url, headers=headers) # Handle rate limiting with exponential backoff if response.status == 429: retry_after = int( response.headers.get( 'Retry-After', str(int(backoff)) ) ) print( f"Rate limited (429). " f"Retrying after {retry_after}s..." ) time.sleep(retry_after) backoff = min(backoff * 2, 30.0) continue backoff = 1.0 if response.status == 204: print("No more audit log records (HTTP 204)") break if response.status != 200: print(f"HTTP Error: {response.status}") response_text = response.data.decode('utf-8') print(f"Response body: {response_text}") return [], None page_results = json.loads( response.data.decode('utf-8') ) if not page_results: print("No more results (empty response)") break # Handle single record vs list if isinstance(page_results, dict): page_results = [page_results] page_num += 1 print( f"Page {page_num}: " f"Retrieved {len(page_results)} events" ) records.extend(page_results) # Track newest event time for event in page_results: try: event_time = event.get('time') if event_time: if newest_time is None: newest_time = event_time else: current_dt = parse_datetime(event_time) newest_dt = parse_datetime(newest_time) if (current_dt and newest_dt and current_dt > newest_dt): newest_time = event_time except Exception as e: print( f"Warning: Could not parse event time: {e}" ) # Check for pagination handle in response header paging_header = response.headers.get('Paging', '') if paging_header and 'handle=' in paging_header: handle = paging_header.split('handle=')[1].strip() print(f"Next page handle: {handle[:50]}...") else: print("No more pages (no paging handle)") break except Exception as e: print(f"Error fetching audit logs: {e}") return [], None print( f"Retrieved {len(records)} total records " f"from {page_num} pages" ) return records, newest_time第二個檔案 - requirements.txt:
functions-framework==3.* google-cloud-storage==2.* urllib3>=2.0.0
點選「部署」即可儲存並部署函式。
等待部署作業完成 (2 到 3 分鐘)。
建立 Cloud Scheduler 工作
Cloud Scheduler 會定期將訊息發布至 Pub/Sub 主題，觸發 Cloud Run 函式。
- 前往 GCP 主控台的「Cloud Scheduler」。
- 點選「建立工作」。
請提供下列設定詳細資料：
設定 值 名稱 sap-ias-logs-collector-hourly區域 選取與 Cloud Run 函式相同的區域 頻率 0 * * * *(每小時整點)時區 選取時區 (建議使用世界標準時間) 目標類型 Pub/Sub 主題 選取主題 sap-ias-logs-trigger郵件內文 {}(空白 JSON 物件)點選「建立」。
排程頻率選項
根據記錄檔量和延遲時間要求選擇頻率：
| 頻率 | Cron 運算式 | 用途 |
|---|---|---|
| 每小時 | 0 * * * * |
標準 (建議) |
| 每 2 小時 | 0 */2 * * * |
調低音量 |
| 每 6 小時 | 0 */6 * * * |
少量、批次處理 |
測試整合項目
- 在 Cloud Scheduler 控制台中找出您的工作。
- 按一下「強制執行」即可手動觸發工作。
- 稍等幾秒鐘。
- 前往「Cloud Run」>「Services」。
- 按一下函式名稱
sap-ias-logs-collector。 - 按一下 [Logs] (記錄) 分頁標籤。
確認函式是否已順利執行。尋找：
Successfully obtained OAuth2 access token Fetching audit logs from YYYY-MM-DDTHH:MM:SS to YYYY-MM-DDTHH:MM:SS Page 1: Retrieved X events Wrote X records to gs://sap-ias-audit-logs/sap-ias/logs_YYYYMMDD_HHMMSS.ndjson Successfully processed X records依序前往「Cloud Storage」>「Buckets」。
按一下 bucket 名稱。
前往前置字元資料夾
sap-ias/。確認是否已建立新的
.ndjson檔案，且檔案名稱包含目前的時間戳記。
如果記錄中顯示錯誤：
- 無法取得 OAuth 權杖：HTTP 401：檢查環境變數中的憑證和私密金鑰。確認與服務車鑰相符。確認服務金鑰未過期。
- 擷取稽核記錄時發生 HTTP 401 錯誤：OAuth 存取權杖可能已過期。每次呼叫函式時，函式都會取得新的權杖。
- HTTP 403：確認稽核記錄管理服務執行個體已正確建立，且服務金鑰有效。
- HTTP 429：頻率限制 - 函式會自動重試，並採用指數輪詢間隔。如果這種情況經常發生，請考慮增加排程間隔。
- HTTP 204：在指定時間範圍內找不到任何稽核記錄。如果房客活動量偏低，這是正常現象。
- 缺少環境變數：檢查 Cloud Run 函式設定中是否已設定所有必要變數。
在 Google SecOps 中設定資訊提供，以便擷取 SAP Cloud Identity Services 記錄
- 依序前往「SIEM 設定」>「動態饋給」。
- 按一下「新增動態消息」。
- 按一下「設定單一動態饋給」。
- 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如
SAP Cloud Identity Services Audit Logs)。 - 選取「Google Cloud Storage V2」做為「來源類型」。
- 選取「SAP Identity and Authentication Data」(SAP 身分識別和驗證資料) 做為「記錄類型」。
按一下「取得服務帳戶」。系統會顯示專屬服務帳戶電子郵件地址，例如：
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com複製這個電子郵件地址，以便在下一步中使用。
點選「下一步」。
指定下列輸入參數的值：
儲存空間 bucket URL：輸入 GCS bucket URI，並加上前置路徑：
gs://sap-ias-audit-logs/sap-ias/- 取代：
sap-ias-audit-logs：您的 GCS bucket 名稱。sap-ias：儲存記錄的選用前置字元/資料夾路徑 (如為根目錄，請留空)。
- 取代：
來源刪除選項：根據偏好設定選取刪除選項：
- 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
- 刪除已轉移的檔案：成功轉移檔案後刪除檔案。
- 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。
檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)
資產命名空間：資產命名空間
擷取標籤：要套用至這個動態饋給事件的標籤
點選「下一步」。
在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。
將 IAM 權限授予 Google SecOps 服務帳戶
Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。
- 依序前往「Cloud Storage」>「Buckets」。
- 按一下 bucket 名稱。
- 前往「權限」分頁標籤。
- 按一下「授予存取權」。
- 請提供下列設定詳細資料：
- 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址
- 指派角色：選取「Storage 物件檢視者」
按一下 [儲存]。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
childAgr |
about.group.group_display_name |
直接對應 |
field1 |
additional.fields |
已合併 |
has_principal_hostname |
metadata.event_type |
已對應：true → STATUS_UPDATE |
has_principal_user |
metadata.event_type |
已對應：true → USER_CHANGE_PASSWORD、true → GROUP_MODIFICATION |
has_target_user |
metadata.event_type |
已對應：true → USER_UNCATEGORIZED |
field1 |
principal.asset.attribute.labels |
已合併 |
key |
principal.asset.attribute.labels |
已對應："systemid", "partype" → field1 |
hostname |
principal.hostname |
直接對應 |
repid |
principal.process.file.full_path |
直接對應 |
aname |
principal.user.userid |
直接對應 |
changeUsr |
principal.user.userid |
直接對應 |
modbe |
principal.user.userid |
直接對應 |
modifier |
principal.user.userid |
直接對應 |
uname |
principal.user.userid |
直接對應 |
field1 |
security_result.detection_fields |
已合併 |
key |
security_result.detection_fields |
已對應："direct", "uflag","securityPolicy" → field1 |
agrName |
target.group.group_display_name |
直接對應 |
field1 |
target.resource.attribute.labels |
已合併 |
key |
target.resource.attribute.labels |
對應：`"field","struct","mandt","parentAgr","type","fromDat","toDat","ustyp","langu","iana... |
tcode |
target.resource.name |
直接對應 |
class |
target.user.group_identifiers |
已合併 |
profile |
target.user.group_identifiers |
已合併 |
bname |
target.user.userid |
直接對應 |
username |
target.user.userid |
直接對應 |
| 不適用 | metadata.event_type |
常數：USER_UNCATEGORIZED |
| 不適用 | metadata.product_name |
常數：SAP_IDENTITY_AND_AUTH_DATA |
| 不適用 | metadata.vendor_name |
常數：SAP |
changeUsr |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
uname |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
aname |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
modifier |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
modbe |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
hostname |
event.idm.read_only_udm.principal.hostname |
從變更記錄對應 |
bname |
event.idm.read_only_udm.target.user.userid |
從變更記錄對應 |
username |
event.idm.read_only_udm.target.user.userid |
從變更記錄對應 |
agrName |
event.idm.read_only_udm.target.group.group_display_name |
從變更記錄對應 |
childAgr |
event.idm.read_only_udm.about.group.group_display_name |
從變更記錄對應 |
tcode |
event.idm.read_only_udm.target.resource.name |
從變更記錄對應 |
class |
event.idm.read_only_udm.target.user.group_identifiers |
從變更記錄對應 |
profile |
event.idm.read_only_udm.target.user.group_identifiers |
從變更記錄對應 |
repid |
event.idm.read_only_udm.principal.process.file.full_path |
從變更記錄對應 |
field |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
struct |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
mandt |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
parentAgr |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
type |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
fromDat |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
toDat |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
ustyp |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
langu |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
ianatzonecode |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
trdat |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
ltime |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
pwdchgdate |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
pwdlgndate |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
pwdlockdate |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
pwdsaltedhash |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
systemid |
event.idm.read_only_udm.principal.asset.attribute.labels |
從變更記錄對應 |
partype |
event.idm.read_only_udm.principal.asset.attribute.labels |
從變更記錄對應 |
direct |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
uflag |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
securityPolicy |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。