收集 Workday 使用者活動記錄
支援的國家/地區：
Google SecOps
SIEM
本文說明如何使用 Cloud Storage V2，將 Workday 使用者活動記錄匯入 Google Security Operations。
Workday 是雲端式人力資本管理 (HCM) 和財務平台，可產生使用者活動、驗證和安全稽核記錄。使用者活動記錄 REST API 可讓您以程式輔助方式存取這些記錄。
事前準備
請確認您已完成下列事前準備事項：
- Google SecOps 執行個體
- 已啟用 {storage_api} 的 Google Cloud 專案
- 建立及管理 Cloud Storage bucket 的權限
- 管理 Cloud Storage 值區身分與存取權管理 (IAM) 政策的權限
- 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作所需的權限
- 具備安全管理員或同等權限的 Workday 特殊存取權
- 在 Workday 租戶中啟用使用者活動記錄功能
建立 Cloud Storage bucket
- 前往 Google Cloud 控制台。
- 選取專案或建立新專案。
- 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
- 按一下「建立值區」。
提供下列設定詳細資料：
設定 值 為 bucket 命名 輸入全域不重複的名稱 (例如 workday-activity-logs)位置類型 請根據需求選擇 (區域、雙區域、多區域) 位置 選取位置 (例如 us-central1)儲存空間級別 標準 (建議用於經常存取的記錄) 存取控管 統一 (建議) 保護工具 選用：啟用物件版本管理或保留政策 點選「建立」。
收集 Workday API 憑證
啟用使用者活動記錄功能
- 以安全管理員身分登入 Workday 租戶。
- 在 Workday 搜尋列中，搜尋並開啟「Edit Tenant Setup - System」工作。
- 在「安全性」部分，勾選「啟用使用者活動記錄」核取方塊。
- 按一下 [確定] 儲存變更。
建立整合系統使用者 (ISU)
- 在 Workday 搜尋列中，搜尋「Create Integration System User」。
- 輸入使用者名稱 (例如
ISU_SIEM_Export) 和高強度密碼。 - 取消勾選「要求在下次登入時變更密碼」核取方塊。
- 按一下 [確定]。
- 搜尋「Create Security Group」，然後建立「Integration System Security Group (Unconstrained)」。
- 將 ISU (
ISU_SIEM_Export) 新增至這個安全群組。 - 搜尋「查看網域」，然後找出「使用者活動記錄」網域。授予這個網域的 ISU 安全性群組「取得」存取權。
- 搜尋「Activate Pending Security Policy Changes」(啟用待處理的安全政策變更)，然後啟用變更。
註冊 OAuth 的 API 用戶端
- 在 Workday 搜尋列中，搜尋「Register API Client for Integrations」。
- 輸入「用戶端名稱」，例如
SIEM_OAuth_Client。 - 選取「Non-Expiring Refresh Tokens」(不會過期的重新整理權杖) 選項。
- 新增範圍：System (或 User Activity Logging API 要求的範圍)。
- 按一下 [確定]。
- 複製並將下列詳細資料儲存在安全位置：
- 用戶端 ID：API 用戶端 ID。
- 用戶端密鑰：API 用戶端密鑰。
- 搜尋「Manage Refresh Tokens for Integrations」。
- 選取 ISU 帳戶 (
ISU_SIEM_Export)。 - 為 API 用戶端產生新的更新權杖。
- 複製並儲存重新整理權杖。
判斷租戶網址
API 端點取決於您的 Workday 租戶。格式為：
| 元件 | 值 |
|---|---|
| 權杖端點 | https://HOST/ccx/oauth2/TENANT/token |
| Logging API | https://HOST/ccx/api/privacy/v1/TENANT/activityLogging |
驗證權限
如要確認 ISU 具備必要權限，請按照下列步驟操作：
- 以安全管理員身分登入 Workday。
- 搜尋「View Integration System User」，然後選取 ISU (
ISU_SIEM_Export)。 - 確認使用者是安全群組的成員，且具備「使用者活動記錄」網域的「取得」存取權。
- 如果缺少存取權，請更新安全性群組，並啟用待處理的安全性政策變更。
測試 API 存取權
請先測試憑證，再繼續進行整合：
```bash # Replace with your actual credentials CLIENT_ID="your-client-id" CLIENT_SECRET="your-client-secret" REFRESH_TOKEN="your-refresh-token" HOST="your-workday-host" TENANT="your-tenant" # Get OAuth access token TOKEN=$(curl -s -X POST "https://${HOST}/ccx/oauth2/${TENANT}/token" \ -H "Content-Type: application/x-www-form-urlencoded" \ -d "grant_type=refresh_token&client_id=${CLIENT_ID}&client_secret=${CLIENT_SECRET}&refresh_token=${REFRESH_TOKEN}" \ | jq -r '.access_token') # Test API access curl -v -H "Authorization: Bearer ${TOKEN}" \ "https://${HOST}/ccx/api/privacy/v1/${TENANT}/activityLogging?from=2024-01-01T00:00:00Z&to=2024-01-01T01:00:00Z" ```
為 Cloud Run 函式建立服務帳戶
Cloud Run 函式需要具備寫入 Cloud Storage bucket 權限，且可由 Pub/Sub 叫用的服務帳戶。
建立服務帳戶
- 在 GCP 控制台中，依序前往「IAM 與管理」>「服務帳戶」。
- 按一下「Create Service Account」(建立服務帳戶)。
- 請提供下列設定詳細資料：
- 服務帳戶名稱：輸入
workday-activity-collector-sa。 - 服務帳戶說明：輸入
Service account for Cloud Run function to collect Workday User Activity logs。
- 服務帳戶名稱：輸入
- 按一下「建立並繼續」。
- 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
- 按一下「請選擇角色」。
- 搜尋並選取「Storage 物件管理員」。
- 點選「+ 新增其他角色」。
- 搜尋並選取「Cloud Run Invoker」。
- 點選「+ 新增其他角色」。
- 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
- 按一下「繼續」。
- 按一下「完成」。
這些角色適用於：
- Storage 物件管理員：將記錄檔寫入 Cloud Storage bucket，並管理狀態檔案
- Cloud Run 叫用者：允許 Pub/Sub 叫用函式
- Cloud Functions 叫用者：允許叫用函式
授予 Cloud Storage bucket 的 IAM 權限
授予服務帳戶 Cloud Storage bucket 的寫入權限，步驟如下：
- 依序前往「Cloud Storage」>「Buckets」。
- 按一下 bucket 名稱 (例如
workday-activity-logs)。 - 前往「權限」分頁標籤。
- 按一下「授予存取權」。
- 請提供下列設定詳細資料：
- 新增主體：輸入服務帳戶電子郵件地址 (例如
workday-activity-collector-sa@your-project.iam.gserviceaccount.com)。 - 指派角色：選取「Storage 物件管理員」。
- 新增主體：輸入服務帳戶電子郵件地址 (例如
- 按一下 [儲存]。
建立 Pub/Sub 主題
建立 Pub/Sub 主題，供 Cloud Scheduler 發布訊息，以及 Cloud Run 函式訂閱。
- 在 GCP 控制台中，前往「Pub/Sub」>「主題」。
- 按一下「建立主題」。
- 請提供下列設定詳細資料：
- 主題 ID：輸入
workday-activity-trigger。 - 其他設定保留預設值。
- 主題 ID：輸入
- 點選「建立」。
建立 Cloud Run 函式來收集記錄
Cloud Run 函式會由 Cloud Scheduler 傳送的 Pub/Sub 訊息觸發，從 Workday User Activity Logging API 擷取記錄，並寫入 Cloud Storage。
- 前往 GCP 控制台的「Cloud Run」。
- 按一下「編寫函式」。
在「設定」部分，提供下列設定詳細資料：
設定 值 服務名稱 workday-activity-collector區域 選取與 Cloud Storage bucket 相符的區域 (例如 us-central1)執行階段 選取 Python 3.12 以上版本 在「觸發條件」部分中，按一下「新增觸發條件」，然後選取「Pub/Sub 觸發條件」。
在「Eventarc trigger」(Eventarc 觸發條件) 窗格中，提供下列設定詳細資料：
- 觸發條件名稱：保留系統產生的名稱，或輸入觸發條件的名稱。
- 觸發條件類型：選取「Google 來源」。
- 事件供應商：選取「Pub/Sub」。
- 事件類型：選取「google.cloud.pubsub.topic.v1.messagePublished」。
- 「選取 Cloud Pub/Sub 主題」：選擇主題
workday-activity-trigger。 - 區域：選取與函式相同的區域。
- 服務帳戶：選取服務帳戶
workday-activity-collector-sa。
按一下「儲存觸發條件」。
在「Authentication」(驗證) 部分：
- 選取「需要驗證」。
- 選取「Identity and Access Management (IAM)」。
前往並展開「容器、網路、安全性」。
前往「安全性」分頁標籤：
- 服務帳戶：選取服務帳戶
workday-activity-collector-sa。
- 服務帳戶：選取服務帳戶
前往「容器」分頁：
- 按一下「變數與密鑰」。
- 針對每個環境變數，按一下「+ 新增變數」：
變數名稱 範例值 說明 GCS_BUCKETworkday-activity-logsCloud Storage Bucket 名稱 GCS_PREFIXworkday記錄檔的前置字串 STATE_KEYworkday-state.json狀態路徑 (記錄前置字元以外) WORKDAY_HOSTyour-workday-hostWorkday 主機名稱 WORKDAY_TENANTyour-tenantWorkday 租戶名稱 CLIENT_IDyour-client-idOAuth 用戶端 ID CLIENT_SECRETyour-client-secretOAuth 用戶端密鑰 REFRESH_TOKENyour-refresh-tokenOAuth 更新權杖 MAX_RECORDS10000每次執行的記錄數上限 PAGE_SIZE100每頁記錄數 LOOKBACK_HOURS24初始回溯期 在「變數與密鑰」分頁中，前往「要求」：
- 要求逾時：輸入
600秒 (10 分鐘)。
- 要求逾時：輸入
前往「容器」的「設定」分頁：
- 在「資源」部分：
- 記憶體：選取 512 MiB 以上。
- CPU：選取 1。
- 在「資源」部分：
在「修訂版本資源調度」部分：
- 執行個體數量下限：輸入
0。 - 執行個體數量上限：輸入
100(或根據預期負載調整)。
- 執行個體數量下限：輸入
點選「建立」。
等待服務建立完成 (1 到 2 分鐘)。
服務建立完成後，系統會自動開啟內嵌程式碼編輯器。
新增函式程式碼
- 在「函式進入點」中輸入「main」。
在內嵌程式碼編輯器中，建立兩個檔案：
第一個檔案 - main.py:
import functions_framework from google.cloud import storage import json import os import urllib3 from datetime import datetime, timezone, timedelta import time import hashlib # Initialize HTTP client with timeouts http = urllib3.PoolManager( timeout=urllib3.Timeout(connect=5.0, read=30.0), retries=False, ) # Initialize Storage client storage_client = storage.Client() # Environment variables GCS_BUCKET = os.environ.get('GCS_BUCKET') GCS_PREFIX = os.environ.get('GCS_PREFIX', 'workday') STATE_KEY = os.environ.get('STATE_KEY', 'workday-state.json') WORKDAY_HOST = os.environ.get('WORKDAY_HOST', '') WORKDAY_TENANT = os.environ.get('WORKDAY_TENANT', '') CLIENT_ID = os.environ.get('CLIENT_ID', '') CLIENT_SECRET = os.environ.get('CLIENT_SECRET', '') REFRESH_TOKEN = os.environ.get('REFRESH_TOKEN', '') MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '10000')) PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '100')) LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24')) def parse_datetime(value: str) -> datetime: """Parse ISO datetime string to datetime object.""" if value.endswith("Z"): value = value[:-1] + "+00:00" return datetime.fromisoformat(value) # Activity Logging entries carry no per-event identifier (taskId and # sessionId are reused), so the content hash is the identity. ID_FIELDS = () def event_keys(event): """Return every identity this event can be recognised by.""" keys = {'sha256:' + hashlib.sha256( json.dumps(event, sort_keys=True, ensure_ascii=False).encode('utf-8') ).hexdigest()} for field in ID_FIELDS: value = event.get(field) if value: keys.add(f'{field}:{value}') return keys def get_token(): """Get OAuth 2.0 access token using refresh token flow.""" token_url = f"https://{WORKDAY_HOST}/ccx/oauth2/{WORKDAY_TENANT}/token" body = f"grant_type=refresh_token&client_id={CLIENT_ID}&client_secret={CLIENT_SECRET}&refresh_token={REFRESH_TOKEN}" headers = { 'Content-Type': 'application/x-www-form-urlencoded', 'Accept': 'application/json' } backoff = 1.0 max_retries = 3 for attempt in range(max_retries): response = http.request('POST', token_url, body=body.encode('utf-8'), headers=headers) if response.status == 429: retry_after = int(response.headers.get('Retry-After', str(int(backoff)))) print(f"Rate limited (429) on token request. Retrying after {retry_after}s...") time.sleep(retry_after) backoff = min(backoff * 2, 30.0) continue if response.status != 200: raise RuntimeError(f"Failed to get access token: {response.status} - {response.data.decode('utf-8')}") data = json.loads(response.data.decode('utf-8')) return data['access_token'] raise RuntimeError(f"Failed to get token after {max_retries} retries due to rate limiting") @functions_framework.cloud_event def main(cloud_event): """ Cloud Run function triggered by Pub/Sub to fetch Workday User Activity logs and write to GCS. Args: cloud_event: CloudEvent object containing Pub/Sub message """ if not all([GCS_BUCKET, WORKDAY_HOST, WORKDAY_TENANT, CLIENT_ID, CLIENT_SECRET, REFRESH_TOKEN]): print('Error: Missing required environment variables') return try: bucket = storage_client.bucket(GCS_BUCKET) # Load state state = load_state(bucket, STATE_KEY) seen_keys = load_seen(bucket, STATE_KEY) # Determine time window now = datetime.now(timezone.utc) last_time = None if isinstance(state, dict) and state.get("last_event_time"): try: last_time = parse_datetime(state["last_event_time"]) last_time = last_time - timedelta(minutes=2) except Exception as e: print(f"Warning: Could not parse last_event_time: {e}") if last_time is None: last_time = now - timedelta(hours=LOOKBACK_HOURS) print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}") # Get access token token = get_token() # Fetch logs records, newest_event_time = fetch_logs( token=token, start_time=last_time, end_time=now, page_size=PAGE_SIZE, max_records=MAX_RECORDS, ) # Drop the events the overlap window re-read from the previous run fresh = [r for r in records if not (event_keys(r) & seen_keys)] all_keys = set() for record in records: all_keys |= event_keys(record) if not fresh: print("No new log records found.") return # Write to GCS as NDJSON timestamp = now.strftime('%Y%m%d_%H%M%S') object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson" blob = bucket.blob(object_key) ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in fresh]) + '\n' blob.upload_from_string(ndjson, content_type='application/x-ndjson') print(f"Wrote {len(fresh)} records to gs://{GCS_BUCKET}/{object_key}") # Remember every fetched record so the next overlap window skips it save_seen(bucket, STATE_KEY, all_keys) if newest_event_time: save_state(bucket, STATE_KEY, newest_event_time) else: save_state(bucket, STATE_KEY, now.isoformat()) print(f"Successfully processed {len(fresh)} records") except Exception as e: print(f'Error processing logs: {str(e)}') raise def load_state(bucket, key): """Load state from GCS.""" try: blob = bucket.blob(key) if blob.exists(): state_data = blob.download_as_text() return json.loads(state_data) except Exception as e: print(f"Warning: Could not load state: {e}") raise return {} def save_state(bucket, key, last_event_time_iso: str): """Save the last event timestamp to GCS state file.""" try: state = {'last_event_time': last_event_time_iso} blob = bucket.blob(key) blob.upload_from_string( json.dumps(state, indent=2), content_type='application/json' ) print(f"Saved state: last_event_time={last_event_time_iso}") except Exception as e: print(f"Warning: Could not save state: {e}") raise def load_seen(bucket, key): """Load the event keys written by the previous run (sidecar object).""" try: blob = bucket.blob(key + '.seen') if blob.exists(): return set(json.loads(blob.download_as_text())) except Exception as e: print(f"Warning: Could not load seen keys: {e}") raise return set() def save_seen(bucket, key, keys): """Save the event keys of this run to the sidecar object.""" try: blob = bucket.blob(key + '.seen') blob.upload_from_string( json.dumps(sorted(keys)), content_type='application/json' ) print(f"Saved {len(keys)} event keys for deduplication") except Exception as e: print(f"Warning: Could not save seen keys: {e}") raise def fetch_logs(token: str, start_time: datetime, end_time: datetime, page_size: int, max_records: int): """ Fetch user activity logs from Workday Activity Logging API with pagination and rate limiting. Args: token: OAuth 2.0 access token start_time: Start time for log query end_time: End time for log query page_size: Number of records per page max_records: Maximum total records to fetch Returns: Tuple of (records list, newest_event_time ISO string) """ base_url = f"https://{WORKDAY_HOST}/ccx/api/privacy/v1/{WORKDAY_TENANT}/activityLogging" headers = { 'Authorization': f'Bearer {token}', 'Accept': 'application/json', 'User-Agent': 'GoogleSecOps-WorkdayCollector/1.0' } records = [] newest_time = None page_num = 0 backoff = 1.0 offset = 0 from_iso = start_time.strftime('%Y-%m-%dT%H:%M:%SZ') to_iso = end_time.strftime('%Y-%m-%dT%H:%M:%SZ') while True: page_num += 1 if len(records) >= max_records: print(f"Reached max_records limit ({max_records})") break current_limit = min(page_size, max_records - len(records)) url = f"{base_url}?from={from_iso}&to={to_iso}&limit={current_limit}&offset={offset}" try: response = http.request('GET', url, headers=headers) if response.status == 429: retry_after = int(response.headers.get('Retry-After', str(int(backoff)))) print(f"Rate limited (429). Retrying after {retry_after}s...") time.sleep(retry_after) backoff = min(backoff * 2, 30.0) continue backoff = 1.0 if response.status != 200: print(f"HTTP Error: {response.status}") response_text = response.data.decode('utf-8') print(f"Response body: {response_text}") return [], None data = json.loads(response.data.decode('utf-8')) page_results = data.get('data', []) if not page_results: print(f"No more results (empty page)") break print(f"Page {page_num}: Retrieved {len(page_results)} events") records.extend(page_results) # Track newest event time for event in page_results: try: event_time = event.get('requestTime') or event.get('systemAccount', {}).get('signOnDateTime') if event_time: if newest_time is None or parse_datetime(event_time) > parse_datetime(newest_time): newest_time = event_time except Exception as e: print(f"Warning: Could not parse event time: {e}") # Check pagination total = data.get('total', 0) if offset + len(page_results) >= total: print(f"Reached end of results (offset={offset + len(page_results)}, total={total})") break offset += len(page_results) except Exception as e: print(f"Error fetching logs: {e}") return [], None print(f"Retrieved {len(records)} total records from {page_num} pages") return records, newest_time第二個檔案：requirements.txt:
functions-framework==3.* google-cloud-storage==2.* urllib3>=2.0.0
點選「部署」即可儲存並部署函式。
等待部署作業完成 (2 到 3 分鐘)。
建立 Cloud Scheduler 工作
Cloud Scheduler 會定期將訊息發布至 Pub/Sub 主題，觸發 Cloud Run 函式。
- 前往 GCP 控制台中的「Cloud Scheduler」。
- 點選「建立工作」。
提供下列設定詳細資料：
設定 值 名稱 workday-activity-collector-hourly區域 選取與 Cloud Run 函式相同的區域 頻率 0 * * * *(每小時整點)時區 選取時區 (建議使用世界標準時間) 目標類型 Pub/Sub 主題 選取主題 workday-activity-trigger郵件內文 {}(空白 JSON 物件)點選「建立」。
排程頻率選項
根據記錄檔量和延遲時間需求選擇頻率：
| 頻率 | Cron 運算式 | 用途 |
|---|---|---|
| 每 5 分鐘 | */5 * * * * |
高容量、低延遲 |
| 每 15 分鐘 | */15 * * * * |
中等音量 |
| 每小時 | 0 * * * * |
標準 (建議) |
| 每 6 小時 | 0 */6 * * * |
低量、批次處理 |
| 每天 | 0 0 * * * |
歷來資料集合 |
測試整合項目
- 在 Cloud Scheduler 控制台中，找出您的作業 (
workday-activity-collector-hourly)。 - 按一下「強制執行」即可手動觸發。
- 等待幾秒鐘，然後依序前往「Cloud Run」>「服務」>「workday-activity-collector」>「記錄」。
確認函式是否執行成功。尋找：
Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00 Page 1: Retrieved X events Wrote X records to gs://workday-activity-logs/workday/logs_YYYYMMDD_HHMMSS.ndjson Successfully processed X records檢查 Cloud Storage bucket (
workday-activity-logs)，確認記錄已寫入。
如果記錄中顯示錯誤：
- HTTP 401：檢查環境變數中的 OAuth 憑證
- HTTP 403：確認 ISU 是否具備 User Activity Logging 網域的必要權限
- HTTP 429：頻率限制 - 函式會自動重試並延遲
- 無法取得存取權杖：確認
WORKDAY_HOST、WORKDAY_TENANT、CLIENT_ID、CLIENT_SECRET和REFRESH_TOKEN正確無誤
在 Google SecOps 中設定資訊提供，擷取 Workday 使用者活動記錄
- 依序前往「SIEM 設定」>「動態饋給」。
- 按一下「新增動態饋給」。
- 按一下「設定單一動態饋給」。
- 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如
Workday User Activity Logs)。 - 選取「Google Cloud Storage V2」做為「來源類型」。
- 選取「Workday 使用者活動」做為「記錄類型」。
按一下「取得服務帳戶」。系統會顯示專屬服務帳戶電子郵件地址，例如：
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com複製這個電子郵件地址。後續步驟會用到。
點選「下一步」。
指定下列輸入參數的值：
儲存空間 bucket URL：輸入 Cloud Storage bucket URI，並加上前置路徑：
gs://workday-activity-logs/workday/- 取代：
workday-activity-logs：Cloud Storage bucket 名稱。workday：選用前置字元或路徑，用於儲存記錄 (如為根目錄，請留空)。
- 取代：
來源刪除選項：根據偏好設定選取刪除選項：
- 一律不刪除檔案：一律不刪除來源中的檔案 (建議用於測試)。
- 刪除已轉移的檔案和空白目錄：成功擷取檔案後，從來源刪除檔案和空白目錄。
檔案存在時間上限：納入在過去天數內修改過的檔案 (預設為 180 天)。
資產命名空間：資產命名空間。
擷取標籤：要套用至這個動態饋給事件的標籤。
點選「下一步」。
在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。
將 IAM 權限授予 Google SecOps 服務帳戶
Google SecOps 服務帳戶需要 Cloud Storage bucket 的兩個角色：用於讀取記錄物件的「Storage 物件檢視者」，以及用於讀取 bucket 中繼資料的 bucket 層級角色。
- 依序前往「Cloud Storage」>「Buckets」。
- 按一下 bucket 名稱 (
workday-activity-logs)。 - 前往「權限」分頁標籤。
- 按一下「授予存取權」。
- 請提供下列設定詳細資料：
- 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址。
- 指派角色：選取下列兩個角色：
- Storage 物件檢視者：讀取記錄物件。
- Storage 舊版 bucket 讀取者：讀取 bucket 中繼資料。如果您選取「刪除已轉移的檔案和空白目錄」刪除選項，請改為選取「Storage Legacy Bucket Writer」，這也會授予刪除權限。
按一下 [儲存]。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
Account_Locked__Disabled_or_Expired_label |
additional.fields |
已合併 |
Authentication_Type_label |
additional.fields |
已合併 |
Created_Moment_label |
additional.fields |
已合併 |
Current_OMS_Version_label |
additional.fields |
已合併 |
Device_is_Trusted_label |
additional.fields |
已合併 |
Elapsed_Time__Minutes_label |
additional.fields |
已合併 |
Failed_Sign_On_label |
additional.fields |
已合併 |
Hire_Date_for_Signon_Worker_label |
additional.fields |
已合併 |
Job_Family_for_Signon_Worker_label |
additional.fields |
已合併 |
Operating_System_label |
additional.fields |
已合併 |
Pay_Rate_type_label |
additional.fields |
已合併 |
Request_Originator_label |
additional.fields |
已合併 |
SAML_Identity_Provider_label |
additional.fields |
已合併 |
Sign-on_Time_label |
additional.fields |
已合併 |
Signoff_Time_label |
additional.fields |
已合併 |
Signon_Day_of_the_Week_label |
additional.fields |
已合併 |
Signon_Hour_of_Day_label |
additional.fields |
已合併 |
Tenant_Access_Read_Only_label |
additional.fields |
已合併 |
UI_Client_Type_label |
additional.fields |
已合併 |
Worker_Active_for_Signon_Worker_label |
additional.fields |
已合併 |
Worker_Type_for_Signon_Worker_label |
additional.fields |
已合併 |
awaiting_details_label |
additional.fields |
已合併 |
data_label |
additional.fields |
已合併 |
evp_nme_label |
additional.fields |
已合併 |
evpminus_label |
additional.fields |
已合併 |
signon_ip_address_label |
additional.fields |
已合併 |
@requestTime |
metadata.event_timestamp |
已剖析為 ISO8601 |
Sign-on_Time |
metadata.event_timestamp |
已剖析為 yyyy-MM-ddTHH:mm:ssZZ |
event_type |
metadata.event_type |
直接對應 |
status_code |
metadata.product_event_type |
直接對應 |
tenant |
metadata.product_event_type |
直接對應 |
taskId |
metadata.product_log_id |
直接對應 |
User_Agent |
network.http.parsed_user_agent |
已重新命名/對應 |
Browser_Type |
network.http.user_agent |
直接對應 |
User_Agent |
network.http.user_agent |
直接對應 |
userAgent |
network.http.user_agent |
直接對應 |
Session_ID |
network.session_id |
直接對應 |
sessionId |
network.session_id |
直接對應 |
Client_TLS_Version |
network.tls.version |
已重新命名/對應 |
Worker |
principal.asset.hostname |
直接對應 |
ip |
principal.asset.ip |
已合併 |
ipaddress |
principal.asset.ip |
已合併 |
Worker |
principal.hostname |
直接對應 |
manager_name |
principal.hostname |
直接對應 |
ip |
principal.ip |
已合併 |
ipaddress |
principal.ip |
已合併 |
Signon_Worker_label |
principal.user.attribute.labels |
已合併 |
Supervisory_Organization_of_Signon_Worker_label |
principal.user.attribute.labels |
已合併 |
System_Account_label |
principal.user.attribute.labels |
已合併 |
Workday_Account_Sign_On_label |
principal.user.attribute.labels |
已合併 |
user_credentials_label |
principal.user.attribute.labels |
已合併 |
User_Name |
principal.user.email_addresses |
已合併 |
Role |
principal.user.user_display_name |
直接對應 |
manager_id |
principal.user.userid |
直接對應 |
Active_Session_label |
security_result.detection_fields |
已合併 |
Authentication_Failure_Message_label |
security_result.detection_fields |
已合併 |
Forgotten_Password_Reset_Request_label |
security_result.detection_fields |
已合併 |
Invalid_Credentials_label |
security_result.detection_fields |
已合併 |
Is_Device_Managed_label |
security_result.detection_fields |
已合併 |
MFA_Exempt_label |
security_result.detection_fields |
已合併 |
Password_Changed_label |
security_result.detection_fields |
已合併 |
Position_label |
security_result.detection_fields |
已合併 |
taskDisplayName |
security_result.summary |
直接對應 |
hostname |
target.hostname |
直接對應 |
CITY_NME |
target.location.city |
直接對應 |
Location |
target.location.city |
直接對應 |
COUNTRY_NME |
target.location.country_or_region |
直接對應 |
Location_Country_for_Signon_Worker |
target.location.country_or_region |
直接對應 |
Location_State |
target.location.state |
直接對應 |
STATE_NME |
target.location.state |
直接對應 |
Exempt_labels |
target.resource.attribute.labels |
已合併 |
browser_type_label |
target.resource.attribute.labels |
已合併 |
class_of_instance_label |
target.resource.attribute.labels |
已合併 |
device |
target.resource.resource_subtype |
直接對應 |
device1 |
target.resource.resource_subtype |
直接對應 |
device |
target.resource.type |
已對應：(?i)(Desktop/Laptop/Mobile/Phone) → DEVICE |
device1 |
target.resource.type |
已對應：(?i)(Desktop/Laptop/Mobile/Phone) → DEVICE |
BUSINESSGROUP_NME |
target.user.department |
已合併 |
email_name |
target.user.email_addresses |
已合併 |
EMPLOYEE_ID |
target.user.employee_id |
直接對應 |
Employee_ID |
target.user.employee_id |
直接對應 |
FIRST_NME |
target.user.first_name |
直接對應 |
EMPLOYEE_TYPE |
target.user.group_identifiers |
已合併 |
LAST_NME |
target.user.last_name |
直接對應 |
JOBTITLE_NME |
target.user.title |
直接對應 |
title |
target.user.title |
直接對應 |
target.id |
target.user.userid |
直接對應 |
| 不適用 | metadata.product_name |
常數：WORKDAY_USER_ACTIVITY |
| 不適用 | metadata.vendor_name |
常數：WORKDAY_USER_ACTIVITY |
| 不適用 | target.resource.type |
常數：DEVICE |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。