Microsoft Sentinel 用のコードレスコネクタを作成する

[アーティクル]
10/04/2024

Codeless Connector Platform (CCP) では、パートナー、上級ユーザー、開発者に、Microsoft Sentinel にデータを取り込むためのカスタムコネクタを作成する機能が提供されます。

CCP を使用して作成されたコネクタは完全な SaaS であり、サービスインストールの要件はありません。また、稼働状況の監視と、Microsoft Sentinel からの完全なサポートも含まれます。

次の手順を使用して CCP コネクタを作成し、Microsoft Sentinel にデータソースを接続する

データコネクタを構築する
ARM テンプレートを作成する
コネクタをデプロイする
Microsoft Sentinel をデータソースに接続し、データの取り込みを開始する

この記事では、各手順を完了し、途中で構築するコードレスコネクタの例を示します。

この CCP は以前のバージョンとどのように異なるか

CCP の初期バージョンは、2022 年 1 月に発表されました。それ以来、プラットフォームが改善され、レガシリリースは推奨されなくなりました。この新しいバージョンの CCP は主に次のように改善されています。

さまざまな認証と改ページ位置の自動修正の種類のサポートが向上しました。
標準のデータ収集ルール (DCR) をサポートします。
コードレスコネクタのユーザーインターフェイスと接続構成の部分が分離されました。これにより、以前は不可能だった複数の接続でのコネクタの作成が可能になります。

前提条件

コネクタを構築する前に、データソースと Microsoft Sentinel の接続方法を理解してください。

データ収集エンドポイント (DCE)

DCE は DCR の要件です。ログ分析ワークスペース DCR デプロイごとに作成される DCE は 1 つだけです。 Microsoft Sentinel ワークスペースにデプロイされたすべての DCR で、同じ DCE が使用されます。作成方法または新しいものが必要かどうかについて詳しくは、「Azure Monitor のデータ収集エンドポイント」を参照してください。
出力テーブルのスキーマ。

データストリームの形状と、出力テーブルに含めるフィールドを理解することが重要です。データソースのドキュメントを参照するか、十分な出力例を分析します。

次のコンポーネントを調査し、「データコネクタ API リファレンス」でそれらのサポートを確認します。

データソースへの HTTP 要求と応答の構造
データソースに必要な認証。
たとえば、データソースで証明書で署名されたトークンが必要な場合、データコネクタ API リファレンスでは証明書認証がサポートされないことが示されています。
データソースへの改ページ位置の自動修正オプション

API のテスト

次のような API テストツールのいずれかを使用してコンポーネントをテストすることをお勧めします。

注意事項

資格情報、シークレット、アクセストークン、API キーなどの機密データがあるシナリオでは、必要なセキュリティ機能でデータを保護したうえで、ツールは必ずオフラインまたはローカルで動作し、データをクラウドに同期せず、オンラインアカウントにサインインする必要がないものを使用してください。このようにすることで、機密データを一般に公開するリスクを軽減できます。

データコネクタを構築する

CCP データコネクタを構築するには、4 つのコンポーネントが必要です。

出力テーブルの定義
データ収集ルール (DCR)
データコネクタのユーザーインターフェイス
データコネクタの接続ルール

各コンポーネントには、作成および検証するプロセスの詳細を示すセクションがあります。 ARM テンプレートの最終的なパッケージ化のために、各コンポーネントから JSON を取得します。

出力テーブルの定義

ヒント

データが標準の Log Analytics テーブルにのみ取り込まれる場合は、この手順をスキップします。標準テーブルの例としては、CommonSecurityLog や ASimDnsActivityLogs などがあります。サポートされている標準データ型の完全な一覧の詳細については、「カスタムデータコネクタのデータ変換サポート」を参照してください。

データソースが標準テーブルのスキーマに準拠していない場合は、次の 2 つのオプションがあります。

すべてのデータのカスタムテーブルを作成する
一部のデータのカスタムテーブルを作成し、準拠データを標準テーブルに分割する

DCR と共にカスタムテーブルを作成する簡単な方法では、Log Analytics UI を使用します。 Tables API または別のプログラムによる方法を使用してカスタムテーブルを作成する場合は、テーブル名に _CL サフィックスを手動で追加します。詳しくは、「カスタムテーブルを作成する」をご覧ください。

データを複数のテーブルに分割する方法の詳細については、サンプルデータと、そのデータ用に作成されたカスタムテーブルの例を参照してください。

データ収集ルール

データ収集ルール (DCR) では、Azure Monitor でのデータ収集プロセスを定義します。 DCR では、収集する必要があるデータ、そのデータを変換する方法、およびそのデータを送信する場所を指定します。

データコネクタごとにデプロイされる DCR は 1 つだけです。
DCR では、同じリージョンに対応する DCE が必要です。
CCP データコネクタがデプロイされると、DCR がまだ存在しない場合は作成されます。

これらの記事の DCR に関する最新情報を参照してください。

サンプルデータを使用してカスタムテーブルと DCR を作成するなど、DCE の作成を示すチュートリアルについては、「チュートリアル: ログインジェスト API を使用して Azure Monitor ログにデータを送信する (Azure portal)」を参照してください。このチュートリアルのプロセスを使用して、DCR でデータがテーブルに正しく取り込まれていることを確認します。

複数のデータフローを含む複雑な DCR を作成する方法については、DCR の例のセクションを参照してください。

データコネクタのユーザーインターフェイス

このコンポーネントでは、Microsoft Sentinel データコネクタギャラリー内のデータコネクタの UI をレンダリングします。各データコネクタには、UI 定義を 1 つだけ指定できます。

Data Connector Definition API を使用して、データコネクタのユーザーインターフェイスを構築します。データコネクタ定義のリファレンスを補足として使用して、API 要素について詳しく説明します。

注:

API ポーリングコネクタの kind プロパティは常に Customizable である必要があります。
これは API ポーリングコネクタの一種であるため、connectivityCriteria の種類を hasDataConnectors に設定します
instructionSteps の例には、ConnectionToggleButton という種類のボタンが含まれています。このボタンは、指定された接続パラメーターに基づいてデータコネクタルールのデプロイをトリガーするのに役立ちます。

API テストツールを使用して、データコネクタ定義 API を呼び出してデータコネクタ UI を作成し、データコネクタギャラリーで検証します。

例から学習するには、データコネクタ定義のリファレンスの例のセクションを参照してください。

データ接続ルール

現在、CCP データコネクタを定義するには、2 種類のデータ接続規則が可能です。

RestApiPoller 種類を使用すると、データソースのページング、承認、予想される要求/応答ペイロードをカスタマイズできます。詳細については、「RestApiPoller データコネクタの接続規則リファレンス」を参照してください。
GCP 種類を使用すると、Google Cloud Platform (GCP) データソースのページングと予想される応答ペイロードを自動的に構成することで、開発時間を短縮できます。詳細については、「GCP データコネクタの接続規則リファレンス」を参照してください

API テストツールを使用してデータコネクタ API を呼び出し、接続ルールと前述のコンポーネントを組み合わせたデータコネクタを作成します。コネクタが現在 UI に接続されていることを確認します。

機密入力をセキュリティで保護する

CCP データコネクタで使用されている認証にかかわらず、機密情報のセキュリティが確保されるように次の手順を実行してください。ここでの目標は、デプロイ履歴に読み取り可能な機密オブジェクトを残さずに、ARM テンプレートから CCP に資格情報を渡すことです。

ラベルの作成

データコネクタ定義により、セキュリティ資格情報の入力を求める UI 要素が作成されます。たとえば、データコネクタが OAuth を使用してログソースに対して認証を行う場合、データコネクタ定義セクションの指示に OAuthForm の種類が含められます。これにより、ARM テンプレートが資格情報の入力を求めるように設定されます。

"instructions": [
    {
        "type": "OAuthForm",
        "parameters": {
        "UsernameLabel": "Username",
        "PasswordLabel": "Password",
        "connectButtonLabel": "Connect",
        "disconnectButtonLabel": "Disconnect"
        }
    }
],

機密入力を保存する

ARM デプロイテンプレートのセクションには、データコネクタをデプロイする管理者がパスワードを入力する場所が用意されています。 securestring を使用して、デプロイ後に読み取ることができないオブジェクトで機密情報をセキュリティ保護します。詳細については、「パラメーターに関するセキュリティの推奨事項」を参照してください。

"mainTemplate": {
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "[variables('dataConnectorCCPVersion')]",
    "parameters": {
        "Username": {
            "type": "securestring",
            "minLength": 1,
            "metadata": {
                "description": "Enter the username to connect to your data source."
        },
        "Password": {
            "type": "securestring",
            "minLength": 1,
            "metadata": {
                "description": "Enter the API key, client secret or password required to connect."
            }
        },
    // more deployment template information
    }
}

securestring オブジェクトを使用する

最後に、CCP はデータコネクタセクションの資格情報オブジェクトを使用します。

"auth": {
    "type": "OAuth2",
    "ClientSecret": "[[parameters('Password')]",
    "ClientId": "[[parameters('Username')]",
    "GrantType": "client_credentials",
    "TokenEndpoint": "https://api.contoso.com/oauth/token",
    "TokenEndpointHeaders": {
        "Content-Type": "application/x-www-form-urlencoded"
    },
    "TokenEndpointQueryParameters": {
        "grant_type": "client_credentials"
    }
},

Note

資格情報オブジェクトの構文 "ClientSecret": "[[parameters('Password')]", は奇妙に見えますが、入力ミスではありません。パラメータも使用するデプロイテンプレートを作成するには、先頭に余分な [ を追加して、そのセクションのパラメータをエスケープする必要があります。これによりパラメータは、コネクタとのユーザー操作に基づいて値を割り当てることができます。

詳細については、テンプレート式のエスケープ文字に関するページを参照してください。

デプロイテンプレートを作成する

ガイドとしてテンプレートコードサンプルの例を使用して、Azure Resource Management (ARM) テンプレートを手動でパッケージ化します。これらのコードサンプルは、一緒にスプライスする必要がある ARM テンプレートセクションで分かれています。

Google Cloud Platform (GCP) CCP データコネクタを作成する場合は、例の GCP CCP テンプレートを使用してデプロイテンプレートをパッケージ化します。 GCP CCP テンプレートを入力する方法については、「GCP データコネクタ接続規則リファレンス」を参照してください。

テンプレートの例に加えて、Microsoft Sentinel コンテンツハブで使用可能な公開済みソリューションでも、データコネクタに CCP が使用されています。各コンポーネントを ARM テンプレートにまとめる方法のその他の例として、次のソリューションを確認してください。

RestApiPoller CCP データコネクタの例

GCP CCP データコネクタの例

コネクタをデプロイする

コードレスコネクタをカスタムテンプレートとしてデプロイします。

ヒント

前の手順で作成したリソースを削除します。 DCR とカスタムテーブルは、デプロイで作成されます。デプロイする前にこれらのリソースを削除しないと、テンプレートの確認がより難しくなります。

ARM デプロイテンプレートの内容をコピーします。
記事「クイックスタート: Azure portal を使用 ARM テンプレートを作成してデプロイする」の「テンプレートの編集とデプロイ」の手順に従います。

ログ記録のソースについてネットワークの分離を維持する

ログ記録のソースでネットワークの分離が必要な場合は、CCP によって使用されるパブリック IP アドレスの許可リストを構成します。

Azure 仮想ネットワークでは、サービスタグを使用して、ネットワークアクセスの制御を定義します。 CCP の場合、そのサービスタグは Scuba です。

Scuba サービスタグに関連付けられている現在の IP 範囲を見つけるには、「Service Tag Discovery API を使用する」を参照してください。

コードレスコネクタを確認する

データコネクタギャラリーでコードレスコネクタを表示します。データコネクタを開き、接続に必要なすべての認証パラメーターを完了します。正常に接続されると、DCR およびカスタムテーブルが作成されます。リソースグループ内の DCR リソースと、ログ分析ワークスペースのカスタムテーブルを表示します。

Note

データの取り込みが開始されたことを確認できるまで最大 30 分かかる場合があります。

例

コードレスコネクタを構築する各手順は、次の例のセクションに示されています。

サンプルデータ
カスタムテーブルの例
データ収集ルールの例
データコネクタ UI 定義の例
データ接続ルールの例
サンプルテンプレートでサンプルデータを使用する

複数のテーブルへのインジェストを含む複雑なデータソースを示すために、この例では、出力テーブルスキーマと、複数の出力ストリームを含む DCR を取り上げます。 DCR の例では、これらを KQL 変換と共に配置します。データコネクタ UI 定義と接続ルールの例は、この同じサンプルデータソースからの続きです。最後に、ソリューションテンプレートでは、これらすべてのサンプルコンポーネントを使用して、サンプル CCP データコネクタを作成する方法をエンドツーエンドで示します。

サンプルデータ

データソースからは、エンドポイントに接続するときに次の JSON が返されます。

[
        {
        "ts": "3/6/2023 8:15:15 AM",
        "eventType": "Alert",
        "deviceMac": "bc:27:c6:21:1c:70",
        "clientMac": "",
        "srcIp": "10.12.11.106",
        "destIp": "121.93.178.13",
        "protocol": "tcp/ip",
        "priority": "0",
        "message": "This is an alert message"
        },
        {
        "ts": "3/6/2023 8:14:54 AM",
        "eventType": "File",
        "srcIp": "178.175.128.249",
        "destIp": "234.113.125.105",
        "fileType": "MS_EXE",
        "fileSizeBytes": 193688,
        "disposition": "Malicious"
        }
]

この応答には、Alert と File の eventType が含まれています。ファイルイベントは正規化された標準テーブル AsimFileEventLogs に取り込まれますが、アラートイベントはカスタムテーブルに取り込まれます。

カスタムテーブルの例

このテーブルの構造の詳細については、Tables API に関するページを参照してください。カスタムログテーブル名には _CL サフィックスが必要です。

{
"properties": {
    "schema": {
        "name": "ExampleConnectorAlerts_CL",
        "columns": [
        {
          "name": "TimeGenerated",
          "type": "datetime"
        },
        {
          "name": "SourceIP",
          "type": "string"
        },
        {
          "name": "DestIP",
          "type": "string"
        },
        {
          "name": "Message",
          "type": "string"
        },
        {
          "name": "Priority",
          "type": "int"
        }
        ]
      }
    }
}

データ収集ルールの例

次の DCR では、サンプルデータソースを使用して 1 つのストリーム Custom-ExampleConnectorInput を定義し、出力を 2 つのテーブルに変換します。

最初のデータフローでは、eventType = Alert がカスタム ExampleConnectorAlerts_CL テーブルに転送されます。
2 番目のデータフローでは、eventType = File が正規化された標準テーブル ASimFileEventLogs に転送されます。

この例の構造の詳細については、データ収集ルールの構造に関するページを参照してください。

テスト環境でこの DCR を作成するには、Data Collection Rules API に従います。 {{double curly braces}} の例の要素は、API テストツールで使いやすくするために値を必要とする変数を示しています。 ARM テンプレートでこのリソースを作成すると、ここに示されている変数がパラメーターと交換されます。

{
  "location": "{{location}}",
  "properties": {
    "dataCollectionEndpointId": "/subscriptions/{{subscriptionId}}/resourceGroups/{{resourceGroupName}}/providers/Microsoft.Insights/dataCollectionEndpoints/{{dataCollectionEndpointName}}",
    "streamDeclarations": {
      "Custom-ExampleConnectorInput": {
        "columns": [
          {
            "name": "ts",
            "type": "datetime"
          },
          {
            "name": "eventType",
            "type": "string"
          },
          {
            "name": "deviceMac",
            "type": "string"
          },
          {
            "name": "clientMac",
            "type": "string"
          },
          {
            "name": "srcIp",
            "type": "string"
          },
          {
            "name": "destIp",
            "type": "string"
          },
          {
            "name": "protocol",
            "type": "string"
          },
          {
            "name": "priority",
            "type": "string"
          },
          {
            "name": "message",
            "type": "string"
          },
          {
            "name": "fileType",
            "type": "string"
          },
          {
            "name": "fileSizeBytes",
            "type": "int"
          },
          {
            "name": "disposition",
            "type": "string"
          }
        ]
      }
    },
    "destinations": {
      "logAnalytics": [
        {
          "workspaceResourceId": "/subscriptions/{{subscriptionId}}/resourcegroups/{{resourceGroupName}}/providers/microsoft.operationalinsights/workspaces/{{workspaceName}}",
          "name": "{{uniqueFriendlyDestinationName}}"
        }
      ]
    },
    "dataFlows": [
      {
        "streams": [
          "Custom-ExampleConnectorInput"
        ],
        "destinations": [
          "{{uniqueFriendlyDestinationName}}"
        ],
        "transformKql": "source | where eventType == \"Alert\" | project TimeGenerated = ts, SourceIP = srcIp, DestIP = destIp, Message = message, Priority = priority \n",
        "outputStream": "Custom-ExampleConnectorAlerts_CL"
      },
      {
        "streams": [
          "Custom-ExampleConnectorInput"
        ],
        "destinations": [
          "{{uniqueFriendlyDestinationName}}"
        ],
        "transformKql": "source | where eventType == \"File\" | project-rename TimeGenerated = ts, EventOriginalType = eventType, SrcIpAddr = srcIp, DstIpAddr = destIp, FileContentType = fileType, FileSize = fileSizeBytes, EventOriginalSeverity = disposition \n",
        "outputStream": "Microsoft-ASimFileEventLogs"
      }
    ]
  }
}

データコネクタ UI 定義の例

この例は、データコネクタ定義のリファレンスにあります。

データコネクタ接続ルールの例

この例は、データコネクタのリファレンスにあります。

ARM テンプレートの例

次の構造で ARM デプロイテンプレートを構築します。これには、CCP データコネクタの構築に必要な JSON コンポーネントの 4 つのセクションが含まれています。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {},
    "variables": {},
    "resources": [],
}

セクションを Visual Code などの JSON 対応エディターと結合して、コンマや右角かっこおよび丸かっこなどの構文エラーを最小限に抑えます。

テンプレート構築プロセスをガイドするために、コメントは metadata description に表示されるか、// コメント表記でインライン表示されます。詳細については、「ARM テンプレートのベストプラクティス」の「説明」を参照してください。

ARM テンプレートテストツールキット (arm-ttk) を使用して、構築するテンプレートを検証することを検討してください。詳細については、arm-ttk を参照してください。

ARM テンプレートの例 - パラメーター

詳細については、「ARM テンプレートのパラメーター」を参照してください。

警告

リソースのデプロイ後に読み取り可能なオブジェクト内のすべてのパスワードとシークレットに securestring を使用します。詳細については、「機密入力をセキュリティで保護する」および「パラメーターに関するセキュリティの推奨事項」を参照してください。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "location": {
            "type": "string",
            "minLength": 1,
            "defaultValue": "[resourceGroup().location]",
            "metadata": {
                "description": "Not used, but needed to pass the arm-ttk test, 'Location-Should-Not-Be-Hardcoded'. Instead the `workspace-location` derived from the log analytics workspace is used."
            }
        },
        "workspace-location": {
            "type": "string",
            "defaultValue": "",
            "metadata": {
                "description": "[concat('Region to deploy solution resources -- separate from location selection',parameters('location'))]"
            }
        },
        "subscription": {
            "defaultValue": "[last(split(subscription().id, '/'))]",
            "type": "string",
            "metadata": {
                "description": "subscription id where Microsoft Sentinel is configured"
            }
        },
        "resourceGroupName": {
            "defaultValue": "[resourceGroup().name]",
            "type": "string",
            "metadata": {
                "description": "resource group name where Microsoft Sentinel is configured"
            }
        },
        "workspace": {
            "defaultValue": "",
            "type": "string",
            "metadata": {
                "description": "the log analytics workspace enabled for Microsoft Sentinel"
            }
        }
    },
    // Next is the variables section here
}

ARM テンプレートの例 - 変数

これらの推奨される変数は、テンプレートを簡略化するのに役立ちます。多かれ少なかれ、必要に応じて使用してください。詳細については、「ARM テンプレートの変数」を参照してください。

    "variables": {
        "workspaceResourceId": "[resourceId('microsoft.OperationalInsights/Workspaces', parameters('workspace'))]",
        "_solutionName": "Solution name", // Enter your solution name 
        "_solutionVersion": "3.0.0", // must be 3.0.0 or above
        "_solutionAuthor": "Contoso", // Enter the name of the author
        "_packageIcon": "<img src=\"{LogoLink}\" width=\"75px\" height=\"75px\">", // Enter the http link for the logo. NOTE: This field is only recommended for Azure Global Cloud.
        "_solutionId": "azuresentinel.azure-sentinel-solution-azuresentinel.azure-sentinel-MySolution", // Enter a name for your solution with this format but exchange the 'MySolution' portion
        "dataConnectorVersionConnectorDefinition": "1.0.0",
        "dataConnectorVersionConnections": "1.0.0",
        "_solutionTier": "Community", // This designates the appropriate support - all custom data connectors are "Community"
        "_dataConnectorContentIdConnectorDefinition": "MySolutionTemplateConnectorDefinition", // Enter a name for the connector
        "dataConnectorTemplateNameConnectorDefinition": "[concat(parameters('workspace'),'-dc-',uniquestring(variables('_dataConnectorContentIdConnectorDefinition')))]",
        "_dataConnectorContentIdConnections": "MySolutionTemplateConnections", // Enter a name for the connections this connector makes
        "dataConnectorTemplateNameConnections": "[concat(parameters('workspace'),'-dc-',uniquestring(variables('_dataConnectorContentIdConnections')))]",
        "_logAnalyticsTableId1": "ExampleConnectorAlerts_CL" // Enter the custom table name - not needed if you are ingesting data into standard tables
		// Enter more variables as needed "":""
    },
    // Next is the resources sections here

ARM テンプレートの例 - リソース

このテンプレートガイドには、4 つの CCP データコネクタ構築コンポーネントを含む 5 つの ARM デプロイリソースがあります。

contentTemplates (親リソース)
- metadata
- dataCollectionRules - 詳細については、「データ収集ルール」を参照してください。
- tables - 詳細については、「出力テーブルの定義」を参照してください。
dataConnectorDefinitions - 詳細については、「データコネクタのユーザーインターフェイス」を参照してください。
metadata
contentTemplates
- metadata
- RestApiPoller - 詳細については、「データ接続ルール」を参照してください。
contentPackages

    "resources": [
        // resource section 1 - contentTemplates
        {
            "type": "Microsoft.OperationalInsights/workspaces/providers/contentTemplates",
            "apiVersion": "2023-04-01-preview",
            "name": "[concat(parameters('workspace'),'/Microsoft.SecurityInsights/', variables('dataConnectorTemplateNameConnectorDefinition'), variables('dataConnectorVersionConnectorDefinition'))]",
            "location": "[parameters('workspace-location')]",
            "dependsOn": [
                "[extensionResourceId(resourceId('Microsoft.OperationalInsights/workspaces', parameters('workspace')), 'Microsoft.SecurityInsights/contentPackages', variables('_solutionId'))]"
            ],
            "properties": {
                "contentId": "[variables('_dataConnectorContentIdConnectorDefinition')]",
                "displayName": "[concat(variables('_solutionName'), variables('dataConnectorTemplateNameConnectorDefinition'))]",
                "contentKind": "DataConnector",
                "mainTemplate": {
                    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
                    "contentVersion": "[variables('dataConnectorVersionConnectorDefinition')]",
                    "parameters": {},
                    "variables": {},
                    "resources": [
                        {
                            "name": "[concat(parameters('workspace'),'/Microsoft.SecurityInsights/',concat('DataConnector-', variables('_dataConnectorContentIdConnectorDefinition')))]",
                            "apiVersion": "2022-01-01-preview",
                            "type": "Microsoft.OperationalInsights/workspaces/providers/metadata",
                            "properties": {
                                "parentId": "[extensionResourceId(resourceId('Microsoft.OperationalInsights/workspaces', parameters('workspace')), 'Microsoft.SecurityInsights/dataConnectorDefinitions', variables('_dataConnectorContentIdConnectorDefinition'))]",
                                "contentId": "[variables('_dataConnectorContentIdConnectorDefinition')]",
                                "kind": "DataConnector",
                                "version": "[variables('dataConnectorVersionConnectorDefinition')]",
                                "source": {
                                    "sourceId": "[variables('_solutionId')]",
                                    "name": "[variables('_solutionName')]",
                                    "kind": "Solution"
                                },
                                "author": {
                                    "name": "[variables('_solutionAuthor')]"
                                },
                                "support": {
                                    "name": "[variables('_solutionAuthor')]",
                                    "tier": "[variables('_solutionTier')]"
                                },
                                "dependencies": {
                                    "criteria": [
                                        {
                                            "version": "[variables('dataConnectorVersionConnections')]",
                                            "contentId": "[variables('_dataConnectorContentIdConnections')]",
                                            "kind": "ResourcesDataConnector"
                                        }
                                    ]
                                }
                            }
                        },
                        {
                            "name": "MyDCRV1", // Enter your DCR name
                            "apiVersion": "2021-09-01-preview",
                            "type": "Microsoft.Insights/dataCollectionRules",
                            "location": "[parameters('workspace-location')]",
                            "kind": null,
                            "properties": 
							{ 
                                // Enter your DCR properties here.
                                //  Consider using these variables:
                                //  "dataCollectionEndpointId": "[concat('/subscriptions/',parameters('subscription'),'/resourceGroups/',parameters('resourceGroupName'),'/providers/Microsoft.Insights/dataCollectionEndpoints/',parameters('workspace'))]",
                                //  "workspaceResourceId": "[variables('workspaceResourceId')]",
							}
                        },
                        {
                            "name": "[variables('_logAnalyticsTableId1')]",
                            "apiVersion": "2022-10-01",
                            "type": "Microsoft.OperationalInsights/workspaces/tables",
                            "location": "[parameters('workspace-location')]",
                            "kind": null,
                            "properties": 
							{
								// Enter your log analytics table schema here. 
                                //  Consider using this variable for the name property:
                                //  "name": "[variables('_logAnalyticsTableId1')]",
							}			
                        }
						// Enter more tables if needed.
                    ]
                },
                "packageKind": "Solution",
                "packageVersion": "[variables('_solutionVersion')]",
                "packageName": "[variables('_solutionName')]",
                "contentProductId": "[concat(substring(variables('_solutionId'), 0, 50),'-','dc','-', uniqueString(concat(variables('_solutionId'),'-','DataConnector','-',variables('_dataConnectorContentIdConnectorDefinition'),'-', variables('dataConnectorVersionConnectorDefinition'))))]",
                "packageId": "[variables('_solutionId')]",
                "contentSchemaVersion": "3.0.0",
                "version": "[variables('_solutionVersion')]"
            }
        },
        // resource 2 section here

        // resource section 2 - dataConnectorDefinitions
        {
            "name": "[concat(parameters('workspace'),'/Microsoft.SecurityInsights/',variables('_dataConnectorContentIdConnectorDefinition'))]",
            "apiVersion": "2022-09-01-preview",
            "type": "Microsoft.OperationalInsights/workspaces/providers/dataConnectorDefinitions",
            "location": "[parameters('workspace-location')]",
            "kind": "Customizable",
            "properties": 
			{
				//Enter your data connector definition properties here
				//"connectorUiConfig": {
				//	"graphQueriesTableName": "[variables('_logAnalyticsTableId1')]",
                //}, 
			}
        },
        // resource 3 section here

        // resource section 3 - metadata
        {
            "name": "[concat(parameters('workspace'),'/Microsoft.SecurityInsights/',concat('DataConnector-', variables('_dataConnectorContentIdConnectorDefinition')))]",
            "apiVersion": "2022-01-01-preview",
            "type": "Microsoft.OperationalInsights/workspaces/providers/metadata",
            "properties": {
                "parentId": "[extensionResourceId(resourceId('Microsoft.OperationalInsights/workspaces', parameters('workspace')), 'Microsoft.SecurityInsights/dataConnectorDefinitions', variables('_dataConnectorContentIdConnectorDefinition'))]",
                "contentId": "[variables('_dataConnectorContentIdConnectorDefinition')]",
                "kind": "DataConnector",
                "version": "[variables('dataConnectorVersionConnectorDefinition')]",
                "source": {
                    "sourceId": "[variables('_solutionId')]",
                    "name": "[variables('_solutionName')]",
                    "kind": "Solution"
                },
                "author": {
                    "name": "[variables('_solutionAuthor')]"
                },
                "support": {
                    "name": "[variables('_solutionAuthor')]",
                    "tier": "[variables('_solutionTier')]"
                },
                "dependencies": {
                    "criteria": [
                        {
                            "version": "[variables('dataConnectorVersionConnections')]",
                            "contentId": "[variables('_dataConnectorContentIdConnections')]",
                            "kind": "ResourcesDataConnector"
                        }
                    ]
                }
            }
        },
        // resource 4 section here

        // resource section 4 - contentTemplates
        {
            "type": "Microsoft.OperationalInsights/workspaces/providers/contentTemplates",
            "apiVersion": "2023-04-01-preview",
            "name": "[concat(parameters('workspace'),'/Microsoft.SecurityInsights/', variables('dataConnectorTemplateNameConnections'), variables('dataConnectorVersionConnections'))]",
            "location": "[parameters('workspace-location')]",
            "dependsOn": [
                "[extensionResourceId(resourceId('Microsoft.OperationalInsights/workspaces', parameters('workspace')), 'Microsoft.SecurityInsights/contentPackages', variables('_solutionId'))]"
            ],
            "properties": {
                "contentId": "[variables('_dataConnectorContentIdConnections')]",
                "displayName": "[concat(variables('_solutionName'), variables('dataConnectorTemplateNameConnections'))]",
                "contentKind": "ResourcesDataConnector",
                "mainTemplate": {
                    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
                    "contentVersion": "[variables('dataConnectorVersionConnections')]",
                    "parameters":
                    // These parameters are used by the data connector primarily as properties for the administrator to enter in the UI when configuring the connector
					{
                        "connectorDefinitionName": {
                            "defaultValue": "connectorDefinitionName",
                            "type": "string",
                            "minLength": 1
                        },
                        "workspace": {
                            "defaultValue": "[parameters('workspace')]",
                            "type": "string"
                        },
                        "dcrConfig": {
                            "defaultValue": {
                                "dataCollectionEndpoint": "data collection Endpoint",
                                "dataCollectionRuleImmutableId": "data collection rule immutableId"
                            },
                            "type": "object"
                        }
						// Enter additional parameters, for example:
						//"domainname": {
                        //    "defaultValue": "domain name",
                        //    "type": "string",
                        //    "minLength": 1
                        //},
                        //"apikey": {
                        //    "defaultValue": "",
                        //    "type": "securestring",
                        //    "minLength": 1
                        //}
                    },
                    "variables": {
                        "_dataConnectorContentIdConnections": "[variables('_dataConnectorContentIdConnections')]"
                    },
                    "resources": [
                        {
                            "name": "[concat(parameters('workspace'),'/Microsoft.SecurityInsights/',concat('DataConnector-', variables('_dataConnectorContentIdConnections')))]",
                            "apiVersion": "2022-01-01-preview",
                            "type": "Microsoft.OperationalInsights/workspaces/providers/metadata",
                            "properties": {
                                "parentId": "[extensionResourceId(resourceId('Microsoft.OperationalInsights/workspaces', parameters('workspace')), 'Microsoft.SecurityInsights/dataConnectors', variables('_dataConnectorContentIdConnections'))]",
                                "contentId": "[variables('_dataConnectorContentIdConnections')]",
                                "kind": "ResourcesDataConnector",
                                "version": "[variables('dataConnectorVersionConnections')]",
                                "source": {
                                    "sourceId": "[variables('_solutionId')]",
                                    "name": "[variables('_solutionName')]",
                                    "kind": "Solution"
                                },
                                "author": {
                                    "name": "[variables('_solutionAuthor')]"
                                },
                                "support": {
                                    "name": "[variables('_solutionAuthor')]",
                                    "tier": "[variables('_solutionTier')]"
                                }
                            }
                        },
                        {
                            "name": "[concat(parameters('workspace'),'/Microsoft.SecurityInsights/', 'MyDataConnector')]", // Replace the last part of the name with your data connector name
                            //  To create several connections using this template, make the name dynamic. For example, use the 'concat' function to add the connector name with a GUID using the 'guid' function.
                            "apiVersion": "2022-12-01-preview",
                            "type": "Microsoft.OperationalInsights/workspaces/providers/dataConnectors",
                            "location": "[parameters('workspace-location')]",
                            "kind": "RestApiPoller",
                            "properties": 
							{
								// Enter your data connector properties here. If you want to use UI parameters remember to escape the parameter like this: "[[parameters('paramName')]"
								//  Use parameters as needed. For example:	
                                // "dataType": "My product security event API",
                                // "response": {
                                //   "eventsJsonPaths": [
                                //        "$"
                                //    ],
                                //    "format": "json"
                                // },
                                // "paging": {
                                //    "pagingType": "LinkHeader"
                                // },
                                // "connectorDefinitionName": "[[parameters('connectorDefinitionName')]",
                                // "auth": {
                                //   "apiKeyName": "Authorization",
                                //    "ApiKey": "[[parameters('apikey')]",
                                //    "apiKeyIdentifier": "SSWS",
                                //    "type": "APIKey"
                                //} ,
                                // "request": {
                                //   "apiEndpoint": "[[concat('https://',parameters('domainname'),'/api/v1/logs')]",
                                //    "rateLimitQPS": 10,
                                //   "queryWindowInMin": 5,
                                //   "httpMethod": "GET",
                                //    "retryCount": 3,
                                //    "timeoutInSeconds": 60,
                                //    "headers": {
                                //        "Accept": "application/json",
                                //        "User-Agent": "My-Data-Source"
                                //    },
                                //    "startTimeAttributeName": "since",
								//    "endTimeAttributeName": "until"		     
                                // },
                                // "dcrConfig": {
                                //    "dataCollectionEndpoint": "[[parameters('dcrConfig').dataCollectionEndpoint]",
                                //    "dataCollectionRuleImmutableId": "[[parameters('dcrConfig').dataCollectionRuleImmutableId]",
                                //    "streamName": "Custom-ExampleConnectorAlerts_CL" //This input stream should be the same as the inputStream property configured for the DataCollectionRule 
                                // },
                                // "isActive": true
                            }
                        }
                    ]
                },
                "packageKind": "Solution",
                "packageVersion": "[variables('_solutionVersion')]",
                "packageName": "[variables('_solutionName')]",
                "contentProductId": "[concat(substring(variables('_solutionId'), 0, 50),'-','rdc','-', uniqueString(concat(variables('_solutionId'),'-','ResourcesDataConnector','-',variables('_dataConnectorContentIdConnections'),'-', variables('dataConnectorVersionConnections'))))]",
                "packageId": "[variables('_solutionId')]",
                "contentSchemaVersion": "3.0.0",
                "version": "[variables('_solutionVersion')]"
            }
        },
        // resource 5 section here

        // resource section 5 - contentPackages
        {
            "type": "Microsoft.OperationalInsights/workspaces/providers/contentPackages",
            "name": "[concat(parameters('workspace'),'/Microsoft.SecurityInsights/', variables('_solutionId'))]",
            "location": "[parameters('workspace-location')]",
            "apiVersion": "2023-04-01-preview",
            "properties": {
                "version": "[variables('_solutionVersion')]",
                "kind": "Solution",
                "contentSchemaVersion": "3.0.0",
                "contentId": "[variables('_solutionId')]",
                "source": {
                    "kind": "Solution",
                    "name": "[variables('_solutionName')]",
                    "sourceId": "[variables('_solutionId')]"
                },
                "author": {
                    "name": "[variables('_solutionAuthor')]"
                },
                "support": {
                    "name": "[variables('_solutionAuthor')]"
                },
                "dependencies": {
                    "operator": "AND",
                    "criteria": [
                        {
                            "kind": "DataConnector",
                            "contentId": "[variables('dataConnectorVersionConnectorDefinition')]",
                            "version": "[variables('_dataConnectorContentIdConnectorDefinition')]"
                        }
                    ]
                },
                "firstPublishDate": "2023-12-05",
                "providers": [
                    "[variables('_solutionAuthor')]"
                ],
                "contentKind": "Solution",
                "packageId": "[variables('_solutionId')]",
                "contentProductId": "[concat(substring(variables('_solutionId'), 0, 50),'-','sl','-', uniqueString(concat(variables('_solutionId'),'-','Solution','-',variables('_solutionId'),'-', variables('_solutionVersion'))))]",
                "displayName": "[variables('_solutionName')]",
                "publisherDisplayName": "[variables('_solutionId')]",
                "descriptionHtml": "test",
                "icon": "[variables('_packageIcon')]"
            }
        }
        // that's the end!
    ]
}

詳細については、「

次の方法で共有

Microsoft Sentinel 用のコードレスコネクタを作成する

この CCP は以前のバージョンとどのように異なるか

前提条件

API のテスト

データコネクタを構築する

出力テーブルの定義

データ収集ルール

データコネクタのユーザーインターフェイス

データ接続ルール

機密入力をセキュリティで保護する

ラベルの作成

機密入力を保存する

securestring オブジェクトを使用する

デプロイテンプレートを作成する

コネクタをデプロイする

ログ記録のソースについてネットワークの分離を維持する

コードレスコネクタを確認する

例

サンプルデータ

カスタムテーブルの例

データ収集ルールの例

データコネクタ UI 定義の例

データコネクタ接続ルールの例

ARM テンプレートの例

ARM テンプレートの例 - パラメーター

ARM テンプレートの例 - 変数

ARM テンプレートの例 - リソース

フィードバック

その他のリソース

次の方法で共有

Microsoft Sentinel 用のコードレス コネクタを作成する

この CCP は以前のバージョンとどのように異なるか

前提条件

API のテスト

データ コネクタを構築する

出力テーブルの定義

データ収集ルール

データ コネクタのユーザー インターフェイス

データ接続ルール

機密入力をセキュリティで保護する

ラベルの作成

機密入力を保存する

securestring オブジェクトを使用する

デプロイ テンプレートを作成する

コネクタをデプロイする

ログ記録のソースについてネットワークの分離を維持する

コードレス コネクタを確認する

例

サンプル データ

カスタム テーブルの例

データ収集ルールの例

データ コネクタ UI 定義の例

データ コネクタ接続ルールの例

ARM テンプレートの例

ARM テンプレートの例 - パラメーター

ARM テンプレートの例 - 変数

ARM テンプレートの例 - リソース

関連するコンテンツ

フィードバック

その他のリソース

Microsoft Sentinel 用のコードレスコネクタを作成する

データコネクタを構築する

データコネクタのユーザーインターフェイス

デプロイテンプレートを作成する

コードレスコネクタを確認する

サンプルデータ

カスタムテーブルの例

データコネクタ UI 定義の例

データコネクタ接続ルールの例