如何将活动日志流式传输到事件中心

若要使用此功能，需要 Microsoft 云服务的 Splunk 加载项。

将 Microsoft Entra 日志与 Splunk 集成

1. 打开 Splunk 实例并选择 “数据摘要”。

   

2. 选择“Sourcetypes”选项卡，然后选择“mscs:azure:eventhub”

   

将 body.records.category=AuditLogs 追加到搜索。 Microsoft Entra 活动日志将如下图中所示：

如果无法在 Splunk 实例中安装加载项（例如，如果使用代理或在 Splunk Cloud 上运行），则可以将这些事件转发到 Splunk HTTP 事件收集器。 为此，请使用此 Azure 函数，该函数由事件中心中的新消息触发。

要使用此功能，需要已启用 SumoLogic 单一登录的订阅。

将 Microsoft Entra 日志与 SumoLogic 集成

1. 将 SumoLogic 实例配置为 收集 Microsoft Entra ID 的日志。

2. 安装 Microsoft Entra SumoLogic 应用 以使用预配置的仪表板来实时分析环境。

   

要使用此功能，需要 ArcSight Syslog NG 守护程序 SmartConnector (SmartConnector) 或 ArcSight 负载均衡器的已配置实例。 如果事件发送到 ArcSight 负载均衡器，则它们会由负载均衡器发送到 SmartConnector。

下载并打开 适用于 Azure Monitor 事件中心的 ArcSight SmartConnector 的配置指南。 本指南包含安装和配置适用于 Azure Monitor 的 ArcSight SmartConnector 所需的步骤。

将 Microsoft Entra 日志与 ArcSight 集成

1. 完成 ArcSight 配置指南的 “先决条件 ”部分中的步骤。 此部分包括下列步骤：

   • 在 Azure 中设置用户权限，以确保有一个具有 所有者 角色的用户来部署和配置连接器。
   • 在具有 Syslog NG 守护程序 SmartConnector 的服务器上打开端口，以便可从 Azure 访问它。
   • 部署会运行 PowerShell 脚本，因此必须启用 PowerShell 以在要部署连接器的计算机上运行脚本。

2. 按照 ArcSight 配置指南的 “部署连接器 ”部分中的步骤部署连接器。 此部分会演示如何下载和提取连接器、配置应用程序属性以及从提取的文件夹运行部署脚本。

3. 按照“在 Azure 中验证部署”部分中的步骤来确保连接器已设置并正常工作。 验证以下先决条件：

   • 在 Azure 订阅中创建了必要的 Azure 函数。
   • Microsoft Entra 日志流式传输到正确的目标。
   • 部署中的应用程序设置保留在 Azure Function App 的“应用程序设置”中。
   • 使用适用于 ArcSight 连接器的 Microsoft Entra 应用程序以及包含映射文件（CEF 格式）的存储帐户，在 Azure 中创建 ArcSight 的新资源组。

4. 完成 ArcSight 配置指南的 部署后配置 中的部署后步骤。 此部分说明如何在实施应用服务计划时执行其他配置以防止函数应用在超时期限之后变为空闲状态、从事件中心配置资源日志流式传输以及更新 SysLog NG 守护程序 SmartConnector 密钥存储证书以将它与新创建的存储帐户相关联。

5. 配置指南还说明如何在 Azure 中自定义连接器属性以及如何升级和卸载连接器。 还有一个关于性能改进的部分，包括升级到 Azure 消耗计划，以及在事件负载大于单个 Syslog NG 守护程序 SmartConnector 能处理的情况下，配置 ArcSight 负载均衡器。