Microsoft Entra ID との統合 Microsoft Entra ID を使用した認証 CloudWatch パイプラインの設定サポートされているオープンサイバーセキュリティスキーマフレームワークイベントクラス

Microsoft Entra ID のソース設定

Microsoft Entra ID との統合

Microsoft Entra ID (旧 Azure Active Directory) は、Microsoft のクラウドベースの ID およびアクセス管理サービスであり、組織がユーザー ID を管理し、リソースへのアクセスを保護するのに役立ちます。CloudWatch パイプラインは、Microsoft Graph API を使用して、Microsoft Entra ID 監査ログから包括的な ID およびセキュリティ情報を取得します。Microsoft Graph API では、ディレクトリ監査ログ (ディレクトリレベルの変更と管理アクションの追跡)、サインインログ (ユーザー認証イベントとアクティビティのキャプチャ)、プロビジョニングログ (ユーザーとグループのプロビジョニングオペレーションのモニタリング) の 3 つの主要なログタイプにアクセスできます。

Microsoft Entra ID を使用した認証

監査ログ EntraID を取得するには、パイプラインがアカウントで認証する必要があります。プラグインは OAuth2 認証をサポートしています。Microsoft Graph API の手順に従います。Microsoft Entra ID P1 または P2 ライセンスが必要です。

Azure でアプリケーションをサポートされているアカウントタイプに登録します。この組織ディレクトリのアカウントのみ (単一テナント)。登録が完了したら、アプリケーション (クライアント) ID とディレクトリ (テナント) ID を書き留めます。
アプリケーションの新しいキーを生成します。キーはクライアントシークレットとも呼ばれ、アクセストークンの認可コードを交換するときに使用されます。
AWS Secrets Manager でシークレットを作成し、アプリケーション (クライアント) ID を client_id キーの下に、クライアントシークレットを client_secret キーの下に保存します。
アプリケーションが Microsoft Graph API にアクセスするために必要なアクセス許可を指定します。必要なアクセス許可は次のとおりです。
- AuditLog.Read.All: 監査ログ、サインインログ、プロビジョニングログの読み取りに必要です
- Directory.Read.All: ディレクトリデータの読み取りに必要です

CloudWatch パイプラインの設定

Microsoft EntraID から監査ログを読み取るようにパイプラインを設定するときは、データソースとして Microsoft EntraID を選択します。ディレクトリ (テナント) ID を使用してテナント ID などの必要な情報を入力します。パイプラインを作成すると、選択した CloudWatch Logs ロググループでデータを使用できます。