Créer un streaming d’audit
Azure DevOps Services
Notes
L’audit est toujours en préversion publique.
Découvrez comment créer un flux d’audit, qui envoie des données à d’autres emplacements pour un traitement ultérieur. Envoyez des données d’audit à d’autres outils SIEM (Security Incident and Event Management) et ouvrez de nouvelles possibilités, telles que la possibilité de déclencher des alertes pour des événements spécifiques, de créer des vues sur les données d’audit et d’effectuer la détection des anomalies. La configuration d’un flux vous permet également de stocker plus de 90 jours de données d’audit, c’est-à-dire la quantité maximale de données conservées par Azure DevOps pour vos organisations.
Important
L’audit est disponible seulement pour les organisations qui s’appuient sur Microsoft Entra ID. Si vous souhaitez obtenir plus d’informations, consultez Connecter votre organisation à Microsoft Entra ID.
Les flux d’audit représentent un pipeline qui transfère les événements d’audit de votre organisation Azure DevOps vers une cible de flux. Chaque demi-heure ou moins, les nouveaux événements d’audit sont regroupés et diffusés en continu vers vos cibles. Les cibles de flux suivantes sont disponibles pour la configuration.
- Splunk : se connecter à Splunk local ou cloud.
- Journaux Azure Monitor : envoyez des journaux d’audit aux journaux Azure Monitor. Les journaux stockés dans les journaux Azure Monitor peuvent être interrogés et les alertes sont configurées. Recherchez la table nommée AzureDevOpsAuditing. Vous pouvez également connecter Microsoft Sentinel à votre espace de travail.
- Azure Event Grid : pour les scénarios où vous souhaitez que vos journaux d’audit soient envoyés ailleurs, qu’ils se trouvent à l’intérieur ou à l’extérieur d’Azure, vous pouvez configurer une connexion Azure Event Grid .
Les espaces de travail liés privés ne sont pas pris en charge aujourd’hui.
Remarque
L’audit n’est pas disponible pour les déploiements locaux de Azure DevOps Server. Il est possible de connecter un flux d’audit à une instance locale ou cloud de Splunk, mais veillez à autoriser les plages d’adresses IP pour les connexions entrantes. Pour plus d’informations, consultez Listes d’adresses et connexions réseau autorisées, Adresses IP et restrictions de plage.
Prérequis
L’audit est désactivé par défaut pour toutes les organisations Azure DevOps Services. Assurez-vous que seul le personnel autorisé a accès aux informations d’audit sensibles.
Autorisations : être membre du groupe Administrateurs de collection de projets (PCA) (propriétaire d’organisation sont automatiquement membres de ce groupe) ou disposer des autorisations d’audit suivantes par utilisateur ou groupe :
- Gérer les flux d’audit
- Afficher les journaux d’audit
Les PCA peuvent accorder ces autorisations à tous les utilisateurs ou groupes pour la gestion des flux d’organisation via les autorisations de sécurité > des paramètres>de l’organisation. Les PCA peuvent également attribuer l’autorisation Supprimer les flux d’audit.
Remarque
Si la fonctionnalité Limiter la visibilité et la collaboration des utilisateurs à des projets spécifiques en préversion sont activées pour l’organisation, les utilisateurs du groupe Utilisateurs étendus au projet ne peuvent pas afficher l’audit et avoir une visibilité limitée sur les pages des paramètres de l’organisation. Pour plus d’informations et des détails importants liés à la sécurité, consultez Limiter la visibilité des utilisateurs pour les projets et bien plus encore.
Créer un flux
Connectez-vous à votre organisation (
https://dev.azure.com/{Your_Organization}).Sélectionnez
Paramètres de l’organisation.
Sélectionnez Audit.
Remarque
Si vous ne voyez pas l’audit dans les paramètres de l’organisation, l’audit n’est actuellement pas activé pour votre organisation. Une personne du groupe administrateurs de regroupements de projets ou de propriétaire d’organisation doit activer l’audit dans les stratégies d’organisation. Vous serez alors en mesure de voir les événements sur la page Audit si vous disposez des autorisations appropriées.
Accédez à l’onglet Flux , puis sélectionnez Nouveau flux.
Sélectionnez la cible de flux que vous souhaitez configurer, puis sélectionnez-la dans les instructions suivantes pour configurer votre type de cible de flux.
Remarque
À ce stade, vous ne pouvez avoir que 2 flux pour chaque type cible.
Configurer un flux Splunk
Les flux envoient des données à Splunk via le point de terminaison du collecteur d’événements HTTP.
Activez cette fonctionnalité dans Splunk. Pour plus d’informations, consultez cette documentation Splunk.
Une fois activé, vous devez disposer d’un jeton du collecteur d’événements HTTP et de l’URL de votre instance Splunk. Vous avez besoin du jeton et de l’URL pour créer un flux Splunk.
Remarque
Lorsque vous créez un jeton Event Collector dans Splunk, ne cochez pas « Activer l’accusé de réception de l’indexeur ». Si elle est cochée, aucun événement n’est acheminé vers Splunk. Vous pouvez modifier le jeton dans Splunk pour supprimer ce paramètre.
Entrez votre URL Splunk, qui est le pointeur vers votre instance Splunk. Vérifiez que vous spécifiez un port à la fin de l’URL. Le port par défaut est
8088, de sorte que votre URL serait similaire àhttps://prd-p-2k3mp2xhznbs.cloud.splunk.com:8088ouhttps://prd-p-2k3mp2xhznbs.splunkcloud.com.Entrez le jeton du collecteur d’événements que vous avez créé dans le champ de jeton. Le jeton est stocké en toute sécurité dans Azure DevOps et ne s’affiche plus jamais dans l’interface utilisateur. Nous vous recommandons de faire pivoter régulièrement le jeton, que vous pouvez faire en obtenant un nouveau jeton à partir de Splunk et en modifiant le flux.
Sélectionnez Configurer.
Votre flux est configuré et les événements commencent à arriver sur Splunk dans un délai d’une demi-heure ou moins.
Configurer un flux Event Grid
- Créez une rubrique Event Grid sur Azure.
Remarque
Accédez à l’onglet Avancé et vérifiez que le schéma d’événement est défini sur Schéma Event Grid. D’autres schémas ne sont pas pris en charge par Azure DevOps.
Notez le « point de terminaison de rubrique » et l’une des deux « clés d’accès ». Utilisez ces informations pour créer la connexion Event Grid.
Entrez le point de terminaison de la rubrique et l’une des clés d’accès. La clé d’accès est stockée en toute sécurité dans Azure DevOps et ne s’affiche plus jamais dans l’interface utilisateur. Faire pivoter régulièrement la clé d’accès, que vous pouvez faire en obtenant une nouvelle clé à partir d’Azure Event Grid et en modifiant le flux
Une fois que votre flux Event Grid est configuré, vous pouvez configurer des abonnements sur Event Grid pour envoyer les données presque n’importe où dans Azure.
Configurer un flux de journal Azure Monitor
Créer un espace de travail Log Analytics.
Ouvrez l’espace de travail et sélectionnez Agents.
Sélectionnez les instructions de l’agent Log Analytics pour afficher l’ID de l’espace de travail et la clé primaire.
Notez l’ID de l’espace de travail et la clé primaire.
Configurez votre flux de journal Azure Monitor en effectuant les mêmes étapes initiales pour créer un flux.
Pour les options cibles, sélectionnez Journaux Azure Monitor.
Entrez l’ID de l’espace de travail et la clé primaire, puis sélectionnez Configurer. La clé primaire est stockée en toute sécurité dans Azure DevOps et ne s’affiche plus jamais dans l’interface utilisateur. Faites pivoter régulièrement la clé, que vous pouvez faire en obtenant une nouvelle clé à partir du journal Azure Monitor et en modifiant le flux.
Le flux est activé et les nouveaux événements commencent à circuler dans un délai d’une demi-heure ou moins. Vous pouvez référencer la table AzureDevOpsAuditing.
Remarque
La durée de rétention par défaut des journaux Azure Monitor est de 30 jours uniquement. Vous pouvez configurer et choisir une rétention plus longue en sélectionnant Rétention des données sous Utilisation et coûts estimés dans les paramètres de votre espace de travail. Cela entraîne des frais supplémentaires. Pour plus d’informations, consultez la documentation pour gérer l’utilisation et les coûts avec les journaux Azure Monitor.
Modifier un flux
Les détails de votre cible de flux peuvent changer au fil du temps. Pour refléter ces modifications dans vos flux, vous pouvez les modifier. Pour modifier un flux, vérifiez que vous disposez de l’autorisation Gérer les flux d’audit.
En regard du flux que vous souhaitez modifier, sélectionnez les trois points verticaux à l’extrême droite, puis sélectionnez Modifier le flux.
Cliquez sur Enregistrer.
Les paramètres disponibles pour la modification diffèrent par type de flux.
Désactiver un flux
En regard du flux que vous souhaitez désactiver, déplacez le bouton bascule Activé de Activé vers Désactivé.
Lorsque des flux rencontrent un échec, ils peuvent être désactivés. Vous pouvez obtenir des détails sur l’échec à partir de l’état affiché en regard du flux, ou en sélectionnant Modifier le flux. Vous pouvez également désactiver un flux manuellement, puis le réactiver ultérieurement.
Cliquez sur Enregistrer.
Vous pouvez réactiver un flux désactivé. Il rattrape les événements d’audit qui ont été manqués jusqu’aux sept jours précédents. De cette façon, vous ne manquez aucun événement de la durée pendant laquelle le flux a été désactivé.
Remarque
Les événements de plus de 7 jours ne sont pas inclus dans le rattrapage si un flux est désactivé pendant plus de 7 jours.
Supprimer un flux
Pour supprimer un flux, vérifiez que vous disposez de l’autorisation Supprimer les flux d’audit.
Important
Une fois que vous avez supprimé un flux, vous ne pouvez pas le récupérer.
Pointez sur le flux que vous souhaitez supprimer et sélectionnez les trois points verticaux sur l’extrême droite.
Sélectionnez Supprimer le flux.
Cliquez sur Confirmer.
Le système supprime votre flux. Les événements non envoyés avant la suppression ne sont pas envoyés.