Siapkan konektor data terfederasi di data lake Microsoft Sentinel (Pratinjau)

Artikel ini menjelaskan cara mengonfigurasi konektor data gabungan untuk mengaktifkan kueri sumber data eksternal dari data lake Microsoft Sentinel. Anda dapat melakukan federasi dengan Azure Databricks, Azure Data Lake Storage (ADLS) Gen 2, dan Microsoft Fabric. Artikel ini membahas pembuatan perwakilan layanan, menyimpan kredensial di Azure Key Vault, dan menyiapkan instans konektor untuk setiap sumber data yang didukung. Gunakan panduan ini jika Anda adalah administrator keamanan yang perlu membawa data eksternal ke dalam Microsoft Sentinel untuk penyelidikan dan analisis.

Prasyarat

Sebelum menyiapkan federasi data, pastikan Anda memenuhi persyaratan berikut:

• Onboarding data lake Sentinel: Pengguna Anda harus didaftarkan ke data lake Sentinel. Untuk informasi selengkapnya, lihat Mengonfigurasi data lake Microsoft Sentinel.

• Aksesibilitas publik: Sumber eksternal harus dapat diakses secara publik. Titik akhir privat tidak didukung saat ini.

• Perwakilan layanan: Perwakilan layanan dengan izin yang sesuai di sumber data yang ingin Anda sambungkan diperlukan untuk sumber Azure Databricks dan Azure Data Lake Storage Gen2. Untuk informasi selengkapnya, lihat Pendaftaran aplikasi ID Microsoft Entra.

• Azure Key Vault: Azure Key Vault yang dikonfigurasi dengan kunci rahasia klien layanan diperlukan. Identitas aplikasi Microsoft Azure Sentinel memerlukan izin yang ditetapkan ke brankas kunci. Untuk informasi selengkapnya tentang mengonfigurasi Azure Key Vault, lihat Azure Key Vaults.

• Izin Microsoft Sentinel: Izin data (kelola) pada tabel sistem untuk mengonfigurasi konektor federasi data. Untuk informasi selengkapnya, lihat Peran dan izin di platform Microsoft Azure Sentinel.

Membuat "Service Principal"

Untuk federasi Azure Databricks dan ADLS Gen 2, Anda memerlukan perwakilan layanan dengan kredensial akses yang disimpan di Azure Key Vault. Anda dapat menggunakan perwakilan layanan yang ada atau menggunakan langkah-langkah berikut untuk membuat perwakilan layanan baru.

1. Buat pendaftaran aplikasi ID Microsoft Entra:

   1. Di portal Azure, navigasikan ke Microsoft Entra ID>Pendaftaran aplikasi.
   2. Pilih Pendaftaran baru.
   3. Masukkan nama untuk aplikasi.
   4. Biarkan URI pengalihan kosong (tidak diperlukan untuk skenario ini).
   5. Pilih Daftarkan.

2. Buat rahasia klien:

   1. Di pendaftaran aplikasi Anda, buka Sertifikat & rahasia.
   2. Pilih Rahasia klien baru.
   3. Masukkan deskripsi dan pilih periode kedaluwarsa.
   4. Pilih Tambahkan.
   5. Segera salin nilai rahasia klien karena Anda tidak dapat melihatnya kembali nanti. Anda membutuhkan nilai ini saat menyimpan rahasia di Azure Key Vault.

3. Perhatikan detail aplikasi:

   • ID aplikasi (klien)
   • ID Objek
   • ID direktori (penyewa)

Untuk informasi selengkapnya tentang membuat prinsipal layanan, lihat Pendaftaran aplikasi ID Microsoft Entra.

Membuat Azure Key Vault dan menyimpan kredensial

Anda dapat menggunakan Azure Key Vault yang sudah ada dan mengikuti langkah-langkah di bawah ini untuk mengonfigurasi akses Key Vault, atau membuat Key Vault baru menggunakan langkah-langkah berikut:

1. Buat Azure Key Vault:

   1. Di portal Microsoft Azure, buat Azure Key Vault baru.
   2. Gunakan model izin kontrol akses berbasis peran Azure (disarankan).
   3. Aktifkan pengaturan perlindungan penghapusan sementara dan penghapusan menyeluruh untuk brankas kunci.
   4. Perhatikan URI Key Vault setelah pembuatan.

2. Mengonfigurasi akses Key Vault:

   1. Tugaskan peran Pengguna Rahasia Key Vault kepada identitas terkelola platform Microsoft Sentinel. Identitas diawali dengan msg-resources-.
   2. Jika Anda menggunakan kebijakan akses untuk Key Vault alih-alih kontrol akses berbasis peran Azure, berikan izin untuk Dapatkan dan Daftar untuk Operasi Manajemen Rahasia.

3. Simpan rahasia klien di Key Vault:

   1. Di Key Vault Anda, buka Rahasia>Hasilkan/Impor.
   2. Buat rahasia baru yang berisi kunci rahasia klien dari prinsipal layanan.
   3. Perhatikan nama rahasia. Ini digunakan saat mengonfigurasi instans konektor federasi data.

Untuk informasi selengkapnya tentang mengonfigurasi Azure Key Vault, lihat Azure Key Vaults.

Menampilkan dan mengelola konektor data gabungan di portal Defender

Konektor terfederasi dikelola pada halaman Konektor data di Microsoft Sentinel pada portal Defender.

1. Arahkan ke Microsoft Sentinel>Konfigurasi>Konektor data.

2. Di bagian Federasi data, pilih Katalog untuk melihat konektor federasi yang tersedia.

   Halaman katalog menampilkan:

   • Jenis konektor federasi yang tersedia
   • Jumlah instans yang dikonfigurasi untuk setiap konektor
   • Informasi penerbit dan dukungan

   

3. Pilih Halaman konektor saya untuk melihat semua instans konektor yang dikonfigurasi. Halaman ini mencantumkan instans konektor federasi data penyewa Anda bersama dengan nama tampilan, versi, status, dan penyedia dukungan mereka.

4. Pilih setiap instans untuk melihat detail, mengedit konfigurasi, atau menghapus instans.

Membuat sebuah instance konektor

Proses untuk membuat instans konektor bervariasi tergantung pada apakah Anda tersambung ke Microsoft Fabric, Azure Data Lake Storage Gen 2, atau Azure Databricks. Ikuti instruksi untuk jenis sumber data spesifik Anda.

Microsoft Fabric

Gunakan langkah-langkah berikut untuk membuat instance konektor federasi untuk Microsoft Fabric.

Membuat instans konektor Microsoft Fabric

Sebelum mengonfigurasi instans konektor Fabric, Anda harus menyiapkan izin dalam lingkungan Microsoft Fabric untuk memungkinkan Microsoft Sentinel mengakses data.

• Konfigurasikan pengaturan admin dalam Microsoft Fabric sehingga penyewa diaktifkan untuk Berbagi data eksternal, Untuk informasi selengkapnya, lihat Membuat berbagi data eksternal.

• Konfigurasikan pengaturan admin dalam Microsoft Fabric sehingga pengaturan diaktifkan untuk Perwakilan layanan dapat memanggil API publik Fabric. Untuk informasi selengkapnya, lihat Perwakilan layanan dapat memanggil API publik Fabric.

• Tambahkan identitas platform Sentinel, dengan awalan msg-resources- sebagai Anggota Ruang Kerja di Lakehouse tempat Anda ingin mengintegrasikan tabel. Untuk informasi selengkapnya, lihat Memberikan akses ke ruang kerja.

Untuk mengonfigurasi instans konektor Fabric:

1. Pada halaman Katalog federasi data, pilih baris Microsoft Fabric.

2. Di panel samping, pilih Sambungkan konektor.

3. Masukkan informasi berikut:

   Ladang	Deskripsi
   Nama instansi	Nama yang mudah diingat untuk instans konektor ini. Nama instans ini ditambahkan ke tabel yang diwakili di lake dari instans ini.
   ID ruang kerja Fabric	ID ruang kerja Fabric untuk difederasikan. Saat Anda menavigasi ke ruang kerja Fabric atau Lakehouse, ID ruang kerja ada di URL setelah /groups/
   ID tabel Lakehouse	ID tabel Fabric Lakehouse untuk digabungkan. Ketika Anda menavigasi ke Fabric lakehouse, ID lakehouse ditampilkan di URL setelah /lakehouses/.

4. Pilih Selanjutnya.

   

5. Pilih tabel yang ingin Anda federasi.

6. Pilih Selanjutnya.

7. Tinjau konfigurasi target federasi.

8. Pilih Sambungkan untuk membuat instans koneksi.

Azure Data Lake Storage Gen 2

Gunakan langkah-langkah berikut untuk membuat instance konektor federasi untuk Azure Data Lake Storage (ADLS) Gen 2.

Buat sebuah instance konektor ADLS Gen 2

Sebelum membuat konektor, siapkan akun penyimpanan Anda:

1. Jika Anda membuat akun penyimpanan baru, pastikan pengaturan Namespace hierarki diaktifkan .

2. Berikan peran Pembaca Data Blob Penyimpanan ke prinsipal layanan yang Anda buat sebelumnya. Untuk informasi selengkapnya tentang memberikan akses melalui portal Microsoft Azure, lihat Menetapkan peran Azure menggunakan portal Microsoft Azure - Azure RBAC.

3. Pada halamanKatalog> data, pilih Azure Data Lake Storage.

4. Pilih Sambungkan konektor.

5. Konfigurasikan nama dan detail koneksi berikut:

   Ladang	Deskripsi
   Nama instansi	Nama yang mudah diingat untuk instans konektor ini. Nama instans ditambahkan ke nama tabel di danau.
   ID aplikasi (klien)	GUID entitas layanan yang memiliki akses ke Key Vault dan sumber data target.
   URI Azure Key Vault	URI Key Vault yang berisi rahasia autentikasi untuk prinsipal layanan.
   Nama rahasia	Nama rahasia di Key Vault yang berisi rahasia klien perwakilan layanan
   URL Azure Data Lake Storage	URL titik akhir ADLS Gen 2 (harus dapat diakses secara publik)

6. Untuk melanjutkan, klik Berikutnya.

   

7. Pilih tabel yang ingin Anda federasi dari akun penyimpanan ADLS Gen 2 Anda.

8. Telusuri tabel yang tersedia di penyimpanan ADLS Gen 2 Anda.

9. Pilih setidaknya satu tabel untuk digabungkan.

10. Untuk melanjutkan, klik Berikutnya.

    

11. Setelah Anda memilih tabel, tinjau pengaturan konfigurasi.

12. Pilih Sambungkan untuk membuat instans konektor.

13. Jika Anda perlu membuat perubahan, pilih Kembali untuk kembali ke langkah sebelumnya.

    

Pilih Sambungkan, untuk menyelesaikan penyiapan untuk instans konektor ADLS Gen 2. Wizard ditutup dan jumlah instans untuk Azure Data Lake Storage Gen2 meningkat.

Azure Databricks

Gunakan langkah-langkah berikut untuk membuat instance konektor federasi untuk Azure Databricks.

Siapkan lingkungan Azure Databricks

Sebelum membuat konektor, konfigurasikan akses di lingkungan Databricks Anda sebagai berikut:

1. Di Azure Databricks, pilih katalog yang ingin Anda sambungkan dari data lake Microsoft Sentinel.

2. Pilih ikon roda gigi untuk katalog dan pilih Metastore.

3. Di halaman detail metastore Anda, atur Akses data eksternal ke Diaktifkan.

4. Di katalog yang Anda gabungkan, pilih Izin lalu pilih Berikan.

5. Cari service principal yang Anda buat sebelumnya.

6. Beri prinsipal layanan hak istimewa preset Pembaca Data, dan pilih izin Skema Penggunaan Eksternal serta pilih Konfirmasi.

7. Di kanan atas layar Azure Databricks Anda, pilih akun Anda dan pilih Pengaturan.

8. Di bawah Identitas dan akses, pilih tombol Kelola di samping Perwakilan layanan.

9. Pilih Tambahkan service principal

10. Gunakan kotak entitas layanan untuk memilih entitas yang ada.

11. Pilih perwakilan layanan yang Anda buat sebelumnya dan pilih Tambahkan.

Membuat instans konektor Azure Databricks

Ikuti langkah-langkah berikut untuk membuat instance konektor Azure Databricks di portal Defender:

1. Pada halaman Federasi data>Katalog, pilih baris Azure Databricks.

2. Di panel samping, pilih Sambungkan konektor.

3. Masukkan rincian berikut:

   Ladang	Deskripsi
   Nama instansi	Nama yang mudah diingat untuk instans konektor ini
   ID Utama	GUID perwakilan layanan dengan akses ke Key Vault
   URI Azure Key Vault	URI Key Vault yang berisi rahasia autentikasi
   Nama rahasia	Nama rahasia di Key Vault yang berisi informasi koneksi Databricks
   Databricks URL	URL instans Azure Databricks (harus dapat diakses secara publik)
   Nama katalog	Nama katalog di Azure Databricks untuk difederasikan
   Nama skema	Nama skema di Azure Databricks untuk digabungkan

   

4. Pilih Selanjutnya.

5. Pilih tabel yang ingin Anda federasi dari instans Azure Databricks Anda.

6. Untuk melanjutkan, klik Berikutnya.

   

7. Tinjau pengaturan konfigurasi.

8. Pilih Sambungkan untuk membuat instans konektor.

9. Jika Anda perlu membuat perubahan, pilih Kembali untuk kembali ke langkah sebelumnya.

Setelah memilih Sambungkan, wizard akan ditutup dan jumlah instans untuk Databricks meningkat.

Verifikasi tabel dari instans konektor Anda

Setelah membuat instans konektor, periksa apakah tabel yang Anda federasi tersedia di Microsoft Azure Sentinel.

1. Navigasi ke Tabel Konfigurasi > Microsoft Sentinel>.
2. Filter menurut Tipe Federasi untuk melihat semua tabel gabungan.
3. Cari berdasarkan nama instans konektor Anda.
4. Tabel dari instans konektor Anda tercantum dengan namanya diikuti oleh _instance name. Misalnya jika nama instans konektor data Anda adalah GlobalHRData dan tabel Anda disebut hrlogs, nama tabel Anda ditampilkan sebagai hrlogs_GlobalHRData.
5. Pilih tabel dari daftar untuk membuka panel detail.
6. Pilih tab Gambaran Umum untuk melihat jenis tabel dan penyedia federasi.
7. Pilih tab Sumber data untuk melihat penyedia data instans konektor dan produk sumber untuk tabel. Memilih nama instans konektor akan membawa Anda ke instans tersebut di Konektor Saya dalam Konektor Data.
8. Pilih tab Skema untuk melihat skema tabel.
9. Pada tab Skema , pilih Refresh untuk menyegarkan skema tabel yang terkait dengan tabel gabungan.

Mengelola contoh konektor

Untuk mengubah atau menghapus instans konektor:

1. Buka Data federation>halaman Konektor saya.
2. Pilih instans konektor yang ingin Anda kelola.
3. Di panel detail, gunakan opsi yang tersedia untuk:
   • Mengedit pengaturan koneksi
   • Menambahkan atau menghapus tabel gabungan
   • Menghapus instans konektor

Note

Instans koneksi Microsoft Fabric tidak mendukung pengeditan. Anda dapat membuat koneksi federasi baru untuk menambahkan lebih banyak tabel, atau Anda dapat menghapus instans koneksi Fabric dan membuatnya kembali dengan nama instans yang sama dan sekumpulan tabel berbeda yang dipilih.

Troubleshooting

Gunakan pemeriksaan berikut untuk mendiagnosis masalah umum dengan penyiapan dan operasi konektor data gabungan.

Koneksi gagal

• Verifikasi identitas terkelola platform Sentinel yang diawali dengan msg-resources- memiliki izin yang benar di Azure Key Vault.

• Jika sumber koneksi Anda adalah Azure Databricks atau Azure Data Lake Storage Gen2, pastikan rahasia Key Vault berisi rahasia klien yang benar untuk perwakilan layanan Anda.

• Jika sumber koneksi Anda adalah Azure Databricks, pastikan target menggunakan tipe workspace hybrid dan akses data eksternal telah diaktifkan untuk workspace.

• Jaringan Key Vault harus diatur ke Izinkan akses publik dari semua jaringan selama konfigurasi konektor, yang merupakan konfigurasi default Key Vault. Ini dapat diubah setelah pembuatan atau pengeditan konektor.

• Konfirmasikan bahwa sumber data eksternal dapat diakses secara publik.

• Periksa apakah perwakilan layanan memiliki izin yang sesuai pada sumber data target untuk Azure Databricks dan ADLS.

• Jika sumber data target adalah Fabric, periksa apakah msg-resources- identitas awalan untuk Microsoft Sentinel diberikan izin sebagai Anggota Ruang Kerja.

• Periksa untuk memastikan Anda tidak memiliki lebih dari 100 instans koneksi.

Note

ADLS dan Azure Databricks menggunakan satu instans koneksi per koneksi gabungan. Fabric dapat menggunakan lebih banyak instance per koneksi federasi. Untuk Fabric, setiap skema lakehouse dalam koneksi federasi Anda dihitung terhadap batas 100 instans.

Tabel tidak muncul

• Verifikasi bahwa perwakilan layanan memiliki akses baca ke tabel target untuk ADLS dan Azure Databricks, dan perwakilan layanan berada di penyewa yang sama dengan sumber data ini.
• Verifikasi bahwa tabel target berada dalam format delta parquet.
• Untuk Databricks, pastikan Anda memberikan pengaturan awal hak istimewa Pembaca Data bawaan ditambah izin Skema Penggunaan Eksternal kepada prinsipal layanan.
• Untuk ADLS Gen 2, pastikan peran Pembaca Data Blob Penyimpanan telah diberikan kepada pengenal layanan.

Masalah performa kueri

• Pertimbangkan ukuran data yang dikueri dari sumber eksternal.
• Optimalkan kueri untuk memfilter data lebih awal.
• Periksa konektivitas jaringan antara Sentinel dan sumber eksternal.

Konten terkait

• Gambaran umum federasi data
• Kueri tabel gabungan dengan KQL