Microsoft.SecurityInsights ウォッチリスト

• 最新の を する
• 2025-09-01
• 2025-07-01-preview
• 2025-06-01
• 2025-04-01-プレビュー
• 2025-03-01
• 2025-01-01-プレビュー
• 2024-10-01-プレビュー
• 2024-09-01
• 2024-04-01-プレビュー
• 2024-03-01
• 2024-01-01-プレビュー
• 2023-12-01-プレビュー
• 2023-11-01
• 2023-10-01-プレビュー
• 2023-09-01-プレビュー
• 2023-08-01-プレビュー
• 2023-07-01-プレビュー
• 2023-06-01-プレビュー
• 2023-05-01-プレビュー
• 2023-04-01-プレビュー
• 2023-03-01-プレビュー
• 2023-02-01
• 2023-02-01-プレビュー
• 2022-12-01-プレビュー
• 2022-11-01
• 2022-11-01-プレビュー
• 2022-10-01-プレビュー
• 2022-09-01-プレビュー
• 2022-08-01
• 2022-08-01-プレビュー
• 2022-07-01-プレビュー
• 2022-06-01-プレビュー
• 2022-05-01-プレビュー
• 2022-04-01-プレビュー
• 2022-01-01-プレビュー
• 2021-10-01
• 2021-10-01-プレビュー
• 2021-09-01-プレビュー
• 2021-04-01
• 2021-03-01-プレビュー
• 2019-01-01-プレビュー

Bicep リソース定義

ウォッチリスト リソースの種類は、次を対象とする操作でデプロイできます。

各 API バージョンで変更されたプロパティの一覧については、変更ログの参照してください。

リソースの形式

Microsoft.SecurityInsights/watchlists リソースを作成するには、次の Bicep をテンプレートに追加します。

resource symbolicname 'Microsoft.SecurityInsights/watchlists@2025-09-01' = {
  scope: resourceSymbolicName or scope
  etag: 'string'
  name: 'string'
  properties: {
    contentType: 'string'
    created: 'string'
    createdBy: {
      objectId: 'string'
    }
    defaultDuration: 'string'
    description: 'string'
    displayName: 'string'
    isDeleted: bool
    itemsSearchKey: 'string'
    labels: [
      'string'
    ]
    numberOfLinesToSkip: int
    provider: 'string'
    rawContent: 'string'
    source: 'string'
    sourceType: 'string'
    tenantId: 'string'
    updated: 'string'
    updatedBy: {
      objectId: 'string'
    }
    uploadStatus: 'string'
    watchlistAlias: 'string'
    watchlistId: 'string'
    watchlistType: 'string'
  }
}

プロパティ値

Microsoft.SecurityInsights/ウォッチリスト

名前	形容	価値
ETAGの	Azure リソースの Etag	文字列
名前	リソース名	string (必須)
プロパティ	ウォッチリストのプロパティ	ウォッチリストプロパティ
スコープ	デプロイ スコープとは異なるスコープでリソースを作成するときに使用します。	このプロパティをリソースのシンボリック名に設定して、拡張リソースを適用します。

ユーザー情報

名前	形容	価値
オブジェクトID	ユーザーのオブジェクト ID。	糸 制約： 最小長 = 36 最大長 = 36 パターン = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$

ウォッチリストプロパティ

名前	形容	価値
コンテンツタイプ	生コンテンツのコンテンツ タイプ。 例: text/csv または text/tsv	文字列
作成	ウォッチリストが作成された時刻	文字列
作成者	ウォッチリストを作成したユーザーについて説明します	UserInfo の
デフォルトデュレーション	ウォッチリストの既定の期間 (ISO 8601 期間形式)	文字列
形容	ウォッチリストの説明	文字列
ディスプレイ名	ウォッチリストの表示名	string (必須)
削除済み	ウォッチリストが削除されたかどうかを示すフラグ	ブール (bool)
itemsSearchKey (アイテム検索キー)	検索キーは、他のデータとの結合にウォッチリストを使用する場合にクエリのパフォーマンスを最適化するために使用されます。 たとえば、IP アドレスを持つ列を指定された SearchKey フィールドに設定し、IP アドレスによって他のイベント データに結合するときに、このフィールドをキー フィールドとして使用します。	string (必須)
ラベル	このウォッチリストに関連するラベルの一覧	文字列[]
numberOfLinesToSkip (スキップの行数)	ヘッダーの前にスキップする csv/tsv コンテンツ内の行数	整数 (int)
プロバイダ	ウォッチリストのプロバイダー	string (必須)
生のコンテンツ	作成するウォッチリスト項目を表す生コンテンツ。 csv/tsv コンテンツ タイプの場合、エンドポイントによって解析されるファイルのコンテンツです	文字列
ソース	ウォッチリストのファイル名 ("source" と呼ばれます)	文字列
ソースタイプ	ウォッチリストの sourceType	「AzureStorage」 「ローカル」
テナントID	ウォッチリストが属する tenantId	文字列
更新	ウォッチリストが最後に更新された時刻	文字列
更新されました	ウォッチリストを更新したユーザーについて説明します	UserInfo の
uploadStatus (アップロードステータス)	ウォッチリストのアップロードの状態: 新規、InProgress、または Complete。 注 : ウォッチリストのアップロードステータスが InProgress の場合、ウォッチリストは削除できません	文字列
ウォッチリストエイリアス	ウォッチリストのエイリアス	文字列
ウォッチリストId	ウォッチリストの ID (Guid)	文字列
ウォッチリストタイプ	ウォッチリストの型	文字列

ARM テンプレート リソース定義

ウォッチリスト リソースの種類は、次を対象とする操作でデプロイできます。

各 API バージョンで変更されたプロパティの一覧については、変更ログの参照してください。

リソースの形式

Microsoft.SecurityInsights/watchlists リソースを作成するには、次の JSON をテンプレートに追加します。

{
  "type": "Microsoft.SecurityInsights/watchlists",
  "apiVersion": "2025-09-01",
  "name": "string",
  "etag": "string",
  "properties": {
    "contentType": "string",
    "created": "string",
    "createdBy": {
      "objectId": "string"
    },
    "defaultDuration": "string",
    "description": "string",
    "displayName": "string",
    "isDeleted": "bool",
    "itemsSearchKey": "string",
    "labels": [ "string" ],
    "numberOfLinesToSkip": "int",
    "provider": "string",
    "rawContent": "string",
    "source": "string",
    "sourceType": "string",
    "tenantId": "string",
    "updated": "string",
    "updatedBy": {
      "objectId": "string"
    },
    "uploadStatus": "string",
    "watchlistAlias": "string",
    "watchlistId": "string",
    "watchlistType": "string"
  }
}

プロパティ値

Microsoft.SecurityInsights/ウォッチリスト

名前	形容	価値
apiVersion (英語)	API のバージョン	'2025-09-01'
ETAGの	Azure リソースの Etag	文字列
名前	リソース名	string (必須)
プロパティ	ウォッチリストのプロパティ	ウォッチリストプロパティ
型	リソースの種類	'Microsoft.SecurityInsights/ウォッチリスト'

ユーザー情報

名前	形容	価値
オブジェクトID	ユーザーのオブジェクト ID。	糸 制約： 最小長 = 36 最大長 = 36 パターン = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$

ウォッチリストプロパティ

名前	形容	価値
コンテンツタイプ	生コンテンツのコンテンツ タイプ。 例: text/csv または text/tsv	文字列
作成	ウォッチリストが作成された時刻	文字列
作成者	ウォッチリストを作成したユーザーについて説明します	UserInfo の
デフォルトデュレーション	ウォッチリストの既定の期間 (ISO 8601 期間形式)	文字列
形容	ウォッチリストの説明	文字列
ディスプレイ名	ウォッチリストの表示名	string (必須)
削除済み	ウォッチリストが削除されたかどうかを示すフラグ	ブール (bool)
itemsSearchKey (アイテム検索キー)	検索キーは、他のデータとの結合にウォッチリストを使用する場合にクエリのパフォーマンスを最適化するために使用されます。 たとえば、IP アドレスを持つ列を指定された SearchKey フィールドに設定し、IP アドレスによって他のイベント データに結合するときに、このフィールドをキー フィールドとして使用します。	string (必須)
ラベル	このウォッチリストに関連するラベルの一覧	文字列[]
numberOfLinesToSkip (スキップの行数)	ヘッダーの前にスキップする csv/tsv コンテンツ内の行数	整数 (int)
プロバイダ	ウォッチリストのプロバイダー	string (必須)
生のコンテンツ	作成するウォッチリスト項目を表す生コンテンツ。 csv/tsv コンテンツ タイプの場合、エンドポイントによって解析されるファイルのコンテンツです	文字列
ソース	ウォッチリストのファイル名 ("source" と呼ばれます)	文字列
ソースタイプ	ウォッチリストの sourceType	「AzureStorage」 「ローカル」
テナントID	ウォッチリストが属する tenantId	文字列
更新	ウォッチリストが最後に更新された時刻	文字列
更新されました	ウォッチリストを更新したユーザーについて説明します	UserInfo の
uploadStatus (アップロードステータス)	ウォッチリストのアップロードの状態: 新規、InProgress、または Complete。 注 : ウォッチリストのアップロードステータスが InProgress の場合、ウォッチリストは削除できません	文字列
ウォッチリストエイリアス	ウォッチリストのエイリアス	文字列
ウォッチリストId	ウォッチリストの ID (Guid)	文字列
ウォッチリストタイプ	ウォッチリストの型	文字列

使用例

Terraform (AzAPI プロバイダー) リソース定義

ウォッチリスト リソースの種類は、次を対象とする操作でデプロイできます。

各 API バージョンで変更されたプロパティの一覧については、変更ログの参照してください。

リソースの形式

Microsoft.SecurityInsights/watchlists リソースを作成するには、次の Terraform をテンプレートに追加します。

resource "azapi_resource" "symbolicname" {
  type = "Microsoft.SecurityInsights/watchlists@2025-09-01"
  name = "string"
  parent_id = "string"
  body = {
    etag = "string"
    properties = {
      contentType = "string"
      created = "string"
      createdBy = {
        objectId = "string"
      }
      defaultDuration = "string"
      description = "string"
      displayName = "string"
      isDeleted = bool
      itemsSearchKey = "string"
      labels = [
        "string"
      ]
      numberOfLinesToSkip = int
      provider = "string"
      rawContent = "string"
      source = "string"
      sourceType = "string"
      tenantId = "string"
      updated = "string"
      updatedBy = {
        objectId = "string"
      }
      uploadStatus = "string"
      watchlistAlias = "string"
      watchlistId = "string"
      watchlistType = "string"
    }
  }
}

プロパティ値

Microsoft.SecurityInsights/ウォッチリスト

名前	形容	価値
ETAGの	Azure リソースの Etag	文字列
名前	リソース名	string (必須)
parent_id	この拡張リソースを適用するリソースの ID。	string (必須)
プロパティ	ウォッチリストのプロパティ	ウォッチリストプロパティ
型	リソースの種類	"Microsoft.SecurityInsights/watchlists@2025-09-01"

ユーザー情報

名前	形容	価値
オブジェクトID	ユーザーのオブジェクト ID。	糸 制約： 最小長 = 36 最大長 = 36 パターン = ^[0-9a-fA-F]{8}-([0-9a-fA-F]{4}-){3}[0-9a-fA-F]{12}$

ウォッチリストプロパティ

名前	形容	価値
コンテンツタイプ	生コンテンツのコンテンツ タイプ。 例: text/csv または text/tsv	文字列
作成	ウォッチリストが作成された時刻	文字列
作成者	ウォッチリストを作成したユーザーについて説明します	UserInfo の
デフォルトデュレーション	ウォッチリストの既定の期間 (ISO 8601 期間形式)	文字列
形容	ウォッチリストの説明	文字列
ディスプレイ名	ウォッチリストの表示名	string (必須)
削除済み	ウォッチリストが削除されたかどうかを示すフラグ	ブール (bool)
itemsSearchKey (アイテム検索キー)	検索キーは、他のデータとの結合にウォッチリストを使用する場合にクエリのパフォーマンスを最適化するために使用されます。 たとえば、IP アドレスを持つ列を指定された SearchKey フィールドに設定し、IP アドレスによって他のイベント データに結合するときに、このフィールドをキー フィールドとして使用します。	string (必須)
ラベル	このウォッチリストに関連するラベルの一覧	文字列[]
numberOfLinesToSkip (スキップの行数)	ヘッダーの前にスキップする csv/tsv コンテンツ内の行数	整数 (int)
プロバイダ	ウォッチリストのプロバイダー	string (必須)
生のコンテンツ	作成するウォッチリスト項目を表す生コンテンツ。 csv/tsv コンテンツ タイプの場合、エンドポイントによって解析されるファイルのコンテンツです	文字列
ソース	ウォッチリストのファイル名 ("source" と呼ばれます)	文字列
ソースタイプ	ウォッチリストの sourceType	「AzureStorage」 「ローカル」
テナントID	ウォッチリストが属する tenantId	文字列
更新	ウォッチリストが最後に更新された時刻	文字列
更新されました	ウォッチリストを更新したユーザーについて説明します	UserInfo の
uploadStatus (アップロードステータス)	ウォッチリストのアップロードの状態: 新規、InProgress、または Complete。 注 : ウォッチリストのアップロードステータスが InProgress の場合、ウォッチリストは削除できません	文字列
ウォッチリストエイリアス	ウォッチリストのエイリアス	文字列
ウォッチリストId	ウォッチリストの ID (Guid)	文字列
ウォッチリストタイプ	ウォッチリストの型	文字列

使用例

Terraformサンプル

Sentinel ウォッチリストのデプロイの基本的な例。

terraform {
  required_providers {
    azapi = {
      source = "Azure/azapi"
    }
  }
}

provider "azapi" {
  skip_provider_registration = false
}

variable "resource_name" {
  type    = string
  default = "acctest0001"
}

variable "location" {
  type    = string
  default = "westeurope"
}

resource "azapi_resource" "resourceGroup" {
  type     = "Microsoft.Resources/resourceGroups@2020-06-01"
  name     = var.resource_name
  location = var.location
}

resource "azapi_resource" "workspace" {
  type      = "Microsoft.OperationalInsights/workspaces@2022-10-01"
  parent_id = azapi_resource.resourceGroup.id
  name      = var.resource_name
  location  = var.location
  body = {
    properties = {
      features = {
        disableLocalAuth                            = false
        enableLogAccessUsingOnlyResourcePermissions = true
      }
      publicNetworkAccessForIngestion = "Enabled"
      publicNetworkAccessForQuery     = "Enabled"
      retentionInDays                 = 30
      sku = {
        name = "PerGB2018"
      }
      workspaceCapping = {
        dailyQuotaGb = -1
      }
    }
  }
  schema_validation_enabled = false
  response_export_values    = ["*"]
}

resource "azapi_resource" "onboardingState" {
  type      = "Microsoft.SecurityInsights/onboardingStates@2022-11-01"
  parent_id = azapi_resource.workspace.id
  name      = "default"
  body = {
    properties = {
      customerManagedKey = false
    }
  }
}

resource "azapi_resource" "watchlist" {
  type      = "Microsoft.SecurityInsights/watchlists@2022-11-01"
  parent_id = azapi_resource.workspace.id
  name      = var.resource_name
  body = {
    properties = {
      displayName    = "test"
      itemsSearchKey = "k1"
      provider       = "Microsoft"
      source         = ""
    }
  }
  schema_validation_enabled = false
  response_export_values    = ["*"]
  depends_on                = [azapi_resource.onboardingState]
}