Uzyskiwanie interfejsu API informacji o użytkowniku związanych z alertami

Dotyczy:

• Ochrona punktu końcowego w usłudze Microsoft Defender (plan 1)
• Ochrona punktu końcowego w usłudze Microsoft Defender (plan 2)
• Microsoft Defender XDR

Chcesz poznać usługę ochrony punktu końcowego w usłudze Microsoft Defender? Utwórz konto, aby skorzystać z bezpłatnej wersji próbnej.

Uwaga

Jeśli jesteś klientem rządowym USA, użyj identyfikatorów URI wymienionych w usłudze Microsoft Defender for Endpoint dla klientów rządowych USA.

Porada

Aby uzyskać lepszą wydajność, możesz użyć serwera bliżej lokalizacji geograficznej:

• us.api.security.microsoft.com
• eu.api.security.microsoft.com
• uk.api.security.microsoft.com
• au.api.security.microsoft.com
• swa.api.security.microsoft.com
• ina.api.security.microsoft.com

Opis interfejsu API

Pobiera użytkownika związanego z określonym alertem.

Ograniczenia

• Możesz wykonywać zapytania dotyczące alertów ostatnio aktualizowanych zgodnie ze skonfigurowanym okresem przechowywania.
• Ograniczenia szybkości dla tego interfejsu API to 100 wywołań na minutę i 1500 wywołań na godzinę.

Uprawnienia

Do wywołania tego interfejsu API jest wymagane jedno z następujących uprawnień. Aby dowiedzieć się więcej, w tym jak wybrać uprawnienia, zobacz Korzystanie z usługi Microsoft Defender dla interfejsów API punktu końcowego

Typ uprawnień	Uprawnienie	Nazwa wyświetlana uprawnień
Aplikacja	User.Read.All	"Odczytywanie profilów użytkowników"
Delegowane (konto służbowe)	User.Read.All	"Odczytywanie profilów użytkowników"

Uwaga

Podczas uzyskiwania tokenu przy użyciu poświadczeń użytkownika:

• Użytkownik musi mieć co najmniej następujące uprawnienia roli: "Wyświetl dane" (zobacz Tworzenie ról i zarządzanie nimi , aby uzyskać więcej informacji)
• Użytkownik musi mieć dostęp do urządzenia skojarzonego z alertem na podstawie ustawień grupy urządzeń (zobacz Tworzenie grup urządzeń i zarządzanie nimi , aby uzyskać więcej informacji)

Tworzenie grupy urządzeń jest obsługiwane w usłudze Defender for Endpoint Plan 1 i Plan 2.

Żądanie HTTP

GET /api/alerts/{id}/user

Nagłówki żądań

Name (Nazwa)	Wpisać	Opis
Autoryzacja	Ciąg	Element nośny {token}. Wymagane.

Treść żądania

Pusty

Odpowiedź

Jeśli działanie i alert i użytkownik istnieje — 200 OK z użytkownikiem w treści. Jeśli alert lub użytkownik nie został znaleziony — nie znaleziono 404.

Przykład

Przykład żądania

Oto przykład żądania.

GET https://api.securitycenter.microsoft.com/api/alerts/636688558380765161_2136280442/user

Przykład odpowiedzi

Oto przykład odpowiedzi.

{
    "@odata.context": "https://api.securitycenter.microsoft.com/api/$metadata#Users/$entity",
    "id": "contoso\\user1",
    "accountName": "user1",
    "accountDomain": "contoso",
    "accountSid": "S-1-5-21-72051607-1745760036-109187956-93922",
    "firstSeen": "2019-12-08T06:33:39Z",
    "lastSeen": "2020-01-05T06:58:34Z",
    "mostPrevalentMachineId": "0111b647235c26159bec3e5eb6c8c3a0cc3ab766",
    "leastPrevalentMachineId": "0111b647235c26159bec3e5eb6c8c3a0cc3ab766",
    "logonTypes": "Network",
    "logOnMachinesCount": 1,
    "isDomainAdmin": false,
    "isOnlyNetworkUser": false
}

Porada

Chcesz dowiedzieć się więcej? Skontaktuj się ze społecznością zabezpieczeń firmy Microsoft w naszej społeczności technicznej: Microsoft Defender for Endpoint Tech Community.