Сведения для понимания схемы журналов входа Azure AD в Azure Monitor

  • Статья

В этой статье описывается схема журналов входа Azure Active Directory (Azure AD) в Azure Monitor. Сведения, связанные с входами, предоставляются в атрибуте recordsProperties объекта .

{
  "time": "2019-03-12T16:02:15.5522137Z",
  "resourceId": "/tenants/<TENANT ID>/providers/Microsoft.aadiam",
  "operationName": "Sign-in activity",
  "operationVersion": "1.0",
  "category": "SignInLogs",
  "tenantId": "<TENANT ID>",
  "resultType": "50140",
  "resultSignature": "None",
  "resultDescription": "This error occurred due to 'Keep me signed in' interrupt when the user was signing-in.",
  "durationMs": 0,
  "callerIpAddress": "<CALLER IP ADDRESS>",
  "correlationId": "a75a10bd-c126-486b-9742-c03110d36262",
  "identity": "Timothy Perkins",
  "Level": 4,
  "location": "US",
  "properties": 
       {
    "id": "0231f922-93fa-4005-bb11-b344eca03c01",
    "createdDateTime": "2019-03-12T16:02:15.5522137+00:00",
    "userDisplayName": "Timothy Perkins",
    "userPrincipalName": "<USER PRINCIPAL NAME>",
    "userId": "<USER ID>",
    "appId": "<APPLICATION ID>",
    "appDisplayName": "Azure Portal",
    "ipAddress": "<IP ADDRESS>",
    "status": {
      "errorCode": 50140,
      "failureReason": "This error occurred due to 'Keep me signed in' interrupt when the user was signing-in."
    },
    "clientAppUsed": "Browser",
    "userAgent": "<USER AGENT>",
    "deviceDetail":
   {
     "deviceId": "8bfcb982-6856-4402-924c-ada2486321cc",
     "operatingSystem": "Windows 10",
     "browser": "Chrome 72.0.3626"
     },
    "location":
    {
      "city": "Bellevue",
      "state": "Washington",
      "countryOrRegion": "US",
      "geoCoordinates": 
     {
        "latitude": 45,
        "longitude": 122
      }
    },
    "correlationId": "a75a10bd-c126-486b-9742-c03110d36262",
    "conditionalAccessStatus": "notApplied",
    "appliedConditionalAccessPolicies": [
      {
        "id": "ae11ffaa-9879-44e0-972c-7538fd5c4d1a",
        "displayName": "HR app access policy",
        "enforcedGrantControls": [
          "Mfa"
        ],
        "enforcedSessionControls": [],
        "result": "notApplied",
        "conditionsSatisfied": 0,
        "conditionsNotSatisfied": 0
      },
      {
        "id": "b915a70b-2eee-47b6-85b6-ff4f4a66256d",
        "displayName": "MFA for all but global support access",
        "enforcedGrantControls": [],
        "enforcedSessionControls": [],
        "result": "notEnabled",
        "conditionsSatisfied": 0,
        "conditionsNotSatisfied": 0
      },
      {
        "id": "830f27fa-67a8-461f-8791-635b7225caf1",
        "displayName": "Header Based Application Control",
        "enforcedGrantControls": [
          "Mfa"
        ],
        "enforcedSessionControls": [],
        "result": "notApplied",
        "conditionsSatisfied": 0,
        "conditionsNotSatisfied": 0
      },
      {
        "id": "8ed8d7f7-0a2e-437b-b512-9e47bed562e6",
        "displayName": "MFA for everyones",
        "enforcedGrantControls": [],
        "enforcedSessionControls": [],
        "result": "notEnabled",
        "conditionsSatisfied": 0,
        "conditionsNotSatisfied": 0
      },
      {
        "id": "52924e0f-798b-4afd-8c42-49055c7d6395",
        "displayName": "Device compliant",
        "enforcedGrantControls": [],
        "enforcedSessionControls": [],
        "result": "notEnabled",
        "conditionsSatisfied": 0,
        "conditionsNotSatisfied": 0
      }
    ],
    "originalRequestId": "f2f0a254-f831-43b9-bcb0-2646fb645c00",
    "isInteractive": true,
    "authenticationProcessingDetails": [
      {
        "key": "Login Hint Present",
        "value": "True"
      }
    ],
    "networkLocationDetails": [],
    "processingTimeInMilliseconds": 238,
    "riskDetail": "none",
    "riskLevelAggregated": "none",
    "riskLevelDuringSignIn": "none",
    "riskState": "none",
    "riskEventTypes": [],
    "riskEventTypes_v2": [],
    "resourceDisplayName": "Office 365 SharePoint Online",
    "resourceId": "00000003-0000-0ff1-ce00-000000000000",
    "resourceTenantId": "72f988bf-86f1-41af-91ab-2d7cd011db47",
    "homeTenantId": "<USER HOME TENANT ID>",
    "tokenIssuerName": "",
    "tokenIssuerType": "AzureAD",
    "authenticationDetails": [
      {
        "authenticationStepDateTime": "2019-03-12T16:02:15.5522137+00:00",
        "authenticationMethod": "Previously satisfied",
        "succeeded": true,
        "authenticationStepResultDetail": "First factor requirement satisfied by claim in the token",
        "authenticationStepRequirement": "Primary authentication",
        "StatusSequence": 0,
        "RequestSequence": 0
      },
      {
        "authenticationStepDateTime": "2021-08-12T15:48:12.8677211+00:00",
        "authenticationMethod": "Previously satisfied",
        "succeeded": true,
        "authenticationStepResultDetail": "MFA requirement satisfied by claim in the token",
        "authenticationStepRequirement": "Multi-factor authentication"
      }
    ],
    "authenticationRequirementPolicies": [
      {
        "requirementProvider": "multiConditionalAccess",
        "detail": "Conditional Access"
      }
    ],
    "authenticationRequirement": "multiFactorAuthentication",
    "alternateSignInName": "<ALTERNATE SIGN IN>",
    "signInIdentifier": "<SIGN IN IDENTIFIER>",
    "servicePrincipalId": "",
    "userType": "Member",
    "flaggedForReview": false,
    "isTenantRestricted": false,
    "autonomousSystemNumber": 8000,
    "crossTenantAccessType": "none",
    "privateLinkDetails": {},
    "ssoExtensionVersion": ""
    }
}

Описания полей

Имя поля Ключ Описание
Time - Дата и время в формате UTC.
ResourceId - Это значение не сопоставлено, и его можно игнорировать.
OperationName - Для операций входа это поле всегда имеет значение Sign-in activity.
OperationVersion - Запрошенная клиентом версия REST API.
Категория - Для операций входа это поле всегда имеет значение SignIn.
TenantId - Связанный с журналами уникальный идентификатор (GUID) клиента.
ResultType - Результатом операции входа может быть 0 при успешном выполнении или код ошибки в случае сбоя.
ResultSignature - Всегда имеет значение None.
ResultDescription Не используется или пусто Содержит описание ошибки, которая возникла во время входа.
riskDetail riskDetail Предоставляет "причину" состояния для конкретного пользователя, совершающего рискованные действия, входа или обнаружения риска. Возможные значения: none, adminGeneratedTemporaryPassword, userPerformedSecuredPasswordChange, userPerformedSecuredPasswordReset, adminConfirmedSigninSafe, aiConfirmedSigninSafe, userPassedMFADrivenByRiskBasedPolicy, adminDismissedAllRiskForUser, adminConfirmedSigninCompromised, unknownFutureValue. Значение none означает, что для пользователя или входа пока не было выполнено никаких действий.
Примечание. Для получения подробных сведений об этом свойстве требуется лицензия Azure AD Premium P2. Другие лицензии возвращают значение hidden.
riskEventTypes riskEventTypes Типы обнаружения рисков, связанные со входом. Возможные значения: unlikelyTravel, anonymizedIPAddress, maliciousIPAddress, unfamiliarFeatures, malwareInfectedIPAddress, suspiciousIPAddress, leakedCredentials, investigationsThreatIntelligence, generic и unknownFutureValue.
authProcessingDetails Библиотека проверки подлинности приложений Azure AD Содержит сведения о семье, библиотеке и платформе в формате "Семья: библиотека проверки подлинности Майкрософт: ADAL.JS 1.0.0 Платформа: JS".
authProcessingDetails IsCAEToken Принимает значения true и false.
riskLevelAggregated riskLevel Агрегированный уровень риска. Возможные значения: none, low, medium, high, hidden и unknownFutureValue. Значение hidden означает, что пользователь или вход не были включены для Azure AD защиты идентификации. Примечание. Подробные сведения об этом свойстве доступны только клиентам с лицензией Azure AD Premium P2. Всем остальным клиентам будет возвращаться hidden.
riskLevelDuringSignIn riskLevel Уровень риска во время входа. Возможные значения: none, low, medium, high, hidden и unknownFutureValue. Значение hidden означает, что пользователь или вход не были включены для Azure AD защиты идентификации. Примечание. Подробные сведения об этом свойстве доступны только клиентам с лицензией Azure AD Premium P2. Всем остальным клиентам будет возвращаться hidden.
riskState riskState Возвращает состояние пользователя, совершающего рискованные действия, входа или обнаружения риска. Возможные значения: none, confirmedSafe, remediated, dismissed, atRisk, confirmedCompromised, unknownFutureValue.
DurationMs - Это значение не сопоставлено, и его можно игнорировать.
CallerIpAddress - IP-адрес отправившего запрос клиента.
CorrelationId - Необязательный код GUID, который передал клиент. Это значение может помочь найти связь между операциями на стороне клиента и операциями на стороне сервера. Кроме того, оно может пригодиться при отслеживании журналов, в которые записываются данные о многих службах.
Идентификация - Удостоверение из маркера, предоставленное при выполнении запроса. Это может быть учетная запись пользователя, системная учетная запись или субъект-служба.
Level - Предоставляет тип сообщения. Для операций аудита это поле всегда имеет значение Informational.
Расположение - Содержит сведения о местонахождении, в котором выполнялась операция входа.
Свойства - Содержит все свойства, связанные с операциями входа.
ResultType - Содержит код ошибки Azure AD для события входа (при наличии такого кода ошибки).

Дальнейшие действия