Um rótulo de ingestão identifica o analisador que normaliza dados de registro brutos para o formato UDM estruturado. As informações neste documento se aplicam ao analisador com o rótulo de ingestão AZURE_KEYVAULT_AUDI.
Antes de começar
Verifique se você atende aos seguintes pré-requisitos:
Uma assinatura do Azure em que você pode fazer login
Ambiente (locatário) do Azure Key Vault no Azure
Função de administrador global ou do Azure Key Vault
Conta de armazenamento do Azure para armazenar os registros
Configurar uma conta de armazenamento
Faça login no portal do Azure.
No console do Azure, pesquise Contas de armazenamento.
Selecione a conta de armazenamento de onde os registros precisam ser extraídos e clique em Chave de acesso. Para criar uma conta de armazenamento, faça o seguinte:
Clique em Criar.
Insira um nome para a nova conta de armazenamento.
Selecione a assinatura, o grupo de recursos, a região, a performance e a redundância da conta. Recomendamos definir o desempenho como standard e a redundância como GRS ou LRS.
Clique em Revisar + criar.
Revise a visão geral da conta e clique em Criar.
Clique em Mostrar chaves e anote a chave compartilhada da conta de armazenamento.
Selecione Endpoints e anote o endpoint do serviço de blob.
Para mais informações sobre como criar uma conta de armazenamento, consulte a seção Criar uma conta de armazenamento do Azure na documentação da Microsoft.
Configurar o registro em log do Azure Key Vault
No portal do Azure, acesse Key vaults e selecione o cofre de chaves que você quer configurar para geração de registros.
Na seção Monitoring, selecione Configurações de diagnóstico.
Selecione Adicionar configuração de diagnóstico. A janela Configurações de diagnóstico fornece as configurações dos registros de diagnóstico.
No campo Nome da configuração de diagnóstico, especifique o nome da configuração de diagnóstico.
Na seção Grupos de categorias, marque a caixa de seleção audit.
No campo Retenção (dias), especifique um valor de retenção de registros que esteja em conformidade com as políticas da sua organização.
A Google SecOps recomenda um mínimo de um dia de retenção de registros.
É possível armazenar os registros de registro em log do Azure Key Vault em uma conta de armazenamento ou transmitir os registros para os Hubs de Eventos. O Google SecOps oferece suporte à coleta de registros usando uma conta de armazenamento.
Arquivar em uma conta de armazenamento
Para armazenar registros em uma conta de armazenamento, na janela Configurações de diagnóstico, marque a caixa de seleção Arquivar em uma conta de armazenamento.
Na lista Assinatura, selecione a assinatura atual.
Na lista Conta de armazenamento, selecione a conta de armazenamento atual.
Configurar feeds
Há dois pontos de entrada diferentes para configurar feeds na plataforma do Google SecOps:
Configurações do SIEM > Feeds > Adicionar novo
Central de conteúdo > Pacotes de conteúdo > Começar
Como configurar o feed de registros do Azure Key Vault
Clique no pacote Plataforma do Azure.
Localize o tipo de registro Registro do Azure Key Vault e clique em Adicionar novo feed.
Especifique valores para os seguintes campos:
Tipo de origem: Armazenamento de blobs do Microsoft Azure V2.
URI do Azure: especifique o endpoint do Serviço de blobs que você recebeu anteriormente, junto com um dos nomes de contêiner dessa conta de armazenamento. Por exemplo, https://xyz.blob.core.windows.net/abc/.
Opção de exclusão de origem: especifique a opção de exclusão de origem.
Idade máxima do arquivo: inclui arquivos modificados no último número de dias.
O padrão é de 180 dias.
Chave: especifique a chave compartilhada que você recebeu anteriormente.
Opções avançadas
Nome do feed: um valor pré-preenchido que identifica o feed.
Namespace do recurso: namespace associado ao feed.
Rótulos de ingestão: rótulos aplicados a todos os eventos deste feed.
Clique em Criar feed.
Para mais informações sobre como configurar vários feeds para diferentes tipos de registros nessa família de produtos, consulte Configurar feeds por produto.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-21 UTC."],[],[],null,["# Collect Microsoft Azure Key Vault logging logs\n==============================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document describes how you can collect the Azure Key Vault logging logs by setting up a Google Security Operations feed.\n\nFor more information, see [Data ingestion to Google SecOps](/chronicle/docs/data-ingestion-flow).\n\nAn ingestion label identifies the parser which normalizes raw log data to structured\nUDM format. The information in this document applies to the parser with the\n`AZURE_KEYVAULT_AUDI` ingestion label.\n\nBefore you begin\n----------------\n\nEnsure that you have the following prerequisites:\n\n- Azure subscription that you can sign in to\n- Azure Key Vault environment (tenant) in Azure\n- Global administrator or Azure Key Vault administrator role\n- Azure storage account to store the logs\n\nConfigure a storage account\n---------------------------\n\n1. Sign in to the **Azure** portal.\n2. In the **Azure** console, search for **Storage accounts**.\n3. Select the storage account that the logs must be pulled from, and then select **Access key**. To create a new storage account, do the following:\n\n 1. Click **Create.**\n 2. Enter a name for the new storage account.\n 3. Select the subscription, resource group, region, performance, and redundancy for the account. We recommend setting the performance to *standard* , and the redundancy to *GRS* or *LRS*.\n\n 4. Click **Review + create**.\n\n 5. Review the overview of the account and click **Create.**\n\n4. Click **Show keys** and make a note of the shared key for the storage account.\n\n5. Select **Endpoints** and make a note of the **Blob service** endpoint.\n\n For more information about creating a storage account, see the **Create an Azure storage account** section in the [Microsoft documentation](http://learn.microsoft.com/).\n\nConfigure Azure Key Vault logging\n---------------------------------\n\n1. In the **Azure** portal, go to **Key vaults** and select the key vault that you want to configure for logging.\n2. In the **Monitoring** section, select **Diagnostic settings**.\n3. Select **Add diagnostic setting** . The **Diagnostics settings** window provides the settings for the diagnostic logs.\n4. In the **Diagnostic setting name** field, specify the name for diagnostic setting.\n5. In the **Category groups** section, select the **audit** checkbox.\n6. In the **Retention (days)** field, specify a log retention value that complies with your organization's policies.\n Google SecOps recommends a minimum of one day of log retention.\n\n You can store the Azure Key Vault logging logs in a storage account or stream the logs to Event Hubs. Google SecOps supports log collection using a storage account.\n\n### Archive to a storage account\n\n1. To store logs in storage account, in the **Diagnostics settings** window, select the **Archive to a storage account** checkbox.\n2. In the **Subscription** list, select the existing subscription.\n3. In the **Storage account** list, select the existing storage account.\n\nSet up feeds\n------------\n\nThere are two different entry points to set up feeds in the\nGoogle SecOps platform:\n\n- **SIEM Settings \\\u003e Feeds \\\u003e Add New**\n- **Content Hub \\\u003e Content Packs \\\u003e Get Started**\n\nHow to set up the Azure key vault logging feed\n----------------------------------------------\n\n1. Click the **Azure Platform** pack.\n2. Locate the **Azure Key Vault logging** log type and click **Add new feed**.\n3. Specify values for the following fields:\n\n - **Source Type** : **Microsoft Azure Blob Storage V2**.\n - **Azure URI** : specify the **Blob service** endpoint that you obtained previously along with one of the container names of that storage account. For example, `https://xyz.blob.core.windows.net/abc/`.\n - **Source deletion option**: specify the source deletion option.\n - **Maximum File Age**: Includes files modified in the last number of days. Default is 180 days.\n - **Key**: specify the shared key that you obtained previously.\n\n **Advanced options**\n - **Feed Name**: A prepopulated value that identifies the feed.\n - **Asset Namespace**: Namespace associated with the feed.\n - **Ingestion Labels**: Labels applied to all events from this feed.\n4. Click **Create feed**.\n\n| **Note:** The Content Hub is not available on the SIEM standalone platform. To upgrade, contact your Google SecOps representative.\n\nFor more information about configuring multiple feeds for different log types within this product family, see [Configure feeds by product](/chronicle/docs/ingestion/ingestion-entities/configure-multiple-feeds).\n\nFor more information about Google SecOps feeds, see [Google SecOps feeds documentation](/chronicle/docs/administration/feed-management).\n\nFor information about requirements for each feed type, see [Feed configuration by type](/chronicle/docs/reference/feed-management-api#feed_configuration_by_type).\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
