Salesforce のログを収集する

以下でサポートされています。

概要

このパーサーは、LEEF、CSV、JSON 形式の Salesforce ログを処理します。フィールドを抽出し、形式固有の処理（LEEF Key-Value ペア、CSV 列、JSON 構造の処理）を行い、UDM にマッピングして、メタデータと派生フィールドでデータを拡充します。パーサーは、さまざまな Salesforce イベントタイプも処理します。ログイン、ログアウト、その他のアクションに特定のロジックを適用し、イベントを分類して、適切な UDM イベントタイプを設定します。

始める前に

次の前提条件を満たしていることを確認します。

  • Google SecOps インスタンス。
  • AWS IAM、S3、AppFlow への特権アクセス。

Amazon S3 バケットを構成する

  1. バケットの作成のユーザーガイドに沿って、Amazon S3 バケットを作成します。
  2. バケットの名前とリージョンを後で参照できるように保存します。
  3. IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
  4. 作成した [ユーザー] を選択します。
  5. [セキュリティ認証情報] タブを選択します。
  6. [アクセスキー] セクションで [アクセスキーを作成] をクリックします。
  7. [ユースケース] として [サードパーティ サービス] を選択します。
  8. [次へ] をクリックします。
  9. （省略可）説明タグを追加します。
  10. [アクセスキーを作成] をクリックします。
  11. [Download .csv file] をクリックします。（アクセスキーとシークレット アクセスキーを保存して、今後の参照に備えます）。
  12. [完了] をクリックします。
  13. [権限] タブを選択します。
  14. [権限ポリシー] セクションで、[権限を追加] をクリックします。
  15. [権限を追加] を選択します。
  16. [ポリシーを直接アタッチする] を選択します。
  17. AmazonS3FullAccess ポリシーを検索します。
  18. ポリシーを選択します。
  19. [次へ] をクリックします。
  20. [権限を追加] をクリックします。

Amazon AppFlow を構成する

  1. Amazon AppFlow フローを作成します。
    • フロー名: フロー名を追加して、[次へ] をクリックします。
    • データソース: データソースとして [Salesforce] を選択します。
    • 新しい接続を作成します。
    • [Salesforce sign-in window] が表示されます。Salesforce の認証情報でログインします。
    • オブジェクト名を選択します（Salesforce から S3 バケットに転送するデータを選択します）。
    • データ転送先として [Amazon S3] を選択します。
    • フローのトリガーとして [スケジュール] を選択します。
    • [Choose Source Fields] で、[Map all fields directly] を選択してすべてのフィールドを直接マッピングするか、マッピングするフィールドを指定できます。
  2. 構成を検証します。
    • Amazon AppFlow で、作成したフローを選択し、[フローを実行] をクリックして Salesforce からデータを取得します。
    • これで、ログが S3 バケットに保存されます。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

  • [SIEM 設定] > [フィード]
  • [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

  1. [SIEM Settings] > [Feeds] に移動します。
  2. [Add New Feed] をクリックします。
  3. 次のページで [単一のフィードを設定] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: Salesforce Logs）。
  5. [ソースタイプ] として [Amazon S3] を選択します。
  6. [ログタイプ] として [Salesforce] を選択します。
  7. [次へ] をクリックします。

  8. 次の入力パラメータの値を指定します。

    • リージョン: Amazon S3 バケットが配置されているリージョン。
    • S3 URI: バケット URI。s3:/BUCKET_NAME 次のように置き換えます。
      • BUCKET_NAME: バケットの名前。
    • URI is a: S3 ストリームの構成（Single file | Directory | Directory which includes subdirectories）に応じて URI タイプを選択します。
    • Source deletion options: 必要に応じて削除オプションを選択します。
    • アクセスキー ID: s3 バケットにアクセスできるユーザー アクセスキー。
    • シークレット アクセスキー: s3 バケットにアクセスできるユーザーのシークレット キー。

  9. [次へ] をクリックします。

  10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

  • リージョン: Amazon S3 バケットが配置されているリージョン。
  • S3 URI: バケット URI。s3:/BUCKET_NAME 次のように置き換えます。
    • BUCKET_NAME: バケットの名前。
  • URI is a: S3 ストリームの構成（Single file | Directory | Directory which includes subdirectories）に応じて URI タイプを選択します。
  • Source deletion options: 必要に応じて削除オプションを選択します。
  • アクセスキー ID: s3 バケットにアクセスできるユーザー アクセスキー。
  • シークレット アクセスキー: s3 バケットにアクセスできるユーザーのシークレット キー。

詳細オプション

  • フィード名: フィードを識別する事前入力された値。
  • ソースタイプ: Google SecOps にログを収集するために使用される方法。
  • アセットの名前空間: フィードに関連付けられた名前空間。
  • Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
Account.Name target.resource.name 未加工ログの Account.Name の値。
AccountId target.resource.id 未加工ログの AccountId の値。
Action security_result.description 未加工ログの Action の値。
AdditionalInfo - IDM オブジェクトにはマッピングされません。
ApiType target.application 未加工ログの ApiType の値。
ApiVersion - IDM オブジェクトにはマッピングされません。
Application principal.application 未加工ログの Application の値。LoginAsEvent の場合は「Browser」、LoginEvent の場合は「Integration JWT Token」、objecttype が LoginHistory の LoginHistory の場合は「SfdcSiqActivityPlatform」、ApiEvent の場合は「N/A」、LoginAsEventStream の場合は「Browser」。
attributes.url target.url 未加工ログの attributes.url の値、または未加工ログのさまざまなイベントタイプの特定の URL。
attributes.type metadata.product_event_type 未加工ログの attributes.type の値。
AuthSessionId network.session_id 未加工ログの AuthSessionId の値。
Browser principal.resource.name 未加工ログの Browser の値。Browser が未加工ログで使用できず、Application が「Insights」の場合は「Unknown」。ApiType が「SOAP Partner」の LoginHistory の場合は「Java (Salesforce.com)」。Application が「SfdcSiqActivityPlatform」の LoginHistory の場合は「Unknown」。LoginAsEventStream の場合は data.properties.Browser.str。
Case.Subject target.resource.name 未加工ログの Case.Subject の値。
CaseId target.resource.id 未加工ログの CaseId の値。
cat metadata.product_event_type 未加工ログの cat の値。
City principal.location.city 未加工ログの City の値。LoginHistory の場合は LoginGeo.City の値。
Client principal.labels 未加工ログの Client の値。ラベルとしてフォーマットされます。
CLIENT_IP principal.ip、principal.asset.ip 未加工ログの CLIENT_IP の値。
ClientVersion - IDM オブジェクトにはマッピングされません。
CipherSuite network.tls.cipher 未加工ログの CipherSuite の値。
ColumnHeaders principal.labels 未加工ログの ColumnHeaders の値。ラベルとしてフォーマットされます。
ConnectedAppId principal.labels 未加工ログの ConnectedAppId の値。ラベルとしてフォーマットされます。
Contact.Name target.resource.name 未加工ログの Contact.Name の値。
ContactId target.resource.id 未加工ログの ContactId の値。
Country principal.location.country_or_region 未加工ログの Country の値、または LoginHistory の LoginGeo.Country。
CreatedByContext principal.user.userid 未加工ログの CreatedByContext の値。
CreatedById principal.resource.attribute.labels 未加工ログの CreatedById の値。ラベルとしてフォーマットされます。
CreatedDate metadata.collected_timestamp 未加工ログの CreatedDate の値。検出されない場合は現在のタイムスタンプ。
CPU_TIME target.resource.attribute.labels 未加工ログの CPU_TIME の値。ラベルとしてフォーマットされます。
data - 個別に抽出およびマッピングされるさまざまなフィールドが含まれています。
DATASET_IDS target.resource.name 未加工ログの DATASET_IDS の値。
DelegatedOrganizationId target.administrative_domain 未加工ログの DelegatedOrganizationId の値。
DelegatedUsername observer.user.userid 未加工ログの DelegatedUsername の値。
Description metadata.description 未加工ログの Description の値。
DevicePlatform principal.resource.type 未加工ログの DevicePlatform の値。リソースタイプを抽出するために解析されます。
Display metadata.description 未加工ログの Display の値。
DOWNLOAD_FORMAT target.resource.attribute.labels 未加工ログの DOWNLOAD_FORMAT の値。ラベルとしてフォーマットされます。
Duration target.resource.attribute.labels 未加工ログの Duration の値。ラベルとしてフォーマットされます。
ENTITY_NAME target.resource.attribute.labels 未加工ログの ENTITY_NAME の値。ラベルとしてフォーマットされます。
ErrorCode security_result.action 未加工ログの ErrorCode の値。ALLOW または BLOCK に変換されます。
EventDate timestamp 元のログの EventDate の値。data.properties.TIMESTAMP_DERIVED.str が利用可能な場合は data.properties.TIMESTAMP_DERIVED.str、data.properties.TIMESTAMP_DERIVED_FIRST.str が利用可能な場合は data.properties.TIMESTAMP_DERIVED_FIRST.str、@timestamp が利用可能な場合は @timestamp、created_date が利用可能な場合は created_date、timestamp が利用可能な場合は timestamp、LoginHistory の場合は LoginTime。
EventIdentifier metadata.product_log_id 未加工ログの EventIdentifier の値。
EventType metadata.product_event_type 未加工ログの EventType の値。
Id principal.user.userid 未加工ログの Id の値。SetupAuditTrail などのイベントの場合は metadata.product_log_id。
IdentityUsed principal.user.email_addresses 未加工ログの IdentityUsed の値。
Lead.Name target.resource.name 未加工ログの Lead.Name の値。
LeadId target.resource.id 未加工ログの LeadId の値。
LoginAsCategory - IDM オブジェクトにはマッピングされません。
LoginGeo.Country principal.location.country_or_region 未加工ログの LoginGeo.Country の値。
LoginHistoryId - IDM オブジェクトにはマッピングされません。
LoginKey principal.user.userid、network.session_id 未加工ログの LoginKey の値、または SetupAuditTrail の CreatedByContext。
LoginTime timestamp 未加工ログの LoginTime の値。
LoginType security_result.description 未加工ログの LoginType の値。または、ApiType が「SOAP Partner」の LoginHistory の場合は「Other Apex API」。または、Application が「SfdcSiqActivityPlatform」の LoginHistory の場合は「Remote Access 2.0」。
LoginUrl target.url、principal.url 未加工ログの LoginUrl の値。
LogFile principal.resource.attribute.labels 未加工ログの LogFile の値。ラベルとしてフォーマットされます。
LogFileContentType principal.resource.attribute.labels 未加工ログの LogFileContentType の値。ラベルとしてフォーマットされます。
LogFileLength principal.resource.attribute.labels 未加工ログの LogFileLength の値。ラベルとしてフォーマットされます。
Message - IDM オブジェクトにはマッピングされません。
METHOD network.http.method 未加工ログの METHOD の値。
Name target.application 未加工ログの Name の値。
NewValue - OldValue と組み合わせて security_result.summary を生成します。
NUMBER_FIELDS target.resource.attribute.labels 未加工ログの NUMBER_FIELDS の値。ラベルとしてフォーマットされます。
OldValue - NewValue と組み合わせて security_result.summary を生成します。
Operation security_result.description、target.resource.attribute.labels 未加工ログの Operation の値、または SetupAuditTrail の Display。
OperationStatus security_result.action 未加工ログの OperationStatus の値。ALLOW または BLOCK に変換されます。
ORGANIZATION_ID target.administrative_domain 未加工ログの ORGANIZATION_ID の値。
OsName principal.platform 未加工ログの OsName の値。
OsVersion principal.platform_version 未加工ログの OsVersion の値。
Platform principal.platform 未加工ログの Platform の値、LightningUriEventStream の場合は data.properties.OsName.str の値、LoginEventStream の場合は data.properties.OsName.str の値。
QueriedEntities target.resource.name、principal.labels 未加工ログの QueriedEntities の値。UriEvent と ApiEvent の場合は component_name。
Query target.process.command_line、principal.labels 未加工ログの Query の値。
RecordId target.resource.id 未加工ログの RecordId の値。
Records principal.labels 未加工ログの Records の値。ラベルとしてフォーマットされます。
REQUEST_ID metadata.product_log_id、target.resource.product_object_id 未加工ログの REQUEST_ID の値。
REQUEST_SIZE network.sent_bytes 未加工ログの REQUEST_SIZE の値。
REQUEST_STATUS security_result.summary 未加工ログの REQUEST_STATUS の値。
RESPONSE_SIZE network.received_bytes 未加工ログの RESPONSE_SIZE の値。
RowsProcessed target.resource.attribute.labels 未加工ログの RowsProcessed の値。ラベルとしてフォーマットされます。
RUN_TIME target.resource.attribute.labels 未加工ログの RUN_TIME の値。ラベルとしてフォーマットされます。
SamlEntityUrl - IDM オブジェクトにはマッピングされません。
SdkAppType - IDM オブジェクトにはマッピングされません。
SdkAppVersion - IDM オブジェクトにはマッピングされません。
SdkVersion - IDM オブジェクトにはマッピングされません。
Section security_result.summary 未加工ログの Section の値。
SessionKey network.session_id 未加工ログの SessionKey の値。
SessionLevel target.resource.attribute.labels 未加工ログの SessionLevel の値。ラベルとしてフォーマットされます。
SourceIp principal.ip、principal.asset.ip 未加工ログの SourceIp の値。
src principal.ip、principal.asset.ip 未加工ログの src の値。
SsoType target.resource.attribute.labels 未加工ログの SsoType の値。ラベルとしてフォーマットされます。
STATUS_CODE network.http.response_code 未加工ログの STATUS_CODE の値。
Status security_result.action、security_result.action_details 未加工ログの Status の値。ALLOW または BLOCK に変換されるか、LoginEventStream のアクションの詳細として使用されます。
Subject target.resource.name 未加工ログの Subject の値。
TargetUrl - IDM オブジェクトにはマッピングされません。
TIMESTAMP metadata.collected_timestamp 未加工ログの TIMESTAMP の値。
TIMESTAMP_DERIVED timestamp 未加工ログの TIMESTAMP_DERIVED の値。
TlsProtocol network.tls.version_protocol 未加工ログの TlsProtocol の値。
URI target.url 未加工ログの URI の値。
USER_AGENT network.http.user_agent 未加工ログの USER_AGENT の値。
USER_ID principal.user.userid 未加工ログの USER_ID の値。
USER_ID_DERIVED principal.user.product_object_id、target.resource.attribute.labels 未加工ログの USER_ID_DERIVED の値。
UserId principal.user.userid 未加工ログの UserId の値。
USER_TYPE target.resource.attribute.labels 未加工ログの USER_TYPE の値。ラベルとしてフォーマットされます。
Username principal.user.userid、principal.user.email_addresses、target.user.email_addresses 未加工ログの Username の値、またはさまざまなイベントの src_email、または IdentityProviderEventStore の IdentityUsed、または Search と SearchAlert の data.properties.Email.str、または LoginAsEventStream と LoginEventStream の data.properties.Username.str。
UserType target.resource.attribute.labels 未加工ログの UserType の値。ラベルとしてフォーマットされます。
usrName principal.user.userid、principal.user.email_addresses、target.user.email_addresses 未加工ログの usrName の値。
VerificationMethod target.resource.attribute.labels 未加工ログの VerificationMethod の値。ラベルとしてフォーマットされます。
パーサー ロジック metadata.event_type event_id フィールドと operation フィールドに基づいて派生します。または、LoginEventStream の場合は「USER_LOGIN」、Logout と LogoutEvent の場合は「USER_LOGOUT」、さまざまなイベントの場合は「USER_RESOURCE_UPDATE_CONTENT」、PlatformEncryption の場合は「USER_RESOURCE_UPDATE_PERMISSIONS」、QueuedExecution、ApexExecution、LightningInteraction、LightningPerformance、LightningPageView、URI、RestApi、API、AuraRequest、ApexCallout、OneCommerceUsage、Sites、MetadataApiOperation、OneCommerceUsage、VisualforceRequest、Dashboard、Search、ListViewEvent の場合は「RESOURCE_READ」、Operation が「Create」または「INSERT」の UriEvent と TimeBasedWorkflow の場合は「RESOURCE_CREATION」、Operation が「Update」の UriEvent と LightningUriEvent の場合は「RESOURCE_WRITTEN」、Operation が「Delete」または「ROLLBACK」の UriEvent の場合は「RESOURCE_DELETION」、SetupAuditTrail と AuditTrail の場合は「USER_UNCATEGORIZED」、operation が「namedCredentialEncryptedFieldChange」の SetupAuditTrail の場合は「USER_CHANGE_PASSWORD」、ApiEventStream と LightningUriEventStream の場合は「GENERIC_EVENT」、またはネットワークとプリンシパルの有無に基づいて設定されます。
パーサー ロジック metadata.ingestion_labels イベントのソースを示すラベル（「Event Log File」、「Real-Time Event Monitoring」、「SetupAuditTrail」のいずれか）。
パーサー ロジック metadata.log_type 常に「SALESFORCE」に設定されます。
パーサー ロジック metadata.product_name 常に「SALESFORCE」に設定されます。
パーサー ロジック metadata.vendor_name 常に「SALESFORCE」に設定されます。
パーサー ロジック metadata.url_back_to_product LoginUrl、attributes.url、data.properties.PageUrl.str、data.properties.LoginUrl.str などのさまざまなフィールドから構築されます。
パーサー ロジック network.application_protocol uri フィールドが「http」で始まる場合、「HTTPS」に設定します。
パーサー ロジック network.http.referral_url 「Referer=」が含まれている場合は user_agent フィールドから抽出されます。
パーサー ロジック network.http.response_code さまざまなイベントの request_status から派生します。
パーサー ロジック network.http.user_agent 未加工ログの user_agent の値、または ApiEventStream と LoginEventStream の data.properties.UserAgent.str の値、または Sites イベントの値、または Sites イベントの「User-Agent」。
パーサー ロジック network.session_id 未加工ログの session_key または SESSION_KEY の値。または、LoginKey や AuthSessionId などの他のフィールドから構築された値。
パーサー ロジック network.tls.version 未加工ログの tls_protocol の値、または LoginEventStream の場合は data.properties.TlsProtocol.str の値。
パーサー ロジック principal.application 未加工のログの application の値。ログイン: 成功イベントの場合は「Salesforce for Outlook」、アプリケーションがないログイン: 成功イベントの場合は「Insights」、Lightning イベントの場合は device_platform から抽出された値。
パーサー ロジック principal.asset.hostname client_ip がホスト名の場合の値。
パーサー ロジック principal.asset.ip IP アドレスの場合の client_ip、src_ip、SourceIp、CLIENT_IP の値。
パーサー ロジック principal.hostname client_ip がホスト名の場合の値。
パーサー ロジック principal.ip IP アドレスの場合の client_ip、src_ip、SourceIp、CLIENT_IP の値。
パーサー ロジック principal.labels FederationIdentifier、ApiType、OrgId、channel などのさまざまなフィールドから構築されたラベル。
パーサー ロジック principal.location.city 未加工ログの geoip_src.city_name、City、または LoginGeo.City の値。
パーサー ロジック principal.location.country_or_region 未加工ログの geoip_src.country_name、Country、LoginGeo.Country、client_geo の値。
パーサー ロジック principal.location.region_latitude 未加工ログの data.properties.LoginLatitude.number の値。
パーサー ロジック principal.location.region_longitude 未加工ログの data.properties.LoginLongitude.number の値。
パーサー ロジック principal.location.state 未加工ログの geoip_src.region_name の値。
パーサー ロジック principal.platform 未加工ログの Platform、OsName、os_name の値。または、Platform に「Windows」が含まれている LoginEventStream の場合は「WINDOWS」。
パーサー ロジック principal.platform_version 未加工ログの OsVersion または os_version の値。または、Platform に「Windows」が含まれる LoginEventStream の Platform から抽出された値。
パーサー ロジック principal.resource.attribute.labels CreatedById、ApiVersion、LogFile、LogFileContentType、LogFileLength などのさまざまなフィールドから構築されたラベル。
パーサー ロジック principal.resource.name 未加工ログの Browser または browser_name の値。または、ApiType が「SOAP Partner」の LoginHistory の場合は「Java (Salesforce.com)」。
パーサー ロジック principal.resource.type Lightning イベントの場合は device_platform から、LoginAsEvent と LoginAsEventStream の場合は「Browser」から抽出されます。
パーサー ロジック principal.url 未加工ログの LoginUrl の値。
パーサー ロジック principal.user.email_addresses 未加工ログの usrName、Username、src_email、IdentityUsed、data.properties.Username.str、data.properties.Email.str の値。
パーサー ロジック principal.user.product_object_id 未加工ログの attrs.USER_ID_DERIVED または data.properties.USER_ID_DERIVED.str の値。
パーサー ロジック principal.user.userid 未加工ログの usrName、Username、user_id、UserId、USER_ID、Id、LoginKey、CreatedByContext、data.properties.Username.str、data.properties.USER_ID.str、data.properties.LoginKey.str の値。
パーサー ロジック security_result.action 未加工ログの Status、OperationStatus、ErrorCode、action、operation_status から取得され、ALLOW または BLOCK に変換されます。
パーサー ロジック security_result.action_details LoginEventStream の未加工ログの Status の値。
パーサー ロジック security_result.description 未加工ログの LoginType、logintype、Operation、Action、または Display の値。
パーサー ロジック security_result.rule_name 未加工ログの Policy または rule_name の値。
パーサー ロジック security_result.summary 未加工ログの NewValue、OldValue、REQUEST_STATUS、Section、forecastcategory から作成されます。
パーサー ロジック target.administrative_domain 未加工ログの ORGANIZATION_ID、DelegatedOrganizationId、organization_id、data.properties.OrgName.str の値。
パーサー ロジック target.application 未加工ログの Application、app_name、ApiType、Name、または data.properties.Application.str の値。
パーサー ロジック target.asset.hostname uri フィールドから抽出された target_hostname の値。
パーサー ロジック target.asset.ip 未加工ログの data.properties.CLIENT_IP.str の値。
パーサー ロジック target.asset_id device_id または REQUEST_ID から構築されます。
パーサー ロジック target.file.mime_type 未加工ログの file_type の値。
パーサー ロジック target.file.size 未加工ログの size_bytes の値。
パーサー ロジック target.hostname uri フィールドから抽出された target_hostname の値。
パーサー ロジック target.process.command_line 未加工ログの query_exec、Query、または data.properties.Query.str の値。
パーサー ロジック target.process.pid 未加工ログの job_id の値。
パーサー ロジック target.resource.attribute.labels CPU_TIME、RUN_TIME、USER_TYPE、DB_TOTAL_TIME、MEDIA_TYPE、ROWS_PROCESSED、NUMBER_FIELDS、DB_BLOCKS、DB_CPU_TIME、ENTITY_NAME、EXCEPTION_MESSAGE、USER_ID_DERIVED、DOWNLOAD_FORMAT、USER_TYPE、CPU_TIME、RUN_TIME、WAVE_SESSION_ID、SessionLevel、verification_method、cpu_time、run_time、db_total_time、db_cpu_time、exec_time、callout_time、number_soql_queries、duration、user_type、entry_point、operation、session_level、rows_processed、sso_type、dashboard_type、Operation、SessionLevel などのさまざまなフィールドから構築されたラベル。
パーサー ロジック target.resource.id 未加工ログの REQUEST_ID、RecordId、caseid、leadid、contactid、opportunityid、accountid の値。
パーサー ロジック target.resource.name 未加工ログの QueriedEntities、resource_name、component_name、DATASET_IDS、field、StageName、Subject の値。
パーサー ロジック target.resource.product_object_id 未加工ログの REQUEST_ID の値。
パーサー ロジック target.resource.resource_type ApexCallout と PlatformEncryption の場合は「ACCESS_POLICY」、ApexTrigger の場合は「DATABASE」、ContentTransfer の場合は「FILE」、ApiEvent の場合は「TABLE」に設定します。
パーサー ロジック target.resource.type QueuedExecution と ApexExecution の場合は「BATCH」、ContentTransfer の場合は「FILE」、ApexTrigger の場合は「DATABASE_TRIGGER」、対応する ID フィールドが存在する場合は「Case」、「Lead」、「Contact」、「Opportunity」、「Account」に設定します。
パーサー ロジック target.url 未加工ログの LoginUrl、URI、attributes.url、login_url、または uri の値。
パーサー ロジック target.user.email_addresses 未加工ログの Username、attrs.usrName、または email_address の値。
パーサー ロジック target.user.user_display_name 未加工ログの target_user_display_name、user_name、または username の値。
パーサー ロジック target.user.userid 未加工ログの target_user_name、data.properties.UserId.str、または data.properties.CreatedById.str の値。
パーサー ロジック extensions.auth.auth_details Status が「Success」でない場合は「ACTIVE」に設定し、それ以外の場合は「UNKNOWN_AUTHENTICATION_STATUS」に設定します。
パーサー ロジック extensions.auth.mechanism logintype に「Remote」が含まれるログイン: 成功イベントとログイン イベントの場合は「REMOTE」、LoginEventStream の場合は「USERNAME_PASSWORD」、login_url が存在するイベントの場合は「MECHANISM_OTHER」、ログイン: 成功イベントとログアウト イベントの場合は「AUTHTYPE_UNSPECIFIED」に設定します。
パーサー ロジック extensions.auth.type LoginType が「SAML Sfdc Initiated SSO」の Login、Logout、LogoutEvent、LoginAs、IdentityProviderEventStore、LoginHistory、LoginAsEvent の場合は「SSO」に設定します。LoginType が「Application」の Login: Success、Logout、LoginAsEvent の場合は「AUTHTYPE_UNSPECIFIED」に設定します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。