VMware Airwatch のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して VMware Airwatch（VMware Workspace ONE UEM）ログを Google Security Operations に取り込む方法について説明します。パーサーは、さまざまな形式（SYSLOG + KV、CEF）のログからセキュリティ イベント データを抽出します。まず、AirWatch ログ構造に固有の一連の Grok パターンを使用してログ メッセージの解析を試み、イベントデータからキーと値のペアを抽出して統合データモデル（UDM）フィールドにマッピングし、イベントを分類してセキュリティ分析用のコンテキスト情報を追加します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows 2016 以降、または systemd を使用する Linux ホスト
  • プロキシの背後で実行している場合は、ファイアウォール ポートが開いていることを確認する
  • VMware Airwatch への特権アクセス

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [コレクション エージェント] に移動します。
  3. Ingestion Authentication File をダウンロードします。Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストール リソース

その他のインストール オプションについては、インストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

  1. 構成ファイルにアクセスします。
    • config.yaml ファイルを見つけます。通常、Linux では /etc/bindplane-agent/ ディレクトリに、Windows ではインストール ディレクトリにあります。
    • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

  2. config.yaml ファイルを次のように編集します。

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'AIRWATCH'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
    • <customer_id> は、実際の顧客 ID に置き換えます。
    • /path/to/ingestion-authentication-file.json の値を、Google SecOps の取り込み認証ファイルを取得するで認証ファイルを保存したパスに更新します。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart bindplane-agent

  • Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

    net stop BindPlaneAgent && net start BindPlaneAgent

VMware Airwatch（VMware Workspace ONE UEM）の Syslog を構成する

  1. VMware AirWatch ウェブ UI にログインします。
  2. [Monitor] > [Reports and Analytics] > [Events] > [Syslog] に移動します。
  3. 次の構成の詳細を入力します。
    • Syslog Integration: [Enabled] を選択します。
    • ホスト名: Bindplane エージェントの IP アドレスを入力します。
    • Protocol: [UDP] を選択します。
    • ポート: Bindplane エージェントのポート番号を入力します。
    • Message Tag（メッセージ タグ）: 「Airwatch」と入力します。
    • メッセージの内容: デフォルトのままにします。
  4. [詳細設定] タブに移動します。
  5. 次の構成の詳細を入力します。
    • Console Events: [Enable] を選択します。
    • Select Console Events to Send to Syslog: [Select All] をクリックします。
    • Device Events: [Enable] を選択します。
    • Select Device Events to Send to Syslog: [Select All] をクリックします。
  6. [保存] をクリックします。
  7. [Test Connection] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
AdminAccount principal.user.userid この値は、未加工ログの AdminAccount フィールドから取得されます。
Application target.application この値は、未加工ログのアプリケーション フィールドから取得されます。
ApplicationUUID additional.fields[].value.string_value この値は、未加工ログの ApplicationUUID フィールドから取得されます。キーは「ApplicationUUID」に設定されます。
BytesReceived network.received_bytes この値は、未加工ログの BytesReceived フィールドから取得されます。
Device target.hostname この値は、未加工ログの [Device] フィールドから取得されます。
DeviceEventLogDescription metadata.description この値は、未加工ログの DeviceEventLogDescription フィールドから取得されます。
Enrollment User principal.user.userid この値は、event_name が AppCatalogLaunch、InstallApplicationConfirmed、InstallProfileConfirmed、BreakMDMConfirmed、DeviceOperatingSystemChanged、RemoveProfileConfirmed、CertificateIssued、CompromisedStatusChanged、AppListSampleRefused、CertificateListSampleRefused、DeviceInformationRefused、ProfileListRefused、SecurityInformation、SecureChannelCheckIn、SecurityInformationConfirmed、StartACMConfirmed、DeviceAttributeDeviceMCCModified、DeviceAttributePhoneNumberModified、AvailableOSUpdatesList、AvailableOsUpdatesConfirmed のいずれかの場合、未加工ログの Enrollment User フィールドから取得されます。
Event Category additional.fields[].value.string_value この値は、未加工ログの [イベント カテゴリ] フィールドから取得されます。キーは「Event Category」に設定されます。
Event Module additional.fields[].value.string_value この値は、未加工ログのイベント モジュール フィールドから取得されます。キーは「Event Module」に設定されます。
Event Source additional.fields[].value.string_value この値は、未加工ログの [Event Source] フィールドから取得されます。キーは「Event Source」に設定されます。
Event Timestamp metadata.event_timestamp.seconds この値は、未加工ログの [Event Timestamp] フィールドから取得されます。
FriendlyName target.hostname この値は、未加工ログの FriendlyName フィールドから取得されます。
GroupManagementData security_result.description この値は、未加工ログの GroupManagementData フィールドから取得されます。
Hmac additional.fields[].value.string_value この値は、未加工ログの Hmac フィールドから取得されます。キーは「Hmac」に設定されます。
LoginSessionID network.session_id この値は、未加工ログの LoginSessionID フィールドから取得されます。
MessageText metadata.description この値は、未加工ログの MessageText フィールドから取得されます。
OriginatingOrganizationGroup principal.user.group_identifiers この値は、未加工ログの OriginatingOrganizationGroup フィールドから取得されます。
OwnershipType additional.fields[].value.string_value この値は、未加工ログの OwnershipType フィールドから取得されます。キーは「OwnershipType」に設定されます。
Profile target.resource.name この値は、未加工ログの Profile フィールドから取得されます。
ProfileName target.resource.name この値は、未加工ログの ProfileName フィールドから取得されます。
Request Url target.url この値は、未加工ログの [Request Url] フィールドから取得されます。
SmartGroupName target.group.group_display_name この値は、未加工ログの SmartGroupName フィールドから取得されます。
Tags additional.fields[].value.string_value この値は、未加工ログの [Tags] フィールドから取得されます。キーは「Tags」に設定されます。
User target.user.userid event_name が SSPUserLoginAttemptFailed の場合、この値は未加工ログの User フィールドから取得されます。
event_name metadata.product_event_type この値は、未加工ログの Event フィールドから取得されます。
extensions.auth.type event_name が AdminUserLoggedIn、SSPUserLoginAttemptFailed、AdminUserLoggedOut、AuthTokenIssued、AuthTokenRevoked のいずれかの場合、値は「SSO」に設定されます。
is_alert event_name が ComplianceStatusChanged、DeviceProfileTypeBlocked、ComplianceActionTaken のいずれかの場合、値は「true」に設定されます。
is_significant event_name が ComplianceStatusChanged の場合、値は「true」に設定されます。
is_significant event_name が DeviceProfileTypeBlocked の場合、値は「false」に設定されます。
metadata.event_type event_name が SecureChannelCheckIn の場合、値は「GENERIC_EVENT」に設定されます。
metadata.event_type event_name が ApplicationGroupCreated の場合、値は「GROUP_CREATION」に設定されます。
metadata.event_type event_name が SmartGroupsDeleted の場合、値は「GROUP_DELETION」に設定されます。
metadata.event_type event_name が SmartGroupsModified または ApplicationGroupAssignmentModified のいずれかの場合、値は「GROUP_MODIFICATION」に設定されます。
metadata.event_type event_data フィールドに「session」が含まれており、hash_value フィールドが「org」で終わる場合、値は「NETWORK_CONNECTION」に設定されます。
metadata.event_type principal_hostname フィールドまたは src_ip フィールドが空でなく、かつ target_hostname フィールドまたは target_ip フィールドが空でない場合、値は「NETWORK_CONNECTION」に設定されます。
metadata.event_type event_name が Revoked で、event_data フィールドに「Certificate」が含まれていない場合、値は「SETTING_DELETION」に設定されます。
metadata.event_type event_name が DeviceAttributeDeviceMCCModified、DeviceAttributePhoneNumberModified、ComplianceStatusChanged、DeviceProfileTypeBlocked、DeviceProfileTypeUnblocked のいずれかの場合、値は「SETTING_MODIFICATION」に設定されます。
metadata.event_type event_name が AppListSampleRefused、CertificateListSampleRefused、DeviceInformationRefused、ProfileListRefused、SecurityInformation、StartACMRequested、AvailableOSUpdatesList、AvailableOsUpdatesConfirmed、AvailableOsUpdatesRequested のいずれかの場合、値は「STATUS_UNCATEGORIZED」に設定されます。
metadata.event_type event_name が BreakMDMRequested、CertificateIssued、CompromisedStatusChanged、SecureChannelCheckIn、EditDevice のいずれかの場合、値は「STATUS_UPDATE」に設定されます。
metadata.event_type event_name が AdminUserLoggedOut、AuthTokenIssued、AuthTokenRevoked のいずれかの場合、値は「USER_LOGOUT」に設定されます。
metadata.event_type event_name が AdminUserLoggedIn または SSPUserLoginAttemptFailed のいずれかの場合、値は「USER_LOGIN」に設定されます。
metadata.event_type request_url フィールドが空でない場合、値は「USER_RESOURCE_ACCESS」に設定されます。
metadata.event_type event_name が AppCatalogLaunch の場合、値は「USER_RESOURCE_ACCESS」に設定されます。
metadata.event_type event_name が ApplicationDownload、EnrollmentComplete、InstallApplicationConfirmed、InstallProfileConfirmed のいずれかの場合、値は「USER_RESOURCE_CREATION」に設定されます。
metadata.event_type event_name が BreakMDMConfirmed または RemoveProfileConfirmed のいずれかの場合、値は「USER_RESOURCE_DELETION」に設定されます。
metadata.event_type event_name が ProfileModified、ProfilePublished、ProfileSetToInactive、ProfileVersionAdded、RestrictionPayloadModified、DeviceOperatingSystemChanged のいずれかの場合、値は「USER_RESOURCE_UPDATE_CONTENT」に設定されます。
metadata.event_type event_name が EULAAccepted の場合、値は「USER_RESOURCE_UPDATE_PERMISSIONS」に設定されます。
metadata.event_type event_name が Revoked、ComplianceNotificationSent、DeleteDeviceRequested、DeviceClearPasscodeRequested、DeviceWipeRequested、InstallApplicationRequested、ApplicationInstallOnDeviceRequested、RemoveApplicationRequested、SendMessageRequested、AddMissingUserCompletedEvent、AddMissingUserFailureEvent、ApplicationAdded、ApplicationDeleted、ApplicationRemoveFromDeviceRequested、ApplicationModified、ApplicationPublished、ApplicationPublishFailed、ApplicationPublishStarted、ApplicationVersionAdded、SyncGroupCompletedEvent、SyncGroupFailureEvent、SearchMissingUserCompleteEvent、SyncAdminFailure、SyncUserCompletedEvent、SyncUserFailureEvent、UserDeleted、HealthAttestationCertificateRequestConfirmed、WindowsDeviceCheckInMode、SampleResponseListReceived、HealthAttestationCertificateRequested、WindowsInformationConfirmed、RemoteManagement、HealthAttestationServerToServerSyncReqConfirmed、ScepThumbprintSampleConfirmed、HealthAttestationSampleRequestConfirmed、HealthAttestationServerToServerSyncRequested、HealthAttestationServerToServerSyncRequestFailed、WipeRequest、InstallApplicationFailed、OwnershipChanged、WipeConfirmed、FreshDeviceCreatedInDeviceState、UserSetToInactive、ExistingDeviceUpdatedInDeviceState、HealthAttestationCertificateRequestFailed、AppleOsXmdmDeviceTokenUpdate、DeviceUnenrolled、ScheduleOsUpdateResults、UserRoleAssignmentModified、UserModified、AppleTokenUpdateComplete、UserEnrollmentTokenCreated、ScheduleOsUpdatesConfirmed、OsUpdateStatusRequested、InstallProfileConfirmed、TagAssignmentChanged のいずれかの場合、値は「USER_UNCATEGORIZED」に設定されます。
metadata.log_type 値は「AIRWATCH」に設定されます。
metadata.product_name 値は「AirWatch」に設定されます。
metadata.vendor_name 値は「VMWare」に設定されます。
network.application_protocol application_protocol フィールドに「HTTP」が含まれている場合、値は「HTTP」に設定されます。
network.http.method この値は、未加工ログの method_url フィールドから取得されます。
network.http.referral_url この値は、未加工ログの referral_url フィールドから取得されます。
network.http.response_code この値は、未加工ログの http_status フィールドから取得されます。
network.http.user_agent この値は、未加工ログの user_agent フィールドから取得されます。
network.ip_protocol protocol フィールドが「TCP」の場合、値は「TCP」に設定されます。
network.ip_protocol protocol フィールドが「UDP」の場合、値は「UDP」に設定されます。
principal.administrative_domain この値は、event_name が SmartGroupsDeleted、SmartGroupsModified、ProfileModified、ProfilePublished、ProfileSetToInactive、DeleteDeviceRequested、DeviceEnterpriseWipeRequested、InstallProfileRequested、RemoveProfileRequested、FindDeviceRequested、InstallApplicationRequested、ApplicationInstallOnDeviceRequested、RemoveApplicationRequested、SendMessageRequested、ApplicationAdded、ApplicationDeleted、ApplicationRemoveFromDeviceRequested、ApplicationModified、ApplicationPublished、ApplicationPublishFailed、ApplicationPublishStarted、ApplicationVersionAdded、UserDeleted のいずれかの場合、未加工ログのドメイン フィールドから取得されます。
principal.hostname この値は、未加工ログのホスト名フィールドから取得されます。
principal.ip この値は、event_name が AuthTokenIssued、AuthTokenRevoked、BreakMDMRequested、ComplianceNotificationSent、DeleteDeviceRequested、Revoked、ComplianceStatusChanged、CompliancePolicyModified、ProfileModified、ProfilePublished、ProfileSetToInactive、SmartGroupsDeleted、ApplicationDownload、EnrollmentComplete、EULAAccepted、StartACMRequested、DeviceEnterpriseWipeRequested、InstallApplicationRequested、InstallProfileRequested、RemoveProfileRequested、ApplicationInstallOnDeviceRequested、FindDeviceRequested、RemoveApplicationRequested、SendMessageRequested、AvailableOsUpdatesRequested、DeviceProfileTypeBlocked、DeviceProfileTypeUnblocked、AddMissingUserCompletedEvent、AddMissingUserFailureEvent、ApplicationAdded、ApplicationDeleted、ApplicationGroupAssignmentModified、ApplicationGroupCreated、ApplicationRemoveFromDeviceRequested、ApplicationModified、ApplicationPublished、ApplicationPublishFailed、ApplicationPublishStarted、ApplicationVersionAdded、DeviceWipeRequested、ProfileVersionAdded、RestrictionPayloadModified、SmartGroupsModified、SyncGroupCompletedEvent、SyncGroupFailureEvent、SearchMissingUserCompleteEvent、SyncAdminFailure、SyncUserCompletedEvent、SyncUserFailureEvent、UserDeleted、HealthAttestationCertificateRequestConfirmed、WindowsDeviceCheckInMode、SampleResponseListReceived、HealthAttestationCertificateRequested、WindowsInformationConfirmed、RemoteManagement、HealthAttestationServerToServerSyncReqConfirmed、ScepThumbprintSampleConfirmed、HealthAttestationSampleRequestConfirmed、HealthAttestationServerToServerSyncRequested、HealthAttestationServerToServerSyncRequestFailed、WipeRequest、InstallApplicationFailed、OwnershipChanged、WipeConfirmed、FreshDeviceCreatedInDeviceState、UserSetToInactive、ExistingDeviceUpdatedInDeviceState、HealthAttestationCertificateRequestFailed、AppleOsXmdmDeviceTokenUpdate、DeviceUnenrolled、ScheduleOsUpdateResults、UserRoleAssignmentModified、UserModified、ComplianceActionTaken、AppleTokenUpdateComplete、UserEnrollmentTokenCreated、ScheduleOsUpdatesConfirmed、OsUpdateStatusRequested のいずれかの場合に、未加工ログの sys_ip フィールドから取得されます。
principal.process.pid この値は、未加工ログの process_id フィールドから取得されます。
principal.user.group_identifiers この値は、event_name が AuthTokenIssued または AuthTokenRevoked のいずれかの場合、未加工ログの auth_group フィールドから取得されます。
principal.user.user_display_name この値は、未加工ログの user_info フィールドから取得されます。
principal.user.userid この値は、event_name が AuthTokenIssued、AuthTokenRevoked、BreakMDMRequested、ComplianceNotificationSent、DeleteDeviceRequested、Revoked、ComplianceStatusChanged、CompliancePolicyModified、ProfileModified、ProfilePublished、ProfileSetToInactive、SmartGroupsDeleted、ApplicationDownload、EnrollmentComplete、EULAAccepted、StartACMRequested、DeviceEnterpriseWipeRequested、InstallApplicationRequested、InstallProfileRequested、RemoveProfileRequested、ApplicationInstallOnDeviceRequested、FindDeviceRequested、RemoveApplicationRequested、SendMessageRequested、AvailableOsUpdatesRequested、DeviceProfileTypeBlocked、DeviceProfileTypeUnblocked、AddMissingUserCompletedEvent、AddMissingUserFailureEvent、ApplicationAdded、ApplicationDeleted、ApplicationGroupAssignmentModified、ApplicationGroupCreated、ApplicationRemoveFromDeviceRequested、ApplicationModified、ApplicationPublished、ApplicationPublishFailed、ApplicationPublishStarted、ApplicationVersionAdded、DeviceWipeRequested、ProfileVersionAdded、RestrictionPayloadModified、SmartGroupsModified、SyncGroupCompletedEvent、SyncGroupFailureEvent、SearchMissingUserCompleteEvent、SyncAdminFailure、SyncUserCompletedEvent、SyncUserFailureEvent、UserDeleted、HealthAttestationCertificateRequestConfirmed、WindowsDeviceCheckInMode、SampleResponseListReceived、HealthAttestationCertificateRequested、WindowsInformationConfirmed、RemoteManagement、HealthAttestationServerToServerSyncReqConfirmed、ScepThumbprintSampleConfirmed、HealthAttestationSampleRequestConfirmed、HealthAttestationServerToServerSyncRequested、HealthAttestationServerToServerSyncRequestFailed、WipeRequest、InstallApplicationFailed、OwnershipChanged、WipeConfirmed、FreshDeviceCreatedInDeviceState、UserSetToInactive、ExistingDeviceUpdatedInDeviceState、HealthAttestationCertificateRequestFailed、AppleOsXmdmDeviceTokenUpdate、DeviceUnenrolled、ScheduleOsUpdateResults、UserRoleAssignmentModified、UserModified、ComplianceActionTaken、AppleTokenUpdateComplete、UserEnrollmentTokenCreated、ScheduleOsUpdatesConfirmed、OsUpdateStatusRequested、EditDevice のいずれかの場合に、未加工ログの user_name フィールドから取得されます。
security_result.action event_name が DeviceProfileTypeUnblocked の場合、値は「ALLOW」に設定されます。
security_result.action event_name が DeviceProfileTypeBlocked、SyncAdminFailure、SyncGroupFailureEvent、SyncUserFailureEvent のいずれかの場合、値は「BLOCK」に設定されます。
security_result.category event_name が SSPUserLoginAttemptFailed の場合、値は「AUTH_VIOLATION」に設定されます。
security_result.category event_name が ComplianceStatusChanged、DeviceProfileTypeBlocked、DeviceProfileTypeUnblocked、ComplianceNotificationSent、CompromisedStatusChanged のいずれかの場合、値は「POLICY_VIOLATION」に設定されます。
security_result.category_details この値は、未加工ログの [イベント カテゴリ] フィールドから取得されます。
security_result.description 説明フィールドに IP アドレスが含まれている場合、この値は未加工ログの des フィールドから取得されます。
security_result.description この値は、説明フィールドに IP アドレスが含まれていない場合に、未加工ログの説明フィールドから取得されます。
security_result.description event_name が SyncAdminFailure の場合、値は「予期しないエラーが発生しました。詳しくはログをご確認ください」に設定されます。
security_result.description この値は、event_name が MergeGroupCompletedEvent の場合、未加工ログの GroupManagementData フィールドから取得されます。
security_result.summary この値は、未加工ログの概要フィールドから取得されます。
target.administrative_domain この値は、event_name が CompliancePolicyModified の場合、未加工ログのドメイン フィールドから取得されます。
target.application この値は、event_name が InstallApplicationRequested、ApplicationInstallOnDeviceRequested、RemoveApplicationRequested、ApplicationAdded、ApplicationDeleted、ApplicationRemoveFromDeviceRequested、ApplicationModified、ApplicationPublished、ApplicationPublishFailed、ApplicationPublishStarted、ApplicationVersionAdded、ApplicationDownload、InstallApplicationConfirmed のいずれかの場合、未加工ログの app_name フィールドから取得されます。
target.asset_id event_name が DeleteDeviceRequested で、device_serial_number フィールドと device_udid フィールドが空でない場合、値は「device_serial_number:device_udid」に設定されます。
target.group.group_display_name この値は、event_name が ApplicationGroupAssignmentModified または ApplicationGroupCreated のいずれかの場合、未加工ログの ApplicationGroup フィールドから取得されます。
target.hostname event_name が DeviceLocationGroupChanged の場合、この値は未加工ログの [デバイス] フィールドから取得されます。
target.ip event_name が SSPUserLoginAttemptFailed の場合、この値は未加工ログの sys_ip フィールドから取得されます。
target.ip この値は、event_name が CompliancePolicyModified、CertificateIssued、CompromisedStatusChanged、AppListSampleRefused、CertificateListSampleRefused、DeviceInformationRefused、ProfileListRefused、SecurityInformation、SecureChannelCheckIn、SecurityInformationConfirmed、StartACMConfirmed、AdminUserLoggedIn、AdminUserLoggedOut、AvailableOSUpdatesList、AvailableOsUpdatesConfirmed のいずれかの場合、未加工ログの target_ip フィールドから取得されます。
target.port この値は、未加工ログの target_port フィールドから取得されます。
target.resource.name event_name が Revoked、CompliancePolicyModified、ComplianceStatusChanged、DeviceProfileTypeBlocked、DeviceProfileTypeUnblocked のいずれかの場合、値は「SETTING」に設定されます。
target.resource.type event_name が ApplicationDownload の場合、値は「APP」に設定されます。
target.resource.type event_name が EnrollmentComplete の場合、値は「DEVICE」に設定されます。
target.resource.type event_name が EULAAccepted の場合、値は「EULA」に設定されます。
target.resource.type event_name が DeviceOperatingSystemChanged の場合、値は「OS」に設定されます。
target.resource.type event_name が InstallProfileConfirmed の場合、値は「PROFILE」に設定されます。
target.resource.type event_name が Revoked、CompliancePolicyModified、ComplianceStatusChanged、DeviceProfileTypeBlocked、DeviceProfileTypeUnblocked のいずれかの場合、値は「SETTING」に設定されます。
target.url method_url フィールドが空でない場合、この値は未加工ログの target_url フィールドから取得されます。
target.user.group_identifiers この値は、event_name が AuthTokenIssued または AuthTokenRevoked のいずれかの場合、未加工ログの auth_group フィールドから取得されます。
target.user.userid この値は、event_name が AddMissingUserCompletedEvent または AddMissingUserFailureEvent のいずれかの場合、未加工ログの group_user フィールドから取得されます。
target.user.userid event_name が BreakMDMRequested、ComplianceNotificationSent、DeleteDeviceRequested、Revoked、ComplianceStatusChanged、ApplicationDownload、EnrollmentComplete、EULAAccepted、StartACMRequested、DeviceEnterpriseWipeRequested、InstallApplicationRequested、InstallProfileRequested、RemoveProfileRequested、ApplicationInstallOnDeviceRequested、FindDeviceRequested、RemoveApplicationRequested、SendMessageRequested、AuthTokenIssued、AuthTokenRevoked、InstallApplicationConfirmed、InstallProfileConfirmed、BreakMDMConfirmed、DeviceOperatingSystemChanged、RemoveProfileConfirmed、DeviceAttributeDeviceMCCModified、DeviceAttributePhoneNumberModified、AvailableOsUpdatesRequested、DeviceProfileTypeBlocked、DeviceProfileTypeUnblocked、ApplicationRemoveFromDeviceRequested、DeviceClearPasscodeRequested、DeviceWipeRequested のいずれかの場合、この値は未加工ログの enrollment_user フィールドから取得されます。
target.user.userid event_name が UserDeleted の場合、この値は未加工ログの User フィールドから取得されます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。