使用 New-AzSentinelDataConnector cmdlet

Question

我尝试使用 New-AzSentinelDataConnector cmdlet 创建或更新数据连接器。

我还没有完全让这个解决方案发挥作用，试图启用 Microsoft Entra ID 数据连接器。

为了强调这一点，这些是我运行的 PowerShell 命令：

$ResourceGroup = "rg-sentinel"

$WorkspaceName = "ingested-data-sentinel"

$Connection = Connect-AzAccount

$TenantId = $Connection.Context.Tenant.Id

New-AzSentinelDataConnector -ResourceGroupName $ResourceGroup -WorkspaceName $WorkspaceName -kind AzureActiveDirectory -TenantId $TenantID -Alerts Enabled

有人使用此 PowerShell cmdlet 成功部署数据连接器吗？

PowerShell 错误

Answer 1

该错误主要是由于从 Microsoft Sentinel 访问 Microsoft Entra ID 数据的权限不足。 转到

Microsoft Entra ID

并检查登录日志、审核日志和其他相关日志是否为灰色，如下所示。

如果为您启用，则表示您拥有对 Microsoft Entra ID 进行任何操作的读写权限。

还要检查您的工作区是否有

Microsoft Sentinel contributor

和

security admin

角色来处理哨兵 AD 数据操作。

请参阅 MSDoc 了解更多详细信息。

注意：当您尝试连接到 Azure Active Directory 时，应执行上述操作以避免访问被拒绝错误。完成上述操作后，就可以成功部署此命令了。

否则，如果您想为威胁情报创建连接器，如MSDoc中所示，无需添加任何其他角色，可以按如下所示完成。

New-AzSentinelDataConnector -ResourceGroupName $ResourceGroup -WorkspaceName $WorkspaceName -Kind 'MicrosoftThreatIntelligence' -BingSafetyPhishingURL Enabled -BingSafetyPhishingUrlLookbackPeriod All  -MicrosoftEmergingThreatFeed Enabled -MicrosoftEmergingThreatFeedLookbackPeriod All