ユーザーのインポート

API を使用して、ディレクトリー・サーバーまたはリファレンス・テーブルのインポートを UEBA ユーザー・インポート機能に追加します。

エントリー・ポイント

https://<<Qradar ip>>/console/plugins/<UBA app id>/app_proxy/user_import

Endpoints

HTTP メソッド エンドポイント 媒体タイプ
POST /cert multipart/form-data
POST /imports application/json

API スキーマ
API スキーマ
API スキーマ

LDAP サーバーからのインポート (証明書ファイルを使用する場合)

認証局を使用して LDAP サーバーからインポートするには、以下のステップを実行します。
  1. アプリケーションの UEBA アプリ ID を取得するには、ブラウザーの UEBA 「設定」に移動し、アドレス・バーの URL を確認します (「プラグイン」と「app_proxy」の間)。 または、 QRadar® Console マシンへの SSH 接続を開き、以下を発行します。 psql -U qradar -c "select id from installed_application where name = 'User Entity Analytics';"
    注: cURL コマンドで使用される URL を作成するときには、アプリケーション ID を使用します。
  2. 証明書を使用する新しいディレクトリー・サーバー・インポートを作成する場合は、証明書 API を使用して証明書ファイル curl -X POST -F 'importId=0' -F 'file=@<PATH/TO/CERT/FILE>' -H "Content-Type: multipart/form-data" -H "SEC: <AUTHORIZED_SERVICE_TOKEN>" https://<QR_IP_ADDRESS>/console/plugins/<APP_ID>/app_proxy/user_import/cert をアップロードします。
    注: 新しいインポートを作成する POST 要求の本体で、 cURL コマンドの出力を使用します。
  3. 新規インポートを作成するには、Imports API を使用します
  4. 以下のコマンドを入力します。 curl -X POST -H "Content-Type: application/json" -H "SEC: <AUTHORIZED_SERVICE_TOKEN>" -d '{"pollingInterval": 24,"configName": "<CONFIG_NAME>", "retrievalLimit": 500000, "dataSource":"LDAP", "configLdap": {"filter": "(objectClass=person)", "ssl": false,"host": "<SERVER_IP_OR_HOSTNAME>", "password": "", "username": "", "paged": true,"baseDN": "<BASE_DN>", "ca": {"expiryTime": "<FROM_CERT_API>", "filename":"<FROM_CERT_API>"}, "port": 389}}' https://<QRADAR_IP_ADDRESS>/console/plugins/<APP_ID>/app_proxy/user_import/imports

LDAP サーバーからのインポート (証明書ファイルを使用しない場合)

証明書ファイルを使用せずに LDAP サーバーからインポートするには、以下のステップを実行します。
  1. アプリケーションの UEBA アプリ ID を取得するには、ブラウザーの UEBA 「設定」に移動し、アドレス・バーの URL を確認します (「プラグイン」と「app_proxy」の間)。 または、 QRadar Console マシンへの SSH 接続を開き、以下を発行します。 psql -U qradar -c "select id from installed_application where name = 'User Entity Analytics';"
    注: cURL コマンドで使用される URL を作成するときには、アプリケーション ID を使用します。
  2. 新規インポートを作成するには、Imports API を使用します
  3. 以下のコマンドを入力します。 curl -X POST -H "Content-Type: application/json" -H "SEC: <AUTHORIZED_SERVICE_TOKEN>" -d '{"pollingInterval": 24,"configName": "<CONFIG_NAME>", "retrievalLimit": 500000, "dataSource":"LDAP", "configLdap": {"filter": "(objectClass=person)", "ssl": false,"host": "<SERVER_IP_OR_HOSTNAME>", "password": "", "username": "", "paged": true,"baseDN": "<BASE_DN>", "ca": {"expiryTime": "", "filename":""}, "port": 389}}' https://<QRADAR_IP_ADDRESS>/console/plugins/<APP_ID>/app_proxy/user_import/imports

リファレンス・テーブルからのインポート

リファレンス・テーブルからインポートするには、以下のステップを実行します
  1. アプリケーションの UEBA アプリ ID を取得するには、ブラウザーの UEBA 「設定」に移動し、アドレス・バーの URL を確認します (「プラグイン」と「app_proxy」の間)。 または、 QRadar Console マシンへの SSH 接続を開き、次のコマンドを入力します。 psql -U qradar -c "select id from installed_application where name = 'User Entity Analytics';"
    注: cURL コマンドで使用される URL を作成するときには、アプリケーション ID を使用します。
  2. ほとんどのユーザーは、Web インターフェースを使用して新しいリファレンス・テーブルのインポートを作成することを選択します。 ただし、Imports API もサポートされています。
    注: リファレンス・テーブルは、 QRadar システム上に既に存在している必要があり、CONFIG_NAME として使用する必要があります。
  3. 以下のコマンドを入力します。 curl -X POST -d '{"pollingInterval": 24, "configName": "<CONFIG_NAME>","retrievalLimit": 500000, "dataSource": "REF"}' -H "Content-Type:application/json" -H "SEC: <AUTHORIZED_SERVICE_TOKEN>" https://<QRADAR_IP_ADDRESS>/console/plugins/<APP_ID>/app_proxy/user_import/imports