カスタムマッピングを設定する際に、モーダルを閉じたり終了したりしようとすると、マッピングをエクスポートするよう求められます。Datadog では、これまでに設定した内容を保存するため、マッピングをエクスポートすることを推奨しています。エクスポートされたマッピングは、JSON ファイルとして保存されます。
カスタムマッピングを設定するには、
- 必要に応じて、マッピングに名前を追加します。デフォルト名は
Custom Authentication です。 - filter query を定義します。詳細については、ログ検索構文を参照してください。
- フィルターに一致するログのみが再マッピングされます。
- フィルタークエリに一致するかどうかにかかわらず、すべてのログがパイプラインの次のステップに送信されます。
- ドロップダウンメニューから OCSF イベントカテゴリを選択します。
- ドロップダウンメニューから OCSF イベントクラスを選択します。
- フィールドを追加する際に参照できるよう、ログサンプルを入力します。
- Continue をクリックします。
- 追加する OCSF プロファイルを選択します。詳細については、OCSF スキーマブラウザを参照してください。
- すべての必須フィールドが表示されます。それらに必要な Source Logs Fields と Fallback Values を入力します。手動でその他のフィールドを追加する場合は、
Fieldをクリックします。ゴミ箱アイコンをクリックして、フィールドを削除します。**注**: 必須フィールドは削除できません。
- ログにソースログフィールドが存在しない場合、OCSF フィールドにはフォールバック値が使用されます。
-
Source Log Fields に対して複数のフィールドを追加できます。たとえば、Okta の `user.system.start` ログには、`eventType` または `legacyEventType` フィールドのいずれかが含まれています。両方のフィールドを同じ OCSF フィールドにマッピングできます。
- 独自の OCSF マッピングを JSON 形式で持っている場合、または以前に保存したマッピングを使用する場合は、
Import Configuration File をクリックします。
1.
Continue をクリックします。
1. 一部のログソース値は、OCSF 値にマッピングする必要があります。たとえば、OCSF の `severity_id` フィールドにマッピングされるソースログの重大度フィールドの値は、OCSF `severity_id` の値にマッピングする必要があります。OCSF 値の一覧については、[認証][2]の `severity_id` を参照してください。重要度値のマッピング例:
| ログソース値 | OCSF 値 |
| ---------------- | --------------- |
| `INFO` | `Informational` |
| `WARN` | `Medium` |
| `ERROR` | `High` |
1. OCSF 値へのマッピングが必要なすべての値が一覧表示されます。追加の値をマッピングする場合は、
をクリックしてください。
1.
Save Mapping をクリックします。
