アカウントと管理設定
管理権限があるユーザーは、Accounts で管理可能なアカウントと親子関係を確認できます。アカウント設定では、ユーザー、保持期間、データ同期、タイムゾーン、IP・ホスト名・URL・ユーザー名のホワイトリスト／ブラックリストを管理します。Alert Statistics でアカウントの現地日付別のアラートを確認し、過去の日付を再同期できます。履歴のハートビートを修復する必要がある場合は、Regenerate heartbeat for a date で現地日付を選択し、Regenerate heartbeat を選択します。次回のハートビートダウンロードでその日付だけが更新されます。
Accounts
アカウント名、必須のメールドメイン（例: company.com）、任意の親アカウントを入力して Create を選択します。メールドメインが一致するユーザーは、初回サインイン時に自動的に追加できます。
Account settings
- Parent account — 親アカウントを選択し、Update parent を選択します。自分自身や子孫アカウントは親にできません。
- DEVO identifier — SIEM+ がこのアカウントの取り込み元とする Devo のアラートと突き合わせるための識別子を、
nameまたはname@name形式で入力します。 - Microsoft Sentinel tenant ID — 対象 Sentinel テナントの GUID を入力して、このアカウントで3つの Sentinel エージェントを利用できるようにします。Sentinel を使用しない場合は空欄にしてください。空欄にすると Sentinel エージェントは表示されず、収集も実行されません。
- Microsoft Sentinel application ID — Microsoft Entra の Application (client) ID を有効な GUID として入力します。
- Microsoft Sentinel client secret — Entra アプリ登録のクライアントシークレットを入力します。シークレットはアカウント単位で保存され、保存後は表示されません。既存のシークレットを保持する場合は空欄のままにします。
- Microsoft Sentinel workspace ID — Advanced Hunting で使用する対象ワークスペースの GUID を任意で入力します。空欄の場合は Sentinel テナントのプライマリ／既定ワークスペースを使用します。この設定はプロファイルおよびハートビートエージェントで使用され、アラートエージェントは Microsoft Graph security API を使用します。
- Email domain — メンバーシップ照合に使用する必須ドメインを入力します。
- Timezone — アカウントの日付、アラート統計、スケジュール、エージェント履歴に使用するタイムゾーンを選択します。
- Whitelist / blacklist — Add entry で種類、対象（IP address、URL、Hostname、Username）、値を指定し、保存します。
- Days to sync — 1～3,650 日を入力して Reset sync period を選択します。アラートとハートビートの両方が対象です。
- Alert retention days — 1～40 日を設定します。古いアラートはハウスキーピングで削除されます。
- Users — ユーザー、ロール、通知受信、通知言語、メンバーシップを管理します。
アカウント設定ページは General、Integrations、Detection Tuning、Security、Ingestion、Users、Alert Statistics のタブで構成されています。Sentinel の接続設定は Integrations にあります。
Microsoft Sentinel ソース
Microsoft Sentinel tenant ID は、mssentinel-alert-download、mssentinel-user-behavior-profile-download、mssentinel-heartbeat エージェントをアカウントで利用できるようにするアカウント単位のソース設定です。Admin > Integrations に有効なテナント GUID を入力すると3つのエージェントが表示されます。値を削除するとエージェントは非表示になり、そのアカウントでは実行されません。
テナント ID だけでは収集を認証できません。Admin > Integrations で対象テナントの Application (client) ID、Client secret、任意の workspace ID を設定して Save を選択します。シークレットはアカウント単位で保存され、API から返されません。Agents では Sentinel エージェントの運用設定だけを保存します。この設定はエージェント定義のコンテキストに保存され、同じ定義を使用するアカウント間で共有されます。Graph 権限、収集の目的、増分同期、保存されるデータについては Sentinel アラートデータの収集 を参照してください。
手順: アカウントを設定する
- Accounts でアカウント名、メールドメイン、任意の親を入力して Create を選択します。
- アカウント名を選択して Admin を開きます。
- Parent account を選択して Update parent を選択します。
- General で Email domain と Timezone を確認し、Save を選択します。
- Integrations で DEVO identifier を設定し、Sentinel を使用する場合は tenant ID、application ID、client secret、任意の workspace ID を設定して Save を選択します。
- Detection Tuning で Add entry を選択し、種類、対象、値を入力して保存します。
- Ingestion で Days to sync（1～3,650）を入力し、Reset sync period を選択します。Alert retention days は1～40日に設定し、アカウント設定の Save 操作で保存します。
- Users で一度サインインしたユーザーをロール付きで追加し、必要なら通知と言語を設定します。
手順: アラート日付を再同期する
- Admin の Alert Statistics で週または日付を選択します。
- 件数と最新アラート時刻を確認します。
- 過去の日付の Reset を選択します。
- 次回のアラートダウンロードでデータが更新されます。
ハートビートを再生成するには、Regenerate heartbeat for a date で対象の現地日付を選択し、Regenerate heartbeat を選択します。要求がキューに入ったことを確認してから、次回のハートビートダウンロードを待ちます。