アカウントとアカウント設定

管理権限があるユーザーは、アカウント管理 で管理可能なアカウントと親子関係を確認できます。アカウント設定 では、ユーザー、保持期間、データ同期、タイムゾーン、IP・ホスト名・URL・ユーザー名のホワイトリスト／ブラックリストを管理します。Alert Statistics でアカウントの現地日付別のアラートを確認し、過去の日付を再同期できます。履歴のハートビートを修復する必要がある場合は、Regenerate heartbeat for a date で現地日付を選択し、Regenerate heartbeat を選択します。次回のハートビートダウンロードでその日付だけが更新されます。

アカウント管理

アカウント名、必須のメールドメイン（例: company.com）、任意の親アカウントを入力して Create を選択します。メールドメインが一致するユーザーは、初回サインイン時に自動的に追加できます。

アカウント設定

• Parent account — 親アカウントを選択し、Update parent を選択します。自分自身や子孫アカウントは親にできません。
• DEVO identifier — SIEM+ がこのアカウントの取り込み元とする Devo のアラートと突き合わせるための識別子を、name または name@name 形式で入力します。
• Microsoft Sentinel tenant ID — 対象 Sentinel テナントの GUID を入力して、このアカウントで3つの Sentinel エージェントを利用できるようにします。Sentinel を使用しない場合は空欄にしてください。空欄にすると Sentinel エージェントは表示されず、収集も実行されません。
• Microsoft Sentinel application ID — Microsoft Entra の Application (client) ID を有効な GUID として入力します。
• Microsoft Sentinel client secret — Entra アプリ登録のクライアントシークレットを入力します。シークレットはアカウント単位で保存され、保存後は表示されません。既存のシークレットを保持する場合は空欄のままにします。
• Microsoft Sentinel workspace ID — Advanced Hunting で使用する対象ワークスペースの GUID を任意で入力します。空欄の場合は Sentinel テナントのプライマリ／既定ワークスペースを使用します。この設定はプロファイルおよびハートビートエージェントで使用され、アラートエージェントは Microsoft Graph security API を使用します。
• LogEase URL と API key — LogEase のアラートダウンロードジョブを利用する場合は、URL と API キーの両方を設定します。API キーは保存後に表示されません。既存のキーを保持するには空欄のままにし、削除する場合はクリア操作を使用します。
• Email domain — メンバーシップ照合に使用する必須ドメインを入力します。
• Timezone — アカウントの日付、アラート統計、スケジュール、エージェント履歴に使用するタイムゾーンを選択します。
• Whitelist / blacklist — Add entry で種類、対象（IP address、URL、Hostname、Username）、値を指定し、保存します。
• Days to sync — 1～3,650 日を入力して Reset sync period を選択します。アラートとハートビートの両方が対象です。
• Alert retention days — 1～40 日を設定します。古いアラートはハウスキーピングで削除されます。
• Users — ユーザー、ロール、通知受信、通知言語、メンバーシップを管理します。

アカウント設定ページは General、Integrations、Detection Tuning、Security、Ingestion、Users、Alert Statistics のタブで構成されています。Sentinel の接続設定は Integrations にあります。

LogEase を使用する場合は Integrations > LogEase で LogEase URL と LogEase API key を設定します。両方の値がある場合に、そのアカウントの LogEase アラートジョブが エージェントジョブ に表示されます。どちらかの値を削除すると、このジョブは利用できなくなります。

Microsoft Sentinel ソース

Microsoft Sentinel tenant ID は、mssentinel-alert-download、mssentinel-user-behavior-profile-download、mssentinel-heartbeat エージェントをアカウントで利用できるようにするアカウント単位のソース設定です。アカウント設定 > Integrations に有効なテナント GUID を入力すると3つのエージェントが表示されます。値を削除するとエージェントは非表示になり、そのアカウントでは実行されません。

テナント ID だけでは収集を認証できません。アカウント設定 > Integrations で対象テナントの Application (client) ID、Client secret、任意の workspace ID を設定して Save を選択します。シークレットはアカウント単位で保存され、API から返されません。エージェントジョブ では Sentinel エージェントの運用設定だけを保存します。この設定はエージェント定義のコンテキストに保存され、同じ定義を使用するアカウント間で共有されます。Graph 権限、収集の目的、増分同期、保存されるデータについては Sentinel アラートデータの収集 を参照してください。

手順: アカウントを設定する

1. アカウント管理 でアカウント名、メールドメイン、任意の親を入力して Create を選択します。
2. アカウント名を選択して アカウント設定 を開きます。
3. Parent account を選択して Update parent を選択します。
4. General で Email domain と Timezone を確認し、Save を選択します。
5. Integrations で DEVO identifier を設定します。LogEase を使用する場合は LogEase URL と LogEase API key の両方を設定し、Sentinel を使用する場合は tenant ID、application ID、client secret、任意の workspace ID を設定して Save を選択します。
6. Detection Tuning で Add entry を選択し、種類、対象、値を入力して保存します。
7. Ingestion で Days to sync（1～3,650）を入力し、Reset sync period を選択します。Alert retention days は1～40日に設定し、アカウント設定の Save 操作で保存します。
8. Users で一度サインインしたユーザーをロール付きで追加し、必要なら通知と言語を設定します。

手順: アラート日付を再同期する

1. アカウント設定 の Alert Statistics で週または日付を選択します。
2. 件数と最新アラート時刻を確認します。
3. 過去の日付の Reset を選択します。
4. 次回のアラートダウンロードでデータが更新されます。

ハートビートを再生成するには、Regenerate heartbeat for a date で対象の現地日付を選択し、Regenerate heartbeat を選択します。要求がキューに入ったことを確認してから、次回のハートビートダウンロードを待ちます。