4. Connettori cloud¶
Microsoft 365 e Google Workspace compaiono nell'elenco dei Software Clients insieme agli agenti, ma non sono agenti: non c'è nulla da installare. Sono connettori che interrogano le API del fornitore cloud e portano i log dentro l'appliance.
La differenza è sostanziale. Un Endpoint Client vive sulla postazione e invia quello che osserva; un connettore cloud vive sull'appliance e va a chiedere i dati al servizio, autenticandosi con credenziali che gli concedi tu. Di conseguenza quello che serve non è un pacchetto da distribuire, ma un'autorizzazione da creare sul tenant.
4.1 Microsoft 365¶
Il connettore acquisisce i log di Microsoft 365 utilizzando le API di Azure.
Serve una licenza Microsoft adeguata
Il connettore richiede una licenza Microsoft Azure AD Premium P1, P2 o Azure AD B2C. Senza, le API che espongono i log di audit non sono disponibili e la configurazione non produce dati. È un requisito del fornitore cloud, non dell'appliance: verificalo prima di iniziare.
Per il setup servono le credenziali di amministratore del tenant Azure, che si usano una sola volta per registrare l'applicazione lato Microsoft.
Configurare un tenant¶
| Campo | Contenuto |
|---|---|
| Descrizione | Un'etichetta con cui riconoscere il collegamento |
| Locazione | L'azienda dell'appliance a cui attribuire i log raccolti |
| ID applicazione (client) | L'identificativo dell'applicazione registrata su Azure |
| ID della directory (tenant) | L'identificativo del tenant Azure |
| APP SECRET | Il segreto generato per l'applicazione |
| Filtra | L'eventuale filtro sugli eventi da acquisire |
I primi tre valori si ottengono registrando un'applicazione nel portale Azure. Il collegamento Guida alla configurazione, in fondo alla scheda, apre le istruzioni passo-passo lato Microsoft.
L'APP SECRET è una credenziale
Il segreto vale quanto una password: chi lo possiede può leggere i log di audit del tenant. L'appliance lo mostra mascherato dopo il salvataggio. Conservalo in un gestore di password e ricordati che i segreti di Azure hanno una scadenza: quando scade, la raccolta si ferma senza altri segnali che l'assenza di dati nuovi.
4.2 Google Workspace¶
Il connettore acquisisce i log di Google Workspace utilizzando le API. Per il setup servono le credenziali di un amministratore del tenant Google.
A differenza di Microsoft, non è richiesta alcuna licenza aggiuntiva.
Configurare un tenant¶
| Campo | Contenuto |
|---|---|
| Descrizione | Un'etichetta con cui riconoscere il collegamento |
| Locazione | L'azienda dell'appliance a cui attribuire i log raccolti |
| JSON Config | Il contenuto del file di autenticazione JSON generato su Google |
Il file JSON è quello dell'account di servizio creato nella console Google Cloud, con delega a livello di dominio sugli ambiti di audit necessari. Va incollato per intero nel campo.
Il file JSON contiene la chiave privata
Il contenuto incollato include la chiave privata dell'account di servizio. Trattalo come una credenziale: non lasciarlo in file condivisi né in allegati di posta, e revoca la chiave sulla console Google se sospetti che sia stata esposta.
4.3 Verificare che i log arrivino¶
Entrambe le liste dei tenant mostrano una colonna Stato con l'esito del collegamento. Un'icona di errore segnala che l'appliance non riesce a interrogare le API: le cause più frequenti sono un segreto scaduto, permessi non concessi sul tenant o, per Microsoft, la licenza mancante.
Dopo la configurazione, conferma dal conteggio dei log nella pagina Home che i dati stiano effettivamente arrivando: un connettore configurato ma senza permessi sufficienti non produce errori vistosi, produce silenzio.