API получения сведений о пользователях, связанных с оповещениями

Область применения:

• Microsoft Defender для конечной точки (план 1)
• Microsoft Defender для конечной точки (план 2)
• Microsoft Defender XDR

Хотите попробовать Microsoft Defender для конечной точки? Зарегистрироваться для бесплатной пробной версии.

Примечание.

Если вы являетесь клиентом для государственных организаций США, используйте URI, перечисленные в Microsoft Defender для конечной точки для клиентов государственных организаций США.

Совет

Для повышения производительности можно использовать сервер ближе к географическому расположению:

• us.api.security.microsoft.com
• eu.api.security.microsoft.com
• uk.api.security.microsoft.com
• au.api.security.microsoft.com
• swa.api.security.microsoft.com

Описание API

Извлекает пользователь, связанный с определенным оповещением.

Ограничения

• Вы можете запрашивать последние обновления оповещений в соответствии с настроенным периодом хранения.
• Ограничения скорости для этого API : 100 вызовов в минуту и 1500 вызовов в час.

Разрешения

Для вызова этого API требуется одно из следующих разрешений. Дополнительные сведения, включая выбор разрешений, см. в статье Использование API Microsoft Defender для конечной точки.

Тип разрешения	Разрешение	Отображаемое имя разрешения
Для приложений	User.Read.All	"Чтение профилей пользователей"
Делегированные (рабочая или учебная учетная запись)	User.Read.All	"Чтение профилей пользователей"

Примечание.

При получении маркера с использованием учетных данных пользователя:

• Пользователь должен иметь по крайней мере следующее разрешение роли: "Просмотр данных" (дополнительные сведения см. в разделе Create ролей и управления).
• Пользователь должен иметь доступ к устройству, связанному с оповещением, на основе параметров группы устройств (дополнительные сведения см. в разделе Create и управление группами устройств).

Создание группы устройств поддерживается в Defender для конечной точки плана 1 и плана 2.

HTTP-запрос

GET /api/alerts/{id}/user

Заголовки запросов

Имя	Тип	Описание
Авторизация	String	Bearer {token}. Обязательное поле.

Текст запроса

переменная Empty

Отклик

Если успешно и оповещение и пользователь существует - 200 OK с пользователем в тексте. Если оповещение или пользователь не найден — 404 Не найдено.

Пример

Пример запроса

Ниже приведен пример запроса.

GET https://api.securitycenter.microsoft.com/api/alerts/636688558380765161_2136280442/user

Пример ответа

Ниже приведен пример отклика.

{
    "@odata.context": "https://api.securitycenter.microsoft.com/api/$metadata#Users/$entity",
    "id": "contoso\\user1",
    "accountName": "user1",
    "accountDomain": "contoso",
    "accountSid": "S-1-5-21-72051607-1745760036-109187956-93922",
    "firstSeen": "2019-12-08T06:33:39Z",
    "lastSeen": "2020-01-05T06:58:34Z",
    "mostPrevalentMachineId": "0111b647235c26159bec3e5eb6c8c3a0cc3ab766",
    "leastPrevalentMachineId": "0111b647235c26159bec3e5eb6c8c3a0cc3ab766",
    "logonTypes": "Network",
    "logOnMachinesCount": 1,
    "isDomainAdmin": false,
    "isOnlyNetworkUser": false
}

Совет

Хотите узнать больше? Engage с сообществом Microsoft Security в нашем техническом сообществе: Microsoft Defender для конечной точки Техническое сообщество.