Hämta API för aviseringsrelaterad användarinformation

  • Artikel

Gäller för:

Vill du uppleva Microsoft Defender för Endpoint? Registrera dig för en kostnadsfri utvärderingsversion.

Obs!

Om du är en us government-kund använder du de URI:er som anges i Microsoft Defender för Endpoint för amerikanska myndighetskunder.

Tips

För bättre prestanda kan du använda servern närmare din geoplats:

  • us.api.security.microsoft.com
  • eu.api.security.microsoft.com
  • uk.api.security.microsoft.com
  • au.api.security.microsoft.com
  • swa.api.security.microsoft.com

API-beskrivning

Hämtar användaren som är relaterad till en specifik avisering.

Begränsningar

  • Du kan fråga efter aviseringar som senast uppdaterades enligt din konfigurerade kvarhållningsperiod.
  • Hastighetsbegränsningar för det här API:et är 100 anrop per minut och 1 500 anrop per timme.

Behörigheter

En av följande behörigheter krävs för att anropa det här API:et. Mer information, inklusive hur du väljer behörigheter, finns i Använda Microsoft Defender för Endpoint-API:er

Behörighetstyp Behörighet Visningsnamn för behörighet
Program User.Read.All "Läsa användarprofiler"
Delegerat (arbets- eller skolkonto) User.Read.All "Läsa användarprofiler"

Obs!

När du hämtar en token med användarautentiseringsuppgifter:

  • Användaren måste ha minst följande rollbehörighet: Visa data (se Skapa och hantera roller för mer information)
  • Användaren måste ha åtkomst till enheten som är associerad med aviseringen, baserat på enhetsgruppsinställningar (mer information finns i Skapa och hantera enhetsgrupper)

Skapande av enhetsgrupp stöds i Defender för Endpoint Plan 1 och Plan 2.

HTTP-begäran

GET /api/alerts/{id}/user

Frågerubriker

Namn Typ Beskrivning
Tillstånd Sträng Ägaren {token}. Krävs.

Frågebrödtext

Tom

Svar

Om lyckad och avisering och en användare finns - 200 OK med användaren i brödtexten. Om aviseringen eller användaren inte hittades – 404 Hittades inte.

Exempel

Exempel på begäran

Här är ett exempel på begäran.

GET https://api.securitycenter.microsoft.com/api/alerts/636688558380765161_2136280442/user

Svarsexempel

Här är ett exempel på svaret.

{
    "@odata.context": "https://api.securitycenter.microsoft.com/api/$metadata#Users/$entity",
    "id": "contoso\\user1",
    "accountName": "user1",
    "accountDomain": "contoso",
    "accountSid": "S-1-5-21-72051607-1745760036-109187956-93922",
    "firstSeen": "2019-12-08T06:33:39Z",
    "lastSeen": "2020-01-05T06:58:34Z",
    "mostPrevalentMachineId": "0111b647235c26159bec3e5eb6c8c3a0cc3ab766",
    "leastPrevalentMachineId": "0111b647235c26159bec3e5eb6c8c3a0cc3ab766",
    "logonTypes": "Network",
    "logOnMachinesCount": 1,
    "isDomainAdmin": false,
    "isOnlyNetworkUser": false
}

Tips

Vill du veta mer? Engage med Microsofts säkerhetscommunity i vår Tech Community: Microsoft Defender för Endpoint Tech Community.