获取与警报相关的用户信息 API

  • 项目

适用于：

希望体验 Microsoft Defender for Endpoint？ 注册免费试用版。

注意

如果你是美国政府客户，请使用美国政府客户Microsoft Defender for Endpoint中列出的 URI。

提示

为了提高性能，可以使用离地理位置更近的服务器：

  • us.api.security.microsoft.com
  • eu.api.security.microsoft.com
  • uk.api.security.microsoft.com
  • au.api.security.microsoft.com
  • swa.api.security.microsoft.com

API 说明

检索与特定警报相关的用户。

限制

  • 可以根据配置的保留期查询上次更新的警报。
  • 此 API 的速率限制是每分钟 100 个调用和每小时 1500 个调用。

权限

要调用此 API，需要以下权限之一。 若要了解详细信息（包括如何选择权限），请参阅使用Microsoft Defender for Endpoint API

权限类型 权限 权限显示名称
Application User.Read.All “读取用户配置文件”
委派（工作或学校帐户） User.Read.All “读取用户配置文件”

注意

使用用户凭据获取令牌时：

  • 用户至少需要具有以下角色权限：“查看数据” (有关详细信息，请参阅Create和管理角色)
  • 用户需要根据设备组设置访问与警报关联的设备 (请参阅Create和管理设备组，了解详细信息)

Defender for Endpoint 计划 1 和计划 2 支持创建设备组。

HTTP 请求

GET /api/alerts/{id}/user

请求标头

名称 类型 说明
Authorization String 持有者 {token}。 必需。

请求正文

Empty

响应

如果成功并发出警报，并且存在用户 - 正文中的用户为 200 正常。 如果未找到警报或用户 - 404 未找到。

示例

请求示例

下面是请求的示例。

GET https://api.securitycenter.microsoft.com/api/alerts/636688558380765161_2136280442/user

响应示例

下面是一个响应示例。

{
    "@odata.context": "https://api.securitycenter.microsoft.com/api/$metadata#Users/$entity",
    "id": "contoso\\user1",
    "accountName": "user1",
    "accountDomain": "contoso",
    "accountSid": "S-1-5-21-72051607-1745760036-109187956-93922",
    "firstSeen": "2019-12-08T06:33:39Z",
    "lastSeen": "2020-01-05T06:58:34Z",
    "mostPrevalentMachineId": "0111b647235c26159bec3e5eb6c8c3a0cc3ab766",
    "leastPrevalentMachineId": "0111b647235c26159bec3e5eb6c8c3a0cc3ab766",
    "logonTypes": "Network",
    "logOnMachinesCount": 1,
    "isDomainAdmin": false,
    "isOnlyNetworkUser": false
}

提示

想要了解更多信息？ Engage技术社区中的 Microsoft 安全社区：Microsoft Defender for Endpoint技术社区。