Intégrer Azure Monitor à l'authentification OAuth

Intégrez Microsoft Azure en Gestion des événements authentifiant les jetons Azure V1 ou V2 dans Azure Monitor.

Avant de commencer

Assurez-vous que le module d’extension Gestion des événements Connecteurs (sn_em_connector) est installé sur l’instance ServiceNow AI Platform .

Sur le portail Azure, les règles de corrélation des alertes sont définies via le Correlate alerts paramètre des règles de traitement des alertes. Lorsqu’elle Correlate alerts est affectée sur le portail Azure, les alertes Azure Monitor reçues sur l’instance dans les 60 minutes sont regroupées à l’aide de la mise en grappe des alertes basée sur les ServiceNow® balises.

Rôles requis : evt_mgmt_admin, web_service_admin et oauth_admin

Pourquoi et quand exécuter cette tâche

Configurez l’environnement Gestion des événements pour la collecte des événements à partir d’Azure Monitor. Dans votre portail Azure Monitor, définissez votre ServiceNow AI Platform instance en tant que point de terminaison REST à l’aide des jetons V1 ou V2.

Procédure

1. Dans le portail Azure Monitor :
   1. Effectuez l’inscription de l’application et exposez une API.
      Pour plus d’informations sur l’inscription d’une application et l’exposition d’une API dans Azure, consultez https://docs.microsoft.com/en-us/azure/active-directory/develop/quickstart-configure-app-expose-web-apis.
   2. Créez un groupe d'actions avec un webhook sécurisé et fournissez le point de terminaison REST, comme suit : https://<nom-instance>.service-now.com/api/sn_em_connector/em/inbound_event?source=azuremonitor.
      Remarque :

      Si vous avez plusieurs locataires sur le portail Azure et que vous souhaitez utiliser la fonctionnalité bidirectionnelle pour authentifier, fermer ou rouvrir une alerte sur le portail Azure, l’URL du webhook sécurisé doit être au format suivant : https://<nom d’utilisateur> :<password>@<nom-instance>.service-now.com/api/sn_em_connector/em/inbound_event?source=azuremonitor&event_class=<new_connector_instance_name>. Le <new_connector_instance_name> est la nouvelle instance de connecteur pull Azure que vous devez créer pour chaque locataire ayant d’autres informations d’identification principales de service Azure. Pour savoir comment créer le connecteur pull, reportez-vous à la section Configurer le connecteur bidirectionnel Azure Monitor.

      Pour servicenowservices.com instances, le point de terminaison REST doit être https://<instance-name>.servicenowservices.com/api/sn_em_connector/em/inbound_event?source=instana&x-sn-apikey=<api-key>.

      Pour en savoir plus sur l'ajout d'un webhook sécurisé à un groupe d'actions, consultez la rubrique https://docs.microsoft.com/en-us/azure/azure-monitor/platform/action-groups.

   3. Accédez à la Alertes > Gérer les règles d’alerte.
   4. Dans la section Webhook sécurisé, assurez-vous que Oui est sélectionné pour l’option Activer le schéma d’alerte commun .
   5. Ajoutez le groupe d’actions avec le webhook sécurisé à une règle d’alerte.
2. Sur le portail Azure Monitor, vérifiez quel jeton Azure est utilisé par votre application enregistrée.
   1. Accédez à Inscription de l’application, puis sélectionnez l’application enregistrée.
   2. Dans la section Gérer, cliquez sur Manifeste.
   3. Dans l’écran de l’éditeur, sélectionnez l’onglet Manifeste de l’application Microsoft Graph et localisez le requestedAccessTokenVersion paramètre, ou sélectionnez l’onglet Manifeste de l’application AAD Graph et localisez le accessTokenAcceptedVersion paramètre.
      Si la valeur de requestedAccessTokenVersion ou accessTokenAcceptedVersion est 2, l’intégration doit utiliser des jetons V2.

      Si la valeur de requestedAccessTokenVersion ou accessTokenAcceptedVersion est 1 ou null, l’intégration doit utiliser des jetons V1.

3. Dans votre instance ServiceNow AI Platform, assurez-vous que l'utilisateur ServiceNow est affecté avec l'ID d'application (client) ou l'URI d'ID d'application correct.
   Assurez-vous également que le rôle evt_mgmt_integration est affecté aux utilisateurs sys_user ServiceNow appropriés.
   1. Accédez à la Sécurité de système > Utilisateurs et groupes > Utilisateurs.
      Remarque :

      pour garantir une authentification appropriée, utilisez l'utilisateur le moins privilégié disposant du rôle evt_mgmt_integration, plutôt qu'un utilisateur possédant des privilèges élevés.
   2. Vérifiez que le champ Source du ServiceNow sys_user est renseigné avec l’ID d’application (client) ou l’URI d’ID d’application correct, tel que défini dans le portail Azure Monitor.
      Si l’application utilise un jeton Azure V1, le champ Source doit être renseigné avec l’URI de l’ID d’application de l’application enregistrée. Si l’application utilise un jeton Azure V2, le champ Source doit être renseigné avec l’ID d’application (client) de l’application enregistrée.

      Si le champ Source n’est pas affiché, modifiez la mise en page du formulaire pour afficher ce champ. Cliquez sur l’icône de menu contextuel (icône ), puis sélectionnez Configurer > mise en page du formulaire. Déplacez la source vers la liste sélectionnée.

      Remarque :

      Si la version de votre ServiceNow AI Platform instance est antérieure au correctif 2 ou Orlando au Paris correctif 9, la valeur du champ Source doit être placée entre crochets. Par exemple, [api://azuretest].
4. Dans votre ServiceNow AI Platform instance, accédez à Gestion des événements > Intégrations > Configuration OAuth Azure.
5. Cliquez sur Entrée OIDC OAuth Azure , puis saisissez l’ID client.
   Si l’application inscrite utilise un jeton Azure V2, l’ID client doit être le même que l’ID d’application (client) des inscriptions d’application définies dans votre portail Azure Monitor.

   Si l’application inscrite utilise un jeton Azure V1, l’ID client doit être le même que l’URI de l’ID d’application des inscriptions d’application définies dans votre portail Azure Monitor (l’API exposée).

6. Dans le champ Configuration du fournisseur OIDC OAuth , cliquez sur l’icône d’informations (icône ).
7. Dans la fenêtre Configuration du fournisseur OIDC, cliquez sur Ouvrir l’enregistrement.
   
   
8. Entrez l’URL des métadonnées OIDC en fonction du jeton Azure utilisé par l’application enregistrée, comme indiqué dans le tableau suivant.

   Jeton Azure	URL des métadonnées OIDC
   V2	Dans le formulaire Configuration du fournisseur OIDC, ajoutez l’URL suivante au champ URL des métadonnées OIDC : https://login.microsoftonline.com/<tenant-id>/v2.0/.well-known/openid-configuration Assurez-vous que <tenant-id> est remplacé par l’ID de locataire Azure correct. Remarque : Si vous tentez d’intégrer Azure Gov Cloud au connecteur ServiceNow Azure Monitor, n’oubliez pas de changer la valeur de réclamation en f1f34126-d4ef-40e1-ad4b-bf5d47b4860d.
   V1	Dans le formulaire Configuration du fournisseur OIDC : Dans la colonne Nom de la réclamation, remplacez azp par appid. Remarque : Si vous tentez d’intégrer Azure Gov Cloud au connecteur ServiceNow Azure Monitor, n’oubliez pas de changer la valeur de réclamation en f1f34126-d4ef-40e1-ad4b-bf5d47b4860d. Dans le champ URL des métadonnées OIDC , ajoutez l’URL suivante : https://login.microsoftonline.com/<tenant-id>/.well-known/openid-configuration Assurez-vous que <tenant-id> est remplacé par l’ID de locataire Azure correct.

Résultats

Lorsqu’une alerte est créée dans Azure Monitor dans le cadre de la règle d’alerte, la notification est envoyée à l’aide ServiceNow AI Platform du point de terminaison Webhook sécurisé. Dans votre ServiceNow AI Platform instance, naviguez vers Tous les événements pour consulter les événements. Si vous souhaitez envoyer des changements d’état d’alerte sur l’instance ServiceNow à partir des ServiceNow alertes vers le portail Azure, vous devez activer le connecteur bidirectionnel Azure Monitor. Pour plus d’informations, reportez-vous à .Configurer le connecteur bidirectionnel Azure Monitor