将厂商审计日志映射到 Dynatrace…

当你需要把厂商审计日志（认证、授权、用户操作、HTTP）映射到 Dynatrace 日志语义字典，并校验映射是否正确时使用。

适用场景

解决思路

1. 先判断日志类别：authentication（登录/登出/MFA/token，关键命名空间 audit.*、actor.*、browser.*、device.*）、authorization（访问决策/权限变更，audit.*、actor.*、object.*）、user_action（平台资源 CRUD，audit.*、actor.*、object.*、product.*）、http（HTTP 请求/响应，http.*、url.*、server.*、geo.*、client.*）。
2. 选择工作流：Workflow A 用原始厂商日志 payload 建议映射；Workflow B1 用粘贴的已摄取日志事件做静态校验；Workflow B2 用 log.source 值加实时租户访问做运行时校验（先按 log.source 拉取日志，再对结果跑 B1）。
3. 执行 Workflow A：按 references/mapping-workflow.md § Workflow A 的流程，从原始厂商日志 payload 推导到 Dynatrace fetch logs 字段的映射建议。
4. 执行 Workflow B1：按 references/mapping-workflow.md § Workflow B1 的流程，对粘贴的已摄取日志事件做静态校验。
5. 执行 Workflow B2：按 references/runtime-validation.md，先按 log.source 拉取实时日志记录，再对拉取结果运行 B1 校验。
6. 重点检查 content 字段掩埋（content field burial）：清点 content（原始厂商 payload）中本可提升为顶层语义属性却未被提升的字段，区分已提升与掩埋字段，并提出 OpenPipeline 抽取规则来补齐缺口。
7. 提出 OpenPipeline 处理器抽取规则前，先加载 dt-dql-essentials 技能；OpenPipeline 处理器使用 DQL 函数（parse、fieldsAdd、splitString 等），使用非 DQL 语法会生成无效规则。
8. 接受稀疏映射：GitHub、Sonatype 等集成可能只填充核心字段；最低必需字段为 timestamp、log.source、content、loglevel、audit.action、audit.identity。
9. 参考 references/data-model-notes.md 获取日志 SD 字段分类、audit 命名空间、枚举、样本推导模式及已知差异。
10. 参考 references/mapping-workflow.md 获取 intake 清单、Workflow A 与 B1 流程、content 字段分析、字段优先级顺序。
11. 参考 references/validation-rules.md 获取必需字段、content/枚举/类型规则、差异严重级别。
12. 参考 references/openpipeline-constraints.md 获取 OpenPipeline 处理器命令/函数/操作符/匹配器限制、parseJson 不可用及 parse→fieldsFlatten 替代方案、数组转换的迭代操作符。
13. 参考 references/report-format.md 使用映射表、差异表、OpenPipeline 草图、Validation Summary 模板。
14. 参考 samples/audit-logs.json（CyberArk、Okta、Azure SignInLogs、Sonatype、GitHub 映射样本）与 samples/http-logs.json（Akamai SIEM WAF/HTTP 类映射样本）。
15. 参考 Dynatrace Log Semantic Dictionary 文档：https://docs.dynatrace.com/docs/semantic-dictionary/model/log。

适用边界 · 注意事项

• 没有 Dynatrace 租户或语义字典访问权限时（Workflow B2 需要实时租户访问）。
• 未先加载 dt-dql-essentials 技能时，不应提出 OpenPipeline 处理器抽取规则。