本頁面由 Cloud Translation API 翻譯而成。

收集 VMware vRealize 記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 VMware Aria Suite (舊稱 VMware vRealize) 記錄檔擷取至 Google Security Operations。剖析器會根據 msg_type 欄位，使用 grok 模式從系統記錄訊息中擷取欄位。然後將這些擷取的欄位對應至 UDM，處理各種記錄格式，並使用網路資訊、使用者詳細資料和資源屬性等額外背景資訊來擴充資料。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Windows 2016 以上版本，或搭載 systemd 的 Linux 主機
如果透過 Proxy 執行，請確認防火牆通訊埠已開啟
VMware Aria Suite 軟體的特殊權限存取權

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」專區中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以系統管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。通常位於 Linux 的 /etc/bindplane-agent/ 目錄，或 Windows 的安裝目錄。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'VMWARE_VREALIZE'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

視基礎架構需求，替換通訊埠和 IP 位址。
將 <customer_id> 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為「取得 Google SecOps 擷取驗證檔案」部分中，驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart bindplane-agent
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

設定 VMware Aria Suite 的系統記錄

登入 VMware Aria Suite 網頁版 UI。
依序前往「管理」>「事件轉送」。
按一下「新增目的地」。
提供下列設定詳細資料：
- 名稱：輸入可識別伺服器的專屬名稱。
- 主機：輸入 Bindplane 代理程式 IP 位址。
- 「通訊協定」：選取「系統記錄檔」。
- 傳輸：根據實際的 Bindplane 代理程式設定，選取「UDP」或「TCP」。
- 「Port」(通訊埠)：輸入 Bindplane 代理程式通訊埠編號。
按一下「Test」。
按一下 [儲存]。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`actorDomain`	`principal.hostname`	原始記錄中的 `actorDomain` 值會對應至 UDM 欄位。
`actorId`	`principal.resource.attribute.labels.key`	「actorId」字串會指派給金鑰。
`actorId`	`principal.resource.attribute.labels.value`	原始記錄中的 `actorId` 值會指派給該值。
`actorId`	`additional.fields.key`	「actorId」字串會指派給金鑰。
`actorId`	`additional.fields.value.string_value`	原始記錄中的 `actorId` 值會指派給該值。
`actorUserName`	`principal.user.userid`	原始記錄中的 `actorUserName` 值會對應至 UDM 欄位。
`actorUuid`	`principal.resource.attribute.labels.key`	字串「actorUuid」會指派給索引鍵。
`actorUuid`	`principal.resource.attribute.labels.value`	原始記錄中的 `actorUuid` 值會指派給該值。
`actorUuid`	`additional.fields.key`	字串「actorUuid」會指派給索引鍵。
`actorUuid`	`additional.fields.value.string_value`	原始記錄中的 `actorUuid` 值會指派給該值。
`all_request_headers.sec-ch-ua-platform`	`principal.platform`	這個值衍生自 `all_request_headers.sec-ch-ua-platform`。如果包含「win」或「windows」(不區分大小寫)，值為「WINDOWS」。如果包含「Mac」(不區分大小寫)，值為「MAC」。如果包含「lin」或「linux」(不區分大小寫)，值為「LINUX」。
`all_request_headers.X-Requested-With`	`network.application_protocol`	如果值包含「http」(不區分大小寫)，則值會設為「HTTP」。
`automation_tag`	`metadata.product_event_type`	原始記錄中的 `automation_tag` 值會對應至 UDM 欄位。
`client_ip`	`principal.ip`	原始記錄中的 `client_ip` 值會對應至 UDM 欄位。
`client_src_port`	`principal.port`	原始記錄中的 `client_src_port` 值會對應至 UDM 欄位。
`comp`	`about.resource.attribute.labels.key`	字串「Component」會指派給索引鍵。
`comp`	`about.resource.attribute.labels.value`	原始記錄中的 `comp` 值會指派給該值。
`compression`	`additional.fields.key`	字串「compression」會指派給索引鍵。
`compression`	`additional.fields.value.string_value`	原始記錄中的 `compression` 值會指派給該值。
`data`	`about.resource.attribute.labels.key`	邏輯取決於 `msg_type`。如果 `msg_type` 是「Vpxa」、「Hostd」或「VSANMGMTSVC」，系統會使用鍵/值組合剖析 `data` 欄位，並將特定鍵 (例如 `opID`、`sub`) 對應至 `about.resource.attribute.labels`。如果 `msg_type` 是「SWITCHING」、「FABRIC」、「MONITORING」、「SYSTEM」、「ROUTING」、「LOAD」、「nsx」、「nestdb」、「cfgAgent」、「NSX」或「NSXV」，系統會剖析 `data` 欄位中的 `comp`、`subcomp`、`s2comp` 等鍵，然後對應至 `about.resource.attribute.labels`。
`data`	`about.resource.attribute.labels.value`	請參閱 `about.resource.attribute.labels.key` 的邏輯。
`data`	`security_result.description`	如果 `msg_type` 是「Vpxa」、「Hostd」或「VSANMGMTSVC」，且在剖析鍵/值組合的 `data` 後，如果存在 `msg` 欄位，則其值會指派給 `security_result.description`。
`description`	`security_result.description`	如果原始記錄中存在 `description` 欄位，系統會將其值對應至 UDM 欄位。
`deviceId`	`principal.resource.attribute.labels.key`	字串「deviceType」會指派給金鑰。
`deviceId`	`principal.resource.attribute.labels.value`	原始記錄中的 `values.deviceType` 值會指派給該值。
`deviceId`	`additional.fields.key`	字串「deviceType」會指派給金鑰。
`deviceId`	`additional.fields.value.string_value`	原始記錄中的 `values.deviceType` 值會指派給該值。
`direction`	`network.direction`	如果值為「OUT」，則會對應至「OUTBOUND」。如果是「IN」，則會對應至「INBOUND」。
`dst_ip`	`target.ip`	原始記錄中的 `dst_ip` 值會對應至 UDM 欄位。
`dst_port`	`target.port`	原始記錄中的 `dst_port` 值會對應至 UDM 欄位。
`event_source`	`principal.url`	原始記錄中的 `event_source` 值會對應至 UDM 欄位。
`headers_received_from_server.Access-Control-Allow-Origin`	`target.resource.attribute.labels.key`	字串「headers_received_from_server.Access-Control-Allow-Origin」會指派給金鑰。
`headers_received_from_server.Access-Control-Allow-Origin`	`target.resource.attribute.labels.value`	原始記錄中的 `headers_received_from_server.Access-Control-Allow-Origin` 值會指派給該值。
`headers_received_from_server.Content-Security-Policy`	`principal.resource.attribute.labels.key`	字串「headers_received_from_server.Content-Security-Policy」會指派給這個鍵。
`headers_received_from_server.Content-Security-Policy`	`principal.resource.attribute.labels.value`	原始記錄中的 `headers_received_from_server.Content-Security-Policy` 值會指派給該值。
`headers_received_from_server.Cookie`	`target.resource.attribute.labels.key`	字串「headers_received_from_server.Cookie」會指派給這個鍵。
`headers_received_from_server.Cookie`	`target.resource.attribute.labels.value`	原始記錄中的 `headers_sent_to_server.Cookie` 值會指派給該值。
`headers_received_from_server.set-cookie`	`target.resource.attribute.labels.key`	字串「headers_received_from_server.set-cookie」會指派給這個鍵。
`headers_received_from_server.set-cookie`	`target.resource.attribute.labels.value`	原始記錄中的 `headers_received_from_server.set-cookie` 值會指派給該值。
`headers_sent_to_server.sec-ch-ua`	`principal.resource.attribute.labels.key`	字串「headers_sent_to_server.sec-ch-ua」會指派給金鑰。
`headers_sent_to_server.sec-ch-ua`	`principal.resource.attribute.labels.value`	原始記錄中的 `headers_sent_to_server.sec-ch-ua` 值會指派給該值。
`headers_sent_to_server.X-CSRF-TOKEN`	`principal.resource.attribute.labels.key`	字串「headers_sent_to_server.X-CSRF-TOKEN」會指派給金鑰。
`headers_sent_to_server.X-CSRF-TOKEN`	`principal.resource.attribute.labels.value`	原始記錄中的 `headers_sent_to_server.X-CSRF-TOKEN` 值會指派給該值。
`hostname`	`principal.hostname`	原始記錄中的 `hostname` 值會對應至 UDM 欄位。
`hostname`	`intermediary.hostname`	原始記錄中的 `hostname` 值會對應至 UDM 欄位。
`host`	`principal.hostname`	原始記錄中的 `host` 值會對應至 UDM 欄位。
`isLocal`	`additional.fields.key`	字串「isLocal」會指派給索引鍵。
`isLocal`	`additional.fields.value.string_value`	原始記錄中的 `isLocal` 值會指派給該值。
`json_data`	`principal`、`target`、`additional` 和 `security_result` 中的各種欄位	原始記錄中的 `json_data` 欄位會剖析為 JSON，而擷取的欄位會根據名稱和剖析器的邏輯，對應至各種 UDM 欄位。包括 `uuid`、`tenantId`、`actorId`、`actorUserName`、`actorDomain`、`sourceIp`、`objectName`、`objectType`、`objectId`、`values.resourceType`、`values.success` 等欄位。
`kv_data`	各種欄位	系統會將 `kv_data` 欄位剖析為鍵/值組合，並根據名稱和剖析器的邏輯，將擷取的欄位對應至各種 UDM 欄位。
`level`	`security_result.severity`	如果值為「info」(不區分大小寫)，則會對應至「INFORMATIONAL」。
`log_id`	`metadata.product_log_id`	原始記錄中的 `log_id` 值會對應至 UDM 欄位。
`message`	各種欄位	`message` 欄位是主要資料來源，系統會使用 `grok` 模式進行廣泛剖析，以擷取 `ts`、`hostname`、`msg_type`、`sub_msg` 等各種欄位。然後，系統會根據剖析器的邏輯，使用這些擷取的欄位填入不同的 UDM 欄位。
`method`	`network.http.method`	原始記錄中的 `method` 值會對應至 UDM 欄位。
`msg`	`security_result.description`	如果 `msg_type` 是「Vpxa」、「Hostd」、「VSANMGMTSVC」、「SWITCHING」、「FABRIC」、「ROUTING」、「LOAD-BALANCER」、「nsx」、「nestdb」、「cfgAgent」、「NSX」、「NSXV」或「Rhttpproxy」，且在任何相關的 `grok` 剖析後，如果 `msg` 欄位存在，系統會將其值指派給 `security_result.description`。這項邏輯中包含特定訊息內容 (例如「保持連線」) 的特殊案例。
`msg_type`	`metadata.product_event_type`	如果 `msg_type` 是「FIREWALL_PKTLOG」或「FIREWALL-PKTLOG」，則其值會對應至 UDM 欄位。
`msg_type`	`event_type`	`event_type` 的值取決於 `msg_type`。如果 `msg_type` 是「FIREWALL_PKTLOG」或「FIREWALL-PKTLOG」，則 `event_type` 是「NETWORK_CONNECTION」。如果 `msg_type` 是「Vpxa」、「Hostd」、「VSANMGMTSVC」、「nsx」、「LOAD」、「ROUTING」、「SWITCHING」、「FABRIC」、「MONITORING」、「SYSTEM」、「nestdb」、「cfgAgent」、「NSX」、「NSXV」、「Rhttpproxy」、「audispd」或「vsantraceUrgent」，則 `event_type` 為「GENERIC_EVENT」。如果 `msg_type` 是「queries」或「responses」，則 `event_type` 為「NETWORK_DNS」。如果 `msg_type` 是「sudo」，則 `event_type` 是「STATUS_UPDATE」。如果 `description` 欄位包含「cmmdsTimeMachineDump」，則 `event_type` 為「GENERIC_EVENT」。如果 `description` 欄位包含「prodjbossapp」，則 `event_type` 為「GENERIC_EVENT」。如果 `description` 欄位包含「liagent@6876」，則 `event_type` 為「GENERIC_EVENT」。如未符合上述任一條件，且 `description` 欄位不為空白，則 `event_type` 為「GENERIC_EVENT」。如果 `src_ip` 和 `dst_ip` 同時存在，則 `event_type` 為「NETWORK_CONNECTION」。如果存在 `src_ip`、`dst_ip` 或 `hostname`，則 `event_type` 為「STATUS_UPDATE」。如果 `has_principal_ip` 為 true 且 `has_target_ip` 為 true，則 `event_type` 為「SCAN_UNCATEGORIZED」。如果 `has_principal_ip` 或 `has_principal_host` 為 true，則 `event_type` 為「STATUS_UPDATE」。如未符合上述任一條件，`event_type` 為「GENERIC_EVENT」。
`objectName`	`target.resource.attribute.labels.key`	字串「objectName」會指派給索引鍵。
`objectName`	`target.resource.attribute.labels.value`	原始記錄中的 `objectName` 值會指派給該值。
`objectName`	`additional.fields.key`	字串「objectName」會指派給索引鍵。
`objectName`	`additional.fields.value.string_value`	原始記錄中的 `objectName` 值會指派給該值。
`objectId`	`target.resource.attribute.labels.key`	「objectId」字串會指派給索引鍵。
`objectId`	`target.resource.attribute.labels.value`	原始記錄中的 `objectId` 值會指派給該值。
`objectId`	`additional.fields.key`	「objectId」字串會指派給索引鍵。
`objectId`	`additional.fields.value.string_value`	原始記錄中的 `objectId` 值會指派給該值。
`objectType`	`target.resource.attribute.labels.key`	字串「objectType」會指派給金鑰。
`objectType`	`target.resource.attribute.labels.value`	原始記錄中的 `objectType` 值會指派給該值。
`objectType`	`additional.fields.key`	字串「objectType」會指派給金鑰。
`objectType`	`additional.fields.value.string_value`	原始記錄中的 `objectType` 值會指派給該值。
`objectType`	`security_result.description`	如果 `objectType` 為「LAUNCH」，且 `success` 不是「true」，則說明為「application launch attempt was successful」(應用程式啟動嘗試成功)。如果 `objectType` 為「LAUNCH_ERROR」，且 `success` 不是「true」，則說明為「使用者以無效要求啟動應用程式」。
`opID`	`about.resource.attribute.labels.key`	字串「opId」會指派給索引鍵。
`opID`	`about.resource.attribute.labels.value`	原始記錄中的 `opID` 值會指派給該值。
`pool`	`additional.fields.key`	字串「pool」會指派給索引鍵。
`pool`	`additional.fields.value.string_value`	原始記錄中的 `pool` 值會指派給該值。
`pool_name`	`additional.fields.key`	字串「pool_name」會指派給金鑰。
`pool_name`	`additional.fields.value.string_value`	原始記錄中的 `pool_name` 值會指派給該值。
`protocol`	`network.ip_protocol`	原始記錄中的 `protocol` 值會轉換為大寫，並對應至 UDM 欄位。如果值為「PROTO」，則不會對應。
`protocol`	`additional.fields.key`	如果 `protocol` 的值是「PROTO」，系統會將「ip_protocol」字串指派給索引鍵。
`protocol`	`additional.fields.value.string_value`	如果 `protocol` 的值為「PROTO」，則原始記錄中的 `protocol` 值會指派給該值。
`query_data`	`network.dns.questions.name`	系統會剖析 `query_data` 欄位，擷取 `question_name`，然後對應至 UDM 欄位。
`query_data`	`network.dns.questions.type`	系統會剖析 `query_data` 欄位，擷取 `query_type`，然後使用「dns_record_type.include」提供的查閱項目，將 `query_type` 對應至 UDM 欄位。
`query_data`	`network.dns.questions.class`	系統會剖析 `query_data` 欄位以擷取 `dns_class`，然後使用「dns_query_class_mapping.include」中包含的查閱項目，將其對應至 UDM 欄位。
`referer`	`principal.url`	原始記錄中的 `referer` 值會對應至 UDM 欄位。
`request_content_type`	`additional.fields.key`	字串「request_content_type」會指派給金鑰。
`request_content_type`	`additional.fields.value.string_value`	原始記錄中的 `request_content_type` 值會指派給該值。
`request_state`	`additional.fields.key`	字串「request_state」會指派給金鑰。
`request_state`	`additional.fields.value.string_value`	原始記錄中的 `request_state` 值會指派給該值。
`response_code`	`network.http.response_code`	原始記錄中的 `response_code` 或 `server_response_code` 值會對應至 UDM 欄位。
`response_content_type`	`additional.fields.key`	字串「response_content_type」會指派給金鑰。
`response_content_type`	`additional.fields.value.string_value`	原始記錄中的 `response_content_type` 值會指派給該值。
`rule_id`	`security_result.rule_id`	原始記錄中的 `rule_id` 值會對應至 UDM 欄位。
`s2comp`	`about.resource.attribute.labels.key`	字串「S2-Component」會指派給金鑰。
`s2comp`	`about.resource.attribute.labels.value`	原始記錄中的 `s2comp` 值會指派給該值。
`server_ip`	`target.ip`	原始記錄中的 `server_ip` 值會對應至 UDM 欄位。
`server_name`	`target.hostname`	原始記錄中的 `server_name` 值會對應至 UDM 欄位。
`server_response_code`	`network.http.response_code`	請參閱 `response_code` 的邏輯。
`server_src_port`	`target.port`	原始記錄中的 `server_src_port` 值會對應至 UDM 欄位。
`service_engine`	`additional.fields.key`	字串「service_engine」會指派給金鑰。
`service_engine`	`additional.fields.value.string_value`	原始記錄中的 `service_engine` 值會指派給該值。
`sourceIp`	`principal.ip`	原始記錄中的 `sourceIp` 值會對應至 UDM 欄位。
`ssl_cipher`	`network.tls.cipher`	原始記錄中的 `ssl_cipher` 值會對應至 UDM 欄位。
`ssl_session_id`	`network.session_id`	原始記錄中的 `ssl_session_id` 值會對應至 UDM 欄位。
`ssl_version`	`network.tls.version_protocol`	原始記錄中的 `ssl_version` 值會對應至 UDM 欄位。
`sub`	`about.resource.attribute.labels.key`	字串「Sub Component」會指派給索引鍵。
`sub`	`about.resource.attribute.labels.value`	原始記錄中的 `sub` 值會指派給該值。
`subClusterUuid`	`additional.fields.key`	字串「subClusterUuid」會指派給索引鍵。
`subClusterUuid`	`additional.fields.value.string_value`	原始記錄中的 `subClusterUuid` 值會指派給該值。
`sub_msg`	`principal`、`target`、`network`、`security_result` 和 `about` 中的各種欄位	系統會根據 `msg_type` 以不同方式剖析 `sub_msg` 欄位。您可以透過 `grok` 模式或鍵/值組合，將其剖析為 JSON。然後，系統會根據名稱和剖析器的邏輯，將擷取的欄位對應至各種 UDM 欄位。包括 `ip_type`、`action`、`rule_id`、`direction`、`protocol`、`tcp_flag`、`src_ip`、`src_port`、`dst_ip`、`dst_port`、`data`、`msg` 等欄位。
`subcomp`	`about.resource.attribute.labels.key`	字串「Sub Component」會指派給索引鍵。
`subcomp`	`about.resource.attribute.labels.value`	原始記錄中的 `subcomp` 值會指派給該值。
`tenantId`	`principal.resource.attribute.labels.key`	字串「tenantId」會指派給金鑰。
`tenantId`	`principal.resource.attribute.labels.value`	原始記錄中的 `tenantId` 值會指派給該值。
`tenantId`	`additional.fields.key`	字串「tenantId」會指派給金鑰。
`tenantId`	`additional.fields.value.string_value`	原始記錄中的 `tenantId` 值會指派給該值。
`ts`	`metadata.event_timestamp`	系統會將原始記錄中的 `ts` 值剖析為時間戳記，並對應至 UDM 欄位。
`ts`	`timestamp`	系統會將原始記錄中的 `ts` 值剖析為時間戳記，並對應至 UDM 欄位。
`updateType`	`additional.fields.key`	字串「updateType」會指派給索引鍵。
`updateType`	`additional.fields.value.string_value`	原始記錄中的 `updateType` 值會指派給該值。
`uri_path`	`network.http.referral_url`	原始記錄中的 `uri_path` 值會對應至 UDM 欄位。
`user_agent`	`network.http.user_agent`	原始記錄中的 `user_agent` 值會對應至 UDM 欄位。
`user_agent`	`network.http.parsed_user_agent`	系統會將原始記錄中的 `user_agent` 值剖析為使用者代理程式字串，並對應至 UDM 欄位。
`USER`	`principal.user.user_display_name`	原始記錄中的 `USER` 值會對應至 UDM 欄位。
`values.actorExternalId`	`principal.resource.attribute.labels.key`	字串「actorExternalId」會指派給索引鍵。
`values.actorExternalId`	`principal.resource.attribute.labels.value`	原始記錄中的 `values.actorExternalId` 值會指派給該值。
`values.actorExternalId`	`additional.fields.key`	字串「actorExternalId」會指派給索引鍵。
`values.actorExternalId`	`additional.fields.value.string_value`	原始記錄中的 `values.actorExternalId` 值會指派給該值。
`values.deviceType`	`principal.resource.attribute.labels.key`	字串「deviceType」會指派給金鑰。
`values.deviceType`	`principal.resource.attribute.labels.value`	原始記錄中的 `values.deviceType` 值會指派給該值。
`values.deviceType`	`additional.fields.key`	字串「deviceType」會指派給金鑰。
`values.deviceType`	`additional.fields.value.string_value`	原始記錄中的 `values.deviceType` 值會指派給該值。
`values.resourceType`	`principal.resource.resource_subtype`	原始記錄中的 `values.resourceType` 值會對應至 UDM 欄位。`principal.resource.type` 設為「VIRTUAL_MACHINE」。
`values.success`	`security_result.action`	如果值為「true」(不區分大小寫)，則會對應至「ALLOW」。如果為「false」(不區分大小寫)，則會對應至「BLOCK」。
`virtualservice`	`additional.fields.key`	字串「virtualservice」會指派給金鑰。
`virtualservice`	`additional.fields.value.string_value`	原始記錄中的 `virtualservice` 值會指派給該值。
`vmw_vr_ops_appname`	`about.resource.attribute.labels.key`	「Ops AppName」字串會指派給該鍵。
`vmw_vr_ops_appname`	`about.resource.attribute.labels.value`	原始記錄中的 `vmw_vr_ops_appname` 值會指派給該值。
`vmw_vr_ops_clustername`	`about.resource.attribute.labels.key`	字串「Ops ClusterName」會指派給金鑰。
`vmw_vr_ops_clustername`	`about.resource.attribute.labels.value`	原始記錄中的 `vmw_vr_ops_clustername` 值會指派給該值。
`vmw_vr_ops_logtype`	`about.resource.attribute.labels.key`	字串「Ops Logtype」會指派給該鍵。
`vmw_vr_ops_logtype`	`about.resource.attribute.labels.value`	原始記錄中的 `vmw_vr_ops_logtype` 值會指派給該值。
`vmw_vr_ops_nodename`	`about.resource.attribute.labels.key`	字串「Ops NodeName」會指派給金鑰。
`vmw_vr_ops_nodename`	`about.resource.attribute.labels.value`	原始記錄中的 `vmw_vr_ops_nodename` 值會指派給該值。
`vs_name`	`additional.fields.key`	字串「vs_name」會指派給金鑰。
`vs_name`	`additional.fields.value.string_value`	原始記錄中的 `vs_name` 值會指派給該值。指派字串「VMWARE」。指派字串「VMWARE_VREALIZE」。指派字串「VMWARE_VREALIZE」。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。