cirro-azcli-ext

امتداد Azure CLI يجمع بيانات موارد Azure بشكل سلبي في قاعدة بيانات SQLite متوافقة مع مخطط Cirro (https://github.com/bishopfox/cirro). كما يسجّل جميع استدعاءات CLI في ملف JSON-lines.

يرتبط بـ knack events:

• EVENT_INVOKER_POST_PARSE_ARGS — يسجّل وسائط الأوامر
• EVENT_INVOKER_FILTER_RESULT — يكتب بيانات الموارد إلى SQLite

الإعداد

1. تثبيت الامتداد

az extension add --source dist/cirro_azcli_ext-*.whl

2. تعطيل فهرس الأوامر

az config set core.use_command_index=false

يقوم Azure CLI بتحميل الامتدادات بشكل كسول عبر فهرس الأوامر. يضمن تعطيله أن يتم تحميل هذا الامتداد لجميع الأوامر حتى يتمكن من مراقبة كل استدعاء.

كيف يعمل

عندما يعيد أي أمر az بيانات من نقطة نهاية Azure بعيدة (ARM, Graph, Key Vault, إلخ)، يصنّف الامتداد كل عنصر نتيجة ويكتبه في جدول SQLite المناسب:

يتم تخطّي الأوامر المحلية فقط (version, extension, config, إلخ).

مخطط قاعدة البيانات (متوافق مع Cirro)

موارد ARM

CREATE TABLE resources (
    id TEXT PRIMARY KEY, sub_id TEXT, rg_id TEXT, resource_type TEXT, data TEXT
);

عناصر Key Vault

CREATE TABLE keyVaultItems (
    id TEXT PRIMARY KEY, item_type TEXT, data TEXT
);

الجداول العامة (18 جدولًا، كل جدول id TEXT PRIMARY KEY, data TEXT)

applications · administrativeUnits · conditionalAccessPolicies · devices · directoryRoles · eligibleArmRBAC · eligibleRoleAssignments · groups · managementGroupEntities · namedLocations · organization · oauth2PermissionGrants · policies · roleAssignments · servicePrincipals · subscriptions · tenants · users

الإعدادات

az config set cirro.db_path=/var/data/cirro_collect.db

الأوامر

az cirro status          # show log stats and per-table row counts
az cirro status --tail 5 # show last 5 argument log entries