cirro-azcli-ext

Eine Azure-CLI-Erweiterung, die passiv Azure-Ressourcendaten in eine SQLite-Datenbank sammelt, die mit dem Cirro-Schema (https://github.com/bishopfox/cirro) kompatibel ist. Außerdem protokolliert sie alle CLI-Aufrufe in einer JSON-Lines-Datei.

Bindet sich in knack events ein:

• EVENT_INVOKER_POST_PARSE_ARGS — protokolliert Befehlsargumente
• EVENT_INVOKER_FILTER_RESULT — schreibt Ressourcendaten in SQLite

Einrichtung

1. Die Erweiterung installieren

az extension add --source dist/cirro_azcli_ext-*.whl

2. Den Befehlsindex deaktivieren

az config set core.use_command_index=false

Die Azure CLI lädt Erweiterungen über den Befehlsindex lazy. Durch das Deaktivieren wird sichergestellt, dass diese Erweiterung für alle Befehle geladen wird, sodass sie jede Ausführung beobachten kann.

So funktioniert es

Wenn ein beliebiger az-Befehl Daten von einem entfernten Azure-Endpunkt (ARM, Graph, Key Vault usw.) zurückgibt, klassifiziert die Erweiterung jedes Ergebniselement und schreibt es in die entsprechende SQLite-Tabelle:

Rein lokale Befehle (version, extension, config usw.) werden übersprungen.

Datenbankschema (Cirro-kompatibel)

ARM-Ressourcen

CREATE TABLE resources (
    id TEXT PRIMARY KEY, sub_id TEXT, rg_id TEXT, resource_type TEXT, data TEXT
);

Key Vault-Elemente

CREATE TABLE keyVaultItems (
    id TEXT PRIMARY KEY, item_type TEXT, data TEXT
);

Generische Tabellen (18 Tabellen, jeweils id TEXT PRIMARY KEY, data TEXT)

applications · administrativeUnits · conditionalAccessPolicies · devices · directoryRoles · eligibleArmRBAC · eligibleRoleAssignments · groups · managementGroupEntities · namedLocations · organization · oauth2PermissionGrants · policies · roleAssignments · servicePrincipals · subscriptions · tenants · users

Konfiguration

az config set cirro.db_path=/var/data/cirro_collect.db

Befehle

az cirro status          # show log stats and per-table row counts
az cirro status --tail 5 # show last 5 argument log entries