Passer au contenu principal
L’intégration Admin By Request interroge les événements de sécurité depuis l’API de votre locataire et synchronise l’inventaire des terminaux gérés dans Wirespeed.

​
Rôle de cette intégration

  • Interroge l’Events API d’Admin By Request
  • Ingère les changements de privilèges, les blocages par politique, les connexions d’urgence (break-glass) et les événements de terminal associés
  • Synchronise les postes de travail gérés depuis l’Inventory API
  • Convertit les événements en détections Wirespeed avec le contexte de l’hôte, de l’utilisateur et du fichier lorsqu’il est disponible

​
Prérequis

Avant la configuration, assurez-vous de disposer :
  1. D’un locataire Admin By Request dont l’accès API est activé
  2. D’une clé API issue de Settings → Tenant Settings → Data → API Keys
  3. Du préfixe de centre de données API de votre locataire (par exemple dc1api, dc2api) indiqué sous About API Keys

​
Étape 1 : activer l’API et créer une clé

Dans le portail Admin By Request :
  1. Accédez à Settings → Tenant Settings → Data → API Keys
  2. Créez ou copiez une clé API
  3. Notez le préfixe de centre de données de votre locataire (par exemple dc1api pour EU West)
Utilisez le bon préfixe de centre de données. Une connexion au mauvais hôte dc*api provoque des erreurs d’API.

​
Étape 2 : ajouter Admin By Request dans Wirespeed

  1. Accédez à Intégrations > Ajouter une intégration
  2. Recherchez Admin By Request
  3. Saisissez :
    • Centre de données API (par exemple dc1api)
    • Clé API
    • Filtre des codes d’événement (facultatif ; laissez vide pour utiliser l’ensemble par défaut à fort signal)
  4. Cliquez sur Intégrer
Lors de la mise en service, Wirespeed valide les identifiants avec GET /inventory?take=1.

​
Comportement d’ingestion des détections

  • L’ensemble ingéré par défaut couvre les codes d’événement à fort signal (changements de privilèges, blocages d’exécution, accès d’urgence, refus de session)
  • La pagination utilise des curseurs monotones sur l’id des événements (startid) d’une exécution à l’autre
  • La synchronisation initiale est plafonnée pour éviter un afflux de données historiques sur les locataires volumineux

​
Comportement de l’inventaire des terminaux

  • Synchronisation complète de l’annuaire à chaque exécution via GET /inventory
  • La pagination utilise des curseurs monotones sur l’id de l’inventaire (startid), uniquement au sein d’une même exécution
  • Le nom d’hôte, le système d’exploitation, les adresses IP, la version de l’agent et l’horodatage du dernier inventaire sont repris ; l’état en ligne utilise inventoryAvailable, avec un repli sur inventoryDate (fenêtre de 4 heures) conformément à l’intervalle d’actualisation de l’inventaire d’ABR

​
Dépannage

​
Échecs d’authentification

Vérifiez les points suivants :
  1. La clé API est valide et l’accès API est activé dans le portail
  2. Le Centre de données API correspond au préfixe indiqué sous About API Keys
  3. La clé n’a pas dépassé le quota quotidien d’appels API du fournisseur (100 000 appels par jour)

​
Aucune détection n’apparaît

Vérifiez les points suivants :
  1. Admin By Request génère bien des événements dans le portail (par exemple des blocages par politique ou des changements de privilèges)
  2. Les codes d’événement ne sont pas exclus par un Filtre des codes d’événement personnalisé
  3. La synchronisation initiale peut prendre quelques minutes selon le volume en attente

​
Ressources complémentaires