Azure Data Factory从Azure Sentinel增量拉取数据及对接连接器咨询

• 你提到的Lync服务并不适用于该场景，Azure Data Factory（ADF）原生就提供Azure Log Analytics 连接器，可直接实现对接：Azure Sentinel的所有业务数据本质都存储在其关联的Log Analytics工作区中，直接通过该连接器拉取工作区数据即可满足你的需求。

• 增量拉取每日登录数据：在ADF复制活动的源配置项中，直接填写自定义KQL查询语句过滤SigninLogs表即可，增量拉取的KQL示例：SigninLogs | where TimeGenerated >= startofday(ago(1d)) and TimeGenerated < startofday(now()) | project 你需要返回的字段列表，该语句每次执行仅拉取前一日的全量登录数据，避免重复拉取历史数据。
• ADF流水线配置：你可以将流水线设置为每日定时触发，核心流程为：触发执行 -> 调用Log Analytics连接器执行KQL查询拉取数据 -> 按需执行字段清洗、格式转换等处理步骤 -> 写入目标数据表。如果需要更高频率的增量同步，可以配置TimeGenerated作为水印列，实现更细粒度的增量拉取逻辑。
• 数据存储与前端展示：ADF支持将拉取到的登录数据写入几乎所有常见的存储介质，包括Azure SQL、Azure Cosmos DB、自建MySQL/PostgreSQL、对象存储等，你直接选择对应目标连接器配置写入规则即可。数据同步到目标表后，你可以直接从该表查询数据对接自有前端UI展示。

权限配置提醒：你需要给ADF的托管身份授予对应Log Analytics工作区的日志读取者权限，才能正常执行KQL查询拉取数据。

内容的提问来源于stack exchange，提问作者subham das