参照：
https://docs.microsoft.com/en-us/azure/event-grid/event-schema
トピック 5、Litware Inc
全体的なアーキテクチャ
従業員は、システムが処理する領収書をアップロードします。処理が完了すると、従業員は処理結果の詳細が記載された概要レポートの電子メールを受け取ります。次に、従業員は Web アプリケーションを使用して領収書を管理し、払い戻しに必要な追加タスクを実行します。
領収書処理
従業員は、次の 2 つの方法で領収書をアップロードできます。
Azure Files マウント フォルダーを使用したアップロード
Web アプリケーションを使用したアップロード
データストレージ
領収書と従業員の情報は、Azure SQL データベースに保存されます。
ドキュメンテーション
ソリューションを初めて使用する従業員には、入門ドキュメントが提供されます。このドキュメントには、Azure ファイルのアップロードでサポートされているオペレーティング システムの詳細と、マウントされたフォルダーの構成方法に関する説明が含まれています。
ソリューションの詳細
ユーザー テーブル

ウェブアプリケーション
Web アプリの MSI を有効にし、セキュリティ プリンシパル名 WebAppIdentity を使用するように Web アプリを構成します。
処理
処理は、Azure 関数ランタイムのバージョン 2 を使用する Azure 関数によって実行されます。処理が完了すると、結果は Azure Blob Storage と Azure SQL データベースに格納されます。次に、処理レポートへのリンクを含む電子メールの概要がユーザーに送信されます。電子メールが別のユーザーに転送された場合、レポートへのリンクは有効なままにする必要があります。
ロギング
Azure Application Insights は、プロセッサと Web アプリケーションの両方でテレメトリとログ記録に使用されます。プロセッサでは、TraceWriter のログも有効になっています。Application Insights には、常にすべてのログ メッセージが含まれている必要があります。
要件
領収書処理
レシートの同時処理を防止する必要があります。
災害からの回復
地域的な停止がアプリケーションの可用性に影響を与えてはなりません。すべての DR 操作は、実行中のアプリケーションに依存してはならず、DR リージョン内のデータが最新であることを確認する必要があります。
安全
ユーザーの SecurityPin は、データベースへのアクセスが SecurityPin の表示を許可しないような方法で保存する必要があります。Web アプリケーションは、SecurityPins にアクセスできる唯一のシステムです。
データを保護するために使用されるすべての証明書とシークレットは、Azure Key Vault に格納する必要があります。
最小権限の原則に従い、目的の機能を実行するために不可欠な権限を提供する必要があります。
Azure Storage および Azure SQL データベースへのすべてのアクセスでは、アプリケーションのマネージド サービス ID (MSI) を使用する必要があります。
領収書データは常に保存時に暗号化する必要があります。
転送中はすべてのデータを保護する必要があります。
ユーザーの経費口座番号は、ログインしているユーザーのみに表示される必要があります。経費勘定番号の他のすべてのビューには、最後のセグメントのみが含まれ、残りの部分は隠されている必要があります。
セキュリティ違反が発生した場合、システムの他の部分に影響を与えることなく、すべての概要レポートへのアクセスを無効にする必要があります。
問題
アップロード形式の問題
Web アプリケーションを使用して領収書をアップロードする際に、従業員から問題が報告されることがあります。彼らは、Azure ファイル共有を使用して領収書をアップロードすると、領収書がプロファイルに表示されないと報告しています。これが発生すると、ファイル共有内のファイルを削除し、Web アプリケーションを使用すると、500 Internal Server エラー ページが返されます。
容量の問題
繁忙期には、従業員は領収書をアップロードしてから Web アプリケーションに表示されるまでに長い遅延があると報告しています。
ログ容量の問題
開発者は、プロセッサのトレース出力のログ メッセージの数が多すぎて、ログ メッセージが失われると報告しています。
アプリケーションコード
Processing.cs

データベース.cs

ReceiptUploader.cs

SSE.ps1 の構成

説明
動的データ マスキングは、アプリケーション レイヤーへの影響を最小限に抑えながら、公開する機密データの量を顧客が指定できるようにすることで、機密データへの不正アクセスを防ぐのに役立ちます。
マスキングから除外された SQL ユーザー - SQL クエリ結果でマスクされていないデータを取得する一連の SQL ユーザーまたは AAD ID。
注: New-AzureRmSqlDatabaseDataMaskingRule コマンドレットは、Azure SQL データベースのデータ マスキング ルールを作成します。
参考文献:
https://docs.microsoft.com/en-us/powershell/module/azurerm.sql/new-azurermsqldatabasedatamaskingrule?view

BLOB のスナップショットを作成できます。スナップショットは、ある時点で取得された BLOB の読み取り専用バージョンです。
スナップショットが作成されると、読み取り、コピー、または削除することはできますが、変更することはできません。スナップショットは、ある時点で表示される BLOB をバックアップする方法を提供します。
シナリオ: Azure 関数ランタイムのバージョン 2 を使用する Azure 関数によって処理が実行されます。
処理が完了すると、結果は Azure Blob Storage と Azure SQL データベースに格納されます。次に、処理レポートへのリンクを含む電子メールの概要がユーザーに送信されます。電子メールが別のユーザーに転送された場合、レポートへのリンクは有効なままにする必要があります。
参照：
https://docs.microsoft.com/en-us/rest/api/storageservices/creating-a-snapshot-of-a-blob

参照：
https://docs.microsoft.com/en-us/azure/app-service/containers/app-service-linux-faq

Explanation:
ボックス 1: [BlobTrigger(..)]
ボックス 2: [Blob(..)]
Azure Functions の Azure Blob Storage 出力バインド。出力バインディングを使用すると、Azure 関数内の BLOB ストレージ データを変更および削除できます。
次の例に示すように、属性のコンストラクターは、BLOB へのパスと、読み取りまたは書き込みを示す FileAccess パラメーターを受け取ります。
[関数名("ResizeImage")]
public static void Run(
[BlobTrigger("sample-images/{name}")] ストリーム画像、
[Blob("sample-images-md/{name}", FileAccess.Write)] Stream imageSmall)
{
...
}
シナリオ: コンテンツ チェックを実行するには、CheckUserContent という名前の Azure 関数を作成する必要があります。同社のデータ サイエンス グループは、ユーザーが生成したコンテンツを文字列として受け取り、不適切なコンテンツの推定値を返す ContentAnalysisService を構築しました。特定のしきい値を超える値は、Contoso, Ltd. の従業員が確認する必要があります。
参照：
https://docs.microsoft.com/en-us/azure/azure-functions/functions-bindings-storage-blob-output