シナリオ:すべての Azure サブスクリプションのすべての仮想ネットワークに対するアクセス許可をネットワーク管理者に付与するには、ネットワーク共同作成者組み込み RBAC ロールを使用する必要があります。
RBAC ロールは、可能な限り最高レベルで適用する必要があります。
概要：
トピック 1、Litware, Inc
概要。総括
Litware, Inc. は中規模の金融会社です。
概要。物理的な場所
Litware はボストンに本社を置いています。
既存の環境
アイデンティティ環境
ネットワークには、Litware.com という名前の Azure Active Directory (Azure AD) テナントにリンクされている Litware.com という名前の Active Directory フォレストが含まれています。すべてのユーザーは Azure Active Directory Premium P2 ライセンスを持っています。
Litware には、開発環境として使用される dev.Litware.com という名前の 2 番目の Azure AD テナントがあります。
Litware.com テナントには、capolicy1 という名前の条件付きアクセス ポリシーがあります。Capolicy1 では、ユーザーが Azure portal を使用して運用環境の Azure サブスクリプションを管理する場合、ハイブリッド Azure AD に参加しているデバイスから接続する必要があります。
既存の環境。Azure環境
Litware には、Litware.com テナントにリンクされた 10 個の Azure サブスクリプションと、dev.Litware.com テナントにリンクされた 5 個の Azure サブスクリプションがあります。すべてのサブスクリプションはエンタープライズ契約 (EA) に含まれています。
Litware.com テナントには、Azure Storage 内の BLOB とファイルに対する DataActions 読み取りアクセス許可を付与する、Role1 という名前のカスタム Azure ロールベースのアクセス制御 (Azure RBAC) ロールが含まれています。
既存の環境。オンプレミス環境
Litware のオンプレミス ネットワークには、次の表に示すリソースが含まれています。

既存の環境。ネットワーク環境
Litware には Azure への ExpressRoute 接続があります。
計画された変更と要件。計画された変更
Litware は次の変更を実装する予定です。
DB1 と DB2 を Azure に移行します。
App1 を Azure 仮想マシンに移行します。
App1 をホストする Azure 仮想マシンを Azure 専用ホストにデプロイします。
計画された変更と要件。認証と認可の要件 Litware では、次の認証と認可の要件を特定しています。
Azure portal を使用して運用環境を管理するユーザーは、ハイブリッド Azure AD に参加しているデバイスから接続し、Azure Multi-Factor Authentication (MFA) を使用して認証する必要があります。
すべての Azure サブスクリプションのすべての仮想ネットワークにアクセス許可を付与するには、ネットワーク共同作成者組み込み RBAC ロールを使用する必要があります。
Azure のリソースにアクセスするには、App1 はアプリをホストする仮想マシンのマネージド ID を使用する必要があります。
すべての Azure サブスクリプションのストレージ アカウントにアクセス許可を割り当てるには、Role1 を使用する必要があります。
RBAC ロールは、可能な限り最高レベルで適用する必要があります。
計画された変更と要件。回復力の要件
Litware では、次の復元性要件が特定されています。
Azure に移行したら、DB1 と DB2 は次の要件を満たす必要があります。
- ローカル Azure リージョン内の 2 つの可用性ゾーンに障害が発生した場合でも、可用性を維持します。
- 自動的にフェイルオーバーします。
- I/O 遅延を最小限に抑えます。
App1 は次の要件を満たす必要があります。
- 可用性ゾーンをサポートする Azure リージョンでホストされる。
- 自動スケーリングをサポートする Azure 仮想マシンでホストされる。
- ローカル Azure リージョン内の 2 つの可用性ゾーンに障害が発生した場合でも、可用性を維持します。
計画された変更と要件。セキュリティとコンプライアンスの要件
Litware は、次のセキュリティおよびコンプライアンスの要件を特定します。
App1 を Azure に移行したら、新しいデータをアプリに書き込めるようにする必要があります。また、新規および既存のデータの変更は 3 年間禁止されます。
オンプレミスのユーザーとサービスは、App1 のデータをホストする Azure ストレージ アカウントにアクセスできる必要があります。
App1 データをホストする Azure ストレージ アカウントのパブリック エンドポイントへのアクセスを防止する必要があります。
運用環境のすべての Azure SQL データベースでは、透過的データ暗号化 (TDE) が有効になっている必要があります。
App1 は他のワークロードと物理ハードウェアを共有してはなりません。
計画された変更と要件。ビジネス要件
Litware は次のビジネス要件を特定します。
管理労力を最小限に抑えます。
コストを最小限に抑えます。

参照：
https://docs.microsoft.com/en-us/azure/key-vault/general/authentication

説明
グラフィカル ユーザー インターフェイス、テキスト、アプリケーション、テーブルの説明が自動的に生成される

シナリオ: セキュリティ要件
Azure サービスで使用されるすべてのシークレットは、Azure Key Vault に保存する必要があります。
資格情報を必要とするサービスには、サービス インスタンスに関連付けられた資格情報が必要です。資格情報をサービス間で共有してはなりません。
ボックス 1: サービス プリンシパル
サービス プリンシパルは、アプリケーションまたはサービス、つまりユーザーやグループではなくコードの一部を識別するセキュリティ プリンシパルの一種です。サービス プリンシパルのオブジェクト ID はクライアント ID として知られ、ユーザー名のように機能します。サービス プリンシパルのクライアント シークレットは、そのパスワードのように機能します。
注: Key Vault による認証は、特定のセキュリティ プリンシパルの ID を認証する役割を担う Azure Active Directory (Azure AD) と連携して機能します。
セキュリティ プリンシパルは、Azure リソースへのアクセスを要求しているユーザー、グループ、サービス、またはアプリケーションを表すオブジェクトです。Azure は、すべてのセキュリティ プリンシパルに一意のオブジェクト ID を割り当てます。
ボックス 2: 役割の割り当て
Azure ロールベースのアクセス制御を使用して、Key Vault のキー、証明書、およびシークレットへのアクセスを提供できます。
参照：
https://docs.microsoft.com/en-us/azure/key-vault/general/authentication