参照：
https://azure.microsoft.com/en-us/pricing/tco/
https://azure.microsoft.com/en-us/pricing/hybrid-benefit/
トピック 3、Contoso
既存の環境
技術環境
オンプレミス ネットワークには、contoso.com という名前の単一の Active Directory ドメインが含まれています。
Contoso には 1 つの Azure サブスクリプションがあります。
既存環境：業務提携
Contoso は、Fabrikam, Inc. とビジネス パートナーシップを結んでいます。Fabrikam ユーザーは、Azure Active Directory (Azure AD) ゲスト アカウントを使用して、インターネット経由で一部の Contoso アプリケーションにアクセスします。
要件: 計画された変更
Contoso は、App1 と App2 という名前の 2 つのアプリケーションを Azure にデプロイすることを計画しています。
要件: App1
App1 は、Linux ランタイムを必要とする、Azure App Service でホストされる Python Web アプリになります。Contoso と Fabrikam のユーザーは App1 にアクセスします。
App1 は、サードパーティの資格情報とアクセス文字列を必要とするいくつかのサービスにアクセスします。資格情報とアクセス文字列は Azure Key Vault に保存されます。
App1 には 6 つのインスタンスがあり、そのうち 3 つは米国東部の Azure リージョンに、3 つは西ヨーロッパの Azure リージョンにあります。
App1 には次のデータ要件があります。
各インスタンスは、インスタンスと同じアベイラビリティ ゾーン内のデータ ストアにデータを書き込みます。
App1 インスタンスによって書き込まれたデータは、すべての App1 インスタンスに表示される必要があります。
App1 にはインターネットからのみアクセスできます。App1 には次の接続要件があります。
App1 への接続は、Web アプリケーション ファイアウォール (WAF) を通過する必要があります。
App1 への接続は、インスタンス間でアクティブ/アクティブ負荷分散される必要があります。
北米から App1 へのすべての接続は、米国東部リージョンに向けられる必要があります。他のすべての接続は西ヨーロッパ地域に向けられる必要があります。
すべての App1 インスタンスからファイルをコピーする PowerShell スクリプトを呼び出して、1 時間ごとにメンテナンス タスクを実行します。PowerShell スクリプトは中央の場所から実行されます。
要件: アプリ2
App2 は、Windows ランタイムを必要とする App Service でホストされる NET アプリになります。App2 には次のファイル ストレージ要件があります。
ファイルを Azure ストレージ アカウントに保存します。
ファイルをオンプレミスの場所にレプリケートします。
オンプレミスのクライアントが SMB プロトコルを使用して LAN 経由でファイルを読み取ることができることを確認します。
App2 を監視して、アプリケーション内でさまざまなトランザクションを実行するのにかかる時間を分析する必要があります。ソリューションでは、アプリケーション コードの変更が必要であってはなりません。
アプリケーション開発要件
アプリケーション開発者は、App1 と App2 の新しいバージョンを常に開発します。開発プロセスは次の要件を満たす必要があります。
新しいアプリケーション バージョンを実稼働環境で使用する前に、新しいアプリケーション バージョンのステージング インスタンスをアプリケーション ホストにデプロイする必要があります。
新しいバージョンをテストした後、アプリケーションのステージング バージョンが運用バージョンを置き換えます。
ステージングから実稼働への新しいアプリケーション バージョンへの切り替えは、アプリケーションのダウンタイムなしに行われる必要があります。
アイデンティティ要件
Contoso は、Fabrikam のリソースへのアクセスを管理するための次の要件を特定しています。
Fabrikam のアカウント マネージャーは毎月、どの Fabrikam ユーザーが App1 へのアクセス許可を持っているかを確認する必要があります。権限が必要なくなったアカウントはゲストとして削除する必要があります。
ソリューションでは、開発労力を最小限に抑える必要があります。
セキュリティ要件
Azure サービスで使用されるすべてのシークレットは、Azure Key Vault に保存する必要があります。
資格情報を必要とするサービスには、サービス インスタンスに関連付けられた資格情報が必要です。資格情報をサービス間で共有してはなりません。

説明
グラフィカル ユーザー インターフェイス、テキスト、アプリケーションの説明が自動生成される

ボックス 1: Azure AD ID 保護
Azure AD Identity Protection は、サインインしている最新認証アプリに関係なく、MFA 登録を要求するように条件付きアクセス ポリシーを構成することで、Azure AD Multi-Factor Authentication (MFA) 登録のロールアウトを管理するのに役立ちます。
シナリオ: Azure portal を使用して運用環境を管理するユーザーは、ハイブリッド Azure AD に参加しているデバイスから接続し、Azure Multi-Factor Authentication (MFA) を使用して認証する必要があります。
ボックス 2: サインイン リスク ポリシー...
シナリオ: Litware.com テナントには、capolicy1 という名前の条件付きアクセス ポリシーがあります。Capolicy1 では、ユーザーが Azure portal を使用して運用環境の Azure サブスクリプションを管理する場合、ハイブリッド Azure AD に参加しているデバイスから接続する必要があります。
ID 保護ポリシー ディレクトリで有効にできる 2 つのリスク ポリシーがあります。
サインインのリスク ポリシー
ユーザーリスクポリシー
参照：
https://docs.microsoft.com/en-us/azure/active-directory/identity-protection/howto-identity-protection-configure-m
https://docs.microsoft.com/en-us/azure/active-directory/identity-protection/howto-identity-protection-configure-r

参照：
https://docs.microsoft.com/en-us/azure/traffic-manager/traffic-manager-overview
https://blogs.msdn.microsoft.com/hsirtl/2017/07/03/autoscaling-azure-web-apps/

参照：
https://docs.microsoft.com/en-us/azure/azure-monitor/platform/data-sources-windows-events
https://docs.microsoft.com/en-us/azure/azure-monitor/platform/agent-windows