参照：
https://docs.microsoft.com/en-us/azure/active-directory/governance/access-reviews-overview

Explanation:

参照：
https://docs.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-health-operations
トピック3、物語
概要
これはケーススタディです。ケーススタディには個別の時間制限はありません。各ケースを完了するために、試験時間を自由に使うことができます。ただし、この試験には追加のケーススタディやセクションが含まれる場合があります。与えられた時間内に試験に含まれるすべての問題を完了できるよう、時間配分をしっかり行う必要があります。
ケーススタディに含まれる質問に答えるには、ケーススタディに記載されている情報を参照する必要があります。ケーススタディには、ケーススタディで説明されているシナリオに関する詳細情報を提供する図表やその他の資料が含まれている場合があります。各質問は、このケーススタディ内の他の質問とは独立しています。
このケーススタディの最後に、確認画面が表示されます。この画面では、解答を確認し、次のセクションに進む前に修正することができます。新しいセクションを開始すると、このセクションに戻ることはできません。
ケーススタディを開始するには
このケーススタディの最初の質問を表示するには、「次へ」ボタンをクリックしてください。質問に答える前に、左側のペインにあるボタンを使ってケーススタディの内容を確認してください。これらのボタンをクリックすると、ビジネス要件、既存環境、問題記述などの情報が表示されます。ケーススタディに「すべての情報」タブがある場合、そこに表示される情報は以降のタブに表示される情報と同一です。質問に答える準備ができたら、「質問」ボタンをクリックして質問に戻ってください。
既存環境：技術環境
オンプレミスネットワークには、contoso.comという名前の単一のActive Directoryドメインが含まれています。
ContosoはAzureのサブスクリプションを1つ保有しています。
既存環境：ビジネスパートナーシップ
ContosoはFabrikam, Inc.と業務提携関係にあります。Fabrikamのユーザーは、Azure Active Directory（Azure AD）のゲストアカウントを使用して、インターネット経由でContosoの一部のアプリケーションにアクセスします。
要件：計画された変更
Contosoは、App1とApp2という名前の2つのアプリケーションをAzureにデプロイする予定です。
要件: App1
App1は、Azure App ServiceでホストされるPythonウェブアプリで、Linuxランタイムが必要です。ContosoとFabrikamのユーザーがApp1にアクセスします。
App1は、サードパーティの認証情報とアクセス文字列を必要とする複数のサービスにアクセスします。これらの認証情報とアクセス文字列は、Azure Key Vaultに保存されます。
App1には6つのインスタンスが配置されます。そのうち3つは米国東部Azureリージョンに、残りの3つは西ヨーロッパAzureリージョンに配置されます。
App1には以下のデータ要件があります。
各インスタンスは、インスタンスと同じアベイラビリティゾーンにあるデータストアにデータを書き込みます。
いずれかのApp1インスタンスによって書き込まれたデータは、すべてのApp1インスタンスから見えるようにする必要があります。
App1はインターネット経由でのみアクセス可能です。App1の接続要件は以下のとおりです。
App1への接続は、Webアプリケーションファイアウォール（WAF）を経由する必要があります。
App1への接続は、インスタンス間でアクティブ/アクティブ構成の負荷分散を行う必要があります。
北米からApp1への接続はすべて、米国東部リージョンに接続する必要があります。その他の接続はすべて、西ヨーロッパリージョンに接続する必要があります。
1時間ごとに、すべてのApp1インスタンスからファイルをコピーするPowerShellスクリプトを実行することで、メンテナンス作業が実行されます。このPowerShellスクリプトは、中央の場所から実行されます。
要件: App2
App2は、App Serviceでホストされる.NETアプリケーションであり、Windowsランタイムが必要です。App2には、以下のファイルストレージ要件があります。
ファイルをAzureストレージアカウントに保存します。
ファイルをオンプレミスの場所に複製します。
オンプレミスのクライアントがSMBプロトコルを使用してLAN経由でファイルを読み取れるようにしてください。
アプリケーション2を監視し、アプリケーション内で様々なトランザクションを実行するのにかかる時間を分析する必要があります。このソリューションは、アプリケーションコードの変更を必要としないものでなければなりません。
アプリケーション開発要件
アプリケーション開発者は、App1とApp2の新しいバージョンを継続的に開発します。開発プロセスは、以下の要件を満たす必要があります。
新しいアプリケーションバージョンを本番環境で使用する前に、そのバージョンのステージングインスタンスをアプリケーションホストにデプロイする必要があります。
新バージョンのテスト後、アプリケーションのステージングバージョンが本番バージョンに置き換えられます。
ステージング環境から本番環境への新しいアプリケーションバージョンへの切り替えは、アプリケーションのダウンタイムなしで行われなければなりません。
本人確認要件
Contosoは、Fabrikamのリソースへのアクセスを管理するために、以下の要件を特定しています。
毎月、Fabrikamのアカウントマネージャーは、どのFabrikamユーザーがApp1へのアクセス権限を持っているかを確認する必要があります。権限が不要になったアカウントは、ゲストとして削除しなければなりません。
解決策は開発労力を最小限に抑えるものでなければならない。
セキュリティ要件
Azure サービスで使用されるすべてのシークレットは、Azure Key Vault に保存する必要があります。
認証情報を必要とするサービスは、認証情報をサービスインスタンスに紐付ける必要があります。認証情報はサービス間で共有してはなりません。

Explanation:
要件: 身分証明要件
Contosoは、Fabrikamのリソースへのアクセスを管理するために、以下の要件を特定しています。
毎月、Fabrikamのアカウントマネージャーは、どのFabrikamユーザーがApp1へのアクセス権限を持っているかを確認する必要があります。権限が不要になったアカウントは、ゲストとして削除しなければなりません。
解決策は開発労力を最小限に抑えるものでなければならない。
ボックス1：Azure AD特権ID管理（PIM）
アクセスレビューはいつ利用すべきですか？
特権ロールを持つユーザーが多すぎる場合：管理者権限を持つユーザーの数、グローバル管理者のユーザーの数、および管理タスクを実行するために割り当てられた後も削除されていない招待ゲストやパートナーがいないかを確認することをお勧めします。Azure AD 特権 ID 管理 (PIM) エクスペリエンスで、グローバル管理者などの Azure AD ロール、またはユーザー アクセス管理者などの Azure リソース ロールのロール割り当てユーザーを再認証できます。
ボックス2：レビューへのアクセス
Azure Active Directory (Azure AD) のアクセスレビューにより、組織はグループメンバーシップ、エンタープライズアプリケーションへのアクセス、および役割の割り当てを効率的に管理できます。ユーザーのアクセス権限を定期的にレビューすることで、適切なユーザーのみが継続的にアクセスできるようにすることができます。
参照：
https://docs.microsoft.com/en-us/azure/active-directory/governance/access-reviews-overview

参照：
https://docs.microsoft.com/en-us/azure/sql-database/sql-database-auditing
https://docs.microsoft.com/en-us/previous-versions/azure/dn741340(v=azure.100)?redirectedfrom=MSDN