Explanation:

シナリオ：運用環境にあるすべての Azure SQL データベースで、透過的データ暗号化 (TDE) を有効にする必要があります。
ステップ 1: deployIfNotExists ID を使用する Azure ポリシー定義を作成します。
最初のステップは、deployIfNotExists ロールを定義し、ポリシー定義内のニーズを変更して、含まれているテンプレートのコンテンツを正常にデプロイすることです。
ステップ2：Azureポリシー割り当てを作成する
ポータルを使用して割り当てを作成すると、Azure Policy はマネージド ID を生成すると同時に、roleDefinitionIds で定義されたロールをその ID に付与します。
ステップ3：修復タスクを呼び出す
deployIfNotExists ポリシーまたは modify ポリシーに準拠していないリソースは、修復によって準拠状態にすることができます。修復は、Azure Policy に対して、割り当てられたポリシーの deployIfNotExists 効果または modify 操作を、管理グループ、サブスクリプション、リソース グループ、または個々のリソースのいずれに割り当てられた場合でも、既存のリソースおよびサブスクリプションに対して実行するように指示することによって行われます。
評価中、deployIfNotExistsまたはmodify効果を持つポリシー割り当てによって、準拠していないリソースまたはサブスクリプションが存在するかどうかが判断されます。準拠していないリソースまたはサブスクリプションが検出された場合、その詳細は修復ページに表示されます。
参照：
https://docs.microsoft.com/en-us/azure/governance/policy/how-to/remediate-resources

参照：
https://docs.microsoft.com/en-us/rest/api/keyvault/

Explanation:

ボックス1：スマートロックアウト
スマートロックアウト機能は、ユーザーのパスワードを推測したり、総当たり攻撃で侵入しようとする悪意のあるユーザーを排除するのに役立ちます。スマートロックアウトは、正規ユーザーからのサインインを認識し、攻撃者やその他の未知のソースからのサインインとは異なる処理を行います。攻撃者はアカウントから締め出されますが、ユーザーは引き続きアカウントにアクセスして生産性を維持できます。
ボックス2：条件付きアクセスポリシー
テナントのセキュリティを強化するために、従来の認証をブロックする準備ができている環境であれば、条件付きアクセスを使用してこの目的を達成できます。
従来の認証方式を使用するアプリがテナントのリソースにアクセスするのを防ぐにはどうすればよいでしょうか？推奨される方法は、条件付きアクセス ポリシーでそれらをブロックすることです。必要に応じて、特定のユーザーと特定のネットワーク ロケーションのみが従来の認証方式に基づくアプリを使用できるように設定することもできます。
参照：
https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-password-smart-lockout
https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/block-legacy-authentication

説明
シナリオ：アプリ1には以下のデータ要件があります。
各インスタンスは、インスタンスと同じアベイラビリティゾーンにあるデータストアにデータを書き込みます。
いずれかのApp1インスタンスによって書き込まれたデータは、すべてのApp1インスタンスから見えるようにする必要があります。
Azure Cosmos DB: すべてのリージョンにわたる各パーティションが複製されます。各リージョンには、Azure Cosmosコンテナーのすべてのデータパーティションが含まれており、マルチリージョン書き込みが有効になっている場合は、読み取りと書き込みの両方を提供できます。
参照：
https://docs.microsoft.com/en-us/azure/cosmos-db/high-availability
トピック4、HAB保険
事例研究
HABInsuranceという保険会社は3つの州で事業を展開しており、住宅保険、自動車保険、船舶保険を提供している。
HABInsuranceは本社に加え、3つの地域事務所を構えている。
現在の環境
一般的な
HABInsuranceという保険会社は3つの州で事業を展開しており、住宅保険、自動車保険、船舶保険を提供している。
HABInsuranceは本社に加え、3つの地域事務所を構えている。
技術評価
同社は、main.habinsurance.comとregion.habinsurance.comという2つのActive Directoryフォレストを所有しています。
HABInsuranceの主要な内部システムは、保険処理システム（IPS）です。これは、データセンターに設置されたIIS/Windowsサーバー上で動作するASP.Net/C#アプリケーションです。IPSは、Web層、ビジネスロジックAPI、バックエンドのデータストアの3層構造になっています。バックエンドにはMicrosoft SQL ServerとMongoDBを使用しています。
システムは、顧客データと保険フォームおよびドキュメントの 2 つの部分で構成されています。顧客データは Microsoft SQL Server に、保険フォームおよびドキュメントは MongoDB に保存されています。また、本社所在地の NAS には 10 TB の人事 (HR) データも保存されています。 要件 全般 HABInsurance はワークロードを Azure に移行する予定です。Azure サブスクリプションを購入しました。 変更 移行期間中、HABInsurance は Microsoft Office 365 の展開とともにハイブリッド ID モデルを作成したいと考えています。同社は AD フォレストを Azure AD に同期し、Azure AD 管理ユニット機能を活用する予定です。
HABInsuranceは、既存のIPSCustomers SQLデータベースを、予算重視で、スケーラブルなコンピューティングおよびストレージオプションを備えた、Azure上の新しいフルマネージドSQLデータベースに移行する必要があります。経営陣は、Azureデータベースサービスが最小限のダウンタイムでデータベースリソースを動的に拡張することを期待しています。技術チームは、新しいデータベースにDTUベースの購入モデルを導入することを提案しています。
HABInsuranceは、保険関連のフォームとドキュメントをAzureデータベースサービスに移行したいと考えています。HABInsuranceは、IPSの最初の2つの階層を一切変更せずにAzureに移行する予定です。技術チームは、一連の仮想マシンインスタンス上でIPS階層を実行する可能性について検討しています。インスタンス数は、CPU使用率に基づいて自動的に調整される必要があります。コンピューティングインフラストラクチャについては、99.95%のSLAが保証されなければなりません。
同社は人事データをAzureファイル共有に移行する必要がある。
HABInsuranceは、新しいAzureエコシステムにおいて、社内アプリケーションとサードパーティ製アプリケーションの両方を使用する予定です。同社は、登録済みアプリケーションへのデータアクセスにユーザー同意を追加することを検討しています。その後、技術チームは、IPSに顧客セルフサービスポータルを追加し、新しいIPSをマルチリージョンASKに展開することを検討しています。しかし、経営陣は、リージョン障害発生時のマルチリージョンAKS展開のパフォーマンスと可用性について懸念しています。

説明