Explanation:
グラフィカルユーザーインターフェース、テキスト、アプリケーションの説明は自動的に生成されます

ボックス1：Azure AD ID保護
Azure AD Identity Protection を使用すると、条件付きアクセス ポリシーを構成して、どの最新認証アプリにサインインする場合でも MFA 登録を必須にすることで、Azure AD 多要素認証 (MFA) 登録の展開を管理できます。
シナリオ：Azureポータルを使用して本番環境を管理するユーザーは、ハイブリッドAzure AD参加済みデバイスから接続し、Azure多要素認証（MFA）を使用して認証を行う必要があります。
ボックス2：サインインリスクポリシー...
シナリオ：Litware.comテナントには、capolicy1という名前の条件付きアクセスポリシーが設定されています。capolicy1では、ユーザーがAzureポータルを使用して本番環境のAzureサブスクリプションを管理する場合、ハイブリッドAzure AD参加済みデバイスから接続する必要があると規定されています。
個人情報保護ポリシーに関して、当社ディレクトリで有効化できるリスクポリシーが2つあります。
サインインリスクポリシー
ユーザーリスクポリシー
参照：
https://docs.microsoft.com/en-us/azure/active-directory/identity-protection/howto-identity-protection-configure-m
https://docs.microsoft.com/en-us/azure/active-directory/identity-protection/howto-identity-protection-configure-r

プライベートエンドポイントは、VPNまたはExpressRoutesとプライベートピアリングを使用してVNetに接続するオンプレミスネットワークからストレージアカウントに安全に接続します。
プライベートエンドポイントは、ストレージファイアウォールを設定してストレージサービスのパブリックエンドポイントへのすべての接続をブロックすることで、ストレージアカウントを保護します。
https://docs.microsoft.com/en-us/azure/expressroute/expressroute-faqs#microsoft-peering
トピック1、Litware, Inc.
事例研究
これはケーススタディです。ケーススタディには個別の時間制限はありません。各ケースを完了するために、試験時間を自由に使うことができます。ただし、この試験には追加のケーススタディやセクションが含まれる場合があります。与えられた時間内に試験に含まれるすべての問題を完了できるよう、時間配分をしっかり行う必要があります。
ケーススタディに含まれる質問に答えるには、ケーススタディに記載されている情報を参照する必要があります。ケーススタディには、ケーススタディで説明されているシナリオに関する詳細情報を提供する図表やその他の資料が含まれている場合があります。各質問は、このケーススタディ内の他の質問とは独立しています。
このケーススタディの最後に、確認画面が表示されます。この画面では、解答を確認し、次のセクションに進む前に修正することができます。新しいセクションを開始すると、このセクションに戻ることはできません。
ケーススタディを開始するには
このケーススタディの最初の質問を表示するには、「次へ」ボタンをクリックしてください。質問に答える前に、左側のペインにあるボタンを使ってケーススタディの内容を確認してください。これらのボタンをクリックすると、ビジネス要件、既存環境、問題記述などの情報が表示されます。ケーススタディに「すべての情報」タブがある場合、そこに表示される情報は以降のタブに表示される情報と同一です。質問に答える準備ができたら、「質問」ボタンをクリックして質問に戻ってください。
概要。概要全般
Litware, Inc.は中規模の金融会社です。
概要。物理的な所在地
Litwareの本社はボストンにある。
既存環境。アイデンティティ環境
このネットワークには、Litware.com という名前の Active Directory フォレストがあり、それが Litware.com という名前の Azure Active Directory (Azure AD) テナントにリンクされています。すべてのユーザーは Azure Active Directory Premium P2 ライセンスを所有しています。
Litwareは、開発環境として使用されるdev.Litware.comという名前の2つ目のAzure ADテナントを所有しています。
Litware.comテナントには、capolicy1という名前の条件付きアクセス ポリシーが設定されています。capolicy1では、ユーザーがAzureポータルを使用して本番環境のAzureサブスクリプションを管理する場合、ハイブリッドAzure AD参加済みデバイスから接続する必要があると規定されています。
既存環境。Azure環境
Litwareは、Litware.comテナントにリンクされたAzureサブスクリプションを10個、dev.Litware.comテナントにリンクされたAzureサブスクリプションを5個保有しています。これらのサブスクリプションはすべてエンタープライズ契約（EA）に含まれています。
Litware.comテナントには、Azureストレージ内のブロブとファイルに対するDataActionsの読み取り権限を付与する、Role1という名前のカスタムAzureロールベースアクセス制御（Azure RBAC）ロールが含まれています。
既存環境。オンプレミス環境
Litwareのオンプレミスネットワークには、次の表に示すリソースが含まれています。

既存環境。ネットワーク環境
LitwareはAzureへのExpressRoute接続に対応しています。
計画されている変更と要件。計画されている変更
Litwareは以下の変更を実施する予定です。
* DB1とDB2をAzureに移行する。
* App1をAzure仮想マシンに移行する。
* App1をホストするAzure仮想マシンをAzure専用ホストにデプロイします。
計画されている変更と要件。認証および認可の要件 Litware は、以下の認証および認可の要件を特定しています。
* Azure ポータルを使用して運用環境を管理するユーザーは、ハイブリッド Azure AD 参加済みデバイスから接続し、Azure 多要素認証 (MFA) を使用して認証を行う必要があります。
* すべての Azure サブスクリプション内のすべての仮想ネットワークにアクセス許可を付与するには、組み込みの RBAC ロールである Network Contributor を使用する必要があります。
* Azure のリソースにアクセスするには、App1 はアプリをホストする仮想マシンのマネージド ID を使用する必要があります。
* すべての Azure サブスクリプションのストレージ アカウントにアクセス許可を割り当てるには、Role1 を使用する必要があります。
* RBACロールは可能な限り高いレベルで適用する必要があります。
計画された変更と要件。回復力に関する要件
Litwareは、以下の回復力要件を特定しています。
* Azureへの移行後、DB1とDB2は以下の要件を満たす必要があります。
- ローカルの Azure リージョン内の 2 つの可用性ゾーンが故障した場合でも、可用性を維持します。
- 自動的にフェイルオーバーします。
・I/Oレイテンシを最小限に抑える。
* アプリ1は以下の要件を満たす必要があります。
- 可用性ゾーンをサポートするAzureリージョンでホストされていること。
・自動スケーリングをサポートするAzure仮想マシン上でホストされること。
- ローカルの Azure リージョン内の 2 つの可用性ゾーンが故障した場合でも、可用性を維持します。
計画されている変更と要件。セキュリティおよびコンプライアンス要件
Litwareは、以下のセキュリティおよびコンプライアンス要件を特定しています。
* App1をAzureに移行した後は、アプリに新しいデータを書き込むことができ、新規データおよび既存データの変更が3年間禁止されていることを確認する必要があります。
* オンプレミスのユーザーとサービスは、App1 でデータをホストする Azure Storage アカウントにアクセスできる必要があります。
* App1 のデータをホストする Azure Storage アカウントのパブリックエンドポイントへのアクセスは防止する必要があります。
* 本番環境にあるすべての Azure SQL データベースでは、透過的データ暗号化 (TDE) が有効になっている必要があります。
* App1は、他のワークロードと物理ハードウェアを共有してはなりません。
計画されている変更と要件。ビジネス要件
Litwareは、以下のビジネス要件を特定しました。
管理業務の手間を最小限に抑える。
コストを最小限に抑える。

参照：
https://4sysops.com/archives/how-to-create-an-azure-ad-admin-login-alert/
https://docs.microsoft.com/en-us/azure/azure-monitor/platform/alerts-log

代わりに、Azure Network Watcher IP Flow Verifyを使用してください。これにより、VM レベルでトラフィック フィルタリングの問題を検出できます。
注：IPフロー検証は、仮想マシンとの間で送受信されるパケットが許可されているか拒否されているかを確認します。情報は、方向、プロトコル、ローカルIPアドレス、リモートIPアドレス、ローカルポート、リモートポートで構成されます。パケットがセキュリティグループによって拒否された場合は、パケットを拒否したルールの名前が返されます。
送信元または宛先のIPアドレスは任意に選択できますが、IPフロー検証機能は、管理者がインターネットとの間、およびオンプレミス環境との間における接続の問題を迅速に診断するのに役立ちます。
参照：
https://docs.microsoft.com/en-us/azure/network-watcher/network-watcher-ip-flow-verify-overview