参照：
https://docs.microsoft.com/en-us/azure/active-directory/users-groups-roles/groups-dynamic-membership
トピック 2、Litware, Inc
ケーススタディを開始するには
このケーススタディに関する最初の質問を表示するには、「次へ」ボタンをクリックします。質問に答える前に、左側のペインのボタンを使用してケーススタディの内容を調べてください。これらのボタンをクリックすると、ビジネス要件、既存の環境、問題の説明などの情報が表示されます。ケーススタディに [すべての情報] タブがある場合、表示される情報は後続のタブに表示される情報と同じであることに注意してください。質問に答える準備ができたら、「質問」ボタンをクリックして質問に戻ります。
概要
Litware, Inc. は、シカゴ地域に 500 人の従業員、サンフランシスコ地域に 20 人の従業員を抱えるデジタル メディア企業です。
既存の環境
Litware には、Sub1 という名前の Azure サブスクリプションがあり、サブスクリプション ID は 43894a43-17c2-4a39-8cfc-3540c2653ef4 です。
Sub1 は、litwareinc.com という名前の Azure Active Directory (Azure AD) テナントに関連付けられています。テナントには、すべての Litware 従業員とそのデバイスのユーザー オブジェクトとデバイス オブジェクトが含まれています。各ユーザーには Azure AD Premium P2 ライセンスが割り当てられます。Azure AD Privileged Identity Management (PIM) がアクティブ化されています。
テナントには、次の表に示すグループが含まれています。

Azure サブスクリプションには、次の表に示すオブジェクトが含まれています。

Azure Security Center は無料レベルに設定されています。
計画された変更
Litware は、次の表に示す Azure リソースをデプロイすることを計画しています。

Litware は、次の ID およびアクセス要件を特定します。
すべてのサンフランシスコ ユーザーとそのデバイスは Group1 のメンバーである必要があります。
Group2 のメンバーには、永続的な適格な割り当てを使用して、リソース グループ 2 への共同作成者ロールを割り当てる必要があります。
ユーザーが Azure AD にアプリケーションを登録したり、ユーザーに代わって会社情報にアクセスするアプリケーションに同意したりすることを禁止する必要があります。
プラットフォームの保護要件
Litware は、次のプラットフォーム保護要件を特定します。
Microsoft マルウェア対策は、リソース グループ 1 の仮想マシンにインストールする必要があります。
Group2 のメンバーには、Azure Kubernetes Service Cluster 管理者ロールを割り当てる必要があります。
Azure AD ユーザーは、Azure AD 資格情報を使用して AKS1 に対して認証する必要があります。
計画された変更の実装後、IT チームは JIT VM アクセスを使用して VM0 に接続できる必要があります。
Resource Group1 のマネージド ディスクの管理を委任するには、Role1 という名前の新しいカスタム RBAC ロールを使用する必要があります。役割 1 は、リソース グループ 1 に対してのみ使用可能である必要があります。
セキュリティ運用要件
Litware は、Azure Security Center でオペレーティング システムのセキュリティ構成をカスタマイズできる必要があります。

説明
アプリケーション セキュリティ グループに割り当てられたすべてのネットワーク インターフェイスは、アプリケーション セキュリティ グループに割り当てられた最初のネットワーク インターフェイスと同じ仮想ネットワーク内に存在する必要があるため、Subnet11 と Subnet12 で構成される NVET1 のネットワーク インターフェイスのみを ASG1 で構成できます。 。
参照：
https://azure.microsoft.com/es-es/blog/applicationsecuritygroups/

説明

ボックス 1: -EnablePurgeProtection
指定した場合、このコンテナーに対して即時削除に対する保護が有効になります。論理的な削除も有効にする必要があります。
ボックス 2: -EnableSoftDelete
このキー コンテナーに対して論理的な削除機能が有効であることを指定します。論理的な削除が有効になっている場合、削除後に猶予期間の間、このキー コンテナーとその内容を回復できます。
参考文献:
https://docs.microsoft.com/en-us/powershell/module/azurerm.keyvault/new-azurermkeyvault

https://docs.microsoft.com/en-us/azure/active-directory/users-groups-roles/groups-dynamic-membership シナリオ:
Litware は、次の ID およびアクセス要件を特定します。 すべてのサンフランシスコ ユーザーとそのデバイスは、Group1 のメンバーである必要があります。
テナントには現在次のグループが含まれています。

参照：
https://docs.microsoft.com/en-us/azure/active-directory/users-groups-roles/groups-dynamic-membership
https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-groups-create-azure-portal
トピック 2、Contoso
技術的要件
Contoso は次の技術要件を特定します。
Azure Firewall を Sub2 の VNetWork1 にデプロイします。
App2 という名前のアプリケーションを contoso.com に登録します。
可能な限り、最小特権の原則を使用してください。
contoso.com に対して Azure AD Privileged Identity Management (PIM) を有効にする
既存の環境
Azure AD
Contoso.com には、次の表に示すユーザーが含まれています。

Contoso.com には、次の表に示すセキュリティ グループが含まれています。

サブ1
Sub1 には、RG1、RG2、RG3、RG4、RG5、および RG6 という名前の 6 つのリソース グループが含まれています。
User2 は、次の表に示す仮想ネットワークを作成します。

Sub1 には、次の表に示すロックが含まれています。

Sub1 には、次の表に示す Azure ポリシーが含まれています。

サブ2

Sub2 には、次の表に示す仮想マシンが含まれています。

すべての仮想マシンにはパブリック IP アドレスと Web サーバー (IIS) の役割がインストールされています。各仮想マシンのファイアウォールでは、ping リクエストと Web リクエストが許可されます。
Sub2 には、次の表に示すネットワーク セキュリティ グループ (NSG) が含まれています。

NSG1 には、次の表に示す受信セキュリティ ルールがあります。

NSG2 には、次の表に示す受信セキュリティ ルールがあります。

NSG3 には、次の表に示す受信セキュリティ ルールがあります。

NSG4 には、次の表に示す受信セキュリティ ルールがあります。

NSG1、NSG2、NSG3、および NSG4 には、次の表に示す送信セキュリティ ルールがあります。

Contoso は次の技術要件を特定します。
Azure Firewall を Sub2 の VNetwork1 にデプロイします。
App2 という名前のアプリケーションを contoso.com に登録します。
可能な限り、最小特権の原則を使用してください。
contoso.com に対して Azure AD Privileged Identity Management (PIM) を有効にします。