参照：
https://docs.microsoft.com/en-us/azure/azure-resource-manager/resource-group-lock-resources
トピック 2、Litware, Inc
既存の環境
Litware には、Sub1 という名前の Azure サブスクリプションがあり、サブスクリプション ID は 43894a43-17c2-4a39-8cfc-3540c2653ef4 です。
Sub1 は、litwareinc.com という名前の Azure Active Directory (Azure AD) テナントに関連付けられています。テナントには、すべての Litware 従業員とそのデバイスのユーザー オブジェクトとデバイス オブジェクトが含まれています。各ユーザーには Azure AD Premium P2 ライセンスが割り当てられます。Azure AD Privileged Identity Management (PIM) がアクティブ化されています。
テナントには、次の表に示すグループが含まれています。

Azure サブスクリプションには、次の表に示すオブジェクトが含まれています。

Azure Security Center は無料レベルに設定されています。
計画された変更
Litware は、次の表に示す Azure リソースをデプロイすることを計画しています。

Litware は、次の ID およびアクセス要件を特定します。
すべてのサンフランシスコ ユーザーとそのデバイスは Group1 のメンバーである必要があります。
Group2 のメンバーには、永続的な適格な割り当てを使用して、リソース グループ 2 への共同作成者ロールを割り当てる必要があります。
ユーザーが Azure AD にアプリケーションを登録したり、ユーザーに代わって会社情報にアクセスするアプリケーションに同意したりすることを禁止する必要があります。
プラットフォームの保護要件
Litware は、次のプラットフォーム保護要件を特定します。
Microsoft マルウェア対策は、リソース グループ 1 の仮想マシンにインストールする必要があります。
Group2 のメンバーには、Azure Kubernetes Service Cluster 管理者ロールを割り当てる必要があります。
Azure AD ユーザーは、Azure AD 資格情報を使用して AKS1 に対して認証する必要があります。
計画された変更の実装後、IT チームは JIT VM アクセスを使用して VM0 に接続できる必要があります。
Resource Group1 のマネージド ディスクの管理を委任するには、Role1 という名前の新しいカスタム RBAC ロールを使用する必要があります。役割 1 は、リソース グループ 1 に対してのみ使用可能である必要があります。
セキュリティ運用要件
Litware は、Azure Security Center でオペレーティング システムのセキュリティ構成をカスタマイズできる必要があります。

参照：
https://docs.microsoft.com/en-us/azure/security-center/security-center-provide-security-contact-details

説明

参照：
https://docs.microsoft.com/en-us/azure/sentinel/tutorial-detect-threats-custom
https://docs.microsoft.com/en-us/azure/sentinel/tutorial-respond-threats-playbook