トピック2、ケーススタディ2
概要：
既存の環境：
Active Directory環境：
ネットワークには、fabrikam.comという名前のActiveDirectoryフォレストが含まれています。フォレストには、ユーザーとコンピューターの認証に使用されるすべてのIDが含まれています。
各部門は、ユーザーアカウントとコンピューターアカウントの複数の子OUを含む最上位の組織単位（OU）で表されます。
すべてのユーザーは、username @ fabrikam.comのUPN形式を使用してデバイスにサインインすることにより、オンプレミスアプリケーションへの認証を行います。FabrikamはIDフェデレーションを実装する予定はありません。
ネットワークインフラストラクチャ
各オフィスにはインターネットへの高速接続があります。
各オフィスには2つのドメインコントローラーが含まれています。すべてのドメインコントローラーはDNSサーバーとして構成されます。
すべてのユーザーは、オンプレミスのMicrosoft ExchangeServer2016組織に接続します。ユーザーは、OutlookAnywhereを使用して電子メールにアクセスします。Outlook on the web、またはiOS用のMicrosoftOutlookアプリ。すべてのExchangeサーバーには、最新の累積的な更新プログラムがインストールされています。
会社の共有ドキュメントはすべて、MicrosoftSharePointサーバーファームに保存されます。
要件：
計画された変更：
Fabrikamは、Microsoft 365 Enterpriseサブスクリプションを実装し、すべての電子メールと共有ドキュメントをサブスクリプションに移動することを計画しています。
Fabrikamは、2つのパイロットプロジェクトを実施する予定です。
*プロジェクト1：プロジェクト1の間に、営業部門の100人のユーザーのメールボックスがMicrosoft365に移動されます。
* Project2：Project1が正常に完了すると、MicrosoftTeamsとSkypeforBusinessがMicrosoft365で営業部門のユーザーに対して有効になります。
Fabrikamは、すべてのMicrosoft365購入ライセンスの割り当てを管理するUserLicensesという名前のグループを作成することを計画しています。
技術要件：
Fabrikamは、次の技術要件を識別します。
*すべてのユーザーは、現在の電子メールを使用して、project1中に電子メールメッセージを正常に交換できる必要があります。
* Active Directoryが使用できなくなった場合、ユーザーはクラウドサービスに対して認証できる必要があります。
* User1という名前のユーザーは、Microsoft365管理センターからすべてのDLPレポートを表示できる必要があります。
* Microsoft Office 365 ProPlusアプリケーションは、ネットワーク共有からのみインストールする必要があります。
*電子メールアクセスの中断を最小限に抑える必要があります。
アプリケーション要件：
Fabrikamは、次のアプリケーション要件を識別します。
* App1という名前のオンプレミスWebアプリケーションでは、ユーザーがオンラインで経費報告書を完成できるようにする必要があります。
* Office365ProPlusの機能更新のインストールは最小限に抑える必要があります。
セキュリティ要件：
Fabrikamは、次のセキュリティ要件を識別します。
* Microsoft 365への計画された移行後、すべてのユーザーは、UPNを使用してメールボックスとSharePointサイトへの認証を継続する必要があります。
* UserLicenseのメンバーシップは、毎月検証する必要があります。未使用のユーザーアカウントは、グループから自動的に削除する必要があります。
*最小特権の原則を使用する必要があります。

参照：
Azure ADのパスワード保護は、組織のパスワードポリシーを強化する機能です。パスワード保護のオンプレミス展開では、AzureADに格納されているグローバルおよびカスタムの禁止パスワードリストの両方を使用します。オンプレミスでは、AzureADがクラウドベースの変更に対して行うのと同じチェックを行います。これらのチェックは、パスワードの変更およびパスワードのリセットのシナリオで実行されます。
ドメインコントローラーにAzureADパスワード保護プロキシをインストールし、すべてのドメインコントローラーにAzureADパスワード保護DCエージェントをインストールする必要があります。プロキシとエージェントをインストールして構成すると、AzureADのパスワード保護が機能します。
展示では、パスワード保護は監査モードで構成されています。これはテストに使用されます。構成されたポリシーを適用するには、パスワード保護設定を[適用]に設定する必要があります。
https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-password-ban-bad-on-sumption-deploy
https://docs.microsoft.com/en-us/azure/active-directory/authentication/concept-password-ban-bad-on-establishment

説明
参照：
https://docs.microsoft.com/en-us/azure-advanced-threat-protection/atp-whats-new