説明
https://docs.microsoft.com/en-us/azure/active-directory/app-proxy/application-proxy-configure-single-sign-on-on
https://docs.microsoft.com/en-us/azure/active-directory/app-proxy/application-proxy-configure-single-sign-on-w
https://docs.microsoft.com/en-us/azure/active-directory/app-proxy/application-proxy-configure-custom-domain
トピック 2、Litware, Inc. ケーススタディ 2
概要
リトウェア株式会社 は、ニューヨークとサンフランシスコに主なオフィスを構える金融サービス会社です。リトウェアには
全米に 30 の支社とリモート従業員がいます。リモートの従業員は、VPN を使用してメイン オフィスに接続します。
Litware は、合併と買収により過去 2 年間で大幅に成長しました。買収にはフランスに拠点を置く数社が含まれる。
既存の環境
Litware には、Utvvare.com という名前の Active Directory Domain Services (AD D%) フォレストと同期する Azure Active Directory (Azure AD) テナントがあり、20 の Azure サブスクリプションにリンクされています。Azure AD Connect は、パススルー認証の実装に使用されます。パスワード ハッシュ同期は無効になり、パスワード ライトバックは有効になります。すべての Litware ユーザーは Microsoft 365 E5 ライセンスを持っています。
この環境には、いくつかの AD DS フォレスト、Azure AD テナント、および Litware の子会社に属する数百の Azure サブスクリプションも含まれています。
計画された変更
Litware は次の変更を実装する予定です。
* Azure AD テナントごとに管理グループ階層を作成します。
* Litware の既存の Azure 環境をリファクタリングし、将来のすべての Azure ワークロードをデプロイするためのランディング ゾーン戦略を設計します。
* Azure AD アプリケーション プロキシを実装して、現在 VPN を使用してアクセスされている内部アプリケーションへの安全なアクセスを提供します。
ビジネス要件
Litware は次のビジネス要件を特定します。
* 追加のオンプレミス インフラストラクチャを最小限に抑えます。
* 管理オーバーヘッドに関連する運用コストを最小限に抑えます。
ハイブリッドの要件
Litware では、次のハイブリッド クラウド要件を特定しています。
* Azure からの次のようなオンプレミス リソースの管理を有効にします。
*施行とコンプライアンスの評価には Azure Policy を使用します。
* 変更追跡と資産インベントリを提供します。
* パッチ管理を実装します。
* ゲスト アカウントの維持にかかるオーバーヘッドを発生させずに、一元的なテナント間サブスクリプション管理を提供します。
Microsoft Sentinelの要件
Litware は、Microsoft Sentinel のセキュリティ情報およびイベント管理 (SIEM) およびセキュリティ オーケストレーション自動応答 (SOAK) 機能を活用する予定です。同社は、Microsoft Sentinel を使用して Security Operations Center (SOQ) を一元化したいと考えています。
アイデンティティ要件
Litware は次の ID 要件を特定します。
* AD DS ユーザー アカウントを直接ターゲットとするブルート フォース攻撃を検出します。
* Litware の Azure AD テナントに漏洩した資格情報の検出を実装します。
* Azure AD ユーザー アカウントをターゲットとしたブルート フォース攻撃によって AD DS ユーザー アカウントがロックアウトされるのを防ぎます。
* Litware の Azure AD テナントにユーザーとグループの委任管理を実装します (サポートを含む)。
* グループのプロパティ、メンバーシップ、およびライセンスの管理 ユーザーのプロパティ、パスワード、およびライセンスの管理
* ビジネスユニットに基づいたユーザー管理の委任。
規制遵守要件
Litware では、次の規制遵守要件を特定しています。
* 米国およびフランスに拠点を置く各子会社が所有するログ、テレメトリ、およびデータを収集する際に、データ常駐に関するコンプライアンスを保証します。
* 組み込みの Azure Policy 定義を活用して、管理された環境全体にわたる法規制への準拠を評価します。
* 最小特権の原則を使用します。
Azure ランディング ゾーンの要件
Litware は、次のランディング ゾーン要件を特定します。
* インターネットに向かうすべてのトラフィックを、専用の Azure サブスクリプションの Azure Firewall 経由でランディング ゾーンからルーティングします。
* ランディング ゾーンを対象とした安全なスコアを提供します。
* 各ランディング ゾーンの Azure 仮想マシンが、パブリック エンドポイントではなく、Microsoft バックボーン ネットワークを介して同じゾーン内の Azure App Service Web アプリと通信していることを確認します。
* データ漏洩の可能性を最小限に抑えます。
* ネットワーク帯域幅を最大化します。
ランディング ゾーン アーキテクチャには、インターネットおよびハイブリッド接続のハブとして機能する専用のサブスクリプションが含まれます。各ランディング ゾーンには次の特徴があります。
* 専用のサブスクリプションで作成されます。
* litware.com の DNS 名前空間を使用します。
アプリケーションのセキュリティ要件
Litware は、次のアプリケーションのセキュリティ要件を特定します。
* Azure AD アプリケーション プロキシを使用してシングル サインオン (SSO) をサポートする内部アプリケーションを特定します。
* Microsoft SharePoint Online および Exchange Online データへのアクセスをリアルタイムで監視および制御します。

トピック 1、Litware, Inc. ケーススタディ
概要
リトウェア株式会社 は、ニューヨークとサンフランシスコに主なオフィスを構える金融サービス会社です。リトウェアには
全米に 30 の支社とリモート従業員がいます。リモートの従業員は、VPN を使用してメイン オフィスに接続します。
Litware は、合併と買収により過去 2 年間で大幅に成長しました。買収にはフランスに拠点を置く数社が含まれる。
既存の環境
Litware には、Utvvare.com という名前の Active Directory Domain Services (AD D%) フォレストと同期する Azure Active Directory (Azure AD) テナントがあり、20 の Azure サブスクリプションにリンクされています。Azure AD Connect は、パススルー認証の実装に使用されます。パスワード ハッシュ同期は無効になり、パスワード ライトバックは有効になります。すべての Litware ユーザーは Microsoft 365 E5 ライセンスを持っています。
この環境には、いくつかの AD DS フォレスト、Azure AD テナント、および Litware の子会社に属する数百の Azure サブスクリプションも含まれています。
計画された変更
Litware は次の変更を実装する予定です。
* Azure AD テナントごとに管理グループ階層を作成します。
* Litware の既存の Azure 環境をリファクタリングし、将来のすべての Azure ワークロードをデプロイするためのランディング ゾーン戦略を設計します。
* Azure AD アプリケーション プロキシを実装して、現在 VPN を使用してアクセスされている内部アプリケーションへの安全なアクセスを提供します。
ビジネス要件
Litware は次のビジネス要件を特定します。
* 追加のオンプレミス インフラストラクチャを最小限に抑えます。
* 管理オーバーヘッドに関連する運用コストを最小限に抑えます。
ハイブリッドの要件
Litware では、次のハイブリッド クラウド要件を特定しています。
* Azure からの次のようなオンプレミス リソースの管理を有効にします。
*施行とコンプライアンスの評価には Azure Policy を使用します。
* 変更追跡と資産インベントリを提供します。
* パッチ管理を実装します。
* ゲスト アカウントの維持にかかるオーバーヘッドを発生させずに、一元的なテナント間サブスクリプション管理を提供します。
Microsoft Sentinelの要件
Litware は、Microsoft Sentinel のセキュリティ情報およびイベント管理 (SIEM) およびセキュリティ オーケストレーション自動応答 (SOAK) 機能を活用する予定です。同社は、Microsoft Sentinel を使用して Security Operations Center (SOQ) を一元化したいと考えています。
アイデンティティ要件
Litware は次の ID 要件を特定します。
* AD DS ユーザー アカウントを直接ターゲットとするブルート フォース攻撃を検出します。
* Litware の Azure AD テナントに漏洩した資格情報の検出を実装します。
* Azure AD ユーザー アカウントをターゲットとしたブルート フォース攻撃によって AD DS ユーザー アカウントがロックアウトされるのを防ぎます。
* Litware の Azure AD テナントにユーザーとグループの委任管理を実装します (サポートを含む)。
* グループのプロパティ、メンバーシップ、およびライセンスの管理
* ユーザーのプロパティの管理、
パスワードとライセンス
* ビジネスユニットに基づいたユーザー管理の委任。
規制遵守要件
Litware では、次の規制遵守要件を特定しています。
* 米国およびフランスに拠点を置く各子会社が所有するログ、テレメトリ、およびデータを収集する際に、データ常駐に関するコンプライアンスを保証します。
* 組み込みの Azure Policy 定義を活用して、管理された環境全体にわたる法規制への準拠を評価します。
* 最小特権の原則を使用します。
Azure ランディング ゾーンの要件
Litware は、次のランディング ゾーン要件を特定します。
* インターネットに向かうすべてのトラフィックを、専用の Azure サブスクリプションの Azure Firewall 経由でランディング ゾーンからルーティングします。
* ランディング ゾーンを対象とした安全なスコアを提供します。
* 各ランディング ゾーンの Azure 仮想マシンが、パブリック エンドポイントではなく、Microsoft バックボーン ネットワークを介して同じゾーン内の Azure App Service Web アプリと通信していることを確認します。
* データ漏洩の可能性を最小限に抑えます。
* ネットワーク帯域幅を最大化します。
ランディング ゾーン アーキテクチャには、インターネットおよびハイブリッド接続のハブとして機能する専用のサブスクリプションが含まれます。各ランディング ゾーンには次の特徴があります。
* 専用のサブスクリプションで作成されます。
* litware.com の DNS 名前空間を使用します。
アプリケーションのセキュリティ要件
Litware は、次のアプリケーションのセキュリティ要件を特定します。
* Azure AD アプリケーション プロキシを使用してシングル サインオン (SSO) をサポートする内部アプリケーションを特定します。
* Microsoft SharePoint Online および Exchange Online データへのアクセスをリアルタイムで監視および制御します。

トピック 2、Fabrikam, Inc
オンプレミス環境
オンプレミス ネットワークには、corp.fabrikam.com という名前の単一の Active Directory ドメイン サービス (AD DS) ドメインが含まれています。
Azure環境
Fabrikam には次の Azure リソースがあります。
* corp.fabnkam.com と同期する fabrikam.onmicrosoft.com という名前の Azure Active Directory (Azure AD) テナント
* Sub1 という名前の単一の Azure サブスクリプション
* 米国東部 Azure リージョンの Vnetl という名前の仮想ネットワーク
* 西ヨーロッパ Azure リージョンの Vnet2 という名前の仮想ネットワーク
* Azure Web アプリケーション ファイアウォール (WAR が有効) を備えた FD1 という名前の Azure Front Door のインスタンス
* Microsoft Sentinel ワークスペース
* ClaimDetails という名前のテーブルを含む ClaimsDB という名前の Azure SQL データベース
* アプリケーション サーバーとして構成され、Microsoft Defender for Cloud にオンボードされていない 20 台の仮想マシン
* テスト目的のみに使用される TestRG という名前のリソース グループ
* 個人に割り当てられたセッション ホストを含​​む Azure Virtual Desktop ホスト プール Sub1 のすべてのリソースは、米国東部または西ヨーロッパ リージョンのいずれかにあります。
パートナー
Fabrikam は、Contoso, Ltd. という会社とアプリケーションの開発契約を結んでいます。Contoso には次のインフラストラクチャがあります。
* contoso.onmicrosoft.com という名前の Azure AD テナント
* Contoso の Fabrikam 開発者のアプリケーションのテスト ワークロードをホストするために使用される AWS EC2 インスタンスを含む ContosoAWS1 という名前のアマゾン ウェブ サービス (AWS) 実装は、アプリケーションをテストまたは更新するために Fabrikam のリソースに接続します。開発者は、fabrikam.onmicrosoft.com の Contoso Developers という名前のセキュリティ グループに追加され、Sub1 のロールに割り当てられます。
ContosoDevelopers グループには、ClaimsDB データベースの db.owner ロールが割り当てられます。
コンプライアンスイベント
Fabrikam は次のコンプライアンス環境を展開します。
* Defender for Cloud は、Sub1 内のすべてのリソースが HIPAA HITRUST 標準に準拠しているかどうかを評価するように構成されています。
* 現在、HIPAA HITRUST 標準に準拠していないリソースは手動で修正されています。
※サーバーの標準脆弱性診断ツールとしてQualysを採用しています。
問題の声明
Defender for Cloud のセキュリティ スコアは、すべての仮想マシンが次の推奨事項を生成していることを示しています。マシンには脆弱性評価ソリューションが必要です。
すべての仮想マシンが Defender for Cloud に準拠している必要があります。
ClaimApp の導入
Fabrikam は、次の仕様を持つ、ClaimsApp という名前のインターネットにアクセス可能なアプリケーションを実装する予定です。
* ClaimsApp は、Vnetl および Vnet2 に接続する Azure App Service インスタンスにデプロイされます。
* ユーザーは、https://claims.fabrikam.com の URL を使用して ClaimsApp に接続します。
* ClaimsApp は ClaimsDB のデータにアクセスします。
* ClaimsDB は Azure 仮想ネットワークからのみアクセスできる必要があります。
* ClaimsApp のアプリ サービス権限を ClaimsDB に割り当てる必要があります。
アプリケーション開発要件
Fabrikam は、アプリケーション開発の次の要件を特定します。
* Azure DevTest ラボは、開発者がテストのために使用します。
* すべてのアプリケーション コードは GitHub Enterprise に保存する必要があります。
* Azure Pipelines はアプリケーションのデプロイメントの管理に使用されます。
* すべてのアプリケーション コードの変更は、クリア テキストのシークレットを含むアプリケーション コードや構成ファイルを含め、セキュリティの脆弱性をスキャンする必要があります。スキャンは、コードがリポジトリにプッシュされるときに実行する必要があります。
セキュリティ要件
Fabrikam は次のセキュリティ要件を特定します。
* インターネットにアクセスできるアプリケーションは、北朝鮮からの接続を防止する必要があります。
* InfraSec という名前のグループのメンバーのみが、ネットワーク セキュリティ グループ (NSG) と、Sub1 の Azure Firewall、VJM、Front Door のインスタンスを構成できる必要があります。
* 仮想マシンのリモート管理を実行するには、管理者は安全なホストに接続する必要があります。セキュア ホストは、カスタム オペレーティング システム イメージからプロビジョニングする必要があります。
AWSの要件
Fabrikam は、ContosoAWSV でホストされるデータに対する次のセキュリティ要件を特定します。
* AWS EC2 インスタンスがセキュア スコアの推奨事項に準拠していない場合は、Fabrikam のセキュリティ管理者に通知します。
* セキュリティ管理者が Azure 環境から AWS サービス ログを直接クエリできることを確認します。
Contoso 開発者の要件
Fabrikam は、Contoso 開発者に対する次の要件を特定します。
* 毎月、ContosoDevelopers グループのメンバーシップを確認する必要があります。
* Contoso 開発者は、Sub1 のリソースにアクセスするには、既存の contoso.onmicrosoft.com 資格情報を使用する必要があります。
* コモロの開発者は、ClaimDetails テーブルの MedicalHistory という名前の列のデータを表示できないようにする必要があります。
コンプライアンス要件
Fabrikam は、Sub1 の仮想マシンを HIPPA HITRUST 標準に準拠するように自動的に修復したいと考えています。TestRG 内の仮想マシンは、コンプライアンス評価から除外する必要があります。