Explanation:

トピック 2、Litware, Inc.
既存の環境
Litware には、Utvvare.com という名前の Active Directory Domain Services (AD D%) フォレストと同期する Azure Active Directory (Azure AD) テナントがあり、20 の Azure サブスクリプションにリンクされています。Azure AD Connect は、パススルー認証の実装に使用されます。パスワード ハッシュ同期は無効になり、パスワード ライトバックは有効になります。すべての Litware ユーザーは Microsoft 365 E5 ライセンスを持っています。
この環境には、いくつかの AD DS フォレスト、Azure AD テナント、および Litware の子会社に属する数百の Azure サブスクリプションも含まれています。
計画された変更
Litware は次の変更を実装する予定です。
* Azure AD テナントごとに管理グループ階層を作成します。
* Litware の既存の Azure 環境をリファクタリングし、将来のすべての Azure ワークロードをデプロイするためのランディング ゾーン戦略を設計します。
* Azure AD アプリケーション プロキシを実装して、現在 VPN を使用してアクセスされている内部アプリケーションへの安全なアクセスを提供します。
ビジネス要件
Litware は次のビジネス要件を特定します。
* 追加のオンプレミス インフラストラクチャを最小限に抑えます。
* 管理オーバーヘッドに関連する運用コストを最小限に抑えます。
ハイブリッドの要件
Litware では、次のハイブリッド クラウド要件を特定しています。
* Azure からの次のようなオンプレミス リソースの管理を有効にします。
* 施行とコンプライアンスの評価には Azure Policy を使用します。
* 変更追跡と資産インベントリを提供します。
* パッチ管理を実装します。
* ゲスト アカウントの維持にかかるオーバーヘッドを発生させずに、一元的なテナント間サブスクリプション管理を提供します。
Microsoft Sentinelの要件
Litware は、Microsoft Sentinel のセキュリティ情報およびイベント管理 (SIEM) およびセキュリティ オーケストレーション自動応答 (SOAK) 機能を活用する予定です。同社は、Microsoft Sentinel を使用して Security Operations Center (SOQ) を一元化したいと考えています。
アイデンティティ要件
Litware は次の ID 要件を特定します。
* AD DS ユーザー アカウントを直接ターゲットとするブルート フォース攻撃を検出します。
* Litware の Azure AD テナントに漏洩した資格情報の検出を実装します。
* Azure AD ユーザー アカウントをターゲットとしたブルート フォース攻撃によって AD DS ユーザー アカウントがロックアウトされるのを防ぎます。
* Litware の Azure AD テナントにユーザーとグループの委任管理を実装します (サポートを含む)。
* グループのプロパティ、メンバーシップ、およびライセンスの管理 ユーザーのプロパティ、パスワード、およびライセンスの管理
* ビジネスユニットに基づいたユーザー管理の委任。
規制遵守要件
Litware では、次の規制遵守要件を特定しています。
* 米国およびフランスに拠点を置く各子会社が所有するログ、テレメトリ、およびデータを収集する際に、データ常駐に関するコンプライアンスを保証します。
* 組み込みの Azure Policy 定義を活用して、管理された環境全体にわたる法規制への準拠を評価します。
* 最小特権の原則を使用します。
Azure ランディング ゾーンの要件
Litware は、次のランディング ゾーン要件を特定します。
* インターネットに向かうすべてのトラフィックを、専用の Azure サブスクリプションの Azure Firewall 経由でランディング ゾーンからルーティングします。
* ランディング ゾーンを対象とした安全なスコアを提供します。
* 各ランディング ゾーンの Azure 仮想マシンが、パブリック エンドポイントではなく、Microsoft バックボーン ネットワークを介して同じゾーン内の Azure App Service Web アプリと通信していることを確認します。
* データ漏洩の可能性を最小限に抑えます。
* ネットワーク帯域幅を最大化します。
ランディング ゾーン アーキテクチャには、インターネットおよびハイブリッド接続のハブとして機能する専用のサブスクリプションが含まれます。各ランディング ゾーンには次の特徴があります。
* 専用のサブスクリプションで作成されます。
* litware.com の DNS 名前空間を使用します。
アプリケーションのセキュリティ要件
Litware は、次のアプリケーションのセキュリティ要件を特定します。
* Azure AD アプリケーション プロキシを使用してシングル サインオン (SSO) をサポートする内部アプリケーションを特定します。
* Microsoft SharePoint Online および Exchange Online データへのアクセスをリアルタイムで監視および制御します。