https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/howto-conditional-access-policy-location
https://docs.microsoft.com/ja-jp/power-platform/admin/restrict-access-online-trusted-ip-rules

https://docs.microsoft.com/en-us/microsoft-365/compliance/sensitivity-labels?view=o365-worldwide 機密ラベルを使用すると、暗号化やコンテンツのマーキングを含む保護設定を提供できます。例えば、ドキュメントやメールに「機密」ラベルを適用すると、そのラベルによってコンテンツが暗号化され、
「機密」透かし。コンテンツのマーキングには、透かしだけでなく、ヘッダーとフッターも含まれます。また、暗号化によって、承認されたユーザーがコンテンツに対して実行できる操作を制限することもできます。さまざまなプラットフォームやデバイスでOfficeアプリのコンテンツを保護します。OfficeデスクトップアプリのWord、Excel、PowerPoint、Outlook、およびWeb版Officeでサポートされています。Windows、macOS、iOS、Androidでサポートされています。Microsoft Defender for Cloud Appsを使用して、サードパーティ製のアプリやサービスのコンテンツを保護します。Microsoft Defender for Cloud Appsを使用すると、SalesForce、Box、DropBoxなどのサードパーティ製のアプリやサービスが機密ラベルを読み取れない、またはサポートしていない場合でも、コンテンツを検出、分類、ラベル付け、保護できます。

トピック1、Litware社事例
概要
リトウェア社は、ニューヨークとサンフランシスコに本社を置く金融サービス会社です。リトウェア社は
全米30か所の支社とリモート従業員。リモート従業員はVPNを使用して本社に接続しています。
Litwareは過去2年間、合併と買収により大きく成長しました。買収対象にはフランスに拠点を置く複数の企業が含まれています。
既存の環境
Litware には、Utvvare.com という Active Directory Domain Services (AD D%) フォレストと同期し、20 個の Azure サブスクリプションにリンクされた Azure Active Directory (Azure AD) テナントがあります。パススルー認証の実装には Azure AD Connect が使用されています。パスワードハッシュ同期は無効、パスワード ライトバックは有効です。Litware のすべてのユーザーは Microsoft 365 E5 ライセンスを保有しています。
この環境には、複数の AD DS フォレスト、Azure AD テナント、および Litware の子会社に属する数百の Azure サブスクリプションも含まれています。
計画された変更
Litware は次の変更を実施する予定です。
* Azure AD テナントごとに管理グループ階層を作成します。
* Litware の既存の Azure 環境をリファクタリングし、将来のすべての Azure ワークロードをデプロイするためのランディング ゾーン戦略を設計します。
* Azure AD アプリケーション プロキシを実装して、現在 VPN を使用してアクセスされている内部アプリケーションへの安全なアクセスを提供します。
ビジネス要件
Litware では、次のビジネス要件が特定されています。
* 追加のオンプレミス インフラストラクチャを最小限に抑えます。
* 管理オーバーヘッドに関連する運用コストを最小限に抑えます。
ハイブリッド要件
Litware では、次のようなハイブリッド クラウドの要件を特定しています。
* 次のものを含め、Azure からのオンプレミス リソースの管理を有効にします。
*適用とコンプライアンス評価には Azure Policy を使用します。
* 変更追跡と資産インベントリを提供します。
* パッチ管理を実装します。
* ゲスト アカウントを維持するオーバーヘッドなしで、集中化されたテナント間のサブスクリプション管理を提供します。
Microsoft Sentinel の要件
Litwareは、Microsoft Sentinelのセキュリティ情報・イベント管理（SIEM）機能とセキュリティオーケストレーション自動対応（SOAK）機能を活用する予定です。同社は、Microsoft Sentinelを活用してセキュリティオペレーションセンター（SOQ）を一元化したいと考えています。
身元要件
Litware では、次の ID 要件が特定されています。
* AD DS ユーザー アカウントを直接ターゲットとするブルート フォース攻撃を検出します。
* Litware の Azure AD テナントに漏洩した資格情報の検出を実装します。
* Azure AD ユーザー アカウントをターゲットとしたブルート フォース攻撃によって AD DS ユーザー アカウントがロックアウトされるのを防ぎます。
* Litware の Azure AD テナント内のユーザーとグループの委任管理を実装します (サポートを含む)。
* グループの資産、メンバーシップ、ライセンスの管理
* ユーザープロパティの管理、
パスワードとライセンス
* ビジネスユニットに基づいたユーザー管理の委任。
規制コンプライアンス要件
Litware では、次の規制コンプライアンス要件を特定しています。
* 米国およびフランスに拠点を置く各子会社が所有するログ、テレメトリ、データを収集する際に、データ保存場所のコンプライアンスを確保します。
* 組み込みの Azure Policy 定義を活用して、管理対象環境全体の規制コンプライアンスを評価します。
* 最小権限の原則を使用します。
Azure ランディング ゾーンの要件
Litware では、次のランディング ゾーン要件が特定されています。
* ランディング ゾーンからインターネットに向かうすべてのトラフィックを、専用の Azure サブスクリプション内の Azure Firewall 経由でルーティングします。
* ランディング ゾーンを範囲とするセキュリティ スコアを提供します。
* 各ランディング ゾーン内の Azure 仮想マシンが、パブリック エンドポイントではなく、Microsoft バックボーン ネットワーク経由で同じゾーン内の Azure App Service Web アプリと通信することを確認します。
* データ流出の可能性を最小限に抑えます。
* ネットワーク帯域幅を最大化します。
ランディングゾーンアーキテクチャには、インターネットとハイブリッド接続のハブとして機能する専用サブスクリプションが含まれます。各ランディングゾーンには以下の特性があります。
* 専用サブスクリプションで作成されます。
* litware.com の DNS 名前空間を使用します。
アプリケーションセキュリティ要件
Litware では、次のアプリケーション セキュリティ要件が特定されています。
* Azure AD アプリケーション プロキシを使用してシングル サインオン (SSO) をサポートする内部アプリケーションを識別します。
* Microsoft SharePoint Online および Exchange Online データへのアクセスをリアルタイムで監視および制御します。

トピック1、Fabrikam, Inc. ケーススタディ1
概要
Fabrikam, Inc. は、ニューヨークに本社、パリに支店を持つ保険会社です。
オンプレミス環境
オンプレミス ネットワークには、corp という名前の単一の Active Directory ドメイン サービス (AD DS) ドメインが含まれています。
fabrikam.com をご覧ください。
Azure環境
Fabrikam には次の Azure リソースがあります。
* corp と同期する fabrikam.onmicrosoft.com という名前の Azure Active Directory (Azure AD) テナント。
fabnkam.com
* Sub1 という名前の単一の Azure サブスクリプション
* 米国東部 Azure リージョンの Vnet1 という仮想ネットワーク
* 西ヨーロッパの Azure リージョンにある Vnet2 という仮想ネットワーク
* Azure Web アプリケーション ファイアウォール (WAR が有効) を備えた FD1 という名前の Azure Front Door インスタンス
* Microsoft Sentinel ワークスペース
* ClaimDetailsというテーブルを含むClaimsDBというAzure SQLデータベース
* アプリケーション サーバーとして構成され、Microsoft Defender for Cloud にオンボードされていない仮想マシン 20 台
* テスト目的のみに使用される TestRG という名前のリソース グループ
* 個人に割り当てられたセッション ホストを含む Azure Virtual Desktop ホスト プール Sub1 のすべてのリソースは、米国東部または西ヨーロッパ リージョンにあります。
パートナー
Fabrikamは、アプリケーション開発をContoso社と委託しています。Contoso社は以下のインフラストラクチャを保有しています。
* contoso.onmicrosoft.com という名前の Azure AD テナント
* ContosoAWS1 という名の Amazon Web Services (AWS) 実装には、Contoso の Fabrikam Developers のアプリケーションのテストワークロードをホストする AWS EC2 インスタンスが含まれており、Fabrikam のリソースに接続してアプリケーションのテストや更新を行います。開発者は、fabrikam.onmicrosoft.com の Contoso Developers というセキュリティグループに追加され、Sub1 のロールに割り当てられます。
ContosoDevelopers グループには、ClaimsDB データベースの db.owner ロールが割り当てられています。
コンプライアンスイベント
Fabrikam は次のコンプライアンス環境を展開しています。
* Defender for Cloud は、Sub1 内のすべてのリソースが HIPAA HITRUST 標準に準拠しているかどうかを評価するように構成されています。
* 現在、HIPAA HITRUST 標準に準拠していないリソースは手動で修復されます。
* Qualys は、サーバーの標準的な脆弱性評価ツールとして使用されています。
問題ステートメント
Defender for Cloud のセキュリティスコアは、すべての仮想マシンが次の推奨事項を生成していることを示しています。マシンには脆弱性評価ソリューションが必要です。
すべての仮想マシンは Defender for Cloud に準拠している必要があります。
ClaimAppの展開
Fabrikamは、次の仕様を持つClaimsAppというインターネットアクセス可能なアプリケーションを実装する予定です。
* ClaimsApp は、Vnetl および Vnet2 に接続する Azure App Service インスタンスにデプロイされます。
* ユーザーは、https://claims.fabrikam.com の URL を使用して ClaimsApp に接続します。
* ClaimsApp は ClaimsDB 内のデータにアクセスします。
* ClaimsDB は Azure 仮想ネットワークからのみアクセスできる必要があります。
* ClaimsApp のアプリ サービス権限を ClaimsDB に割り当てる必要があります。
アプリケーション開発要件
Fabrikam は、アプリケーション開発に次のような要件があると考えています。
* Azure DevTest ラボは開発者がテストに使用します。
* すべてのアプリケーション コードは GitHub Enterprise に保存する必要があります。
* アプリケーションのデプロイメントを管理するために Azure Pipelines が使用されます。
* すべてのアプリケーションコードの変更は、セキュリティ脆弱性がないかスキャンする必要があります。これには、平文で機密情報を含むアプリケーションコードや設定ファイルも含まれます。スキャンは、コードをリポジトリにプッシュする時点で実施する必要があります。
セキュリティ要件
Fabrikam では、次のセキュリティ要件を特定しています。
* インターネットにアクセス可能なアプリケーションは、北朝鮮からの接続を防ぐ必要があります。
* InfraSec というグループのメンバーのみが、ネットワーク セキュリティ グループ (NSG) と、Sub1 の Azure Firewall、VJM、および Front Door のインスタンスを構成できるようにする必要があります。
* 管理者は、仮想マシンのリモート管理を実行するために、安全なホストに接続する必要があります。
セキュア ホストは、カスタム オペレーティング システム イメージからプロビジョニングする必要があります。
AWS 要件
Fabrikam は、ContosoAWSV でホストされるデータに対して次のセキュリティ要件を特定しています。
* AWS EC2 インスタンスがセキュア スコアの推奨事項に準拠していない場合は、Fabrikam のセキュリティ管理者に通知します。
* セキュリティ管理者が Azure 環境から AWS サービス ログを直接クエリできることを確認します。
Contoso 開発者の要件
Fabrikam は、Contoso 開発者に対して次の要件を特定しています。
* 毎月、ContosoDevelopers グループのメンバーシップを検証する必要があります。
* Contoso の開発者は、Sub1 のリソースにアクセスするために、既存の contoso.onmicrosoft.com 資格情報を使用する必要があります。
* コモロの開発者が ClaimDetails テーブルの MedicalHistory という列のデータを表示できないようにする必要があります。
コンプライアンス要件
Fabrikam は、Sub1 の仮想マシンを HIPPA HITRUST 標準に準拠させるため、自動的に修復したいと考えています。TestRG の仮想マシンはコンプライアンス評価から除外する必要があります。

https://azure.microsoft.com/en-us/blog/simplifying-your-environment-setup-while-meeting-compliance-needs-with-built-in-azure-blueprints/