参照：
https://docs.microsoft.com/en-us/cloud-app-security/app-permission-policy

参照：
https://docs.microsoft.com/en-us/azure/active-directory/authentication/concept-authentication-authenticator-app#

説明

Litware は最近、LWLicenses という名前のカスタム ユーザー属性を litware.com Active Directory フォレストに追加しました。
Litware は、LWLicenses 属性の値を変更することで、Azure AD ライセンスの割り当てを管理したいと考えています。LWLicenses に適切な値を持つユーザーは、Microsoft に自動的に追加される必要があります。
適切なライセンスが割り当てられている 365 グループ。

参照：
https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/location-condition
国設定、IP 範囲を提供する場所 MFA 信頼済み IP および企業ネットワーク VPN ゲートウェイ IP アドレス: これは、オンプレミス ネットワークの VPN デバイスのパブリック IP アドレスです。VPN デバイスには IPv4 パブリック IP アドレスが必要です。接続先の VPN デバイスの有効なパブリック IP アドレスを指定します。Azure クライアント アドレス スペースから到達可能である必要があります。このゲートウェイを介してローカルのオンプレミス ネットワークにルーティングする IP アドレス範囲をリストします。複数のアドレス空間範囲を追加できます。ここで指定する範囲が、仮想ネットワークが接続している他のネットワークの範囲や、仮想ネットワーク自体のアドレス範囲と重複しないようにしてください。
トピック 3、概要
データム環境
A Datum のオンプレミス ネットワークには、adatum.com という名前の Active Directory ドメイン サービス (AD DS) フォレストが含まれています。
テナントには、次の表に示すユーザーが含まれます。
問題の声明
※営業部門内の複数のユーザーが最大5台のデバイスを所有します。営業部門のユーザーは、デバイスの制限に達したため、デバイスを Azure AD テナントに参加させるにはサポート部門に連絡する必要がある場合があると報告しています。
* 最近のセキュリティ インシデントにより、複数のユーザーが資格情報を漏洩し、サインインに不審なブラウザが使用され、匿名 IP アドレスからリソースにアクセスされたことが明らかになりました。
* デバイス管理者の役割を IT_Group1 に割り当てようとすると、そのグループは選択リストに表示されません。
* 組織内の誰でも、他のゲストや管理者以外を含むゲスト ユーザーを招待できます。
* ヘルプデスクはユーザー パスワードのリセットに多大な時間を費やしています。
* 現在、ユーザーは認証にパスワードのみを使用しています。
要件
A、Datum は次の変更を実装する予定です。
* セルフサービスのパスワード リセット {SSPR} を構成します。
* すべてのユーザーに対して多要素認証 (MFA) を構成します。
* Package1 という名前のアクセス パッケージのアクセス レビューを構成します。
* アプリケーションが組織データにアクセスするには管理者の承認が必要です。
* AD DS ユーザーと groupsoflitware.com を Azure AD テナントと同期します。
* 特定の管理者ロールが割り当てられているユーザーのみがゲスト ユーザーを招待できるようにします。
* Azure AD に参加または登録できるデバイスの最大数を 10 に増やします。
技術的要件
* ユーザー管理者ロールを割り当てられたユーザーは、必要に応じて、最長 1 年間、そのロールを使用する許可をリクエストできる必要があります。
* ユーザーには MFA への登録を求めるプロンプトが表示され、猶予期間中に登録をバイパスするオプションが提供される必要があります。
* ユーザーは、SSPR を使用してパスワードをリセットするための認証方法を 1 つ提供する必要があります。使用可能なメソッドには次のものが含まれている必要があります。
* Eメール
* 電話
* 秘密の質問
* Microsoft Authenticator アプリ
* adatum.com と litware.com の AD DS ドメイン間に信頼関係を確立してはなりません。
* 最小特権の原則を使用する必要があります。