参照：
https://docs.microsoft.com/en-us/azure/active-directory/privileged-identity-management/pim-how-to-add-role-to-user?tabs=new

参照：
https://docs.microsoft.com/en-us/azure/security/fundamentals/steps-secure-identity
トピック 2、Contoso, Ltd
既存の環境
Contoso のオンプレミス ネットワークには、contos.com という名前の Active Directory ドメインが含まれています。ドメインには、Contoso_Resources という名前の組織単位 (OU) が含まれています。Contoso_Resoureces OU には、すべてのユーザーとコンピューターが含まれています。
Contoso.com Active Directory ドメインには、次の表に示すユーザーが含まれています。

Microsoft 365/Azure環境
Contoso には、次の関連ライセンスを持つ Contoso.com という名前の Azure AD テナントがあります。
Microsoft Office 365 エンタープライズ E5
エンタープライズ モビリティ + セキュリティ
Windows 10 エンタープライズ E5
プロジェクト計画 3
Azure AD Connect は、azure AD と Active Directory ドメイン サーバーレス (AD DS) の間に構成されます。Contoso Resources OU のみが同期されます。
ヘルプデスク管理者は、定期的に Microsoft 365 管理センターを使用してユーザー設定を管理します。
現在、ユーザー管理者は Microsoft 365 管理センターを使用してライセンスを手動で割り当てています。すべてのユーザーには、次の例外を除き、すべてのライセンスが割り当てられています。
ロンドン オフィスのユーザーは、Microsoft 365 管理センターを使用してライセンスを手動で割り当てることができます。次の例外を除き、すべてのユーザーにライセンスが割り当てられています。
ロンドン オフィスのユーザーには、Microsoft 365 Phone System ライセンスが割り当てられていません。
シアトル オフィスのユーザーには、Yammer Enterprise ライセンスが割り当てられていません。
Contoso.com のセキュリティの既定値は無効になっています。
Contoso は、プロジェクト管理者ロールに Azure AD Privileged Identity Management (PIM) を使用しています。
問題の声明
Contoso は次の問題を特定しています。
* 現在、すべてのヘルプデスク管理者は、Microsoft 365 テナント全体のユーザー ライセンスを管理できます。
* ユーザー管理者は、Contoso オフィスごとに異なるライセンス要件を手動で構成するのは面倒だと報告しています。
* ヘルプデスク管理者は、必要な Microsoft 365 サービスとアプリへの内部アクセスとゲスト アクセスのプロビジョニングに多大な時間を費やしています。
* 現在、ヘルプデスク管理者は次の権限を使用してタスクを実行できます。 正当な理由や承認がなくても、ユーザー管理者ロール。
* Azure AD でログ ノードが選択されている場合、Log Analytics 統合が有効になっていないことを示すエラー メッセージが表示されます。
計画された変更
Contoso は次の変更を実装する予定です。
セルフサービス パスワード リセット (SSPR) を実装します。Azure Monitor を使用して Azure 監査アクティビティ ログを分析し、テナントに追加された新しいユーザーへのライセンス割り当てを簡素化します。Fabrikam のユーザーと共同マーケティング キャンペーンで協力します。アクティブ化するには正当な理由と承認が必要になるようにユーザー管理者ロールを構成します。
App1 という名前のカスタム基幹業務 Azure Web アプリを実装します。App1 はインターネットからアクセスでき、Azure AD アカウントを使用して認証されます。
マーケティング部門の新規ユーザーの場合は、自動承認ワークフローを実装して、Microsoft SharePoint Online サイト、グループ、アプリへのアクセスを提供します。
Contoso は、Corporation という名前の会社を買収する予定です。100 人の新しい A Datum ユーザーが Adatum という名前の Active Directory OU に作成されます。ユーザーはロンドンとシアトルにいます。
技術的要件
Contoso は次の技術要件を特定します。
* AH ユーザーは AD DS から contoso.com Azure AD テナントに同期される必要があります。
* App1 には https://contoso.com/auth-response を指すリダイレクト URI が必要です。
* 新規ユーザーへのライセンスの割り当ては、ユーザーの場所に基づいて自動的に割り当てる必要があります。
* Fabrikam ユーザーは、最大 90 日間、マーケティング部門の SharePoint サイトにアクセスできる必要があります。
* Azure AD で実行される管理アクションは監査する必要があります。監査ログは 1 年間保存する必要があります。
* ヘルプデスク管理者は、それぞれのオフィスのユーザーのみのライセンスを管理できる必要があります。
* ユーザーの身元が侵害された可能性がある場合、ユーザーはパスワードを変更する必要があります。

トピック 2、Litware, Inc
アイデンティティ環境
ネットワークには、litware.com という名前の Azure Active Directory (Azure AD) テナントにリンクされている litware.com という名前の Active Directory フォレストが含まれています。Azure AD Connect はパススルー認証を使用し、パスワード ハッシュ同期が無効になっています。
Litware.com には、すべてのアプリケーション開発を監督する User1 という名前のユーザーが含まれています。Litware は Azure AD アプリケーション プロキシを実装します。
Fabrikam には、fabrikam.com という名前の Azure AD テナントがあります。Fabrikam のユーザーは、litware.com テナントのゲスト アカウントを使用して、litware.com のリソースにアクセスします。
クラウド環境
Litware のすべてのユーザーは Microsoft 365 Enterprise E5 ライセンスを持っています。Microsoft Cloud App Security に組み込まれているすべての異常検出ポリシーが有効になっています。
Litware には、litware.com Azure AD テナントに関連付けられた Azure サブスクリプションがあります。サブスクリプションには、Azure Active Directory コネクタと Office 365 コネクタを使用する Azure Sentinel インスタンスが含まれています。現在、Azure Sentinel は Azure AD サインイン ログと監査ログを収集しています。
オンプレミス環境
オンプレミス ネットワークには、次の表に示すサーバーが含まれています。

どちらの Litware オフィスもインターネットに直接接続します。どちらのオフィスも、サイト間 VPN 接続を使用して Azure サブスクリプションの仮想ネットワークに接続します。すべてのオンプレミス ドメイン コントローラーはインターネットにアクセスできません。
委任の要件
Litware では、次の委任要件を特定しています。
* Azure AD Privileged Identity Management (PIM) を使用して、特権ロールの管理を委任します。
* 特権のないユーザーが litware.com Azure AD テナントにアプリケーションを登録できないようにします。
* ID ガバナンスにカスタム カタログとカスタム プログラムを使用します。
* User1 が Azure AD でエンタープライズ アプリケーションを作成できることを確認します。最小特権の原則を使用します。
ライセンス要件
Litware は最近、LWLicenses という名前のカスタム ユーザー属性を litware.com Active Directory フォレストに追加しました。Litware は、LWLicenses 属性の値を変更することで、Azure AD ライセンスの割り当てを管理したいと考えています。LWLicenses に適切な値を持つユーザーは、適切なライセンスが割り当てられている Microsoft 365 グループに自動的に追加される必要があります。
管理要件
Litware は、LWGroup1 という名前のグループを作成したいと考えています。このグループには、Litware のすべての Azure AD ユーザー アカウントが含まれますが、すべての Azure AD ゲスト アカウントは除外されます。
認証要件
Litware は次の認証要件を特定します。
* すべての Litware ユーザーに多要素認証 (MFA) を実装します。
* Litware のボストン オフィスから Azure AD への認証に MFA を使用するユーザーを免除します。
* litware.com フォレストに禁止パスワード リストを実装します。
* オンプレミス アプリケーションにアクセスするときに MFA を強制します。
* 外部に漏洩した認証情報を自動的に検出して修復します
アクセス要件
Litware は、Litware のすべての Azure AD ユーザー アカウントを含み、すべての Azure AD ゲスト アカウントを除外する LWGroup1 という名前のグループを作成したいと考えています。
監視要件
Litware は、Azure Sentinel の Fusion ルールを使用して、不審な Azure AD サインインとそれに続く異常な Microsoft Office 365 アクティビティの組み合わせを含む多段階のイベントを検出したいと考えています。