参照：
https://docs.microsoft.com/en-us/azure/active-directory/develop/quickstart-register-app
トピック 1、Contoso, Ltd
概要
Contoso, Ltd は、ロンドンとシアトルのモントリオール オフィスに本社を置くコンサルティング会社です。
Contoso は、Fabrikam, Inc という会社とパートナーシップを結んでいます。Fabricam には、fabrikam.com という名前の Azure Active Diretory (Azure AD) テナントがあります。
既存の環境
Contoso のオンプレミス ネットワークには、contos.com という名前の Active Directory ドメインが含まれています。ドメインには、Contoso_Resources という名前の組織単位 (OU) が含まれています。Contoso_Resoureces OU には、すべてのユーザーとコンピューターが含まれています。
Contoso.com Active Directory ドメインには、次の表に示すユーザーが含まれています。

Microsoft 365/Azure環境
Contoso には、次の関連ライセンスを持つ Contoso.com という名前の Azure AD テナントがあります。
Microsoft Office 365 エンタープライズ E5
エンタープライズ モビリティ + セキュリティ
Windows 10 エンタープライズ E5
プロジェクト計画 3
Azure AD Connect は、azure AD と Active Directory ドメイン サーバーレス (AD DS) の間に構成されます。Contoso Resources OU のみが同期されます。
ヘルプデスク管理者は、定期的に Microsoft 365 管理センターを使用してユーザー設定を管理します。
現在、ユーザー管理者は Microsoft 365 管理センターを使用してライセンスを手動で割り当てています。すべてのユーザーには、次の例外を除き、すべてのライセンスが割り当てられています。
ロンドン オフィスのユーザーは、Microsoft 365 管理センターを使用してライセンスを手動で割り当てることができます。次の例外を除き、すべてのユーザーにライセンスが割り当てられています。
ロンドン オフィスのユーザーには、Microsoft 365 Phone System ライセンスが割り当てられていません。
シアトル オフィスのユーザーには、Yammer Enterprise ライセンスが割り当てられていません。
Contoso.com のセキュリティの既定値は無効になっています。
Contoso は、プロジェクト管理者ロールに Azure AD Privileged Identity Management (PIM) を使用しています。
問題の声明
Contoso は次の問題を特定しています。
* 現在、すべてのヘルプデスク管理者は、Microsoft 365 テナント全体のユーザー ライセンスを管理できます。
* ユーザー管理者は、Contoso オフィスごとに異なるライセンス要件を手動で構成するのは面倒だと報告しています。
* ヘルプデスク管理者は、必要な Microsoft 365 サービスとアプリへの内部アクセスとゲスト アクセスのプロビジョニングに多大な時間を費やしています。
* 現在、ヘルプデスク管理者は次の権限を使用してタスクを実行できます。 正当な理由や承認がなくても、ユーザー管理者ロール。
* Azure AD でログ ノードが選択されている場合、Log Analytics 統合が有効になっていないことを示すエラー メッセージが表示されます。
計画された変更
Contoso は次の変更を実装する予定です。
セルフサービス パスワード リセット (SSPR) を実装します。Azure Monitor を使用して Azure 監査アクティビティ ログを分析し、テナントに追加された新しいユーザーへのライセンス割り当てを簡素化します。Fabrikam のユーザーと共同マーケティング キャンペーンで協力します。アクティブ化するには正当な理由と承認が必要になるようにユーザー管理者ロールを構成します。
App1 という名前のカスタム基幹業務 Azure Web アプリを実装します。App1 はインターネットからアクセスでき、Azure AD アカウントを使用して認証されます。
マーケティング部門の新規ユーザーの場合は、自動承認ワークフローを実装して、Microsoft SharePoint Online サイト、グループ、アプリへのアクセスを提供します。
Contoso は、Corporation という名前の会社を買収する予定です。100 人の新しい A Datum ユーザーが Adatum という名前の Active Directory OU に作成されます。ユーザーはロンドンとシアトルにいます。
技術的要件
Contoso は次の技術要件を特定します。
* AH ユーザーは AD DS から contoso.com Azure AD テナントに同期される必要があります。
* App1 には https://contoso.com/auth-response を指すリダイレクト URI が必要です。
* 新規ユーザーへのライセンスの割り当ては、ユーザーの場所に基づいて自動的に割り当てる必要があります。
* Fabrikam ユーザーは、最大 90 日間、マーケティング部門の SharePoint サイトにアクセスできる必要があります。
* Azure AD で実行される管理アクションは監査する必要があります。監査ログは 1 年間保存する必要があります。
* ヘルプデスク管理者は、それぞれのオフィスのユーザーのみのライセンスを管理できる必要があります。
* ユーザーの身元が侵害された可能性がある場合、ユーザーはパスワードを変更する必要があります。

参照：
https://docs.microsoft.com/en-us/azure/active-directory/roles/administrative-units

Windows 10 では、Windows Hello for Business により、PC およびモバイル デバイス上のパスワードが強力な 2 要素認証に置き換えられます。この認証は、デバイスに関連付けられ、生体認証または PIN を使用する新しいタイプのユーザー資格情報で構成されます。
登録時にユーザーの最初の 2 段階認証が行われた後、ユーザーのデバイスに Windows Hello が設定され、Windows はユーザーにジェスチャ (指紋や PIN などの生体認証) を設定するように求めます。ユーザーは身元を確認するためのジェスチャーを行います。その後、Windows は Windows Hello を使用してユーザーを認証します。
参照：
https://docs.microsoft.com/en-us/azure/active-directory/authentication/concept-authentication-methods
https://docs.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/hello-overview