参照：
https://docs.microsoft.com/en-us/azure/security/fundamentals/steps-secure-identity
トピック 1、Litware, Inc
アイデンティティ環境
ネットワークには、litware.com という名前の Azure Active Directory (Azure AD) テナントにリンクされている litware.com という名前の Active Directory フォレストが含まれています。Azure AD Connect はパススルー認証を使用し、パスワード ハッシュ同期が無効になっています。
Litware.com には、すべてのアプリケーション開発を監督する User1 という名前のユーザーが含まれています。Litware は Azure AD アプリケーション プロキシを実装します。
Fabrikam には、fabrikam.com という名前の Azure AD テナントがあります。Fabrikam のユーザーは、litware.com テナントのゲスト アカウントを使用して、litware.com のリソースにアクセスします。
クラウド環境
Litware のすべてのユーザーは Microsoft 365 Enterprise E5 ライセンスを持っています。Microsoft Cloud App Security に組み込まれているすべての異常検出ポリシーが有効になっています。
Litware には、litware.com Azure AD テナントに関連付けられた Azure サブスクリプションがあります。サブスクリプションには、Azure Active Directory コネクタと Office 365 コネクタを使用する Azure Sentinel インスタンスが含まれています。現在、Azure Sentinel は Azure AD サインイン ログと監査ログを収集しています。
オンプレミス環境
オンプレミス ネットワークには、次の表に示すサーバーが含まれています。

どちらの Litware オフィスもインターネットに直接接続します。どちらのオフィスも、サイト間 VPN 接続を使用して Azure サブスクリプションの仮想ネットワークに接続します。すべてのオンプレミス ドメイン コントローラーはインターネットにアクセスできません。
委任の要件
Litware では、次の委任要件を特定しています。
* Azure AD Privileged Identity Management (PIM) を使用して、特権ロールの管理を委任します。
* 特権のないユーザーが litware.com Azure AD テナントにアプリケーションを登録できないようにします。
* ID ガバナンスにカスタム カタログとカスタム プログラムを使用します。
* User1 が Azure AD でエンタープライズ アプリケーションを作成できることを確認します。最小特権の原則を使用します。
ライセンス要件
Litware は最近、LWLicenses という名前のカスタム ユーザー属性を litware.com Active Directory フォレストに追加しました。Litware は、LWLicenses 属性の値を変更することで、Azure AD ライセンスの割り当てを管理したいと考えています。LWLicenses に適切な値を持つユーザーは、適切なライセンスが割り当てられている Microsoft 365 グループに自動的に追加される必要があります。
管理要件
Litware は、LWGroup1 という名前のグループを作成したいと考えています。このグループには、Litware のすべての Azure AD ユーザー アカウントが含まれますが、すべての Azure AD ゲスト アカウントは除外されます。
認証要件
Litware は次の認証要件を特定します。
* すべての Litware ユーザーに多要素認証 (MFA) を実装します。
* Litware のボストン オフィスから Azure AD への認証に MFA を使用するユーザーを免除します。
* litware.com フォレストに禁止パスワード リストを実装します。
* オンプレミス アプリケーションにアクセスするときに MFA を強制します。
* 外部に漏洩した認証情報を自動的に検出して修復します
アクセス要件
Litware は、Litware のすべての Azure AD ユーザー アカウントを含み、すべての Azure AD ゲスト アカウントを除外する LWGroup1 という名前のグループを作成したいと考えています。
監視要件
Litware は、Azure Sentinel の Fusion ルールを使用して、不審な Azure AD サインインとそれに続く異常な Microsoft Office 365 アクティビティの組み合わせを含む多段階のイベントを検出したいと考えています。

参照：
https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/howto-conditional-access-policy-all-users-mfa

参照：
https://bitsizebytes.wordpress.com/2018/12/10/distribution-security-and-office-365-groups-nesting/

参照：
https://docs.microsoft.com/en-us/azure/active-directory/roles/delegate-app-roles