概要

Fabrikam, Inc. はコンサルティング会社です。本社をニューヨーク市に、支社をアムステルダムとシンガポールに置いています。

既存環境 ― ネットワーク環境

オンプレミスネットワークには、各オフィスにデータセンターがあります。

既存環境 ― クラウド環境

Fabrikam には Sub1 と Sub2 という 2 つの Azure サブスクリプションと、Microsoft 365 E5 ライセンスを含む Microsoft 365 サブスクリプションがあります。

すべてのサブスクリプションは fabrikam.com という Microsoft Entra テナントにリンクされており、次の ID が含まれています。

名前	種類	Microsoft Entra ロール	Sub1 に対する Azure ロール割り当て
Admin1	User	Privileged Authentication Administrator	Resource Policy Contributor
Admin2	User	Compliance Administrator	User Access Administrator
Admin3	User	Authentication Administrator	Contributor
Admin4	User	Global Administrator	なし
User1	User	なし	Reader
AKS1	System-assigned managed identity	なし	なし
ID1	User-assigned managed identity	なし	なし

テナントには次のグループがあります。

名前	種類	Role assignments allowed
Group1	Security	Yes
Group2	Security	No
Group3	Microsoft 365	Yes
Group4	Microsoft 365	No

すべてのデバイスは Microsoft Intune に登録されています。

既存環境 ― Sub1 のリソース

Sub1 には RG1 というリソースグループがあり、次のリソースが含まれています。

名前	種類	Azure リージョン
SQLServer1	Azure SQL Database logical server	East US
SQLdb1	Database on SQLServer1	East US
VM1	Virtual machine	East US
AKS1	Azure Kubernetes Service (AKS) cluster	East US
Registry1	Azure container registry	East US
storage1	Storage account	East US
AKV1	Azure key vault	East US

SQLServer1 は Microsoft SQL Server 認証を使用しています。

Sub1 には WAF1 という Azure Web Application Firewall (WAF) があり、Bot Manager 1.1 と Azure-managed Default Rule Set (DRS) のルールセットを使用しています。

Sub1 では Microsoft Defender for Cloud に、NIST SP 800-53 Rev. 4、Microsoft cloud security benchmark (MCSB)、System and Organization Controls (SOC) 2 Type 2 が割り当てられています。

既存環境 ― Sub2 のリソース

Sub2 には RG2 というリソースグループがあります。

計画されている変更

RG1 に AKV2 (West Europe)、AKV3 (Central US)、AKV4 (East US) をデプロイする。
RG2 に AKV5 (East US) をデプロイする。
VM1 が storage1 からデータを読み取れるようにする。
Fa1 (Flex Consumption)、Fa2 (Consumption)、Fa3 (Dedicated) の各ホスティングプランで Function Apps を作成する。
WAF1 に、要求元の場所に基づくレート制限ルールを実装する。
Defender for Cloud で NIST SP 800-53 Rev. 5 コンプライアンス標準を有効にする。
Azure Table storage をサポートする storage2 という新しいストレージアカウントを作成する。
データベース管理者が SQLdb1 にアクセスするときに多要素認証 (MFA) を強制する。
RG1 に対し、サポートされるグループへ Contributor ロールを割り当てる新しい PIM の eligible role assignment を作成する。

オンプレミスネットワークへの ExpressRoute 回線を次のように実装します。

名前	Azure リージョン	接続方式
ER1	West Europe	ExpressRoute with a connectivity provider
ER2	West Europe	ExpressRoute Metro with a connectivity provider
ER3	East US	ExpressRoute Direct
ER4	Southeast Asia	ExpressRoute Metro Direct

技術要件

VM1 が削除された場合、VM1 のアクセス許可も自動的に削除されること。
AKS1 のマネージド ID は Registry1 からイメージを pull することだけができること。
ID1 のマネージド ID は Registry1 にイメージを push し、かつ pull できること。
ストレージアカウント内のすべてのデータは Fabrikam 管理キーで暗号化されること。
Function Apps からオンプレミスネットワークへのすべての送信トラフィックは ExpressRoute 回線を使用すること。
オンプレミスと Azure 環境の間の ExpressRoute 接続は、レイヤー 2 またはレイヤー 3 の暗号化を使用して暗号化されること。