Q1.ある製造企業で、Azure Automation アカウント内に配置した Runbook のセキュリティ設計を担当しています。
この Runbook は、Azure Data Lake Storage Gen2 へ定期的にデータをコピーします。
コピー処理を構成する各コンポーネントを保護するためのソリューションを提案する必要があります。
それぞれのコンポーネントに対する推奨事項には、何を含めるべきですか。
回答するには、回答エリアで適切なオプションを選んでください。
解答を見る
Runbook が Azure Data Lake Storage Gen2 にデータをコピーする際は、接続に使うアクセス キーやシークレットをコードへ埋め込まず、Azure Key Vault に保管して保護します。
データ セキュリティでは、アクセス キーを Azure Key Vault に保存して機密情報の漏えいリスクを抑えます。
ネットワーク アクセス制御では、Automation アカウントや関連リソースへの通信をパブリック インターネットに公開しない構成が重要です。
Azure Automation は Azure Private Link で VNet からプライベートに接続でき、サービス タグは規則管理を簡素化します。
ネットワーク アクセス制御では、Azure Private Link とネットワーク サービス タグを使用します。
Automation 共同作成者ロールは管理権限の付与、Web Application Firewall は主に Web アプリ保護であり、いずれもこの用途には適しません。
Azure Automation におけるセキュリティのベスト プラクティス
Azure Private Link を使用してネットワークを Azure Automation に安全に接続する
Azure Automation のネットワーク構成
Q2.ある顧客企業では、外部の一般利用者が使うモバイルアプリを開発するために Azure を利用しており、構成は次の展示のとおりです。
このアプリの ID 戦略を設計する必要があります。
ソリューションは、次の要件を満たす必要があります。
Google、Facebook、Microsoft アカウントなどの外部 ID を利用できるようにする。
顧客の ID ストアとは分離して管理される。
各アプリごとに完全にカスタマイズ可能なブランド化をサポートする。
設計を完了するために、どのサービスを推奨すべきですか。
解答を見る
正答は A です。
Azure AD B2C は、現在の Microsoft Entra 体系では Microsoft Entra External ID の顧客向け ID 機能に位置付けられます。
Google、Facebook、Microsoft アカウントなどのソーシャル ID プロバイダーで外部利用者を認証でき、顧客の従業員用テナントとは分離して管理できます。
さらに、サインアップやサインイン、パスワード リセットの画面をアプリのブランドへ合わせて自由にカスタマイズできます。
B2B は取引先やゲストとの社内リソース共有向けであり、消費者向けモバイルアプリの独立した ID 基盤としては B2C が適切です。
Microsoft Entra 外部 ID の概要
Azure Active Directory B2C で HTML テンプレートを使用して UI をカスタマイズする
Q3.Microsoft 365 サブスクリプションと Azure サブスクリプションを運用しています。
Microsoft 365 Defender と Microsoft Defender for Cloud が有効化されています。
Azure サブスクリプションには 50 台の仮想マシンが含まれています。
各仮想マシンでは、Windows Server 2019 上でそれぞれ異なるアプリケーションが動作しています。
これらの仮想マシン上で、承認済みのアプリケーションだけを実行できるようにするソリューションを提案する必要があります。
承認されていないアプリケーションが実行またはインストールされようとした場合、管理者が承認するまで自動的にブロックされる必要があります。
どのセキュリティ制御を推奨すべきですか。
解答を見る
正答は D です。
Microsoft Defender for Endpoint のアプリケーション制御は、Windows Defender Application Control（現在の App Control for Business）を利用します。
信頼されたアプリケーションだけを実行可能にする許可リスト方式の制御を実装できます。
未承認アプリは許可規則に一致しないため、管理者が承認するまで実行がブロックされます。
A はクラウドアプリ利用時のセッション制御、B は OAuth アプリの監視、C は主にモバイルアプリのデータ保護であり、Windows Server 仮想マシン上の実行可能アプリを許可リスト方式で制御する要件には適しません。
なお、Azure AD は Microsoft Entra ID、Endpoint Manager は Microsoft Intune に名称変更されています。
アプリケーション制御 for Windows
Azure Active Directory の新しい名称
Microsoft Intune とは
Q4.オンプレミスのデータセンターを運用しており、その中に Server1 という名前のサーバーがあります。Server1 は Windows Server 2022 を実行しています。
また、Server1 がインターネットへ接続できないように構成されたファイアウォールがあります。
Sub1 という名前の Azure サブスクリプションを保有しています。
Server1 の回復性戦略を提案する必要があります。
この戦略には、Server1 から Sub1 へデータを転送するバックアップ計画を含める必要があります。
推奨事項には何を含めるべきですか。
回答するには、回答領域で適切なオプションを選んでください。
解答を見る
Server1 はオンプレミスの Windows Server であり Azure 仮想マシンではないため、Microsoft Azure Recovery Services（MARS）エージェントをサーバーへ直接インストールし、ファイルやフォルダー、システム状態を Azure Backup へ転送します。
バックアップ データの保存先には Recovery Services コンテナーを指定し、MARS エージェントはコンテナー資格情報でサーバーを登録します。
Azure VM 拡張機能は Azure 上の仮想マシン向けで、オンプレミス サーバーには適用できません。
ファイアウォールでインターネットが遮断されているため、Azure Backup が必要とする URL を許可するか、プライベート エンドポイントを構成して通信を確保する点にも注意します。
チュートリアル: Windows Server を Azure にバックアップする（MARS エージェント）
Azure Backup 用の MARS エージェントのサポート マトリックス
Q5.ある会社は、Microsoft 365 E5 サブスクリプション、Azure サブスクリプション、オンプレミス アプリケーション、および Active Directory Domain Services（AD DS）を保有しています。
次の要件を満たす ID セキュリティ戦略を提案する必要があります。
顧客が Facebook の資格情報を使用して Azure App Service の Web サイトへ認証できるようにする。
パートナー企業が、割り当てられたプロジェクトの Microsoft SharePoint Online サイトへアクセスできるようにする。
ソリューションでは、追加のインフラストラクチャ コンポーネントを展開する必要性を最小限に抑える必要があります。
推奨事項には何を含めるべきですか。
回答するには、回答領域で適切なオプションを選んでください。
解答を見る
正答は、顧客用に Azure AD B2C 認証、パートナー用にアクセス パッケージ割り当てを使用した Azure AD B2B 認証です。
Azure AD B2C は現在 Microsoft Entra External ID の顧客 ID 管理に関連する機能で、Facebook などのソーシャル ID プロバイダーを使った顧客向けアプリのサインインに適しています。
パートナー企業には B2B コラボレーションを用い、エンタイトルメント管理のアクセス パッケージで SharePoint Online などのリソースへのアクセスを割り当てます。
いずれも追加インフラを最小限に抑えつつ外部 ID を扱えるため、要件に合致します。
なお、Azure AD は Microsoft Entra ID に名称変更されています。
Microsoft Entra 外部 ID の概要
Azure Active Directory B2C テナントに ID プロバイダーを追加する
Microsoft Entra の B2B コラボレーションとは
Q6.Azure サブスクリプションを運用しています。
このサブスクリプションには、Windows Server を実行する 50 台の仮想マシンと、Linux を実行する 50 台の仮想マシンが含まれています。
これらの仮想マシンに対して脆弱性評価を実施する必要があります。
ソリューションは、次の要件を満たす必要があります。
不足している更新プログラムと安全でない構成を特定する。
Qualys エンジンを使用する。
何を使用すべきですか。
解答を見る
正答は A です。
Microsoft Defender for Servers は Microsoft Defender for Cloud のサーバー保護プランで、Azure VM やマルチクラウド、Azure Arc 対応サーバーに脆弱性評価を提供します。
この設問の前提では、Defender for Servers の組み込み脆弱性評価で Qualys エンジンを使用できる点が重要です。
Defender TI は脅威インテリジェンス、Defender for Endpoint はエンドポイントの検出と対応、Defender EASM は外部公開資産の攻撃面管理が主目的です。
なお現在は統合脆弱性スキャンが Microsoft Defender Vulnerability Management へ移行しているため、最新環境ではこの変更点も確認が必要です。
Microsoft Defender for Servers の概要
マシンの脆弱性スキャンを設定する
Microsoft Defender Vulnerability Management を使用したマシン脆弱性スキャンに関する FAQ
Q7.注: この問題は、同じシナリオを提示する一連の問題の一部です。
このシリーズの各問題には、提示された目標を満たす可能性がある固有のソリューションが含まれています。
複数の正しいソリューションを持つ問題セットもあれば、正しいソリューションが存在しない問題セットもあります。
このセクションで問題に回答した後は、その問題へ戻ることはできません。
そのため、これらの問題はレビュー画面には表示されません。
Microsoft Defender for Cloud が有効になっている Azure サブスクリプションがあります。
Azure Security Benchmark V3 レポートを評価しています。
Secure management ports コントロールが、最大 8 ポイント中 0 ポイントであることが判明しました。
Secure management ports コントロールのスコアを上げるための構成を提案する必要があります。
ソリューション: すべての仮想マシンで VMAccess 拡張機能を有効にすることを推奨します。
これは目標を満たしていますか。
解答を見る
正答は B です。
Secure management ports のスコアを上げるには、RDP や SSH などの管理ポートをインターネットへ常時公開しない構成が必要です。
代表的には Just-in-Time VM アクセスや Adaptive Network Hardening で管理ポートへのアクセスを制限します。
VMAccess 拡張機能は、主に仮想マシンへのアクセス回復やユーザー管理、パスワードや SSH 構成のリセットに使う機能であり、管理ポートの露出を継続的に制御するものではありません。
したがって、VMAccess 拡張機能を有効化するだけでは Secure management ports の改善要件を満たしません。
NS-7: ネットワーク セキュリティ設定の簡素化
Just-in-Time マシン アクセス
Linux 用 VMAccess 拡張機能
Q8.Active Directory Domain Services（AD DS）ドメインと同期している Azure AD テナントがあります。
継続的インテグレーションおよび継続的デプロイ（CI/CD）パイプラインを用いて、Azure サブスクリプションへアプリケーションをデプロイする Azure DevOps ソリューションを設計しています。
サービス接続のデプロイ資格情報に使用する ID の種類を提案する必要があります。
ソリューションは、Microsoft Cloud Adoption Framework for Azure の DevSecOps ベスト プラクティスに従う必要があります。
何を推奨すべきですか。
解答を見る
正答は D です。
Azure DevOps のサービス接続で Azure サブスクリプションへデプロイする資格情報には、長期的なパスワードやユーザー資格情報を避ける設計が推奨されます。
Azure のマネージド ID は、資格情報の管理やローテーションを Azure が自動処理するため、シークレットを保存せずに認証できます。
Key Vault にパスワードを保存するユーザー アカウントや PIM 付きユーザーは人間の資格情報に依存し、gMSA は主にオンプレミスの Windows サービス向けです。
DevSecOps では、最小権限を付与した非対話型 ID の使用が重要です。
なお、Azure AD は Microsoft Entra ID に名称変更されています。
ゼロトラストに対応した安全な DevOps 環境
Azure リソースのマネージド ID とは
Azure Resource Manager サービス接続を使用して Azure に接続する
Q9.Microsoft Defender for Cloud が有効になっている Azure サブスクリプションがあります。
Azure Security Benchmark V3 レポートを評価しています。
Secure management ports コントロールが、最大 8 ポイント中 0 ポイントであることが判明しました。
Secure management ports コントロールのスコアを上げるための構成を提案する必要があります。
ソリューション: すべての仮想マシンを Microsoft Defender for Endpoint にオンボードすることを推奨します。
これは目標を満たしていますか。
解答を見る
正答は B です。
Secure management ports コントロールは、RDP や SSH などの管理ポートがインターネットへ公開されていないか、適切に制限されているかを評価します。
スコアを上げるには、Just-in-Time VM アクセスや Adaptive Network Hardening などで管理ポートへのアクセスを制限する構成が必要です。
Microsoft Defender for Endpoint へのオンボードは、エンドポイントの検出、応答、脆弱性管理を強化しますが、管理ポートの公開状態を直接制御するものではありません。
したがって、Defender for Endpoint にオンボードするだけでは Secure management ports の改善要件を満たしません。
Defender for Cloud のセキュア スコア
Just-in-Time マシン アクセス
NS-7: ネットワーク セキュリティ設定の簡素化
Q10.ある会社はデータを Azure へ移行しており、そのデータには個人を特定できる情報（PII）が含まれています。
この会社は、Azure 上の PII データ ストアに対して Microsoft Information Protection を使用する予定です。
Azure リソース内でリスクのある PII データを検出するためのソリューションを提案する必要があります。
推奨事項には何を含めるべきですか。
回答するには、回答領域で適切なオプションを選んでください。
解答を見る
正答は、Azure Purview と Microsoft Defender for Cloud です。
Azure Purview は現在 Microsoft Purview として提供され、Azure SQL Database や Azure Storage などのデータ ソースをスキャンして、PII などの機密情報を検出・分類できます。
Microsoft Information Protection も現在は Microsoft Purview Information Protection の体系に含まれます。
検出された機密データを含む Azure リソースのリスクやアラートの優先順位付け、調査、トリアージには、Microsoft Defender for Cloud のセキュリティ アラートと推奨事項を使用します。
Microsoft Purview で機密データを保護する
セキュリティ アラートとインシデント