Microsoft AZ-500: Sécurité hybride et multi-cloud — Guide d'étude

    azcmagent connect \
      --resource-group rg-hybrid \
      --tenant-id <tenantId> \
      --subscription-id <subId> \
      --location <azureRegion> \
      --service-principal-id <appId> \
      --service-principal-secret <password>
    ```

- Prérequis de l'agent et extensions
  - L'agent Connected Machine (azcmagent) est requis ; il utilise une connexion sortante TLS 1.2 sur le port TCP 443 et nécessite les droits administrateur local/root pour l'installation.
  - N'inspectez pas son trafic SSL ; l'agent effectue une authentification TLS mutuelle et un épinglage de certificat (cert pinning) lors de la prise de contact (handshake) dans certains flux.
  - Utilisez les extensions Arc pour déployer des fonctionnalités : Azure Monitor Agent (de préférence), les composants Defender for Endpoint/Defender for Servers, Update Manager et Guest Configuration.
  - Raisonnement : les extensions vous offrent un cycle de vie et une conformité de type Azure pour les hôtes non-Azure, sans aucun port entrant.

- RBAC
  - Azure Connected Machine Onboarding : enregistrer les machines.
  - Azure Connected Machine Resource Administrator : gérer la ressource de serveur Arc et ses extensions.
  - Policy Contributor/Reader : gouverner l'application et la visibilité.
  - Raisonnement : la séparation des tâches — intégration vs administration continue — réduit le rayon d'impact (blast radius).

- Connectivité privée
  - Utilisez Private Link pour les serveurs avec Azure Arc en créant une étendue de liaison privée (Private Link Scope) et des points de terminaison privés (private endpoints) pour les services du plan de contrôle d'Arc, et intégrez-les avec des zones DNS privées (Private DNS zones) et des redirecteurs DNS sur site.
  - Raisonnement : force l'agent à passer par votre chemin réseau privé, éliminant la dépendance à la sortie publique et respectant les contrôles de sortie stricts.

Kubernetes avec Azure Arc

- Cluster connect
  - Connectez les clusters avec :

    az k8s-configuration flux create \
      --cluster-name arc-aks-onprem --resource-group rg-hybrid \
      --name baseline --namespace cluster-config \
      --url https://github.com/org/platform-baseline --branch main --sync-interval 1m
    ```

- Stratégie (Policy)
  - Activez Azure Policy for Kubernetes (Gatekeeper v3) via l'extension azurepolicy ; assignez des initiatives intégrées pour bloquer les pods privilégiés, les hostPath ou les profils seccomp manquants.
  - Raisonnement : appliquez le contrôle d'admission au moment du déploiement, réduisant ainsi l'exposition à l'exécution.

- Intégration de Defender
  - Sur les clusters Arc, activez Defender for Containers. Cela déploie les agents requis pour collecter les événements d'audit Kube, détecter les comportements anormaux et prendre en charge la détection de vulnérabilités pour les images et les charges de travail.
  - Raisonnement : unifiez la détection des menaces et la posture de sécurité avec les clusters natifs du cloud sous un seul plan.

SQL Server avec Azure Arc et inventaire hybride

- Intégrez les instances SQL Server s'exécutant sur des machines avec Azure Arc à l'aide de l'extension SQL Server ; cela expose SQL comme une ressource Azure.
- Activez Defender for SQL sur les machines pour l'évaluation des vulnérabilités et la détection avancée des menaces ; configurez l'approvisionnement automatique depuis Defender for Cloud pour garantir la couverture.
- Utilisez l'inventaire Arc et Azure Resource Graph pour interroger les actifs hybrides, étiqueter la criticité et définir la portée des stratégies (par exemple, imposer des points de terminaison uniquement TLS et des suites de chiffrement fortes).
- Raisonnement : gouvernance et analyse de sécurité cohérentes pour les SQL hérités basés sur des VM, aux côtés des bases de données PaaS.
### Intégration multicloud avec Microsoft Defender for Cloud

Connecteurs multicloud

- AWS
  - Créez un connecteur AWS dans Defender for Cloud ; déployez le modèle CloudFormation ou le StackSet fourni au niveau de l'organisation pour créer un rôle inter-comptes en lecture seule et une redirection des événements.
  - Activez éventuellement l'approvisionnement automatique de l'agent pour Defender for Servers et Containers.
  - Raisonnement : l'intégration au niveau de l'organisation garantit que les nouveaux comptes héritent des contrôles de sécurité sans étapes manuelles.

- Google Cloud
  - Créez un connecteur GCP ; déployez le modèle Terraform ou Deployment Manager recommandé au niveau de l'organisation avec un compte de service à privilèges minimum.
  - Raisonnement : un accès standardisé et à privilèges minimum étend automatiquement la gestion de la posture aux nouveaux projets et dossiers.

Gestion de la posture de sécurité cloud (CSPM)

- Agrégez Azure, AWS, GCP et les environnements sur site/périphériques (via Arc) dans le score de sécurité et le tableau de bord de conformité réglementaire de Defender for Cloud.
- Attribuez des initiatives intégrées (CIS, NIST, PCI) au niveau du groupe d'administration ; étendez les bases de référence au niveau du système d'exploitation aux serveurs Arc via Azure Policy Guest Configuration.
- Utilisez les recommandations pour piloter les tâches de remédiation et la correction automatique avec DeployIfNotExists là où c'est pris en charge (par exemple, déployer l'Azure Monitor Agent sur les serveurs Arc).
- Raisonnement : un modèle de conformité unique sur des plateformes hétérogènes réduit la complexité des audits et accélère la remédiation.

Protection contre les menaces

- Activez les plans Defender pertinents (Servers, Containers, SQL, Storage) sur l'ensemble des clouds ; configurez l'approvisionnement automatique et les paramètres de collecte de données de manière centralisée.
- Raisonnement : une taxonomie d'alertes et des analyses communes alimentent votre SIEM avec des signaux normalisés.

### Identité hybride et surveillance sécurisée

Identité hybride et sécurité AD sur site

- Stratégie de synchronisation
  - Utilisez la synchronisation de hachage de mot de passe pour la résilience, et l'authentification directe (pass-through) avec SSO transparent lorsque les stratégies de mot de passe et les restrictions de connexion sur site doivent s'appliquer tout en minimisant l'infrastructure. Cette combinaison minimise l'empreinte des serveurs et satisfait à l'application des stratégies sur site.
  - Excluez des comptes (par exemple, dont le givenName commence par LAB) en utilisant le filtrage basé sur les attributs de l'éditeur de règles de synchronisation (Synchronization Rules Editor).
- Surveillance de Microsoft Entra Connect
  - Déployez Azure AD Connect Health pour surveiller la synchronisation, les contrôleurs de domaine et AD FS (si utilisé), avec des alertes pour la latence, les échecs et les configurations à risque.
- Accès privilégié
  - Pour configurer Privileged Identity Management (PIM), le rôle d'administrateur général est requis. Commencez par découvrir les rôles privilégiés, puis activez l'accès juste-à-temps, l'approbation et les révisions d'accès.
- Expérience d'authentification
  - Pour les appareils Windows à jonction hybride, utilisez l'authentification intégrée Active Directory vers Azure SQL Database depuis SSMS pour minimiser les invites tout en utilisant des jetons Entra ID.
- Durcissement d'AD
  - Appliquez le modèle d'administration à plusieurs niveaux (tiered admin model), LAPS pour la rotation des mots de passe d'administrateur local, désactivez les protocoles hérités et surveillez les anomalies Kerberos/NTLM avec Defender for Identity.
- Raisonnement : une hygiène d'identité rigoureuse empêche que le vol d'identifiants ne se transforme en compromission inter-environnements.

Azure Monitor Agent (AMA), règles de collecte de données (DCR) et collecte de journaux sécurisée

- Utilisez les extensions Arc pour déployer l'AMA ; créez des DCR qui définissent précisément quels journaux d'événements Windows (Windows Event Logs) et quelles installations Syslog collecter, et les acheminent vers des espaces de travail Log Analytics spécifiques.
- Découplez les points de terminaison d'ingestion via des points de terminaison de collecte de données (DCE) ; restreignez le trafic sortant à l'aide d'Azure Monitor Private Link Scope (AMPLS).
- Exemple d'extrait de DCR :

- Raisonnement : les DCR permettent une télémétrie à privilèges minimum (collecter uniquement ce qui est nécessaire), réduisent les coûts et simplifient le contrôle des changements par rapport à la dérive de configuration au niveau de l'hôte.
### Bases de référence pour le réseau, le DNS, le proxy et les stratégies

Exigences en matière de connectivité privée, de DNS, de proxy et de pare-feu sortant

- Modèle de sortie uniquement
- Les agents Arc, AMA, Defender et les extensions de stratégie utilisent le protocole TLS 1.2 sortant sur le port 443. Aucune NAT entrante ni ouverture de port ne devrait être nécessaire.
- Private Link
- Utilisez des Private Link Scopes pour Arc et Azure Monitor ; créez les zones DNS privées et les redirecteurs conditionnels correspondants afin que les machines hybrides résolvent les FQDN des services en adresses IP privées.
- Proxys
- Si vous utilisez un proxy de transfert (forward proxy), ajoutez les FQDN du plan de contrôle et d'ingestion d'Azure à la liste d'autorisation et contournez l'inspection SSL pour les points de terminaison Arc/Monitor.
- Configurez sur un serveur avec :