Microsoft AZ-500: ハイブリッドおよびマルチクラウドのセキュリティ — 学習ガイド

    azcmagent connect \
      --resource-group rg-hybrid \
      --tenant-id <tenantId> \
      --subscription-id <subId> \
      --location <azureRegion> \
      --service-principal-id <appId> \
      --service-principal-secret <password>
    ```

- エージェントの要件と拡張機能
  - Connected Machineエージェント (azcmagent) が必要です。これはTCP 443でアウトバウンドのTLS 1.2を使用し、インストールにはローカルの管理者/root権限が必要です。
  - そのトラフィックをSSLインスペクションしないでください。エージェントは一部のフローでハンドシェイク中に相互TLSと証明書ピンニングを実行します。
  - Arc拡張機能を使用して機能をデプロイします: Azure Monitor Agent (推奨)、Defender for Endpoint/Defender for Serversコンポーネント、Update Manager、およびGuest Configuration。
  - 理由: 拡張機能により、インバウンドポートなしで、Azureスタイルのライフサイクル管理とコンプライアンスをAzure以外のホストに提供します。

- RBAC
  - Azure Connected Machine Onboarding: マシンを登録します。
  - Azure Connected Machine Resource Administrator: Arcサーバーリソースとその拡張機能を管理します。
  - Policy Contributor/Reader: 強制と可視性を管理します。
  - 理由: オンボーディングと継続的な管理という職務を分離することで、影響範囲 (blast radius) を縮小します。

- プライベート接続
  - Arc対応サーバーにPrivate Linkを使用するには、Private Link ScopeとArcのコントロールプレーンサービス用のプライベートエンドポイントを作成し、Private DNSゾーンとオンプレミスのDNSフォワーダーと統合します。
  - 理由: エージェントにプライベートネットワークパスを強制的に経由させることで、パブリックな出口への依存をなくし、厳格な出口制御要件を満たします。

Azure Arc対応Kubernetes

- クラスター接続
  - 以下のコマンドでクラスターを接続します:

    az k8s-configuration flux create \
      --cluster-name arc-aks-onprem --resource-group rg-hybrid \
      --name baseline --namespace cluster-config \
      --url https://github.com/org/platform-baseline --branch main --sync-interval 1m
    ```

- ポリシー
  - azurepolicy拡張機能を通じてAzure Policy for Kubernetes (Gatekeeper v3) を有効にし、組み込みのイニシアチブを割り当てて、特権付きポッド、hostPath、またはseccompプロファイルが欠落しているものをブロックします。
  - 理由: デプロイ時にアドミッションコントロールを強制し、ランタイムでの露出を削減します。

- Defenderとの統合
  - Arcクラスターで、Defender for Containersを有効にします。これにより、Kube監査イベントを収集し、異常な動作を検出し、イメージやワークロードの脆弱性検出をサポートするために必要なエージェントがデプロイされます。
  - 理由: 脅威の検出とポスチャ管理を、単一のプランの下でクラウドネイティブクラスターと統合します。

Azure Arc対応SQL Serverとハイブリッドインベントリ

- SQL Server拡張機能を使用して、Arc対応マシン上で実行されているSQL Serverインスタンスをオンボーディングします。これにより、SQLがAzureリソースとして表示されるようになります。
- マシン上でDefender for SQLを有効にし、脆弱性評価と高度な脅威検出を実現します。カバレッジを確保するために、Defender for Cloudからの自動プロビジョニングを構成します。
- ArcインベントリとAzure Resource Graphを使用して、ハイブリッド資産をクエリし、重要度をタグ付けし、ポリシーのスコープを設定します (例: TLSのみのエンドポイントと強力な暗号スイートを強制する)。
- 理由: PaaSデータベースと並行して、レガシーなVMベースのSQLに対して一貫したガバナンスとセキュリティ分析を提供します。
### Microsoft Defender for Cloudによるマルチクラウド統合

マルチクラウドコネクタ

- AWS
  - Defender for CloudでAWSコネクタを作成し、提供されたCloudFormationテンプレートまたはStackSetをOrganizationレベルでデプロイして、読み取り専用のクロスアカウントロールとイベント転送を作成します。
  - オプションで、Defender for ServersおよびContainersのエージェント自動プロビジョニングを有効にします。
  - **理由**: 組織レベルでのオンボーディングにより、新しいアカウントは手動の手順なしでセキュリティ制御を継承できます。

- Google Cloud
  - GCPコネクタを作成し、推奨されるTerraformまたはDeployment Managerテンプレートを、最小権限のサービスアカウントを使用してOrganizationレベルでデプロイします。
  - **理由**: 標準化された最小権限アクセスにより、ポスチャ管理を新しいプロジェクトやフォルダに自動的にスケールできます。

クラウドセキュリティポスチャ管理 (CSPM)

- Azure、AWS、GCP、およびオンプレミス/エッジ (Arc経由) をDefender for Cloudのセキュアスコアと規制コンプライアンスダッシュボードに集約します。
- 組み込みのイニシアチブ (CIS、NIST、PCI) を管理グループレベルで割り当て、Azure Policy Guest Configurationを介してOSレベルのベースラインをArcサーバーに拡張します。
- 推奨事項を使用して修復タスクを推進し、サポートされている場合はDeployIfNotExistsで自動修正します (例: Azure Monitor AgentをArcサーバーにデプロイ)。
- **理由**: 異種プラットフォーム間で単一のコンプライアンスモデルを使用することで、監査の複雑さが軽減され、修復が迅速化されます。

脅威保護

- クラウド全体で関連するDefenderプラン (Servers、Containers、SQL、Storage) を有効にし、自動プロビジョニングとデータ収集設定を一元的に構成します。
- **理由**: 共通のアラート分類と分析により、正規化されたシグナルがSIEMに供給されます。

### ハイブリッドIDとセキュアな監視

ハイブリッドIDとオンプレミスADのセキュリティ

- **同期戦略**
  - 回復力のためにパスワードハッシュ同期を使用し、インフラストラクチャを最小限に抑えつつオンプレミスのパスワードポリシーとログオン制限を適用する必要がある場合は、シームレスSSOを備えたパススルー認証を使用します。この組み合わせにより、サーバーフットプリントが最小限に抑えられ、オンプレミスのポリシー適用が満たされます。
  - 同期規則エディターの属性ベースのフィルタリングを使用して、アカウント (例: givenNameがLABで始まるアカウント) を除外します。
- **Microsoft Entra Connectの監視**
  - Azure AD Connect Healthをデプロイして、同期、ドメインコントローラー、およびAD FS (使用している場合) を監視し、遅延、障害、および危険な構成に関するアラートを受け取ります。
- **特権アクセス**
  - Privileged Identity Management (PIM) を構成するには、全体管理者ロールが必要です。まず特権ロールを検出し、次にジャストインタイム、承認、およびアクセスレビューを有効にします。
- **認証エクスペリエンス**
  - ハイブリッド参加済みのWindowsデバイスの場合、SSMSからAzure SQL DatabaseへのActive Directory統合認証を使用して、Entra IDトークンを使用しながらプロンプトを最小限に抑えます。
- **ADの強化**
  - 階層化された管理モデルを適用し、ローカル管理者パスワードのローテーションにLAPSを使用し、レガシープロトコルを無効にし、Defender for IdentityでKerberos/NTLMの異常を監視します。
- **理由**: 強力なIDハイジーン (衛生管理) により、資格情報の盗難が環境をまたがる侵害に発展するのを防ぎます。

Azure Monitor Agent (AMA)、データ収集ルール (DCR)、およびセキュアなログ収集

- Arc拡張機能を使用してAMAをデプロイし、収集するWindows Event LogsとSyslogファシリティを正確に定義し、特定のLog AnalyticsワークスペースにルーティングするDCRを作成します。
- Data Collection Endpoints (DCE) を介してインジェストエンドポイントを分離し、Azure Monitor Private Link Scope (AMPLS) を使用してエグレス (送信トラフィック) を制限します。
- DCRスニペットの例:

- **理由**: DCRは、最小権限のテレメトリ (必要なもののみを収集) を提供し、コストを削減し、ホストレベルの構成ドリフトと比較して変更管理を簡素化します。
### ネットワーク、DNS、プロキシ、およびポリシーベースのベースライン

プライベート接続、DNS、プロキシ、およびアウトバウンドファイアウォールの要件

- アウトバウンド専用モデル
- Arcエージェント、AMA、Defender、およびポリシー拡張機能は、443番ポートでアウトバウンドのTLS 1.2を使用します。インバウンドNATやポート開放は不要です。
- Private Link
- ArcおよびAzure MonitorにはPrivate Linkスコープを使用します。対応するPrivate DNSゾーンと条件付きフォワーダーを作成し、ハイブリッドマシンがサービスFQDNをプライベートIPに解決できるようにします。
- プロキシ
- フォワードプロキシを使用する場合、AzureコントロールプレーンとインジェストFQDNを許可リストに追加し、Arc/Monitorエンドポイントに対するSSLインスペクションをバイパスします。
- サーバー上で次のように構成します: