Ваша команда хочет, чтобы инциденты «Невозможное перемещение» (Impossible travel) высокой степени серьёзности автоматически отключали затронутого пользователя в Microsoft Entra ID, добавляли исходный IP-адрес в список отслеживания Sentinel и публиковали сообщение в канале SOC Microsoft Teams. Вы будете использовать плейбук Logic App с управляемым удостоверением. Какие два действия вы должны выполнить?

Для автоматического отключения пользователя и выполнения других действий при инциденте «Невозможное перемещение» необходимо создать плейбук Logic App. Этот плейбук должен использовать триггер инцидентов Microsoft Sentinel, чтобы реагировать на новые инциденты. Для выполнения действий в Entra ID (отключение пользователя) и Sentinel (добавление IP в список отслеживания) плейбуку потребуется системное управляемое удостоверение с соответствующими разрешениями: «Администратор пользователей Entra ID» и «Участник Microsoft Sentinel». Затем необходимо создать правило автоматизации Microsoft Sentinel, которое будет фильтровать инциденты по серьезности (Высокая) и заголовку («Impossible travel»), а затем запускать этот плейбук. Неверные варианты: Группа действий Azure Monitor не используется для запуска плейбуков Sentinel при создании инцидентов; для этого служат правила автоматизации Sentinel. Назначение роли «Владелец» на корневом уровне подписки является избыточным и нарушает принцип наименьших привилегий; требуются только специфические роли для Entra ID и Sentinel. Sentinel может запускать Consumption Logic Apps; преобразование в Standard Logic App не требуется и не влияет на возможность запуска.