您的團隊希望高嚴重性「不可能的差旅」事件能自動停用受影響的 Microsoft Entra ID 使用者、將來源 IP 新增至 Sentinel 監控清單，並將訊息發佈到 SOC Microsoft Teams 頻道。您將使用帶有受控識別的 Logic App 劇本。您應該執行哪兩個動作？

正確答案是建立一個使用 Microsoft Sentinel 事件觸發器的 Logic App 劇本，啟用系統指派的受控識別，並授予其 Entra ID 使用者管理員和 Microsoft Sentinel 參與者權限。這是因為 Logic App 劇本需要由 Sentinel 事件觸發，並需要適當的權限來執行使用者停用和 Sentinel 監控清單操作。另一個正確答案是建立一個 Microsoft Sentinel 自動化規則，篩選 Severity = High 且 Title 包含 "Impossible travel" 的事件，並執行該劇本。這是將特定事件與劇本連結的機制，確保只有高嚴重性的「不可能的差旅」事件才會觸發自動化。 建立 Azure Monitor 動作群組不適用於此情境，因為 Sentinel 自動化規則才是觸發劇本的正確方式。將劇本的受控識別指派為訂閱根目錄的 Owner 角色權限過高且不符合最小權限原則。將劇本轉換為標準 Logic App 並非必要，因為 Sentinel 可以觸發消費型 Logic App。