Microsoft AZ-500: 混合與多雲安全 — 學習指南

    azcmagent connect \
      --resource-group rg-hybrid \
      --tenant-id <tenantId> \
      --subscription-id <subId> \
      --location <azureRegion> \
      --service-principal-id <appId> \
      --service-principal-secret <password>
    ```

- 代理程式需求與擴充功能
  - 需要 `Connected Machine` 代理程式 (`azcmagent`)；它在 TCP 443 埠上使用對外的 TLS 1.2，且安裝時需要本機 admin/root 權限。
  - 不要對其流量進行 SSL 檢測；在某些流程中，代理程式會在交握 (handshake) 期間執行雙向 TLS 與憑證綁定 (cert pinning)。
  - 使用 Arc 擴充功能來部署各種能力：Azure Monitor Agent (建議使用)、Defender for Endpoint/Defender for Servers 元件、Update Manager，以及 Guest Configuration。
  - 理由：擴充功能讓您能以 Azure 風格的生命週期與合規性來管理非 Azure 主機，且無需任何對內連接埠。

- RBAC
  - Azure Connected Machine Onboarding：註冊機器。
  - Azure Connected Machine Resource Administrator：管理 Arc 伺服器資源及其擴充功能。
  - Policy Contributor/Reader：治理強制執行與可視性。
  - 理由：將職責—上線 vs. 持續管理—分開，以縮小爆炸半徑。

- 私有連線
  - 為 Arc-enabled servers 使用 `Private Link`，做法是為 Arc 的控制平面服務建立一個 `Private Link Scope` 與私有端點，並與 `Private DNS` 區域及地端 DNS 轉送器整合。
  - 理由：強制代理程式走您的私有網路路徑，消除對公用出口的依賴，並滿足嚴格的出口管制。

Azure Arc-enabled Kubernetes

- 叢集連線 (Cluster connect)
  - 使用以下指令連接叢集：

    az k8s-configuration flux create \
      --cluster-name arc-aks-onprem --resource-group rg-hybrid \
      --name baseline --namespace cluster-config \
      --url https://github.com/org/platform-baseline --branch main --sync-interval 1m
    ```

- 原則 (Policy)
  - 透過 `azurepolicy` 擴充功能啟用 `Azure Policy for Kubernetes` (Gatekeeper v3)；指派內建的計畫 (initiative) 來阻擋特權 pod、`hostPath` 或缺少 `seccomp` 設定檔的情況。
  - 理由：在部署時強制執行准入控制，減少執行時期的曝險。

- Defender 整合
  - 在 Arc 叢集上啟用 `Defender for Containers`。這會部署所需的代理程式來收集 Kube 稽核事件、偵測異常行為，並支援對映像檔與工作負載的弱點發現。
  - 理由：在單一方案下，將威脅偵測與安全狀態與雲端原生叢集統一管理。

Azure Arc-enabled SQL Server 與混合式清查

- 使用 `SQL Server` 擴充功能，將執行在 Arc-enabled 機器上的 `SQL Server` 執行個體上線；這會將 SQL 作為一個 Azure 資源呈現出來。
- 在機器上啟用 `Defender for SQL` 以進行弱點評估與進階威脅偵測；從 `Defender for Cloud` 設定自動佈建以確保涵蓋率。
- 使用 Arc 清查與 `Azure Resource Graph` 來查詢混合式資產、標記重要性並設定原則範圍 (例如，強制僅使用 TLS 的端點與強加密套件)。
- 理由：為傳統的、基於 VM 的 SQL 以及 PaaS 資料庫提供一致的治理與安全性分析。
### 與 Microsoft Defender for Cloud 的多雲整合

多雲連接器

- AWS
  - 在 Defender for Cloud 中建立一個 AWS 連接器；在 Organization 層級部署提供的 CloudFormation 範本或 StackSet，以建立一個唯讀的跨帳戶角色並轉發事件。
  - 可選擇性地為 Defender for Servers 和 Containers 啟用代理程式自動佈建。
  - 理由：組織層級的上線作業可確保新帳戶無須手動步驟即可繼承安全控制措施。

- Google Cloud
  - 建立一個 GCP 連接器；在 Organization 層級使用最低權限的服務帳戶部署建議的 Terraform 或 Deployment Manager 範本。
  - 理由：標準化、最低權限的存取方式可將狀態管理自動擴展至新的專案和資料夾。

雲端安全狀態管理 (CSPM)

- 將 Azure、AWS、GCP 和本地/邊緣 (透過 Arc) 的資料彙總至 Defender for Cloud 的安全分數和法規合規性儀表板。
- 在管理群組層級指派內建的計畫 (CIS、NIST、PCI)；透過 Azure Policy Guest Configuration 將作業系統層級的基準擴展至 Arc 伺服器。
- 使用建議來推動修復任務，並在支援的情況下使用 DeployIfNotExists 進行自動修復 (例如，將 Azure Monitor Agent 部署到 Arc 伺服器)。
- 理由：跨異質平台的單一合規性模型可降低稽核複雜性並加速修復。

威脅防護

- 跨雲端啟用相關的 Defender 方案 (Servers、Containers、SQL、Storage)；集中設定自動佈建和資料收集設定。
- 理由：通用的警示分類法和分析功能，能為您的 SIEM 提供標準化的信號。

### 混合式身分識別與安全監控

混合式身分識別與本地 AD 安全性

- 同步策略
  - 使用密碼雜湊同步以實現彈性，並在必須套用本地密碼原則和登入限制但又要最小化基礎架構時，使用傳遞驗證搭配無縫 SSO。此組合可最小化伺服器足跡並滿足本地原則的強制執行。
  - 使用 Synchronization Rules Editor 的屬性型篩選來排除帳戶 (例如，givenName 以 LAB 開頭的帳戶)。
- Microsoft Entra Connect 監控
  - 部署 Azure AD Connect Health 來監控同步、網域控制站和 AD FS (若有使用)，並針對延遲、失敗和有風險的設定發出警示。
- 特殊權限存取
  - 要設定 Privileged Identity Management (PIM)，需要全域管理員角色。首先探索特殊權限角色，然後啟用 Just-In-Time、核准和存取權檢閱。
- 驗證體驗
  - 對於混合式加入的 Windows 裝置，從 SSMS 使用 Active Directory 整合式驗證連線至 Azure SQL Database，以在使用 Entra ID 權杖時減少提示。
- AD 強化
  - 強制執行分層管理模型、使用 LAPS 進行本機管理員密碼輪替、停用舊版通訊協定，並使用 Defender for Identity 監控 Kerberos/NTLM 異常。
- 理由：良好的身分識別衛生習慣可防止憑證竊取演變成跨環境的入侵。

Azure Monitor Agent (AMA)、資料收集規則 (DCR) 與安全日誌收集

- 使用 Arc 擴充功能來部署 AMA；撰寫 DCR 以精確定義要收集哪些 Windows 事件日誌和 Syslog facility，並將其路由至特定的 Log Analytics 工作區。
- 透過資料收集端點 (DCE) 將擷取端點解耦；使用 Azure Monitor Private Link Scope (AMPLS) 限制輸出流量。
- DCR 程式碼片段範例：

- 理由：相較於主機層級的設定漂移，DCR 提供最低權限的遙測 (僅收集所需內容)、降低成本並簡化變更控制。
### 網路、DNS、代理伺服器與基於原則的基準

私有連線、DNS、代理伺服器與對外防火牆需求

- 僅限對外連線模型
- Arc 代理程式、AMA、Defender 與原則擴充功能皆使用 TLS 1.2 於 443 連接埠進行對外連線。不應要求任何對內 NAT 或開啟連接埠。
- Private Link
- 為 Arc 與 Azure Monitor 使用 Private Link Scopes；建立對應的 Private DNS zones 與條件式轉寄站，以便混合式機器能將服務 FQDN 解析至私有 IP。
- 代理伺服器
- 若使用轉送代理伺服器，請將 Azure 控制平面與擷取服務的 FQDN 加入允許清單，並對 Arc/Monitor 端點繞過 SSL 檢測。
- 在伺服器上使用以下方式設定：