참조:
https://docs.microsoft.com/en-us/azure/active-directory/identity-protection/howto-identity-protection-configure-mfa-policy
https://docs.microsoft.com/en-us/azure/active-directory/identity-protection/howto-identity-protection-configure-risk-policies

설명
시나리오: 네트워크 기여자 기본 제공 RBAC 역할을 사용하여 모든 Azure 구독의 모든 가상 네트워크에 대한 네트워크 관리자에게 권한을 부여해야 합니다.
RBAC 역할은 가능한 최고 수준에서 적용되어야 합니다.
주제 2, Fabrikam, inc 사례 연구 A
개요:
기존 환경
Fabrikam, Inc.는 유럽 전역에 지사를 두고 있는 엔지니어링 회사입니다. 이 회사는 런던에 본사가 있고 암스테르담 베를린과 로마에 3개의 지사를 두고 있습니다.
액티브 디렉토리 환경:
네트워크에는 corp.fabnkam.com 및 rd.fabrikam.com이라는 두 개의 Active Directory 포리스트가 포함되어 있습니다. 포리스트 간에 트러스트 관계가 없습니다. Corp.fabrikam.com은 내부 사용자 및 컴퓨터 인증에 사용되는 ID를 포함하는 프로덕션 포리스트입니다. Rd.fabrikam.com은 연구 개발(R&D) 부서에서만 사용됩니다. R&D 부서는 온프레미스 리소스만 사용하도록 제한됩니다.
네트워크 인프라:
각 사무실에는 corp.fabrikam.com 도메인의 도메인 컨트롤러가 하나 이상 포함되어 있습니다. 본사에는 rd.fabrikam.com 포리스트의 모든 도메인 컨트롤러가 있습니다.
모든 사무실은 인터넷에 고속으로 연결되어 있습니다.
WebApp1이라는 기존 애플리케이션은 런던 사무실의 데이터 센터에서 호스팅됩니다. WebApp1은 고객이 주문을 하고 추적하는 데 사용됩니다. WebApp1에는 Microsoft 인터넷 정보 서비스(IIS)를 사용하는 웹 계층과 Microsoft SQL Server 2016을 실행하는 데이터베이스 계층이 있습니다. 웹 계층과 데이터베이스 계층은 Hyper-V에서 실행되는 가상 머신에 배포됩니다.
IT 부서는 현재 별도의 Hyper-V 환경을 사용하여 WebApp1에 대한 업데이트를 테스트합니다.
Fabrikam은 Software Assurance가 포함된 Microsoft Enterprise Agreement를 통해 모든 Microsoft 라이선스를 구매합니다.
문제 설명:
Web App1의 사용은 예측할 수 없습니다. 피크 시간에 사용자는 종종 지연을 보고합니다. 다른 경우에는 WebApp1의 많은 리소스가 충분히 활용되지 않습니다.
요구 사항:
계획된 변경 사항:
Fabrikam은 향후 몇 년 동안 대부분의 프로덕션 워크로드를 Azure로 이동할 계획입니다.
회사는 첫 번째 프로젝트 중 하나로 하이브리드 ID 모델을 구축하여 향후 Microsoft Office 365 배포를 용이하게 할 계획입니다. 모든 R&D 작업은 온프레미스로 유지됩니다.
Fabrikam은 WebApp1의 프로덕션 및 테스트 인스턴스를 Azure로 마이그레이션할 계획입니다.
기술 요구 사항:
Fabrikam은 다음과 같은 기술 요구 사항을 식별합니다.
* 웹 사이트 콘텐츠는 단일 지점에서 쉽게 업데이트되어야 합니다.
* 새로운 앱 인스턴스를 프로비저닝할 때 사용자 입력을 최소화해야 합니다.
* 가능하면 기존 온프레미스 라이선스를 사용하여 비용을 절감해야 합니다.
* 사용자는 항상 자신의 corp.fabrikam.com UPN ID를 사용하여 인증해야 합니다.
* Azure 지역에 장애가 발생할 경우 Azure에 대한 모든 새 배포는 중복되어야 합니다.
* 가능하면 PaaS(Platform as a Service)를 사용하여 Azure에 솔루션을 배포해야 합니다.
* 디렉터리 동기화 서비스와 관련된 모든 문제는 IT 지원이라는 이메일 배포 그룹에 알려야 합니다.
* Azure AD(Azure Active Directory)와 corp.fabhkam.com 간의 디렉터리 동기화는 Azure와 온프레미스 네트워크 간의 링크 오류로 인해 영향을 받지 않아야 합니다.
데이터베이스 요구 사항:
Fabrikam은 다음과 같은 데이터베이스 요구 사항을 식별합니다.
* 데이터베이스 관리자가 성능 설정을 최적화할 수 있도록 WebApp1의 프로덕션 인스턴스에 대한 데이터베이스 메트릭을 분석에 사용할 수 있어야 합니다.
* 고객 액세스를 방해하지 않으려면 데이터베이스를 마이그레이션할 때 데이터베이스 가동 중지 시간을 최소화해야 합니다.
* 규정 준수 요구 사항을 충족하려면 데이터베이스 백업을 최소 7년 동안 유지해야 합니다. 보안 요구 사항:
Fabrikam은 다음과 같은 보안 요구 사항을 식별합니다.
*정책, 템플릿 및 데이터를 포함한 회사 정보는 회사 외부인이 액세스할 수 없어야 합니다.
*온-프레미스 네트워크의 사용자는 인터넷 링크가 실패한 경우 corp.fabrikam.com에 인증할 수 있어야 합니다.
*관리자는 corp.fabrikam.com 자격 증명을 사용하여 Azure Portal에 인증할 수 있어야 합니다.
*Azure Portal에 대한 모든 관리 액세스는 다단계 인증을 사용하여 보호되어야 합니다.
*WebApp1 업데이트 테스트는 회사 외부의 누구에게도 보여서는 안 됩니다.

참조:
https://docs.microsoft.com/en-us/azure/app-service/overview-authentication-authorization

Blob 저장소: HTTP 또는 HTTPS를 통해 전 세계 어디에서나 액세스할 수 있는 텍스트 또는 이진 데이터와 같은 많은 양의 구조화되지 않은 데이터를 저장합니다. Blob 스토리지를 사용하여 데이터를 전 세계에 공개적으로 노출하거나 애플리케이션 데이터를 비공개로 저장할 수 있습니다.
Blob Storage의 최대 파일입니다. 4.77TB.
참조:
https://docs.microsoft.com/en-us/azure/architecture/solution-ideas/articles/digital-media-video

설명
그래픽 사용자 인터페이스, 텍스트, 애플리케이션, 이메일 설명 자동 생성

상자 1: Azure 네트워크 감시자
Traffic Analytics는 클라우드 네트워크에서 사용자 및 애플리케이션 활동에 대한 가시성을 제공하는 클라우드 기반 솔루션입니다. 트래픽 분석은 Network Watcher NSG(네트워크 보안 그룹) 흐름 로그를 분석하여 Azure 클라우드의 트래픽 흐름에 대한 인사이트를 제공합니다. 트래픽 분석을 통해 다음을 수행할 수 있습니다.
* 개방 포트, 인터넷 액세스를 시도하는 애플리케이션, 악성 네트워크에 연결하는 가상 머신(VM)과 같은 정보를 사용하여 네트워크에 대한 보안 위협을 식별하고 보안을 유지합니다.
* Azure 구독 전체에서 네트워크 활동을 시각화하고 핫스팟을 식별합니다.
* Azure 지역 및 인터넷 전반의 트래픽 흐름 패턴을 이해하여 성능 및 용량에 대한 네트워크 배포를 최적화합니다.
* 네트워크 연결 실패로 이어지는 잘못된 네트워크 구성을 찾아냅니다.
상자 2: Azure 서비스 맵
서비스 맵은 Windows 및 Linux 시스템에서 애플리케이션 구성 요소를 자동으로 검색하고 서비스 간의 통신을 매핑합니다. 서비스 맵을 사용하면 중요한 서비스를 제공하는 상호 연결된 시스템으로 생각하는 방식으로 서버를 볼 수 있습니다. 서비스 맵은 서버 간 연결, 프로세스, 인바운드 및 아웃바운드 연결 대기 시간, 모든 TCP 연결 아키텍처의 포트를 보여주며 에이전트 설치 외에는 구성이 필요하지 않습니다.
참조:
https://docs.microsoft.com/en-us/azure/network-watcher/traffic-analytics
https://docs.microsoft.com/en-us/azure/azure-monitor/insights/service-map