참조:
https://docs.microsoft.com/en-us/azure/azure-monitor/agents/diagnostics-extension-overview
주제 2, Fabrikam Inc
기존 환경
ID 인프라
Fabrikam에는 Azure AD(Azure Active Directory) 테넌트와 동기화되는 AD DS(Active Directory Domain Services) 포리스트가 있습니다. AD DS 포리스트에는 corp.fabrikam.com 및 europe.fabrikam.com이라는 두 개의 도메인이 있습니다.
시카고 사무실 온프레미스 서버
시카고 사무실에는 다음 표와 같이 Windows Server 2016을 실행하는 온프레미스 서버가 있습니다.

시카고 사무실의 모든 서버는 corp.fabrikam.com 도메인에 있습니다.
시카고 사무실의 모든 가상 머신은 HV1 및 HV2에서 호스팅됩니다. HV1 및 HV2는 Cluster1이라는 장애 조치 클러스터의 노드입니다.
WEB1과 WEB2는 인터넷 정보 서비스(IIS) 웹사이트를 운영합니다. 인터넷 사용자는 https://www.fabrikam.com의 URL을 사용하여 웹 사이트에 연결합니다.
시카고 사무실의 모든 사용자는 \\Fileserver1\Data의 UNC 경로에 연결하는 응용 프로그램을 실행합니다.
파리 온프레미스 서버
파리의 사무실에는 Windows Server 2016을 실행하고 europe.fabrikam.com 도메인의 도메인 컨트롤러인 dc2.europe.fabrikam.com이라는 물리적 서버가 있습니다.
네트워크 인프라
시카고와 파리 사무실의 네트워크에는 로컬 인터넷 연결이 있습니다. 시카고와 파리 사무실은 VPN 연결을 사용하여 연결됩니다.
시카고 사무실의 클라이언트 컴퓨터는 DHCP1에서 IP 주소를 가져옵니다.
보안 위험
Fabrikam은 다음과 같은 보안 위험을 식별합니다.
일부 계정은 NTLMv1, SMB1 및 서명되지 않은 LDAP와 같은 안전하지 않은 프로토콜을 사용하여 AD DS 리소스에 연결합니다.
서버에는 Windows Defender 방화벽이 활성화되어 있습니다. 서버 관리자는 때때로 방화벽 규칙을 수정하고 위험한 연결을 허용합니다.
요구 사항
보안 요구 사항
Fabrikam은 다음과 같은 보안 요구 사항을 식별합니다.
서버 관리자가 Windows Defender 방화벽 규칙을 구성하지 못하도록 합니다.
BitLocker 드라이브 암호화(BitLocker)를 사용하여 서버의 모든 데이터 디스크를 암호화합니다.
승인된 애플리케이션만 포리스트의 서버에 설치하거나 실행할 수 있는지 확인하십시오.
안전하지 않은 프로토콜을 사용하는 도메인 컨트롤러에 대한 모든 연결을 식별하는 보고 솔루션으로 Microsoft Sentinel을 구현합니다.
온프레미스 마이그레이션 계획
Fabrikam은 모든 기존 서버를 마이그레이션할 계획이며 다음과 같은 마이그레이션 요구 사항을 식별합니다.
시카고 사무실에 있는 APP1 및 APP2 가상 머신을 Windows Server 2022를 실행할 Cluster2라는 새 Hyper-V 장애 조치 클러스터로 이동합니다.
Cluster2에는 HV3 및 HV4라는 두 개의 새 노드가 포함됩니다.
모든 가상 머신 파일은 CSV(클러스터 공유 볼륨)에 저장됩니다.
Archive1을 Windows Server 2022를 실행할 Cluster3이라는 새 장애 조치 클러스터로 마이그레이션합니다.
Cluster3에는 Node1 및 Node2라는 두 개의 물리적 노드가 포함됩니다.
Cluster3의 파일 공유는 능동-수동 모드에서 장애 조치 클러스터 역할이 됩니다.
모든 사용자, 그룹 및 클라이언트 컴퓨터를 europe.fabrikam.com에서 corp.fabrikam.com으로 마이그레이션합니다.
마이그레이션은 ADMT(Active Directory Migration Tool)를 사용하여 수행됩니다.
ADMTcomputer라는 컴퓨터는 ADMT 마이그레이션 절차를 실행하기 위해 corp.fabrikam.com 도메인에 배포됩니다.
사용자 계정은 기존 암호를 유지합니다.
Fileserver1에서 Windows Server 2022를 실행할 Fileserver2라는 새 서버로 데이터 공유를 마이그레이션합니다. 마이그레이션 후 데이터 공유는 기존 UNC 경로를 사용하여 액세스할 수 있어야 합니다.
Azure 마이그레이션 계획
Fabrikam은 일부 리소스를 Azure로 마이그레이션할 계획이며 다음과 같은 마이그레이션 요구 사항을 식별합니다.
Sub1이라는 Azure 구독을 만듭니다.
Vnet1이라는 Azure 가상 네트워크를 만듭니다.
ExpressRoute를 사용하여 파리 및 시카고 사무실을 Vnet1에 연결합니다.
서버용 Microsoft Defender에 대한 모든 서버에 라이선스를 부여합니다.
APP3 및 APP4를 Azure로 마이그레이션합니다.
www.fabrikam.com 웹 사이트를 WebApp1이라는 Azure App Service 웹앱으로 마이그레이션합니다.
WEB1 및 WEB2를 폐기하십시오.
DHCP 마이그레이션 계획
Fabrikam은 DHCP1을 DHCP2라는 새 서버로 교체할 계획이며 다음과 같은 마이그레이션 요구 사항을 확인합니다.
DHCP2가 DHCP1에서 현재 사용 가능한 것과 동일한 IP 주소를 제공하는지 확인하십시오.
DHCP2에서 서비스가 활성화되면 DHCP1이 클라이언트에 서비스를 제공하지 못하도록 합니다.
기존 임대 및 예약이 마이그레이션되었는지 확인합니다.

항목 2, Contoso, Ltd
기존 환경
액티브 디렉토리 환경
Contoso에는 Azure AD(Azure Active Directory) 테넌트와 동기화되는 contoso.com이라는 온-프레미스 AD DS(Active Directory 도메인 서비스) 도메인이 있습니다. AD DS 도메인에는 다음 표에 표시된 도메인 컨트롤러가 포함되어 있습니다.

Contoso는 최근에 Azure 구독을 구입했습니다.
포리스트의 기능 수준은 Windows Server 2012 R2입니다. 도메인의 기능 수준은 Windows Server 2012입니다. 포리스트에는 Active Directory 휴지통이 활성화되어 있습니다.
contoso.com 도메인에는 다음 표에 표시된 사용자가 포함됩니다.

contoso.com 도메인에는 다음 표에 표시된 GPO(그룹 정책 개체)가 있습니다.

contoso.com 도메인에는 다음 표에 표시된 PSO(암호 설정 개체)가 있습니다.

서버 인프라
contoso.com 도메인에는 다음 표와 같이 Windows Server 2022를 실행하는 서버가 포함되어 있습니다.

고급 보안이 포함된 Windows 방화벽을 사용하면 서버에 다음 표와 같이 구성된 격리 연결 보안 규칙이 있습니다.

Server4에는 연결 보안 규칙이 없습니다.
서버4 구성
Server4에는 다음 표와 같이 사용자 권한에 대한 효과적인 그룹 정책 설정이 있습니다.

Server4에는 다음 그림에 표시된 디스크 구성이 있습니다.

가상화 인프라
contoso.com 도메인에는 다음 표에 표시된 Hyper-V 장애 조치 클러스터가 있습니다.

기술 요구 사항
Contoso는 다음과 같은 기술 요구 사항을 식별합니다.
Windows Server 2022로 실행되는 DC4라는 새 서버를 도메인 컨트롤러로 승격합니다.
Cluster2에서 Azure Recovery Services 자격 증명 모음으로 가상 머신을 복제합니다.
모든 도메인 컨트롤러에 대한 Azure의 성능 경고를 중앙에서 관리합니다.
User1이 Active Directory 휴지통에서 개체를 복구할 수 있는지 확인합니다.
모든 공유 및 폴더 권한을 포함하여 Share1을 Server2로 마이그레이션합니다.
Server4 및 모든 데이터를 Azure Recovery Services 자격 증명 모음에 백업합니다.
Hyper-V 복제본을 사용하여 Cluster3의 가상 머신을 보호합니다.
Server4에서 BitLocker 드라이브 암호화(BitLocker)를 구현합니다.
가능하면 최소 권한 원칙을 사용하십시오.