참조:
https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-how-applications-are- added
https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/require-managed-devices

설명
D:\mudassar\무제.jpg

주제 3, 개요
데이터 환경
A. Datum의 온프레미스 네트워크에는 adatum.com이라는 Active Directory 도메인 서비스(AD DS) 포리스트가 포함되어 있습니다.
테넌트에는 다음 표에 표시된 사용자가 포함되어 있습니다.
문제 진술
* 영업 부서의 여러 사용자는 최대 5개의 기기를 보유합니다. 영업 부서 사용자는 기기 한도에 도달했기 때문에 기기를 Azure AD 테넌트에 가입하기 위해 지원 부서에 연락해야 하는 경우가 있다고 보고합니다.
* 최근 보안 사고로 인해 여러 사용자가 자격 증명을 유출했고, 로그인에 의심스러운 브라우저가 사용되었으며, 익명의 IP 주소에서 리소스에 액세스한 사실이 밝혀졌습니다.
* IT_Group1에 장치 관리자 역할을 할당하려고 하면 해당 그룹이 선택 목록에 나타나지 않습니다.
* 조직 내의 모든 사람이 다른 게스트와 비관리자를 포함하여 게스트 사용자를 초대할 수 있습니다.
* 헬프데스크는 사용자 비밀번호를 재설정하는 데 너무 많은 시간을 소모합니다.
* 현재 사용자는 인증에 비밀번호만 사용합니다.
요구 사항
A, Datum은 다음과 같은 변경 사항을 구현할 계획입니다.
* 셀프 서비스 비밀번호 재설정 {SSPR}을 구성합니다.
* 모든 사용자에 대해 다중 요소 인증(MFA)을 구성합니다.
* Package1이라는 액세스 패키지에 대한 액세스 검토를 구성합니다.
* 조직 데이터에 대한 애플리케이션 액세스에 대해 관리자 승인이 필요합니다.
* AD DS 사용자와 groupsoflitware.com을 Azure AD 테넌트와 동기화합니다.
* 특정 관리자 역할이 할당된 사용자만 게스트 사용자를 초대할 수 있는지 확인하세요.
* Azure AD에 가입하거나 등록할 수 있는 최대 장치 수를 10개로 늘립니다.
기술적 요구 사항
* 사용자 관리자 역할이 할당된 사용자는 최대 1년 동안 필요 시 해당 역할을 사용할 수 있는 권한을 요청할 수 있어야 합니다.
* 사용자에게 MFA에 등록하라는 메시지가 표시되어야 하며, 유예 기간 동안 등록을 우회할 수 있는 옵션이 제공되어야 합니다.
* 사용자는 SSPR을 사용하여 비밀번호를 재설정하기 위해 하나의 인증 방법을 제공해야 합니다. 사용 가능한 방법은 다음을 포함해야 합니다.
* 이메일
* 핸드폰
* 보안 질문
* Microsoft Authenticator 앱
* adatum.com 및 litware.com AD DS 도메인 사이에 신뢰 관계를 설정해서는 안 됩니다.
* 최소 권한의 원칙을 사용해야 합니다.

참조:
https://docs.microsoft.com/en-us/azure/active-directory/roles/delegate-app-roles