מעבדה מעשית — SC-900 Microsoft Security, Compliance, and Identity Fundamentals

סקירה כללית

דרישות קדם

שלבים

1. 1.ספק, קבוצת משאבים, וספק ה-`azuread`

   SC-900 דורש אינטראקציה עם Microsoft Entra ID — בנפרד מ-Azure RBAC, ספק Terraform נפרד. אנו מקבעים גם את azurerm וגם את azuread. האחרון מנהל משתמשים, קבוצות, רישומי אפליקציות וזהויות שירות ב-Entra; הראשון מנהל מנויים ומשאבים של Azure.

   העתק

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       azuread = { source = "hashicorp/azuread", version = "~> 3.0" }
     }
   }
   
   provider "azurerm" {
     features {
       key_vault {
         purge_soft_delete_on_destroy = true
       }
     }
   }
   
   provider "azuread" {}
   
   data "azurerm_client_config" "current" {}
   data "azuread_client_config" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-sc-900"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-sc-900-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.יצירת קבוצת אבטחה של Microsoft Entra

   משאבים:

   • Microsoft Entra ID

   Microsoft Entra ID (לשעבר Azure AD) הוא שירות הזהות והגישה שכל מוצר ענן של מיקרוסופט מתחבר אליו. התחום הראשון של SC-900 — תיאור מושגי אבטחה, תאימות וזהות — נשען על Entra ID כבסיס הזהות.

   קבוצת אבטחה היא המכל הקאנוני להענקת תפקידי RBAC למשתמשים רבים בבת אחת. הבחינה בודקת את תבנית RBAC מבוסס קבוצה כתשובה הנכונה להרחבת הרשאות על פני מאות משתמשים: הקצה תפקידים לקבוצות, לא ליחידים.

   השילוב של security_enabled = true ו-mail_enabled = false יוצר קבוצת אבטחה בלבד (ללא תיבת דואר משותפת). הוספת המשתמש הנוכחי כבעלים מאפשרת לך לנהל חברות דרך פורטל Entra לאחר terraform apply.

   העתק

   resource "azuread_group" "security_admins" {
     display_name     = "certlabpro-sc-900-security-admins"
     description      = "Lab security admins group for the SC-900 walkthrough."
     security_enabled = true
     mail_enabled     = false
   
     owners = [
       data.azuread_client_config.current.object_id,
     ]
   }

3. 3.הגדרת Key Vault והענקת גישת RBAC לקבוצת Entra

   משאבים:

   • Azure Key Vault
   • Microsoft Entra ID

   SC-900 בוחן את תבנית הפרדת הדאגות: סודות חיים ב-Key Vault; גישה ניתנת לקבוצות Entra (לא למשתמשים); חברות בקבוצה מנוהלת בשכבת הזהות. אנו מגדירים Key Vault עם הרשאת RBAC, ואז מקצים את התפקיד Key Vault Secrets Officer לקבוצת האבטחה משלב 2.

   כל מי שמתווסף לקבוצת security-admins יורש את הרשאת ניהול הסודות באופן אוטומטי. השווה למודל מדיניות גישה הישן יותר שבו כל משתמש צוין בנפרד בכספת — תחום ה-SC-900 זיהוי שירותי הזהות הבסיסיים וסוגי הזהות של Microsoft Entra ID מצביע על כך כניגוד RBAC-מודרני-טוב-יותר-ממדיניות.

   העתק

   resource "azurerm_key_vault" "main" {
     name                       = "kv-sc900-${substr(replace(uuid(), "-", ""), 0, 6)}"
     resource_group_name        = azurerm_resource_group.main.name
     location                   = azurerm_resource_group.main.location
     tenant_id                  = data.azurerm_client_config.current.tenant_id
     sku_name                   = "standard"
     enable_rbac_authorization  = true
     soft_delete_retention_days = 7
   
     tags = local.tags
   
     lifecycle {
       ignore_changes = [name] # name uses uuid() — keep the original on subsequent applies
     }
   }
   
   resource "azurerm_role_assignment" "kv_admin_self" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Administrator"
     principal_id         = data.azurerm_client_config.current.object_id
   }
   
   resource "azurerm_role_assignment" "kv_secrets_group" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Secrets Officer"
     principal_id         = azuread_group.security_admins.object_id
   }

4. 4.הפעלת Defender for Cloud Foundational CSPM + Log Analytics

   משאבים:

   • Microsoft Defender for Cloud
   • Azure Monitor

   שכבת ה-Foundational CSPM של Defender for Cloud היא תמיד חינמית וכוללת את הערכת Microsoft Cloud Security Benchmark — בדיקות אוטומטיות מול בקרות ה-CIS / NIST שמיקרוסופט העבירה ל-Azure. תחום ה-SC-900 תיאור היכולות של פתרונות אבטחה של מיקרוסופט מצביע על כך כעל הפרימיטיב של נראות מצב אבטחה מהיום הראשון.

   אנו מפעילים אותו בטווח המנוי ומספקים סביבת עבודה של Log Analytics שבה כל התראות / המלצות אבטחה נוחתות לצורך שאילתות KQL. עם ארבעת הפרימיטיבים במקום (קבוצת Entra, Key Vault עם RBAC, Defender CSPM, Log Analytics), הערימה הבסיסית של SC-900 הושלמה — זהות מבוססת קבוצה ← ניהול סודות ← ניטור מצב אבטחה ← בד ביקורת.

   העתק

   resource "azurerm_log_analytics_workspace" "main" {
     name                = "log-sc900"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     sku                 = "PerGB2018"
     retention_in_days   = 30
   
     tags = local.tags
   }
   
   resource "azurerm_security_center_subscription_pricing" "cspm" {
     tier          = "Free"
     resource_type = "CloudPosture"
   }

ניקוי משאבים