हैड्स-ऑन लैब — SC-100 Microsoft Cybersecurity Architect

अवलोकन

पूर्व-आवश्यकताएं

चरण

1. 1.प्रदाता, संसाधन समूह, नामकरण

   मानक Azure ओपनर + कंडीशनल एक्सेस के लिए azuread प्रदाता।

   कॉपी

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       azuread = { source = "hashicorp/azuread", version = "~> 3.0" }
     }
   }
   
   provider "azurerm" {
     features {
       key_vault {
         purge_soft_delete_on_destroy = true
       }
     }
   }
   
   provider "azuread" {}
   
   data "azurerm_client_config" "current" {}
   data "azurerm_subscription" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-sc-100"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-sc-100-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.एक कंडीशनल एक्सेस पॉलिसी स्टब लिखें (ज़ीरो ट्रस्ट आइडेंटिटी गेट)

   प्रोविज़न:

   • Microsoft Entra ID

   कंडीशनल एक्सेस SC-100 ज़ीरो ट्रस्ट आइडेंटिटी प्रिमिटिव है: स्पष्ट रूप से सत्यापित करें — प्रत्येक एक्सेस अनुरोध को दिए जाने से पहले संदर्भ (उपयोगकर्ता, डिवाइस, स्थान, ऐप, जोखिम) के विरुद्ध मूल्यांकन किया जाता है। हम रिपोर्ट-ओनली मोड में एक पॉलिसी बनाते हैं जो कहती है कि "सभी क्लाउड ऐप्स तक पहुंचने वाले सभी उपयोगकर्ताओं के लिए, MFA की आवश्यकता है"। रिपोर्ट-ओनली का मतलब है कि पॉलिसी लॉग करती है कि यदि लागू किया जाता तो क्या होता — एक CA पॉलिसी को सक्षम करने से पहले SC-100-अनुशंसित पथ।

   वास्तविक ज़ीरो ट्रस्ट आर्किटेक्चर कई CA पॉलिसियों को ढेर करते हैं — जोखिम-आधारित, स्थान-आधारित, डिवाइस-अनुपालन-आधारित, सत्र-नियंत्रण। यह स्टब आकार है; SC-100 का विशेषाधिकार प्राप्त पहुंच को सुरक्षित करने के लिए एक रणनीति डिज़ाइन करें डोमेन स्तरित-पॉलिसी संरचना का परीक्षण करता है।

   कॉपी

   resource "azuread_conditional_access_policy" "require_mfa_report" {
     display_name = "certlabpro-sc-100-require-mfa-report-only"
     state        = "enabledForReportingButNotEnforced"
   
     conditions {
       client_app_types = ["all"]
   
       users {
         included_users = ["All"]
       }
   
       applications {
         included_applications = ["All"]
       }
     }
   
     grant_controls {
       operator          = "OR"
       built_in_controls = ["mfa"]
     }
   }

3. 3.Defender for Cloud फ़ाउंडेशनल CSPM + Microsoft Sentinel को ऑनबोर्ड करें

   प्रोविज़न:

   • Microsoft Defender for Cloud
   • Microsoft Sentinel

   SC-100 गवर्नेंस, जोखिम, और अनुपालन (GRC) तकनीकी रणनीतियों का मूल्यांकन करें इन दो सेवाओं के दोहरे उद्देश्य का परीक्षण करता है: Defender for Cloud पोस्चर लेयर है (निरंतर अनुपालन मूल्यांकन, सुरक्षा सिफारिशें); Sentinel डिटेक्शन लेयर है (KQL हंटिंग, घटना प्रतिक्रिया)। साथ में वे Microsoft का उत्तर हैं कि "मैं ज़ीरो ट्रस्ट वातावरण के लिए सुरक्षा अवलोकनशीलता का आर्किटेक्चर कैसे करूं?"।

   हम दोनों को एक सिंगल लॉग एनालिटिक्स वर्कस्पेस पर ऑनबोर्ड करते हैं — लागत दक्षता के लिए SC-100 संदर्भ आर्किटेक्चर (डेटा एक बार आता है, दोनों सेवाएं एक ही स्टोर से पढ़ती हैं)।

   कॉपी

   resource "azurerm_log_analytics_workspace" "main" {
     name                = "log-sc100"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     sku                 = "PerGB2018"
     retention_in_days   = 30
   
     tags = local.tags
   }
   
   resource "azurerm_security_center_subscription_pricing" "cspm" {
     tier          = "Free" # Foundational CSPM
     resource_type = "CloudPosture"
   }
   
   resource "azurerm_sentinel_log_analytics_workspace_onboarding" "main" {
     workspace_id = azurerm_log_analytics_workspace.main.id
   }

4. 4.सब्सक्रिप्शन स्कोप पर 'स्टोरेज को HTTPS की आवश्यकता' को लागू करने वाली एक Azure पॉलिसी असाइन करें

   प्रोविज़न:

   • Azure Policy

   Azure पॉलिसी SC-100 गवर्नेंस और अनुपालन के लिए एक रणनीति डिज़ाइन करें प्रिमिटिव है — यह एक स्कोप में प्रत्येक संसाधन पर नियमों को लागू करती है। हम effect = Deny के साथ सब्सक्रिप्शन स्कोप पर अंतर्निहित पॉलिसी Secure transfer to storage accounts should be enabled असाइन करते हैं, जो किसी भी नए स्टोरेज अकाउंट के निर्माण को रोकता है जो HTTP की अनुमति देता है। परीक्षा DenyAssignment बनाम ऑडिट के इस अंतर का परीक्षण करती है: Deny गलत कॉन्फ़िग को होने से रोकता है; ऑडिट केवल घटना के बाद ही इसे फ़्लैग करता है।

   यह जो ज़ीरो ट्रस्ट सिद्धांत लागू करता है वह है डिफ़ॉल्ट रूप से ट्रांज़िट में एन्क्रिप्ट करें — SC-100 परीक्षा के आवर्ती विषयों में से एक। वास्तविक ज़ीरो ट्रस्ट डिप्लॉयमेंट एक साथ दर्जनों नियंत्रणों को लागू करने के लिए पॉलिसी इनिशिएटिव्स (पॉलिसी के समूह) का उपयोग करते हैं; यह सबसे छोटा प्रदर्शन योग्य आकार है।

   कॉपी

   # Look up the built-in policy definition by name.
   data "azurerm_policy_definition" "storage_https" {
     display_name = "Secure transfer to storage accounts should be enabled"
   }
   
   resource "azurerm_subscription_policy_assignment" "storage_https" {
     name                 = "certlabpro-sc-100-storage-https"
     display_name         = "Storage accounts must require HTTPS"
     description          = "Enforces secure transfer (HTTPS-only) on all storage accounts in the subscription."
     policy_definition_id = data.azurerm_policy_definition.storage_https.id
     subscription_id      = data.azurerm_subscription.current.id
   
     # The built-in policy defaults to Audit; force Deny for Zero Trust enforcement.
     parameters = jsonencode({
       effect = {
         value = "Deny"
       }
     })
   }

5. 5.आर्किटेक्चर की सीक्रेट्स लेयर के रूप में एक की वॉल्ट प्रावधान करें

   प्रोविज़न:

   • Azure Key Vault

   ज़ीरो ट्रस्ट आर्किटेक्चर सीक्रेट्स को एक सख्त वॉल्ट में केंद्रीकृत करते हैं — केवल RBAC, कोई एडमिन-की शॉर्टकट नहीं, सॉफ्ट-डिलीट + पर्ज प्रोटेक्शन ऑन। हम लैब क्लीनअप सुविधा के लिए पर्ज प्रोटेक्शन बंद करके वॉल्ट का प्रावधान करते हैं; उत्पादन में प्रत्येक SC-100-अनुशंसित वॉल्ट में 'अपुनर्प्राप्य विलोपन आवश्यक' अनुपालन आवश्यकताओं को पूरा करने के लिए purge_protection_enabled = true होता है।

   पांच ब्लॉक (पहचान के लिए कंडीशनल एक्सेस, पोस्चर और डिटेक्शन के लिए डिफेंडर + सेंटिनल, गार्डरेल्स के लिए Azure पॉलिसी, सीक्रेट्स के लिए की वॉल्ट) के साथ, SC-100 ज़ीरो ट्रस्ट स्केफ़ोल्डिंग का आकार बनता है। प्रत्येक अतिरिक्त SC-100 आर्किटेक्चरल पैटर्न (जस्ट-इन-टाइम एलिवेशन के लिए प्रिविलेज्ड आइडेंटिटी मैनेजमेंट, डेटा वर्गीकरण के लिए Microsoft Purview, एकीकृत खतरे की सुरक्षा के लिए डिफेंडर XDR) इस आधार पर परतें बनाते हैं।

   कॉपी

   resource "azurerm_key_vault" "main" {
     name                       = "kv-sc100-${substr(replace(uuid(), "-", ""), 0, 6)}"
     resource_group_name        = azurerm_resource_group.main.name
     location                   = azurerm_resource_group.main.location
     tenant_id                  = data.azurerm_client_config.current.tenant_id
     sku_name                   = "standard"
     enable_rbac_authorization  = true
     soft_delete_retention_days = 7
     purge_protection_enabled   = false # set true in production for compliance
   
     tags = local.tags
   
     lifecycle {
       ignore_changes = [name]
     }
   }
   
   resource "azurerm_role_assignment" "kv_admin_self" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Administrator"
     principal_id         = data.azurerm_client_config.current.object_id
   }

क्लीनअप (Cleanup)