हैड्स-ऑन लैब — SC-900 Microsoft Security, Compliance, and Identity Fundamentals

अवलोकन

पूर्व-आवश्यकताएं

चरण

1. 1.प्रदाता, संसाधन समूह, और `azuread` प्रदाता

   SC-900 को माइक्रोसॉफ्ट एंट्रा आईडी के साथ इंटरैक्शन की आवश्यकता होती है — Azure RBAC से अलग, अलग टेराफॉर्म प्रदाता। हम azurerm और azuread दोनों को पिन करते हैं। बाद वाला एंट्रा उपयोगकर्ताओं, समूहों, ऐप पंजीकरणों और सेवा प्रिंसिपलों का प्रबंधन करता है; पूर्व वाला Azure सदस्यताओं और संसाधनों का प्रबंधन करता है।

   कॉपी

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       azuread = { source = "hashicorp/azuread", version = "~> 3.0" }
     }
   }
   
   provider "azurerm" {
     features {
       key_vault {
         purge_soft_delete_on_destroy = true
       }
     }
   }
   
   provider "azuread" {}
   
   data "azurerm_client_config" "current" {}
   data "azuread_client_config" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-sc-900"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-sc-900-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.एक माइक्रोसॉफ्ट एंट्रा सुरक्षा समूह बनाएं

   प्रोविज़न:

   • Microsoft Entra ID

   माइक्रोसॉफ्ट एंट्रा आईडी (पूर्व में Azure AD) वह पहचान और पहुंच सेवा है जिससे हर माइक्रोसॉफ्ट क्लाउड उत्पाद जुड़ता है। SC-900 का पहला डोमेन — सुरक्षा, अनुपालन और पहचान की अवधारणाओं का वर्णन करें — पहचान के आधार के रूप में एंट्रा आईडी पर निर्भर करता है।

   एक सुरक्षा समूह एक बार में कई उपयोगकर्ताओं को RBAC भूमिकाएं प्रदान करने के लिए एक मानक कंटेनर है। परीक्षा इस समूह-आधारित RBAC पैटर्न को सैकड़ों उपयोगकर्ताओं में अनुमतियों को बढ़ाने के लिए सही उत्तर के रूप में परीक्षण करती है: व्यक्तियों को नहीं, बल्कि समूहों को भूमिकाएं असाइन करें।

   security_enabled = true और mail_enabled = false का संयोजन एक सुरक्षा-मात्र समूह (कोई साझा मेलबॉक्स नहीं) बनाता है। वर्तमान उपयोगकर्ता को स्वामी के रूप में जोड़ने का मतलब है कि आप terraform apply के बाद एंट्रा पोर्टल के माध्यम से सदस्यता का प्रबंधन कर सकते हैं।

   कॉपी

   resource "azuread_group" "security_admins" {
     display_name     = "certlabpro-sc-900-security-admins"
     description      = "Lab security admins group for the SC-900 walkthrough."
     security_enabled = true
     mail_enabled     = false
   
     owners = [
       data.azuread_client_config.current.object_id,
     ]
   }

3. 3.एक की वॉल्ट प्रोविज़न करें और एंट्रा समूह को RBAC पहुँच प्रदान करें

   प्रोविज़न:

   • Azure Key Vault
   • Microsoft Entra ID

   SC-900 चिंताओं के पृथक्करण पैटर्न का परीक्षण करता है: रहस्य की वॉल्ट में रहते हैं; पहुँच एंट्रा समूहों (उपयोगकर्ताओं को नहीं) को दी जाती है; समूह सदस्यता का प्रबंधन पहचान परत पर किया जाता है। हम RBAC प्राधिकरण के साथ एक की वॉल्ट प्रोविज़न करते हैं, फिर चरण 2 से सुरक्षा समूह को Key Vault Secrets Officer असाइन करते हैं।

   सुरक्षा-प्रशासक समूह में जोड़े गए कोई भी व्यक्ति स्वचालित रूप से रहस्य-प्रबंधन अनुमति प्राप्त करता है। पुराने पहुँच नीति मॉडल से तुलना करें जहाँ प्रत्येक उपयोगकर्ता को वॉल्ट पर व्यक्तिगत रूप से नामित किया गया था — SC-900 का माइक्रोसॉफ्ट एंट्रा आईडी की मूल पहचान सेवाओं और पहचान प्रकारों को पहचानें डोमेन इसे RBAC-आधुनिक-नीति से बेहतर अंतर के रूप में इंगित करता है।

   कॉपी

   resource "azurerm_key_vault" "main" {
     name                       = "kv-sc900-${substr(replace(uuid(), "-", ""), 0, 6)}"
     resource_group_name        = azurerm_resource_group.main.name
     location                   = azurerm_resource_group.main.location
     tenant_id                  = data.azurerm_client_config.current.tenant_id
     sku_name                   = "standard"
     enable_rbac_authorization  = true
     soft_delete_retention_days = 7
   
     tags = local.tags
   
     lifecycle {
       ignore_changes = [name] # name uses uuid() — keep the original on subsequent applies
     }
   }
   
   resource "azurerm_role_assignment" "kv_admin_self" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Administrator"
     principal_id         = data.azurerm_client_config.current.object_id
   }
   
   resource "azurerm_role_assignment" "kv_secrets_group" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Secrets Officer"
     principal_id         = azuread_group.security_admins.object_id
   }

4. 4.डिफेंडर फॉर क्लाउड फाउंडेशनल CSPM + लॉग एनालिटिक्स सक्षम करें

   प्रोविज़न:

   • Microsoft Defender for Cloud
   • Azure Monitor

   डिफेंडर फॉर क्लाउड का फाउंडेशनल CSPM टियर हमेशा मुफ्त होता है और इसमें माइक्रोसॉफ्ट क्लाउड सिक्योरिटी बेंचमार्क मूल्यांकन शामिल होता है — CIS / NIST नियंत्रणों के खिलाफ स्वचालित जाँचें जिन्हें माइक्रोसॉफ्ट ने Azure में पोर्ट किया है। SC-900 का माइक्रोसॉफ्ट सुरक्षा समाधानों की क्षमताओं का वर्णन करें डोमेन इसे पहले दिन की मुद्रा-दृश्यता आदिम के रूप में इंगित करता है।

   हम इसे सदस्यता दायरे में सक्षम करते हैं और एक लॉग एनालिटिक्स वर्कस्पेस प्रोविज़न करते हैं जहाँ किसी भी सुरक्षा अलर्ट/सिफारिशें KQL क्वेरी के लिए उतरती हैं। चार आदिमों (एंट्रा समूह, RBAC के साथ की वॉल्ट, डिफेंडर CSPM, लॉग एनालिटिक्स) के साथ, SC-900 की मूलभूत स्टैक पूर्ण हो जाती है — समूह-आधारित पहचान → रहस्य प्रबंधन → मुद्रा निगरानी → ऑडिट फैब्रिक।

   कॉपी

   resource "azurerm_log_analytics_workspace" "main" {
     name                = "log-sc900"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     sku                 = "PerGB2018"
     retention_in_days   = 30
   
     tags = local.tags
   }
   
   resource "azurerm_security_center_subscription_pricing" "cspm" {
     tier          = "Free"
     resource_type = "CloudPosture"
   }

क्लीनअप (Cleanup)