ハンズオンラボ — SC-900 Microsoft Security, Compliance, and Identity Fundamentals

概要

前提条件

ステップ

1. 1.プロバイダー、リソースグループ、および`azuread`プロバイダー

   SC-900ではMicrosoft Entra IDとの連携が必要です — Azure RBACとは別であり、個別のTerraformプロバイダーを使用します。ここではazurermとazureadの両方を固定します。後者はEntraユーザー、グループ、アプリ登録、サービスプリンシパルを管理し、前者はAzureサブスクリプションとリソースを管理します。

   コピー

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       azuread = { source = "hashicorp/azuread", version = "~> 3.0" }
     }
   }
   
   provider "azurerm" {
     features {
       key_vault {
         purge_soft_delete_on_destroy = true
       }
     }
   }
   
   provider "azuread" {}
   
   data "azurerm_client_config" "current" {}
   data "azuread_client_config" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-sc-900"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-sc-900-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.Microsoft Entraセキュリティグループの作成

   プロビジョニング対象:

   • Microsoft Entra ID

   Microsoft Entra ID（旧称Azure AD）は、すべてのMicrosoftクラウド製品が連携するIDおよびアクセスサービスです。SC-900の最初のドメイン —「セキュリティ、コンプライアンス、およびIDの概念を説明する」— は、Entra IDをID基盤として重視しています。

   セキュリティグループは、一度に多くのユーザーにRBACロールを付与するための標準的なコンテナです。試験では、数百人規模のユーザーにわたって権限をスケーリングするための適切な答えとして、この「グループベースのRBAC」パターンが問われます。つまり、個人ではなくグループにロールを割り当てます。

   security_enabled = trueとmail_enabled = falseの組み合わせにより、セキュリティ専用グループ（共有メールボックスなし）が作成されます。現在のユーザーを所有者として追加することで、terraform applyの後にEntraポータル経由でメンバーシップを管理できます。

   コピー

   resource "azuread_group" "security_admins" {
     display_name     = "certlabpro-sc-900-security-admins"
     description      = "Lab security admins group for the SC-900 walkthrough."
     security_enabled = true
     mail_enabled     = false
   
     owners = [
       data.azuread_client_config.current.object_id,
     ]
   }

3. 3.Key Vaultをプロビジョニングし、EntraグループにRBACアクセス権を付与

   プロビジョニング対象:

   • Azure Key Vault
   • Microsoft Entra ID

   SC-900では、「関心の分離」パターンが問われます。つまり、シークレットはKey Vaultに格納され、アクセスはEntraグループ（ユーザーではない）に付与され、グループメンバーシップはID層で管理されます。私たちはRBAC認証を備えたKey Vaultをプロビジョニングし、ステップ2で作成したセキュリティグループにKey Vault Secrets Officerを割り当てます。

   セキュリティ管理者グループに追加された誰もが、シークレット管理権限を自動的に継承します。これは、各ユーザーがKey Vault上で個別に指定されていた従来の「アクセスポリシー」モデルと比較されます — SC-900の「Microsoft Entra IDの基本的なIDサービスとIDタイプを特定する」ドメインでは、これをRBACがポリシーよりも優れている現代的なアプローチとして強調しています。

   コピー

   resource "azurerm_key_vault" "main" {
     name                       = "kv-sc900-${substr(replace(uuid(), "-", ""), 0, 6)}"
     resource_group_name        = azurerm_resource_group.main.name
     location                   = azurerm_resource_group.main.location
     tenant_id                  = data.azurerm_client_config.current.tenant_id
     sku_name                   = "standard"
     enable_rbac_authorization  = true
     soft_delete_retention_days = 7
   
     tags = local.tags
   
     lifecycle {
       ignore_changes = [name] # name uses uuid() — keep the original on subsequent applies
     }
   }
   
   resource "azurerm_role_assignment" "kv_admin_self" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Administrator"
     principal_id         = data.azurerm_client_config.current.object_id
   }
   
   resource "azurerm_role_assignment" "kv_secrets_group" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Secrets Officer"
     principal_id         = azuread_group.security_admins.object_id
   }

4. 4.Defender for Cloud Foundational CSPM + Log Analyticsの有効化

   プロビジョニング対象:

   • Microsoft Defender for Cloud
   • Azure Monitor

   Defender for Cloudの「Foundational CSPM」ティアは常に無料で、Microsoft Cloud Security Benchmark評価が含まれています。これは、MicrosoftがAzureに移植したCIS / NISTコントロールに対する自動チェックです。SC-900の「Microsoftセキュリティソリューションの機能について説明する」ドメインでは、これを初日の態勢可視化プリミティブとして指摘しています。

   これをサブスクリプションスコープで有効にし、セキュリティアラートや推奨事項がKQLクエリのために集約されるLog Analyticsワークスペースをプロビジョニングします。4つのプリミティブ（Entraグループ、RBAC付きKey Vault、Defender CSPM、Log Analytics）が配置されることで、SC-900の基礎となるスタックが完成します — グループベースのID → シークレット管理 → 態勢監視 → 監査ファブリック。

   コピー

   resource "azurerm_log_analytics_workspace" "main" {
     name                = "log-sc900"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     sku                 = "PerGB2018"
     retention_in_days   = 30
   
     tags = local.tags
   }
   
   resource "azurerm_security_center_subscription_pricing" "cspm" {
     tier          = "Free"
     resource_type = "CloudPosture"
   }

クリーンアップ