Лабораторная работа — SC-100 Microsoft Cybersecurity Architect

Обзор

Предварительные требования

Шаги

1. 1.Провайдер, группа ресурсов, именование

   Стандартное начало Azure + провайдер azuread для условного доступа.

   Копировать

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       azuread = { source = "hashicorp/azuread", version = "~> 3.0" }
     }
   }
   
   provider "azurerm" {
     features {
       key_vault {
         purge_soft_delete_on_destroy = true
       }
     }
   }
   
   provider "azuread" {}
   
   data "azurerm_client_config" "current" {}
   data "azurerm_subscription" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-sc-100"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-sc-100-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.Создание заглушки политики условного доступа (шлюз идентификации Zero Trust)

   Создаваемые ресурсы:

   • Microsoft Entra ID

   Условный доступ (Conditional Access) — это примитив идентификации Zero Trust для SC-100: явная проверка — каждый запрос на доступ оценивается с учетом контекста (пользователь, устройство, местоположение, приложение, риск) перед предоставлением. Мы создаем политику в режиме "только отчетность", которая гласит: "для всех пользователей, обращающихся ко всем облачным приложениям, требовать MFA". Режим "только отчетность" означает, что политика регистрирует то, что произошло бы при ее принудительном применении — путь, рекомендованный SC-100, прежде чем переводить политику CA в состояние включена.

   Настоящие архитектуры Zero Trust используют множество политик CA — на основе рисков, местоположения, соответствия устройств, управления сессиями. Эта заглушка демонстрирует форму; домен SC-100 "Разработка стратегии обеспечения безопасности привилегированного доступа" проверяет композицию многоуровневых политик.

   Копировать

   resource "azuread_conditional_access_policy" "require_mfa_report" {
     display_name = "certlabpro-sc-100-require-mfa-report-only"
     state        = "enabledForReportingButNotEnforced"
   
     conditions {
       client_app_types = ["all"]
   
       users {
         included_users = ["All"]
       }
   
       applications {
         included_applications = ["All"]
       }
     }
   
     grant_controls {
       operator          = "OR"
       built_in_controls = ["mfa"]
     }
   }

3. 3.Подключение Defender for Cloud Foundational CSPM + Microsoft Sentinel

   Создаваемые ресурсы:

   • Microsoft Defender for Cloud
   • Microsoft Sentinel

   SC-100 Оценка технических стратегий управления, рисков и соответствия (GRC) проверяет двойное назначение этих двух служб: Defender for Cloud — это уровень состояния безопасности (непрерывная оценка соответствия, рекомендации по безопасности); Sentinel — это уровень обнаружения (охота KQL, реагирование на инциденты). Вместе они представляют собой ответ Microsoft на вопрос: "как мне спроектировать наблюдаемость безопасности для среды Zero Trust?".

   Мы подключаем обе службы к единой рабочей области Log Analytics — это эталонная архитектура SC-100 для повышения экономической эффективности (данные поступают один раз, обе службы читают из одного хранилища).

   Копировать

   resource "azurerm_log_analytics_workspace" "main" {
     name                = "log-sc100"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     sku                 = "PerGB2018"
     retention_in_days   = 30
   
     tags = local.tags
   }
   
   resource "azurerm_security_center_subscription_pricing" "cspm" {
     tier          = "Free" # Foundational CSPM
     resource_type = "CloudPosture"
   }
   
   resource "azurerm_sentinel_log_analytics_workspace_onboarding" "main" {
     workspace_id = azurerm_log_analytics_workspace.main.id
   }

4. 4.Назначение политики Azure, требующей HTTPS для хранилища, на уровне подписки

   Создаваемые ресурсы:

   • Azure Policy

   Azure Policy — это примитив SC-100 Разработка стратегии управления и соответствия — он обеспечивает применение правил ко всем ресурсам в определенной области. Мы назначаем встроенную политику Secure transfer to storage accounts should be enabled на уровне подписки с effect = Deny, что предотвращает создание любых новых учетных записей хранения, разрешающих HTTP. Экзамен проверяет различие между DenyAssignment против Audit: Deny предотвращает возникновение неправильной конфигурации; Audit лишь отмечает ее по факту.

   Принцип Zero Trust, который это обеспечивает, — это шифрование при передаче по умолчанию — одна из повторяющихся тем экзамена SC-100. Реальные развертывания Zero Trust используют Инициативы политики (группы политик) для одновременного применения десятков элементов управления; это наименьшая демонстрируемая форма.

   Копировать

   # Look up the built-in policy definition by name.
   data "azurerm_policy_definition" "storage_https" {
     display_name = "Secure transfer to storage accounts should be enabled"
   }
   
   resource "azurerm_subscription_policy_assignment" "storage_https" {
     name                 = "certlabpro-sc-100-storage-https"
     display_name         = "Storage accounts must require HTTPS"
     description          = "Enforces secure transfer (HTTPS-only) on all storage accounts in the subscription."
     policy_definition_id = data.azurerm_policy_definition.storage_https.id
     subscription_id      = data.azurerm_subscription.current.id
   
     # The built-in policy defaults to Audit; force Deny for Zero Trust enforcement.
     parameters = jsonencode({
       effect = {
         value = "Deny"
       }
     })
   }

5. 5.Развертывание Key Vault в качестве уровня секретов архитектуры

   Создаваемые ресурсы:

   • Azure Key Vault

   Архитектуры Zero Trust централизуют секреты в защищенном хранилище — только RBAC, без обходных путей для ключей администратора, с включенной защитой от обратимого удаления и очистки. Мы развертываем хранилище с защитой от очистки отключенной для удобства очистки лаборатории; в продакшене каждое рекомендованное SC-100 хранилище имеет purge_protection_enabled = true для соответствия стандартным требованиям "требуется необратимое удаление".

   С пятью блоками на месте (условный доступ для идентификации, Defender + Sentinel для оценки состояния безопасности и обнаружения, Политика Azure для защитных механизмов, Key Vault для секретов) каркас SC-100 Zero Trust сформирован. Каждый дополнительный архитектурный шаблон SC-100 (Privileged Identity Management для повышения привилегий "точно в срок", Microsoft Purview для классификации данных, Defender XDR для унифицированной защиты от угроз) накладывается на эту базу.

   Копировать

   resource "azurerm_key_vault" "main" {
     name                       = "kv-sc100-${substr(replace(uuid(), "-", ""), 0, 6)}"
     resource_group_name        = azurerm_resource_group.main.name
     location                   = azurerm_resource_group.main.location
     tenant_id                  = data.azurerm_client_config.current.tenant_id
     sku_name                   = "standard"
     enable_rbac_authorization  = true
     soft_delete_retention_days = 7
     purge_protection_enabled   = false # set true in production for compliance
   
     tags = local.tags
   
     lifecycle {
       ignore_changes = [name]
     }
   }
   
   resource "azurerm_role_assignment" "kv_admin_self" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Administrator"
     principal_id         = data.azurerm_client_config.current.object_id
   }

Очистка ресурсов