Лабораторная работа — SC-900 Microsoft Security, Compliance, and Identity Fundamentals

Обзор

Предварительные требования

Шаги

1. 1.Провайдер, группа ресурсов и провайдер azuread

   SC-900 требует взаимодействия с Microsoft Entra ID — отдельно от Azure RBAC, отдельный провайдер Terraform. Мы закрепляем как azurerm, так и azuread. Последний управляет пользователями, группами Entra, регистрациями приложений и субъектами-службами; первый управляет подписками и ресурсами Azure.

   Копировать

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       azuread = { source = "hashicorp/azuread", version = "~> 3.0" }
     }
   }
   
   provider "azurerm" {
     features {
       key_vault {
         purge_soft_delete_on_destroy = true
       }
     }
   }
   
   provider "azuread" {}
   
   data "azurerm_client_config" "current" {}
   data "azuread_client_config" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-sc-900"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-sc-900-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.Создать группу безопасности Microsoft Entra

   Создаваемые ресурсы:

   • Microsoft Entra ID

   Microsoft Entra ID (ранее Azure AD) — это служба управления идентификацией и доступом, к которой подключается каждый облачный продукт Microsoft. Первый домен SC-900 — Описание концепций безопасности, соответствия требованиям и идентификации — опирается на Entra ID как на основу идентификации.

   Группа безопасности является каноническим контейнером для одновременного предоставления ролей RBAC многим пользователям. Экзамен проверяет этот шаблон RBAC на основе групп как правильный ответ для масштабирования разрешений на сотни пользователей: назначайте роли группам, а не отдельным лицам.

   Комбинация security_enabled = true и mail_enabled = false создает группу только для безопасности (без общего почтового ящика). Добавление текущего пользователя в качестве владельца означает, что вы можете управлять членством через портал Entra после terraform apply.

   Копировать

   resource "azuread_group" "security_admins" {
     display_name     = "certlabpro-sc-900-security-admins"
     description      = "Lab security admins group for the SC-900 walkthrough."
     security_enabled = true
     mail_enabled     = false
   
     owners = [
       data.azuread_client_config.current.object_id,
     ]
   }

3. 3.Развернуть Key Vault и предоставить группе Entra доступ по RBAC

   Создаваемые ресурсы:

   • Azure Key Vault
   • Microsoft Entra ID

   SC-900 проверяет шаблон разделения обязанностей: секреты хранятся в Key Vault; доступ предоставляется группам Entra (а не пользователям); членство в группах управляется на уровне идентификации. Мы развертываем Key Vault с авторизацией RBAC, а затем назначаем роль Key Vault Secrets Officer группе безопасности из Шага 2.

   Любой, добавленный в группу security-admins, автоматически наследует разрешение на управление секретами. Сравните со старой моделью политики доступа, где каждый пользователь указывался индивидуально для хранилища — домен SC-900 Идентификация базовых служб идентификации и типов идентификации Microsoft Entra ID выделяет это как контраст между современным RBAC и устаревшей политикой.

   Копировать

   resource "azurerm_key_vault" "main" {
     name                       = "kv-sc900-${substr(replace(uuid(), "-", ""), 0, 6)}"
     resource_group_name        = azurerm_resource_group.main.name
     location                   = azurerm_resource_group.main.location
     tenant_id                  = data.azurerm_client_config.current.tenant_id
     sku_name                   = "standard"
     enable_rbac_authorization  = true
     soft_delete_retention_days = 7
   
     tags = local.tags
   
     lifecycle {
       ignore_changes = [name] # name uses uuid() — keep the original on subsequent applies
     }
   }
   
   resource "azurerm_role_assignment" "kv_admin_self" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Administrator"
     principal_id         = data.azurerm_client_config.current.object_id
   }
   
   resource "azurerm_role_assignment" "kv_secrets_group" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Secrets Officer"
     principal_id         = azuread_group.security_admins.object_id
   }

4. 4.Включить Defender for Cloud Foundational CSPM + Log Analytics

   Создаваемые ресурсы:

   • Microsoft Defender for Cloud
   • Azure Monitor

   Уровень Foundational CSPM в Defender for Cloud всегда бесплатен и включает оценку Microsoft Cloud Security Benchmark — автоматические проверки на соответствие элементам управления CIS / NIST, которые Microsoft перенесла в Azure. Домен SC-900 Описание возможностей решений безопасности Microsoft указывает на это как на базовый примитив для видимости состояния безопасности с первого дня.

   Мы включаем его на уровне подписки и развертываем рабочую область Log Analytics, куда поступают любые оповещения/рекомендации по безопасности для KQL-запросов. С четырьмя установленными примитивами (группа Entra, Key Vault с RBAC, Defender CSPM, Log Analytics) базовый стек SC-900 завершен — идентификация на основе групп → управление секретами → мониторинг состояния → аудиторская инфраструктура.

   Копировать

   resource "azurerm_log_analytics_workspace" "main" {
     name                = "log-sc900"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     sku                 = "PerGB2018"
     retention_in_days   = 30
   
     tags = local.tags
   }
   
   resource "azurerm_security_center_subscription_pricing" "cspm" {
     tier          = "Free"
     resource_type = "CloudPosture"
   }

Очистка ресурсов