問1. ある企業は、同一の従業員ユーザー基盤を使って本番・検証・共有基盤の3つのAzureサブスクリプションを運用する。全サブスクリプションに同じMFA・場所・端末条件付きアクセスを適用し、異なる運用チームにはサブスクリプションまたはリソースグループ単位でAzureリソース権限を委任したい。法規制上のテナント分離は不要で、ユーザーの異動や退職を一元的に反映することを優先する。管理負担を抑えつつこの要件を満たす構成はどれか。
- 1つのMicrosoft Entraテナントに3つのサブスクリプションを関連付け、ユーザー・グループ・条件付きアクセスポリシーをテナントで共通管理し、Azure RBACを各サブスクリプションまたはリソースグループへ割り当てる
- 本番・検証・共有基盤ごとにMicrosoft Entraテナントを分け、各テナントにユーザーと条件付きアクセスポリシーを複製して、各サブスクリプションの境界をテナントで分離する
- 1つのMicrosoft Entraテナントに3つのサブスクリプションを関連付け、サブスクリプション所有者にユーザー管理と条件付きアクセスポリシー管理を任せ、各チームが独立して認証統制を変更する
- 本番だけ別Microsoft Entraテナントへ分離し、検証と共有基盤は共通テナントに残して、必要な管理者をB2Bゲストとして相互招待する
問2. ある事業部のAzureサブスクリプションを、全社テナントから新設の分離テナントへ移管する。現在は、全社テナントのセキュリティグループを対象に、Azure portalへのアクセスにMFAを要求する条件付きアクセスポリシーと、特定のリソースグループへのAzure RBACを設定している。移管後も最小権限とMFAを維持し、適用漏れと管理負担を抑えるには、どの方針が最も適切か。
- 移管先テナントのユーザーとセキュリティグループを再構成し、条件付きアクセスポリシーとRBACを対象範囲に合わせて再設計・検証する
- 移管前テナントのユーザー、グループ、条件付きアクセスポリシーを残したまま、既存のRBAC割り当てを継続利用して作業を減らす
- 移管先テナントで全利用者にサブスクリプションの所有者ロールを付与し、条件付きアクセスポリシーは移行後に必要な部署だけ再作成する
- 移管先テナントではRBACだけを再設定し、ユーザーとグループは旧テナントで管理し続け、旧ポリシーでMFAを適用する
問3. 監査対象の管理ポータルについて、例外的にアクセスを許可できるのは承認済みの少人数の運用担当者だけです。担当者の部署異動があっても、部署属性だけで対象者を自動的に入れ替えたくありません。一方、異動・退職時の解除漏れが長期間放置されることは避ける必要があります。最小権限と運用負荷のバランスを満たす設計はどれですか。
- 静的なSecurityグループを例外対象に割り当て、承認済みメンバーだけを登録する。所有者が人事異動・退職の記録と定期的に突合し、不要になったメンバーを削除する
- 部署属性を条件にした動的なSecurityグループを例外対象に割り当て、異動時のメンバー更新を自動化する。承認一覧との照合は定期監査まで行わない
- Microsoft 365グループを部門単位で作成し、その部門に所属する全ユーザーを例外対象として扱う
- 承認済みユーザーを管理ポータルへ個別に割り当て、異動・退職時は各ユーザーの権限を担当者が個別に削除する。グループ管理は行わない