SC-100 練習問題 4

オンプレミスネットワークには、corp.contoso.comという名前のActive Directoryドメインサービス（AD DS）ドメインと、App1という名前のAD DS統合アプリケーションが含まれています。 境界ネットワークには、Windows Serverを実行するServer1という名前のサーバーが含まれています。 corp.contoso.comと同期するcontoso.comという名前のMicrosoft Entraテナントがあります。 以下の構成を含むセキュリティソリューションを実装する予定です。 ・Microsoft Entra Private Accessを使用してApp1へのアクセスを管理する。 ・Server1にMicrosoft Entraアプリケーションプロキシコネクタをデプロイする。 ・Kerberos制約付き委任（KCD）を使用してApp1のシングルサインオン（SSO）を実装する。 ・Server1に対して、セキュリティが強化されたWindows Defenderファイアウォールで以下のルールを構成する。 ・ルール1：指定されたAzure URLセットからのTCP 443インバウンドを許可する。 ・ルール2：指定されたAzure URLセットへのTCP 443アウトバウンドを許可する。 ・ルール3：指定されたAzure URLセットへのTCP 80アウトバウンドを許可する。 ・ルール4：corp.contoso.comのドメインコントローラーへのTCP 389アウトバウンドを許可する。 計画された実装のセキュリティを最大化する必要があります。このソリューションは、コネクタへの影響を最小限に抑える必要があります。 どのルールを削除すべきですか？

正解: 選択肢1（ルール1）。アプリケーションプロキシ／Private Access コネクタは外向き接続のみを開始するため、インバウンド許可ルールは不要であり削除すべきです。

解説
Microsoft Entra アプリケーションプロキシコネクタ（Microsoft Entra Private Access で使用するプライベートネットワークコネクタを含む）は、Microsoft Entra サービスへのアウトバウンド接続のみを確立します。コネクタは受信ポートをリッスンしないため、インバウンドのポート開放は一切必要ありません。これにより DMZ にインバウンドポートを開けずに済むのが、本アーキテクチャの大きな利点です。最小権限の原則に従い不要なインバウンドルール（ルール1）を削除することで攻撃対象領域を縮小し、かつコネクタの動作には全く影響しません。

各選択肢の検討

• 選択肢1（正解・削除対象）: ルール1はTCP 443インバウンド許可。コネクタはインバウンド接続を受けないため不要であり、削除がセキュリティを最大化し動作に影響しません。
• 選択肢2: ルール2（TCP 443アウトバウンド）はコネクタがMicrosoft Entra アプリケーションプロキシクラウドサービスと通信するために必須です。削除するとコネクタが機能しません。
• 選択肢3: ルール3（TCP 80アウトバウンド）は証明書失効リスト（CRL）の取得などに必要であり、削除するとコネクタの登録・通信に支障が出ます。
• 選択肢4: ルール4（ドメインコントローラーへのTCP 389/LDAP）はKCDによるSSOでKerberosチケットやSPN解決のために必要です。削除するとSSOが機能しません。

参考: Microsoft Learn
Microsoft Entra Private Access について
Microsoft Entra アプリケーション プロキシとは