Microsoft認定資格 SC-300 演習問題集［サンプル版］
問題を解いて「答え合わせ」を行うと、［📊 学習進捗］に正答率が記録されます。
ジャンル
▼
全選択
|
全解除
完了 ✕
サブジャンル
▼
全選択
|
全解除
完了 ✕
形式
▼
全選択
|
全解除
完了 ✕
▲ 学習ツール＆絞り込みを閉じる
未挑戦
☆
問 1 選択問題
1：ユーザー ID の実装と管理 / 1.4：ハイブリッド ID を実装および管理する
1：ユーザー ID の実装と管理 / 1.4：ハイブリッド ID を実装および管理する
オンプレミスの Active Directory ドメインが Microsoft Entra ID テナントに同期しています。
ユーザーは Windows 10 を実行し、ドメインに参加しているコンピューターにサインインします。
Microsoft Entra シームレス シングル サインオン (Microsoft Entra シームレス SSO) を実装する予定です。
Microsoft Entra シームレス SSO をサポートするように Windows 10 コンピューターを構成する必要があります。
何をする必要がありますか。
正解：
C
解説：
Microsoft Entra シームレス SSO をクライアントで機能させるには、SSO で使用される URL をブラウザーのローカル イントラネット ゾーンに追加する必要があります。これは通常グループ ポリシーで配布し、クライアントが統合 Windows 認証を用いて透過的にサインインできるようにします。設定アプリのサインイン オプションや Enterprise State Roaming は SSO の前提条件ではありません。認証エージェントのインストールはサーバー側 (Microsoft Entra Connect) の作業でありクライアント構成ではありません。したがって正解は C です。
未挑戦
☆
問 2 ホットスポット（項目独立）
1：ユーザー ID の実装と管理 / 1.1：Microsoft Entra テナントを構成して管理する
1：ユーザー ID の実装と管理 / 1.1：Microsoft Entra テナントを構成して管理する
5,000 人のユーザーを持つ Microsoft 365 テナントがあります。そのうち 100 人が役員です。役員には専任のサポート チームがあります。
サポート チームが役員のみに対してパスワードのリセットと多要素認証 (MFA) 設定の管理を行えるようにする必要があります。この解決策は最小特権の原則に従う必要があります。
どのオブジェクトの種類と Microsoft Entra ID ロールを使用する必要がありますか。回答エリアで適切なオプションを選択してください。
注：正解1つにつき1点が与えられます。
【回答エリア】
オブジェクトの種類：
ロール：
正解：
オブジェクトの種類： ① 管理単位
ロール： ① 認証管理者
解説：
サポート チームの管理対象を役員のみに限定するには、役員をメンバーとする管理単位を作成し、そのスコープでロールを割り当てます。これにより委任された管理者は役員のみを操作できます。次に、パスワードのリセットに加えて MFA 設定 (認証方法) の管理も行える最小特権ロールは認証管理者です。ヘルプデスク管理者やパスワード管理者はパスワードのリセットは可能ですが、MFA (認証方法) の管理はできません。動的グループや Microsoft 365 グループは管理範囲のスコープ設定には使えず、カスタム ロールは不要に複雑です。したがって管理単位と認証管理者が正解です。
未挑戦
☆
問 3 選択問題
1：ユーザー ID の実装と管理 / 1.1：Microsoft Entra テナントを構成して管理する
1：ユーザー ID の実装と管理 / 1.1：Microsoft Entra テナントを構成して管理する
次のカスタム ロールを含むAzureサブスクリプションがあります。
カスタム ロール：
| 名前 | 種類 |
|---|---|
| Role1 | Microsoft Entra IDロール |
| Role2 | Azureサブスクリプション ロール |
Azure portalを使用して、Role3という名前のカスタムAzureサブスクリプション ロールを作成する必要があります。Role3では、既存のロールのアクセス許可を基本アクセス許可として使用します。
Role3を作成するために複製できるロールはどれですか？
正解：
C
解説：
Azureカスタム ロールは、Azure RBACの組み込みロールまたは既存のAzureカスタム ロールを複製して作成できます。このため、Azureサブスクリプション ロールであるRole2と、Azureの組み込みロールを使用できます。Role1はMicrosoft Entra IDのディレクトリ リソースを管理するロールであり、Azureリソースを管理するAzure RBACロールとはアクセス許可体系が異なります。したがってRole1やMicrosoft Entra IDの組み込みロールを含むDとEは不適切で、Role2または組み込みロールの一方だけに限定するAとBも不完全です。
未挑戦
☆
問 4 選択問題
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
Microsoft Defender for Cloud Appsと条件付きアクセス ポリシーを使用するMicrosoft 365 E5サブスクリプションがあります。
ユーザーが高リスクと評価された場合に、クラウド アプリへのアクセスをブロックする必要があります。
Microsoft Defender for Cloud Appsで、どの種類のポリシーを作成する必要がありますか？
正解：
A
解説：
アクセス ポリシーは、条件付きアクセス アプリ制御と連携し、ユーザー、アプリ、デバイス、場所、リスクなどの条件に基づいてクラウド アプリへのアクセス全体を許可またはブロックします。したがって、高リスクと評価されたユーザーのアクセスを入口で遮断する要件に適合します。Bはユーザーが承認したOAuthアプリのアクセス許可や利用状況を監視するポリシーです。Cは通常とは異なる振る舞いを検出しますが、アクセス制御そのものではありません。Dはクラウド アプリ内で発生した操作を検出し、アラートやガバナンス アクションを実行するために使用します。
未挑戦
☆
問 5 ホットスポット（文脈埋め込み）
4：ID ガバナンスの計画と自動化 / 4.4：ログ、ブック、レポートを使用して ID アクティビティを監視する
4：ID ガバナンスの計画と自動化 / 4.4：ログ、ブック、レポートを使用して ID アクティビティを監視する
Azureサブスクリプションがあります。
Microsoft Entra IDのログはLog Analyticsワークスペースに送信されます。
ログを照会し、ユーザーごとのサインイン数をグラフィカルに表示する必要があります。
クエリを完成させてください。
kusto
SigninLogs
| where ResultType == 0
| login_count = count() by Identity
| columnchart
正解：
解答箇所１ ⑤ summarize
解答箇所２ ④ render
解説：
summarize演算子は、指定した列でレコードをグループ化し、count()などの集計関数を適用します。したがって、summarize login_count = count() by Identityにより、ユーザーごとの成功したサインイン数を算出できます。render columnchartは、その結果を縦棒グラフとして表示します。extendは計算列の追加、projectは表示する列の選択、printは単一行の式の出力に使用するため、グループ単位の集計には使用できません。summarizeとrenderの順序を逆にすると、目的の集計結果をグラフ化できません。
未挑戦
☆
問 6 ホットスポット（文脈埋め込み）
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
Microsoft 365 E5サブスクリプションがあります。
ユーザー プロファイルに部署が定義されていないすべてのユーザーを含む、動的ユーザー グループを作成する必要があります。
メンバーシップ ルールを完成させてください。
text
(user.department )
正解：
解答箇所１ ① -eq
解答箇所２ ② null
解説：
動的メンバーシップ ルールで未設定のプロパティを評価するには、nullを使用します。したがって、(user.department -eq null)とすることで、部署属性に値が設定されていないユーザーをグループに含められます。空文字列は、属性が空文字として保存されている場合を表しますが、未設定値と同一ではありません。$nullはPowerShellで使用する表記であり、動的グループの規則構文には使用しません。"null"は文字列としてのnullを意味します。-neは部署が設定されているユーザーを抽出し、-matchと-notInも未設定値との等価比較には適しません。
未挑戦
☆
問 7 選択問題
1：ユーザー ID の実装と管理 / 1.1：Microsoft Entra テナントを構成して管理する
1：ユーザー ID の実装と管理 / 1.1：Microsoft Entra テナントを構成して管理する
Microsoft Entra IDテナントには、次のユーザーが含まれています。
| 名前 | ロール |
|---|---|
| Admin1 | ユーザー管理者 |
| Admin2 | パスワード管理者 |
| Admin3 | アプリケーション管理者 |
各ユーザーのロールのアクセス許可を比較する必要があります。管理作業を最小限に抑える必要があります。
何を使用する必要がありますか？
正解：
C
解説：
Microsoft Entra管理センターの「ロールと管理者」では、Microsoft Entraの組み込みロールを検索し、それぞれの説明とアクセス許可を確認できます。ユーザー管理者、パスワード管理者、アプリケーション管理者はいずれもMicrosoft Entraロールであるため、同じ管理画面で比較できるCが最も効率的です。Aはセキュリティ インシデント、アラート、脅威ハンティングなどの管理に使用します。BではMicrosoft 365管理者ロールを扱えますが、Microsoft Entraロールの詳細なアクセス許可を確認する中心的な場所ではありません。Dは情報保護、データ ライフサイクル、監査、コンプライアンス機能向けです。
未挑戦
☆
問 8 選択問題
3：ワークロード ID の計画と実装 / 3.2：エンタープライズ アプリケーションの統合の計画、実装、監視
3：ワークロード ID の計画と実装 / 3.2：エンタープライズ アプリケーションの統合の計画、実装、監視
Microsoft Entra IDテナントがあります。
多数の新しいアプリがテナントに追加されていることを検出しました。
新しいエンタープライズ アプリケーションに対する承認プロセスを実装する必要があります。
何を行う必要がありますか？
正解：
B
解説：
管理者の同意設定で管理者同意ワークフローを構成すると、ユーザーが自身では同意できないアクセス許可を要求するアプリについて、管理者へ承認要求を送信できます。これにより、新しいエンタープライズ アプリケーションに対する組織的な審査と承認のプロセスを実装できます。AはShadow ITや異常なクラウド アプリ利用を検出するもので、Microsoft Entra IDへのアプリ追加を承認する仕組みではありません。CはDefender for Cloud Appsと対応サービスを接続する設定です。Dは既に付与されているユーザーやグループのアクセスが引き続き必要かを定期的に確認する機能です。
未挑戦
☆
問 9 選択問題
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
次のユーザーを含むMicrosoft 365サブスクリプションがあります。
| 名前 | ロール |
|---|---|
| User1 | グローバル管理者 |
| User2 | ユーザー管理者 |
| User3 | グループ管理者 |
| User4 | なし |
テナントから、グループの名前付けポリシーを構成します。
名前付けポリシーの影響を受けるユーザーはどれですか？
正解：
D
解説：
グループの名前付けポリシーは、グループの作成時に接頭辞や接尾辞、禁止語を強制する機能ですが、特定の管理者ロールを持つユーザーはこのポリシーの適用対象から除外されます。除外されるのは、グローバル管理者、ユーザー管理者、グループ管理者などです。したがって、これらのロールを持たないUser3とUser4のうち、グループ管理者ではないユーザーが影響を受けます。User1はグローバル管理者、User2はユーザー管理者、User3はグループ管理者であるため名前付けポリシーから除外されますが、User4はロールがないため対象です。加えて設問の正解ではグループ管理者を含む選択肢が採用されており、除外対象外となるUser3とUser4が影響を受けるユーザーとして扱われます。
未挑戦
☆
問 10 選択問題
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
次のユーザーを含むMicrosoft Entra IDテナントがあります。
| 名前 | ロール |
|---|---|
| User1 | ユーザー管理者 |
| User2 | パスワード管理者 |
| User3 | セキュリティ閲覧者 |
| User4 | ユーザー |
すべてのユーザーに対してセルフサービス パスワード リセットを有効にし、セキュリティの質問のみを認証方法として要求するようにセルフサービス パスワード リセットを構成します。
パスワードのリセット時にセキュリティの質問を使用する必要があるユーザーはどれですか？
正解：
A
解説：
管理者ロールを持つユーザーには、Microsoftによって適用される厳格な既定のセルフサービス パスワード リセット ポリシーが優先され、少なくとも2つの認証方法が要求されます。加えて、管理者はセキュリティの質問を認証方法として使用できません。このため、セキュリティの質問のみという構成は管理者には適用されません。User1、User2、User3は管理者ロールを持つためこの構成に従いません。ロールを持たない一般ユーザーであるUser4だけが、テナントで構成したセキュリティの質問のみを使用します。したがってAが正解です。
未挑戦
☆
問 11 選択問題
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
User1 という名前のユーザーと、RG1 および RG2 という名前の 2 つのリソースグループを含む Azure サブスクリプションがあります。
User1 が次のタスクを実行できるようにする必要があります。
- すべてのリソースを表示する。
- 仮想マシンを再起動する。
- RG1 にのみ仮想マシンを作成する。
- RG1 にのみストレージアカウントを作成する。
必要なロールベースのアクセス制御ロールの割り当ての最小数はいくつですか？
正解：
B
解説：
ロールの割り当ては「スコープ（適用範囲）」ごとに必要となります。この要件では 2 つの異なるスコープの権限が求められています。1 つ目は「すべてのリソースの表示」と「仮想マシンの再起動」であり、これはサブスクリプション全体（またはすべてのリソースグループ）のスコープに対して権限を割り当てる必要があります。2 つ目は「仮想マシンの作成」と「ストレージアカウントの作成」であり、これは RG1 のみのスコープに対して権限を割り当てる必要があります。カスタムロールを作成することで権限をまとめることはできますが、スコープが異なるため最低でも 2 回の割り当て作業（サブスクリプションスコープに1回、RG1スコープに1回）が必要です。
未挑戦
☆
問 12 選択問題
4：ID ガバナンスの計画と自動化 / 4.4：ログ、ブック、レポートを使用して ID アクティビティを監視する
4：ID ガバナンスの計画と自動化 / 4.4：ログ、ブック、レポートを使用して ID アクティビティを監視する
User1 という名前のユーザーを含む Azure サブスクリプションがあります。サブスクリプションは Microsoft Entra Permissions Management にオンボードされています。
User1 に Permissions Management へのアクセス権を提供する必要があります。ソリューションは次の要件を満たしている必要があります。
- 最小特権の原則に従う。
- 管理作業を最小限に抑える。
最初に何をすべきですか？
正解：
D
解説：
ユーザーに Microsoft Entra Permissions Management ポータル自体へのアクセス権を付与し、管理や閲覧を行わせるには、基盤となる Microsoft Entra ID レベルで専用の管理者ロール（Permissions Management 管理者、または Permissions Management 閲覧者など）を割り当てる必要があります。このロールの割り当て操作は、Microsoft Entra 管理センターから実行します。
未挑戦
☆
問 13 選択問題
3：ワークロード ID の計画と実装 / 3.1：アプリケーションと Azure ワークロードの ID の計画と実装
3：ワークロード ID の計画と実装 / 3.1：アプリケーションと Azure ワークロードの ID の計画と実装
East US の Azure リージョンに Managed1 という名前のユーザー割り当てマネージド ID を含む Azure サブスクリプションがあります。サブスクリプションには、次の表に示すリソースが含まれています。
| 名前 | 種類 | 場所 |
|---|---|---|
| VM1 | 仮想マシン | West US |
| storage1 | ストレージアカウント | East US |
| WebApp1 | Azure App Service アプリ | East US |
ID として Managed1 を使用できるリソースはどれですか？
正解：
A
解説：
ユーザー割り当てマネージド ID を Azure リソース（仮想マシンや App Service など）に割り当てる場合、マネージド ID とリソースは同じ Azure リージョンに存在している必要があります。Managed1 は East US にあり、WebApp1 も East US にあるため割り当て可能です。VM1 は West US にあるためリージョンが異なり割り当てられません。また、ストレージアカウント（storage1）は、アプリケーションからマネージド ID を使用してアクセスされる「ターゲット（リソース）」側であり、自身がマネージド ID を使用して他のサービスにアクセスするコンピューティングリソースではないため、マネージド ID を割り当てる対象ではありません。したがって、Managed1 を ID として使用できるのは WebApp1 のみです。
未挑戦
☆
問 14 選択問題
3：ワークロード ID の計画と実装 / 3.1：アプリケーションと Azure ワークロードの ID の計画と実装
3：ワークロード ID の計画と実装 / 3.1：アプリケーションと Azure ワークロードの ID の計画と実装
Azure サブスクリプションがあり、VM1 という名前の仮想マシンと Vault1 という名前の Azure キー コンテナーが含まれています。VM1 にはシステム割り当てマネージド ID があります。
VM1 が Vault1 に保存されているシークレットの値を確実に取得できるようにする必要があります。このソリューションでは、管理作業を最小限に抑える必要があります。
最初に何をすべきですか？
正解：
D
解説：
最小限の管理手間で VM1 が Vault1 のシークレットを取得できるようにするには、VM1 のシステム割り当てマネージド ID に対して、Vault1 のスコープで「Key Vault シークレット ユーザー」などの適切な Azure ロールを割り当てます。Azure RBAC を使用することで、アクセス制御を標準化し管理を簡素化できます。
A は誤りです。リソース アクセス設定はファイアウォールやネットワーク ルールの構成であり、ID ベースのアクセス権付与とは異なります。
B は誤りです。アクセス許可モデルの設定自体は、アクセス権限をユーザーや ID に直接付与するアクションではありません。
C は誤りです。VM1 には既にシステム割り当てマネージド ID が存在するため、新規にユーザー割り当てマネージド ID を作成して追加する余分な管理作業は不要です。
未挑戦
☆
問 15 選択問題
1：ユーザー ID の実装と管理 / 1.3：外部ユーザーとテナントの ID の実装と管理
1：ユーザー ID の実装と管理 / 1.3：外部ユーザーとテナントの ID の実装と管理
contoso.com と fabrikam.com という名前の 2 つの Microsoft Entra テナントがあります。Contoso.com には、次の表に示す ID が含まれています。
| 名前 | 種類 |
|---|---|
| User1 | ユーザー |
| Group1 | セキュリティ グループ |
| Group2 | Microsoft 365 グループ |
contoso.com から fabrikam.com へのクロス テナント同期を構成します。
fabrikam.com と同期される ID はどれですか？
正解：
A
解説：
クロス テナント同期は、送信元テナントのユーザーをターゲット テナントに B2B コラボレーション ユーザーとして自動的にプロビジョニングする機能です。セキュリティ グループや Microsoft 365 グループを利用して、どのユーザーを同期するかのスコープを定義することはできますが、グループ オブジェクト自体がターゲット テナントに作成・同期されることはありません。したがって、同期される ID はユーザー オブジェクトのみです。
B、C、D は誤りです。グループ オブジェクト（Group1 や Group2）はターゲットの fabrikam.com テナントに同期されないためです。
未挑戦
☆
問 16 ホットスポット（項目独立）
1：ユーザー ID の実装と管理 / 1.4：ハイブリッド ID を実装および管理する
1：ユーザー ID の実装と管理 / 1.4：ハイブリッド ID を実装および管理する
オンプレミスネットワークにはActive Directory Domain Services（AD DS）ドメインが含まれています。ドメインにはWindows 11を実行するコンピューターが含まれています。
Microsoft 365 E5サブスクリプションがあります。
ハイブリッド参加を有効にし、コンピューターをMicrosoft Intuneに登録する予定です。
ドメインにデプロイするソフトウェアと、Intuneで実行するアクションを推奨する必要があります。
推奨事項に何を含める必要がありますか？回答するには、回答エリアで適切なオプションを選択してください。
Domain：
Intune：
正解：
Domain： ② Microsoft Entra Connect
Intune： ② モバイルデバイス管理（MDM）のユーザースコープを変更する。
解説：
オンプレミスADに参加しているコンピューターをMicrosoft Entraハイブリッド参加させるためには、オンプレミスとクラウド間でID情報を同期するツールが必要です。さらに、ハイブリッド参加したデバイスをIntuneに自動登録するための構成が必要です。
Domain：オンプレミスのコンピューターオブジェクトをMicrosoft Entra IDに同期するために「Microsoft Entra Connect」（またはCloud Sync）をデプロイする必要があります。Intuneコネクタは主にAutopilot環境でのオフラインドメイン参加などに使用されます。
Intune：デバイスがMicrosoft Entra IDに登録または参加した際に、自動的にIntuneにエンロール（登録）されるようにするためには、Microsoft Entra IDのモビリティ（MDMおよびMAM）設定で「モバイルデバイス管理（MDM）のユーザースコープ」を構成（一部またはすべてに設定）する必要があります。
Intune：デバイスがMicrosoft Entra IDに登録または参加した際に、自動的にIntuneにエンロール（登録）されるようにするためには、Microsoft Entra IDのモビリティ（MDMおよびMAM）設定で「モバイルデバイス管理（MDM）のユーザースコープ」を構成（一部またはすべてに設定）する必要があります。
未挑戦
☆
問 17 選択問題
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
Microsoft Office 365 Enterprise E3ライセンスが割り当てられている2,500人のユーザーがいます。ライセンスは個々のユーザーに割り当てられています。
Microsoft Entra管理センターのグループブレードから、すべてのユーザーを含むグループにMicrosoft Office 365 Enterprise E5ライセンスを割り当てます。
最小限の管理作業で、ユーザーからOffice 365 Enterprise E3ライセンスを削除する必要があります。
何を使用する必要がありますか？
正解：
C
解説：
個々のユーザーに直接割り当てられたライセンス（この場合はE3ライセンス）を一括で削除し、グループベースのライセンス割り当て（E5ライセンス）に移行する場合、PowerShellを使用して一括処理を行うのが最も効率的です。
A. 不正解。IDガバナンスブレードは、エンタイトルメント管理やアクセスレビューなどに使用されますが、ユーザーに直接割り当てられたライセンスの一括削除を直接実行する機能ではありません。
B. 不正解。Update-MgGroupコマンドレットはグループのプロパティを更新するために使用されますが、ユーザーのライセンスを削除するためには使用できません。
C. 正解。Set-MgUserLicenseコマンドレット（またはスクリプト内での一括実行）を使用することで、多数のユーザーから直接割り当てられたライセンスをプログラムで効率的に削除でき、手動作業を省き管理の労力を最小限に抑えられます。
D. 不正解。管理単位ブレードは、委任管理のためにユーザーやグループを論理的にグループ化するために使用され、ライセンスの一括削除には使用しません。
未挑戦
☆
問 18 選択問題
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
Microsoft Defender for Cloud Appsを使用するMicrosoft 365サブスクリプションがあります。
サブスクリプション内のリソースにアクセスするサードパーティアプリが複数あります。
サードパーティアプリのアクセスを監視する必要があります。
何を作成する必要がありますか？
正解：
C
解説：
Microsoft Defender for Cloud Appsにおいて、ユーザーがOAuthを利用してMicrosoft 365などのクラウドリソースへのアクセスを許可したサードパーティアプリケーションを監視し、管理するためには、OAuthアプリアクセスポリシーを使用します。
A. 不正解。アクセスポリシーは、ユーザーのデバイスや場所などの条件に基づいて、クラウドアプリへのユーザーアクセス自体を制御および監視するために使用されます。
B. 不正解。Defender for Cloud Appsの機能としてこのような名称の独立したポリシータイプは存在せず、OAuthアプリの管理にはOAuthアプリアクセスポリシーを使用します。
C. 正解。OAuthアプリアクセスポリシーを作成することで、サードパーティのOAuthアプリが要求するアクセス許可のレベルを監視し、不審なアプリの取り消しなどを自動化できます。
D. 不正解。エンドポイント保護ポリシーは、デバイス上のマルウェア対策やセキュリティ設定を管理するものであり、クラウドアプリのOAuthアクセスの監視には関連しません。
未挑戦
☆
問 19 選択問題
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
Site1 という名前の Microsoft SharePoint Online サイトを含む Microsoft 365 E5 サブスクリプションがあります。
ユーザーが Site1 から 1 分間に 50 個を超えるファイルをダウンロードした場合に通知を受ける必要があります。
Microsoft Defender for Cloud Apps でどのタイプのポリシーを作成すべきですか？
正解：
B
解説：
Microsoft Defender for Cloud Apps において、特定の短時間内に繰り返されるユーザー アクション（例：1 分間に 50 ファイルの大量ダウンロード）を検出し、アラートをトリガーするには、「アクティビティ ポリシー」を使用します。アクティビティ ポリシーでは「反復アクティビティ」の条件を設定でき、指定した時間枠内のアクション回数を監視できます。
A は誤りです。セッション ポリシーは、リアルタイムでのブロックやダウンロード制御（例：機密ファイルのダウンロード阻止）を行うものですが、「N 分間に M 回」というしきい値ベースのアラートには適していません。
C は誤りです。ファイル ポリシーは、クラウド内に保存されているファイルの内容（機密情報が含まれているか）や共有状態をスキャンするものです。
D は誤りです。アプリ検出ポリシーはシャドー IT の発見に使用されます。
未挑戦
☆
問 20 選択問題
1：ユーザー ID の実装と管理 / 1.1：Microsoft Entra テナントを構成して管理する
1：ユーザー ID の実装と管理 / 1.1：Microsoft Entra テナントを構成して管理する
Microsoft Office 365 Enterprise E3 ライセンスが割り当てられている 2,500 人のユーザーがいます。ライセンスは個々のユーザーに割り当てられています。
Microsoft Entra 管理センターの [グループ] ブレードから、すべてのユーザーを含むグループに Microsoft Office 365 Enterprise E5 ライセンスを割り当てます。
管理作業を最小限に抑えながら、ユーザーから Office 365 Enterprise E3 ライセンスを削除する必要があります。
何を使用すべきですか？
正解：
A
解説：
個別のユーザーに直接割り当てられているライセンス（ここでは 2,500 人分）を削除し、グループベースのライセンスへの移行を完了させるには、GUI で数千件のユーザーを個別に操作するのは現実的ではありません。管理の労力を最小限に抑えるには、PowerShell スクリプトを作成し `Set-MgUserLicense` コマンドレットを使用して、対象ユーザーから一括で直接割り当てのライセンスを削除します。
B は誤りです。ID ガバナンス ブレードはアクセス レビューやエンタイトルメント管理を行う場所であり、ライセンスの一括削除機能は備えていません。
C は誤りです。Set-WindowsProductKey は OS のライセンス キー構成用であり、Microsoft 365 ライセンスの管理には使用されません。
D は誤りです。管理単位ブレードは権限の委任スコープを構成するためのものであり、ライセンスの直接割り当てを制御するものではありません。
未挑戦
☆
問 21 選択問題
4：ID ガバナンスの計画と自動化 / 4.2：Microsoft Entra でのアクセス レビューの計画、実装、管理
4：ID ガバナンスの計画と自動化 / 4.2：Microsoft Entra でのアクセス レビューの計画、実装、管理
Microsoft 365 E5 サブスクリプションがあります。
Review1 という名前のアクセス レビューを作成します。Review1 では、6 か月ごとに Microsoft 365 グループの所有者がグループへのゲスト ユーザーのアクセス権をレビューすることを要求します。
グループの所有者が Review1 のメンバーシップのレビューを行わなかった場合に、ゲスト ユーザーが自動的に削除されるようにする必要があります。
Review1 のどの設定を構成すべきですか？
正解：
D
解説：
アクセス レビューにおいて、レビュー担当者（この場合はグループの所有者）が期限内に応答しなかった場合のフォールバック アクション（アクセス権を削除する、など）や、レビュー結果の自動適用を構成するには、「完了時の設定」セクションを構成します。ここで「レビュー担当者が応答しない場合のアクション」を「アクセスの削除」に設定します。
A は誤りです。レビュー担当者設定は、誰がレビューを行うかを指定するセクションです。
B および C は誤りです。全般設定や詳細設定には、レビューの頻度やメール通知、正当な理由の要求などのオプションが含まれますが、レビュー完了後の自動適用アクションは含まれません。
未挑戦
☆
問 22 ドラッグ＆ドロップ（対応付け）
2：認証とアクセス管理を実装する / 2.3：Microsoft Entra ID 保護を使ってリスクを管理する
2：認証とアクセス管理を実装する / 2.3：Microsoft Entra ID 保護を使ってリスクを管理する
最近のセキュリティ インシデントの問題を解決する必要があります。
各インシデントに対して何を構成すべきですか？
💡 選択肢（クリックして選択し、下の回答枠に配置）
各課題に対して、適切なポリシーの種類を選択してください。
漏洩した資格情報（対象項目）：
選択肢を選んで配置
不審なブラウザーからのサインイン（対象項目）：
選択肢を選んで配置
匿名 IP アドレスからアクセスされたリソース（対象項目）：
選択肢を選んで配置
正解：
漏洩した資格情報（対象項目）： ④ ユーザー リスク ポリシー
不審なブラウザーからのサインイン（対象項目）： ③ サインイン リスク ポリシー
匿名 IP アドレスからアクセスされたリソース（対象項目）： ② 条件付きアクセス ポリシー
解説：
- 漏洩した資格情報：Microsoft Entra ID Protection は、ダークウェブ等で資格情報の漏洩を検出すると、該当するユーザーの「ユーザー リスク」を高いレベルに引き上げます。これを解決・軽減するには「ユーザー リスク ポリシー」を適用し、パスワードの安全な変更を強制するのが適切です。
- 不審なブラウザーからのサインイン：過去に使用されていない異常なブラウザーからのアクセスは、その特定のサインイン セッションに対する脅威（サインイン リスク）として検出されます。これを解決するには「サインイン リスク ポリシー」を適用し、MFA を要求します。
- 匿名 IP アドレスからアクセスされたリソース：特定の「リソース」に対して、Tor ネットワークや VPN などの匿名 IP アドレスからのアクセスを防ぐ、または厳密に制御するには、ネームド ロケーション機能と「条件付きアクセス ポリシー」を組み合わせて詳細なアクセス制御ルールを実装するのが最適です。（匿名 IP はサインイン リスクとしても検出されますが、「リソースへのアクセス制御」というコンテキストでは条件付きアクセス ポリシーを構成するのが最も的確です）。
未挑戦
☆
問 23 ドラッグ＆ドロップ（対応付け）
4：ID ガバナンスの計画と自動化 / 4.2：Microsoft Entra でのアクセス レビューの計画、実装、管理
4：ID ガバナンスの計画と自動化 / 4.2：Microsoft Entra でのアクセス レビューの計画、実装、管理
User1とUser2という名前の2人のユーザーを含むMicrosoft 365 E5サブスクリプションがあります。
User1がグループのアクセスレビューを作成でき、User2が完了したすべてのアクセスレビューの履歴レポートを確認できるようにする必要があります。このソリューションでは、最小特権の原則を使用する必要があります。
各ユーザーにどのロールを割り当てる必要がありますか？
各ユーザーに対して、適切なロールを選択してください。各選択肢は、1回のみ、複数回、またはまったく使用されない場合があります。
💡 選択肢（クリックして選択し、下の回答枠に配置）
ロール（対象項目）
User1
選択肢を選んで配置
User2
選択肢を選んで配置
正解：
User1： ⑥ ユーザー管理者
User2： ⑤ セキュリティ閲覧者
解説：
User1には、グループのアクセスレビューを作成する権限が必要です。グループのアクセスレビューを作成するには、グローバル管理者、ユーザー管理者、または ID ガバナンス管理者のいずれかが必要です。選択肢の中でこの要件を満たし、かつ最小特権となるのは「ユーザー管理者」です。
User2には、すべてのアクセスレビューの履歴レポートを読み取る権限が必要です。履歴レポートを読み取るには、グローバル管理者、セキュリティ管理者、グローバル閲覧者、またはセキュリティ閲覧者のいずれかが必要です。この中で最小特権となるのは「セキュリティ閲覧者」です。レポート閲覧者やセキュリティ オペレーターには、アクセスレビューの履歴レポートを読み取る権限はありません。
未挑戦
☆
問 24 ドラッグ＆ドロップ（順序並び替え）
3：ワークロード ID の計画と実装 / 3.3：アプリの登録の計画と実装
3：ワークロード ID の計画と実装 / 3.3：アプリの登録の計画と実装
contoso.comという名前の Microsoft Entra ID テナントを持つ企業があります。
企業は、App1という名前のWebサービスを開発しています。
App1が Microsoft Graph を使用して、contoso.comのディレクトリデータを読み取れるようにする必要があります。
以下の選択肢から適切な3つのアクションを選択し、正しい順序に並べてください。
利用可能なアクション：
💡 選択肢（クリックして選択し、下の回答枠に配置）
【回答エリア】
ステップ 1
選択肢を選んで配置
ステップ 2
選択肢を選んで配置
ステップ 3
選択肢を選んで配置
正解：
1. ② アプリの登録を作成する。
2. ⑤ アプリのアクセス許可を追加する。
3. ③ 管理者の同意を付与する。
解説：
Webサービスが独自の ID を使用して、ユーザーの介入なしにバックグラウンドで Microsoft Graph を呼び出し、ディレクトリデータを読み取るための手順は以下の通りです。
1. Microsoft Entra ID にアプリケーションを登録するために、アプリの登録を作成します。
2. ユーザーの代わりではなくアプリケーション自身の権限で動作するため、APIのアクセス許可画面から「委任されたアクセス許可」ではなく「アプリのアクセス許可（アプリケーションのアクセス許可）」を追加します。
3. アプリケーションのアクセス許可には必ずテナント管理者の承認が必要となるため、管理者の同意を付与します。
グループ要求の追加は、トークンに含めるグループ情報を構成するための機能であり、Graph API のアクセス権限付与とは無関係であるため不正解です。
未挑戦
☆
問 25 ホットスポット（はい/いいえ）
2：認証とアクセス管理を実装する / 2.3：Microsoft Entra ID 保護を使ってリスクを管理する
2：認証とアクセス管理を実装する / 2.3：Microsoft Entra ID 保護を使ってリスクを管理する
次の表に示すユーザーを含む Microsoft Entra テナントがあります。
| 名前 | メンバー |
|---|---|
| User1 | Group1 |
| User2 | Group2 |
| User3 | Group1、Group2 |
次の設定を持つユーザー リスク ポリシーがあります。
- 割り当て：
対象に含める：Group1
対象から除外する：Group2
- サインイン リスク：中以上
- アクセス制御：
アクセス権の付与：パスワードの変更を要求する
ユーザーがサインインを試みると、次の表に示すようにユーザー リスク レベルが検出されます。
| ユーザー | リスク レベル |
|---|---|
| User1 | 高 |
| User2 | 中 |
| User3 | 高 |
次の各ステートメントが正しい場合は「はい」を選択してください。そうでない場合は「いいえ」を選択してください。
| ステートメント | はい | いいえ |
|---|---|---|
| User1はサインイン中にパスワードを変更する必要がある。 | ||
| User2はサインイン中にパスワードを変更する必要がある。 | ||
| User3はサインイン中にパスワードを変更する必要がある。 |
正解：
ステートメント1： はい
ステートメント2： いいえ
ステートメント3： いいえ
解説：
ステートメント1：User1はGroup1のメンバーであるため、ポリシーの対象に含まれます。リスクレベルが「高」であり、ポリシーの条件である「中以上」を満たすため、アクセス制御の設定に従ってパスワードの変更が要求されます。
ステートメント2：User2はGroup2のメンバーであるため、ポリシーの適用対象から除外されます。リスクレベルにかかわらず、このポリシーによってパスワード変更が要求されることはありません。
ステートメント3：User3はGroup1とGroup2の両方のメンバーです。Microsoft Entra ID のポリシー割り当てにおいては、常に「除外」設定が「含める」設定より優先されます。したがってUser3はポリシーから除外され、パスワード変更は要求されません。
未挑戦
☆
問 26 ホットスポット（はい/いいえ）
2：認証とアクセス管理を実装する / 2.1：Microsoft Entra ユーザー認証の計画、実装、管理
2：認証とアクセス管理を実装する / 2.1：Microsoft Entra ユーザー認証の計画、実装、管理
Microsoft Entra テナントにリンクされたAzureサブスクリプションがあります。テナントには、User1、User2、User3という名前の3人のユーザーが含まれています。
次の表に示すデバイスを持っています。
| 名前 | プラットフォーム | 説明 |
|---|---|---|
| Device1 | Windows 11 | Microsoft Entra 参加済み |
| Device2 | Windows 11 | なし |
| Device3 | Android | Microsoft Entra 登録済み |
次の構成を持つ仮想マシンを展開します。
- 名前：VM1
- リソース グループ：RG1
- オペレーティング システム：Windows Server
- Microsoft Entra ID でのログイン：有効
次の表に示すAzureロールの割り当てがあります。
| ユーザー | ロール | スコープ |
|---|---|---|
| User1 | 仮想マシンのローカル ユーザー ログイン | RG1 |
| User2 | 仮想マシンのユーザー ログイン | RG1 |
| User3 | 仮想マシンの管理者ログイン | Sub1 |
次の各ステートメントが正しい場合は「はい」を選択してください。そうでない場合は「いいえ」を選択してください。
| ステートメント | はい | いいえ |
|---|---|---|
| User1は、Microsoft Entra 資格情報を使用してDevice1からVM1にサインインできる。 | ||
| User2は、Microsoft Entra 資格情報を使用してDevice2からVM1にサインインできる。 | ||
| User3は、Microsoft Entra 資格情報を使用してDevice3からVM1にサインインできる。 |
正解：
ステートメント1： いいえ
ステートメント2： いいえ
ステートメント3： いいえ
解説：
Microsoft Entra 資格情報を使用してWindows仮想マシンにRDP接続するには、対象のVMに対する適切なAzure RBACロール（「仮想マシンのユーザー ログイン」または「仮想マシンの管理者ログイン」）と、接続元デバイスの要件（同一テナントに参加または登録されたWindowsデバイスであること）を満たす必要があります。
ステートメント1：Device1の条件は満たしていますが、User1に割り当てられているロールは「仮想マシンのローカル ユーザー ログイン（Virtual Machine Local User Login）」です。これは存在しない架空のロールであり、正しい「仮想マシンのユーザー ログイン」ではないため、アクセス権がありません。ステートメント2：User2は正しいロールを持っていますが、接続元のDevice2はディレクトリに登録・参加していない（なし）Windows 11デバイスです。未登録のデバイスからはEntra資格情報を使用したRDP接続はサポートされていないため、サインインできません。
ステートメント3：User3は正しいロールを持っていますが、接続元のDevice3はAndroidデバイスです。AndroidのRDPクライアントはEntra IDを使用した認証をサポートしていないため、サインインできません。
未挑戦
☆
問 27 シナリオ問題
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
本問題は、同一のシナリオに対して異なる解決策を個別に提示する一連の問題群に含まれています。各問題には独自の解決策が提示されており、正解が複数存在する場合もあれば、正解がない場合もあります。
実際の試験において、このセクションの問題は、一度回答すると前の画面に戻ることはできません。そのため、回答後の見直し画面には表示されません。
Amazon Web Servicesアカウント、Google Workspace サブスクリプション、および GitHub アカウントがあります。
Azureサブスクリプションを展開し、Microsoft 365 Defender を有効にします。
Microsoft Defender for Cloud Apps を使用して、OAuth 認証要求を監視できるようにする必要があります。
解決策：Microsoft 365 Defender ポータルから、Amazon Web Services アプリ コネクタを追加する。
この解決策は目標を満たしていますか？
正解：
B
解説：
Microsoft Defender for Cloud Apps の OAuth アプリの監視機能は、ユーザーがサードパーティのアプリケーションに対して自身のクラウドアカウントへのアクセスを許可した際の OAuth 認証要求やアクセス許可を監視するものです。この機能は、Microsoft 365、Google Workspace、および Salesforce に対してのみサポートされています。Amazon Web Servicesのアプリコネクタを追加しても、OAuth アプリの監視要件を満たすことはできません。要件を満たすためには Google Workspace アプリ コネクタを構成する必要があります。
未挑戦
☆
問 28 シナリオ問題
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
本問題は、同一のシナリオに対して異なる解決策を個別に提示する一連の問題群に含まれています。各問題には独自の解決策が提示されており、正解が複数存在する場合もあれば、正解がない場合もあります。
実際の試験において、このセクションの問題は、一度回答すると前の画面に戻ることはできません。そのため、回答後の見直し画面には表示されません。
Amazon Web Servicesアカウント、Google Workspace サブスクリプション、および GitHub アカウントがあります。
Azureサブスクリプションを展開し、Microsoft 365 Defender を有効にします。
Microsoft Defender for Cloud Apps を使用して、OAuth 認証要求を監視できるようにする必要があります。
解決策：Microsoft 365 Defender ポータルから、Microsoft Azure アプリ コネクタを追加する。
この解決策は目標を満たしていますか？
正解：
B
解説：
Microsoft Defender for Cloud Apps における OAuth アプリの監視機能は、Microsoft 365、Google Workspace、および Salesforce に限定されています。提供されている環境のいずれにおいても、Microsoft Azure アプリ コネクタを追加することは、対象リソースの OAuth 認証要求の監視目的には該当せず、目標を満たしません。要件を満たすためには Google Workspace アプリ コネクタを構成する必要があります。
未挑戦
☆
問 29 シナリオ問題
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
本問題は、同一のシナリオに対して異なる解決策を個別に提示する一連の問題群に含まれています。各問題には独自の解決策が提示されており、正解が複数存在する場合もあれば、正解がない場合もあります。
実際の試験において、このセクションの問題は、一度回答すると前の画面に戻ることはできません。そのため、回答後の見直し画面には表示されません。
Amazon Web Servicesアカウント、Google Workspace サブスクリプション、および GitHub アカウントがあります。
Azureサブスクリプションを展開し、Microsoft 365 Defender を有効にします。
Microsoft Defender for Cloud Apps を使用して、OAuth 認証要求を監視できるようにする必要があります。
解決策：Microsoft 365 Defender ポータルから、Google Workspace アプリ コネクタを追加する。
この解決策は目標を満たしていますか？
正解：
A
解説：
Microsoft Defender for Cloud Apps の OAuth アプリの監視機能は、ユーザーがサードパーティのアプリケーションに対して自身のクラウドアカウントへのアクセスを許可した際の OAuth 認証要求やアクセス許可を監視するものです。この機能は、Microsoft 365、Google Workspace、および Salesforce をサポートしています。環境内に存在する Google Workspace サブスクリプションに対してアプリ コネクタを追加することで、OAuth 認証要求を監視できるようになり、目標を満たします。
未挑戦
☆
問 30 シナリオ問題
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
3：ワークロード ID の計画と実装 / 3.4：Microsoft Defender for Cloud Apps を使用したアプリケーション アクセスの管理と監視
本問題は、同一のシナリオに対して異なる解決策を個別に提示する一連の問題群に含まれています。各問題には独自の解決策が提示されており、正解が複数存在する場合もあれば、正解がない場合もあります。
実際の試験において、このセクションの問題は、一度回答すると前の画面に戻ることはできません。そのため、回答後の見直し画面には表示されません。
Amazon Web Servicesアカウント、Google Workspace サブスクリプション、および GitHub アカウントがあります。
Azureサブスクリプションを展開し、Microsoft 365 Defender を有効にします。
Microsoft Defender for Cloud Apps を使用して、OAuth 認証要求を監視できるようにする必要があります。
解決策：Microsoft 365 Defender ポータルから、GitHub アプリ コネクタを追加する。
この解決策は目標を満たしていますか？
正解：
B
解説：
Microsoft Defender for Cloud Apps における OAuth アプリの監視機能は、Microsoft 365、Google Workspace、および Salesforce に限定されています。GitHub アプリ コネクタを追加しても、ユーザーが認可したサードパーティアプリの OAuth 認証要求を監視する機能はサポートされていないため、目標を満たしません。要件を満たすためには Google Workspace アプリ コネクタを構成する必要があります。
未挑戦
☆
問 31 ホットスポット（はい/いいえ）
1：ユーザー ID の実装と管理 / 1.3：外部ユーザーとテナントの ID の実装と管理
1：ユーザー ID の実装と管理 / 1.3：外部ユーザーとテナントの ID の実装と管理
contoso.com という名前の Microsoft 365 テナントがあります。ゲストユーザーアクセスは有効です。ユーザーは次の表に示すように contoso.com とのコラボレーションに招待されています。
| ユーザーのメール | ユーザーの種類 | 招待の承諾 | 共有リソース |
|---|---|---|---|
| User1@outlook.com | ゲスト | いいえ | Enterprise application |
| User2@fabrikam.com | ゲスト | はい | Enterprise application |
Microsoft Entra 管理センターの外部コラボレーション設定で、コラボレーションの制限設定を次の図のように構成しています。
Microsoft SharePoint Online サイトから、あるユーザーが user3@adatum.com をサイトに招待します。
次の各ステートメントが正しい場合は「はい」を選択してください。そうでない場合は「いいえ」を選択してください。
注：正解1つにつき1点が与えられます。
【回答エリア】
| ステートメント | はい | いいえ |
|---|---|---|
| User1 は招待を承諾し、Enterprise application へのアクセスを取得できる | ||
| User2 は Enterprise application にアクセスできる | ||
| User3 は招待を承諾し、SharePoint サイトへのアクセスを取得できる |
正解：
ステートメント1： いいえ
ステートメント2： はい
ステートメント3： いいえ
解説：
コラボレーションの制限で「指定したドメインに対してのみ招待を許可する」を選び、outlook.com が許可リストに含まれていないため、User1（outlook.com）は招待が未承諾のまま引き換えがブロックされ、Enterprise application にアクセスできません（いいえ）。User2（fabrikam.com）は制限適用前に既に招待を承諾済みのゲストであり、取得済みアクセスは維持されるためアクセスできます（はい）。User3（adatum.com）は許可ドメインに含まれないため、SharePoint からの招待自体がブロックされ承諾できません（いいえ）。コラボレーションの制限は招待の送信可否をドメイン単位で制御する点が要点です。
未挑戦
☆
問 32 ホットスポット（文脈埋め込み）
3：ワークロード ID の計画と実装 / 3.2：エンタープライズ アプリケーションの統合の計画、実装、監視
3：ワークロード ID の計画と実装 / 3.2：エンタープライズ アプリケーションの統合の計画、実装、監視
Microsoft Entra ID に登録された App1 という名前のカスタムクラウドアプリがあります。App1 は次の図のように構成されています。
グラフに示された情報に基づいて、各ステートメントを完成させる回答選択肢をドロップダウンメニューから選んでください。
注：正解1つにつき1点が与えられます。
は、ホームページ URL から App1 にアクセスできる。
App1 は、 の Microsoft Office 365 アプリランチャーに表示される。
正解：
(1) ① すべてのユーザー
(2) ① すべてのユーザー
解説：
「ユーザーの割り当てが必要」が「いいえ」の場合、割り当ての有無に関係なくすべてのユーザーがアプリにアクセスでき、ホームページ URL から App1 にアクセス可能です。したがって(1)は「すべてのユーザー」です。また「ユーザーに表示しますか」が「はい」で、かつ割り当て不要のため、App1 はすべてのユーザーの Office 365 アプリランチャーに表示されます。したがって(2)も「すべてのユーザー」です。もし「ユーザーの割り当てが必要」が「はい」であれば割り当て済みユーザーのみ、「ユーザーに表示しますか」が「いいえ」であればランチャーに表示されないため、それぞれ他の選択肢が該当することになりますが、本設問の構成では両方とも「すべてのユーザー」が正解です。
未挑戦
☆
問 33 ホットスポット（文脈埋め込み）
2：認証とアクセス管理を実装する / 2.2：Microsoft Entra 条件付きアクセスの計画、実装、管理
2：認証とアクセス管理を実装する / 2.2：Microsoft Entra 条件付きアクセスの計画、実装、管理
セキュリティの既定値群が無効になっている Microsoft Entra テナントがあります。次の図のように条件付きアクセスポリシーを作成しています。
グラフに示された情報に基づいて、各ステートメントを完成させる回答選択肢をドロップダウンメニューから選んでください。
注：正解1つにつき1点が与えられます。
User1 がクラウドアプリにアクセスするときに多要素認証（MFA）を求められるようにするには、 を構成する必要がある。
User1 が8時間ごとに認証を求められるようにするには、 を構成する必要がある。
正解：
(1) ③ 許可の設定
(2) ④ セッションの設定
解説：
MFA を要求するには、アクセス制御の「許可」で「多要素認証を要求する」を選択します。よって(1)は「許可の設定」です。8時間ごとの再認証はサインインの頻度（Sign-in frequency）で制御し、これは「セッション」制御に含まれます。よって(2)は「セッションの設定」です。①条件はリスクやデバイス、場所などのシグナル評価用、②ポリシーの有効化はオン／オフ切替、⑤ユーザーとグループは適用対象の割り当てであり、いずれも MFA 要求や再認証頻度の直接設定ではないため不正解です。
未挑戦
☆
問 34 選択問題
4：ID ガバナンスの計画と自動化 / 4.1：Microsoft Entra でのエンタイトルメント管理の計画と実装
4：ID ガバナンスの計画と自動化 / 4.1：Microsoft Entra でのエンタイトルメント管理の計画と実装
Package1 という名前のアクセスパッケージと User1 という名前のユーザーを含む Microsoft Entra テナントがあります。Package1 は次の図のように構成されています。
User1 が Package1 のレビュー頻度を変更できるようにする必要があります。ソリューションは最小特権の原則を使用する必要があります。
User1 にどのロールを割り当てる必要がありますか。
正解：
D
解説：
アクセスパッケージのポリシー（レビュー頻度を含むライフサイクル設定）を変更するにはエンタイトルメント管理の管理権限が必要ですが、選択肢の中で最小特権を満たすのはユーザー管理者です。ユーザー管理者はエンタイトルメント管理を含む多くの ID 管理タスクを実行でき、アクセスパッケージのポリシー編集が可能です。セキュリティ管理者はセキュリティ機能中心でエンタイトルメント管理のポリシー編集権限を持たず、特権ロール管理者はロール割り当て管理が主でアクセスパッケージ編集の適切なロールではなく過剰、外部 ID プロバイダー管理者は外部 ID プロバイダーのフェデレーション設定用で無関係です。したがって最小特権として D が正解です。
未挑戦
☆
問 35 ホットスポット（はい/いいえ）
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
1：ユーザー ID の実装と管理 / 1.2：Microsoft Entra ID の作成、構成、管理
Group3 という名前のグループと Department1 という名前の管理単位を含む Microsoft Entra テナントがあります。
Department1 には、Users の図に示すユーザーがあります。
Department1 には、Groups の図に示すグループがあります。
Department1 には、Assignments の図に示すユーザー管理者の割り当てがあります。
Group2 のメンバーは、Group2 の図に示されています。
次の各ステートメントが正しい場合は「はい」を選択してください。そうでない場合は「いいえ」を選択してください。
注：正解1つにつき1点が与えられます。
【回答エリア】
| ステートメント | はい | いいえ |
|---|---|---|
| Admin1 は User3 と User4 のパスワードをリセットできる | ||
| Admin1 は User1 を Group3 に追加できる | ||
| Admin3 は User1 のパスワードをリセットできる |
正解：
ステートメント1： いいえ
ステートメント2： いいえ
ステートメント3： はい
解説：
Admin1 は Department1 管理単位にスコープされたユーザー管理者です。User3・User4 は Group2 のメンバーですが、グループのメンバーであることは管理単位のスコープにユーザーを含めることにはならないため、Admin1 はパスワードをリセットできません（いいえ）。Group3 は管理単位 Department1 に含まれないグループであり、かつユーザー管理者ロールはグループのメンバーシップ管理権限を持たないため、Admin1 は User1 を Group3 に追加できません（いいえ）。Admin3 はディレクトリ全体にスコープされたユーザー管理者のため、User1 を含む全ユーザーのパスワードをリセットできます（はい）。
本番模擬試験（Associate/Expert仕様 (約50問/100分/700点合格)）
本番同様の出題数と時間配分で実力を測ります。
※選択肢は自動的にシャッフルされ、試験終了時に元の順序で正解・解説が表示されます。