第1回 問題集（全般）

正解: B. B. Microsoft Entra管理センターでドメインを追加し、発行されたTXTまたはMXレコードをDNSに登録して所有権を検証する

正解の根拠・詳細解説

カスタムドメインを使用するには、まずMicrosoft Entra管理センター（旧Azure ADポータル）でドメインを追加し、発行された検証用のTXTレコード（またはMXレコード）をDNSゾーンに登録して所有権を検証する必要があります。検証が完了するまで、そのドメインをUPNサフィックスとして使用することはできません。

正解: B. B. CSVテンプレートを使った一括作成（Bulk create）

正解の根拠・詳細解説

Microsoft Entra管理センターの「ユーザー」メニューには「一括操作（Bulk operations）」があり、CSVテンプレートをダウンロードして必要な情報を入力後にアップロードすることで、複数のユーザーアカウントを一括作成・更新・削除できます。

正解: B. B. Microsoft 365グループは共有メールボックスやSharePointサイトなどコラボレーション用リソースへのアクセスを提供するが、セキュリティグループは主にリソースへのアクセス権管理に使われる

正解の根拠・詳細解説

Microsoft 365グループは、共有のメールボックス・カレンダー・SharePointサイト・Teamsチームなど、コラボレーションのためのリソース一式へのアクセスを提供します。一方セキュリティグループは主にアプリケーションやリソースへのアクセス権を管理するために使われます。動的メンバーシップはセキュリティグループとMicrosoft 365グループの両方で利用可能です。

正解: C. C. user.department -eq “Sales”のようなルール式（department属性）

正解の根拠・詳細解説

動的グループのメンバーシップルールは、ユーザーやデバイスの属性に基づくルール式で定義します。部署で絞り込む場合は (user.department -eq “Sales”) のように department 属性を使った式を作成し、条件に合致するユーザーが自動的にグループに追加・削除されます。

正解: B. B. 特定の地域・部門に属するユーザーやグループの管理権限を、テナント全体の管理者ではなく特定の管理者に限定的に委任するため

正解の根拠・詳細解説

管理単位（Administrative Unit）は、テナント内のユーザー・グループ・デバイスをサブセットに分割し、地域や部門ごとに管理者ロールをスコープを絞って割り当てるための仕組みです。これにより、グローバル管理者権限を渡さずに特定範囲の管理を委任できます。

正解: B. B. ゲストユーザー（Guest）としてディレクトリにオブジェクトが作成される

正解の根拠・詳細解説

B2Bコラボレーションで招待された外部ユーザーは、招待先のテナント内に「ゲストユーザー」としてユーザーオブジェクトが作成されます。ゲストユーザーには userType=Guest が設定され、招待元の組織が許可したリソースにのみアクセスできます。

正解: B. B. 他社（パートナー）テナントのユーザーが自社テナントのリソースへB2Bコラボレーションでアクセスする際に、適用するMFAやデバイス要求などの条件を構成する

正解の根拠・詳細解説

クロステナントアクセス設定のインバウンド設定では、パートナー組織（外部テナント）のユーザーが自社テナントへB2Bでアクセスする際に、MFA要求やデバイス準拠の要求などをどの程度信頼するかを構成します。逆に自社ユーザーが外部テナントへアクセスする条件はアウトバウンド設定で構成します。

正解: B. B. B2Bは取引先や協業先の従業員などビジネスパートナーとのコラボレーション向け、B2Cは自社が開発した消費者向けアプリケーションの顧客IDおよびアクセス管理向けである

正解の根拠・詳細解説

Microsoft Entra B2Bは、パートナー企業の従業員など外部の組織ユーザーを自社リソースにゲストとして招待し、コラボレーションを行うための機能です。一方Microsoft Entra B2Cは、自社が開発したアプリケーションのエンドユーザー（消費者）向けに、ソーシャルログインを含むカスタムのID管理基盤を提供するサービスです。

正解: A. A. Microsoft Entra Connect（旧Azure AD Connect）

正解の根拠・詳細解説

Microsoft Entra Connect（旧称Azure AD Connect）は、オンプレミスのActive Directory Domain Servicesのオブジェクト（ユーザー、グループ、デバイスなど）をMicrosoft Entra IDに同期するためのツールです。パスワードハッシュ同期やパススルー認証などの認証方法もこのツールで構成します。

正解: A. A. オンプレミスのパスワードのハッシュ値がさらにハッシュ化されてMicrosoft Entra IDに同期され、クラウド側で認証時に検証される

正解の根拠・詳細解説

パスワードハッシュ同期では、オンプレミスADのパスワードハッシュがさらにハッシュ化された状態でMicrosoft Entra IDに同期されます。ユーザーがクラウドサービスにサインインする際、Microsoft Entra IDがこの同期済みハッシュを使って直接認証を行うため、オンプレミスのインフラに依存せずに認証が完了します。

正解: B. B. 軽量エージェントを介して、認証要求がオンプレミスのActive Directoryドメインコントローラーへ転送され、そこで検証される

正解の根拠・詳細解説

パススルー認証では、オンプレミスのサーバーにインストールされた認証エージェントを通じて、サインイン時のパスワード検証要求がオンプレミスのActive Directoryに転送され、ドメインコントローラーが直接検証を行います。パスワードハッシュをクラウドに保存したくない組織で選択されることがあります。

正解: A. A. ユーザーが社内ネットワークの会社デバイスにサインインしている場合、クラウドリソースへのアクセス時にパスワード入力やユーザー名の入力を省略できるようにする

正解の根拠・詳細解説

シームレスSSOは、パスワードハッシュ同期またはパススルー認証と組み合わせて使用され、社内ネットワーク上の企業ドメイン参加済みデバイスにサインインしているユーザーが、Microsoft Entra IDで保護されたリソースに自動的にサインインできるようにする機能です。

正解: B. B. 特定のOUに含まれるオブジェクトのみをMicrosoft Entra IDへ同期対象とすることで、同期スコープを制限するため

正解の根拠・詳細解説

Microsoft Entra Connectの同期スコープ設定（OUベースのフィルタリング）を使用すると、オンプレミスADの特定の組織単位（OU）に含まれるユーザーやグループなどのオブジェクトのみを同期対象として選択できます。これにより、不要なオブジェクト（サービスアカウントなど）をクラウドに同期しないようにできます。

正解: B. B. クラウドのMicrosoft Entra IDにのみ参加しており、オンプレミスADには参加していないデバイス

正解の根拠・詳細解説

Microsoft Entra参加済み（Azure AD joined）デバイスは、オンプレミスのADドメインには参加せず、Microsoft Entra IDのみに参加している組織所有のデバイスです。これに対し、ハイブリッドMicrosoft Entra参加済みデバイスはオンプレミスADとMicrosoft Entra IDの両方に参加しており、個人デバイスの登録（Registered）はBYOD向けの軽量な関連付けです。

正解: B. B. オンプレミスのActive Directoryドメインに参加しつつ、同時にMicrosoft Entra IDにも登録されているデバイス

正解の根拠・詳細解説

ハイブリッドMicrosoft Entra参加済みデバイスは、従来どおりオンプレミスのActive Directoryドメインに参加している会社所有のデバイスが、同時にMicrosoft Entra IDにも登録された状態を指します。これにより、条件付きアクセスでデバイス準拠状態を確認するなどクラウドの機能も利用できます。

正解: B. B. 管理者がグループにライセンスを割り当てることで、グループメンバーの追加・削除に応じてライセンスの割り当て・解除が自動的に行われる

正解の根拠・詳細解説

グループベースライセンスを使用すると、管理者はセキュリティグループに対してライセンス（Microsoft 365、Entra ID P1/P2など）を割り当てることができ、グループへのメンバー追加・削除に応じて自動的にライセンスが付与・解除されます。これにより手動でのライセンス管理の手間が大幅に削減されます。

正解: A. A. ユーザーのUsageLocation（使用場所）属性が設定されていない

正解の根拠・詳細解説

ライセンス割り当てエラーの典型的な原因の一つは、ユーザーのUsageLocation（使用場所）属性が設定されていないことです。Microsoft 365やAzureのライセンスには国・地域ごとの法的規制が関わるため、UsageLocationが未設定の場合ライセンスを正しく割り当てられません。

正解: A. A. 削除後30日以内であれば復元（リストア）が可能

正解の根拠・詳細解説

Microsoft Entra IDでユーザーやグループを削除すると、既定では30日間「削除済みアイテム」として保持され、その期間内であれば管理者が復元（リストア）できます。30日を過ぎると完全に削除され、復元できなくなります。

正解: A. A. ユーザーやリソースに組織独自の属性（タグ）を付与し、条件付きアクセスやアクセスレビュー、RBACのスコープ条件として活用する

正解の根拠・詳細解説

カスタムセキュリティ属性は、ユーザーやその他のオブジェクトに組織独自のビジネス属性（例: プロジェクト名、コスト センター、データ機密度など）を付与できる機能です。これらの属性は、Azure RBACの条件や、アクセス制御のスコープ設定などに利用できます。

正解: B. B. グループ名に組織のルールに沿ったプレフィックス・サフィックス（例: 部門名）を自動的に付与し、命名規則の一貫性を保つため

正解の根拠・詳細解説

Microsoft 365グループの命名ポリシーを設定すると、グループ作成時に組織が定めたプレフィックスやサフィックス（部署名、地域コードなど）が自動的にグループ名に追加され、命名規則の統一やグループの識別がしやすくなります。また特定の単語の使用を禁止するブロックリストも設定できます。

正解: B. B. 自分でMicrosoft 365グループやセキュリティグループを作成し、メンバーシップ要求を管理できる

正解の根拠・詳細解説

セルフサービスグループ管理を有効化すると、エンドユーザーは管理者の介在なしに自分でグループを作成したり、既存グループへの参加を要求したりできます。これにより管理者の作業負荷を減らしながら、必要な共同作業環境を素早く立ち上げることができます。

正解: B. B. オンプレミスの同期環境（Entra ConnectサーバーやAD FSサーバーなど）の稼働状況やパフォーマンスを監視し、アラートを提供する

正解の根拠・詳細解説

Microsoft Entra Connect Health は、ハイブリッドID環境を支えるオンプレミスのコンポーネント（Entra Connectサーバー、AD FS、ADドメインコントローラーなど）の健全性、パフォーマンス、同期エラーなどを監視し、問題発生時にアラートを通知するサービスです。

正解: B. B. 認証要求はオンプレミスのフェデレーションサーバー（例: AD FS）にリダイレクトされ、そこで認証が行われた後にトークンが発行される

正解の根拠・詳細解説

フェデレーション認証では、ユーザーがクラウドサービスにサインインする際、認証要求はオンプレミスのフェデレーションサービス（例: Active Directory フェデレーション サービス、AD FS）にリダイレクトされます。AD FSがユーザーを認証し、署名されたトークンをMicrosoft Entra IDに返すことでサインインが完了します。

正解: B. B. 外部コラボレーション設定（External collaboration settings）でゲスト招待者の役割を限定する

正解の根拠・詳細解説

Microsoft Entra管理センターの「外部コラボレーション設定」では、ゲストユーザーを招待できるユーザーの範囲（全員、管理者とメンバーの招待者ロールを持つユーザーのみ、管理者のみなど）を制御できます。これにより組織のセキュリティポリシーに応じてゲスト招待を制限できます。

正解: B. B. User Principal Name (UPN)

正解の根拠・詳細解説

User Principal Name（UPN）は、ユーザーがMicrosoft Entra IDにサインインする際に使用する一意の識別子で、通常はメールアドレスと同じ形式（例: user@contoso.com）です。UPNサフィックスにはテナントのカスタムドメインを使用することが推奨されます。

正解: B. B. ImmutableID（sourceAnchor）

正解の根拠・詳細解説

ImmutableID（ソースアンカー、sourceAnchorとも呼ばれる）は、オンプレミスのADオブジェクトとMicrosoft Entra IDのオブジェクトを一意に関連付けるための属性です。既定ではADのobjectGUID属性が使用されます。この値は同期後に変更すべきではありません。

正解: B. B. 管理単位（Administrative Unit）を作成し、各子会社のユーザー・グループをそれぞれの管理単位に割り当て、子会社ごとの管理者ロールをスコープ付きで割り当てる

正解の根拠・詳細解説

管理単位（Administrative Unit）を活用することで、各子会社のユーザーやグループをそれぞれの管理単位に割り当て、その管理単位内でのみ有効な管理者ロール（例: ヘルプデスク管理者）を委任できます。これにより、グローバル管理者権限を渡さずに各子会社の管理者が自身の範囲のみを管理できます。

正解: B. B. 信頼関係を結んだ2つのMicrosoft Entraテナント間で、ゲストアカウントを作成せずにTeamsの共有チャネルなどに直接参加できる相互テナント関係を構築する

正解の根拠・詳細解説

B2B直接接続は、相互に信頼関係を構成した2つのMicrosoft Entraテナントのユーザーが、互いのテナントにゲストアカウントを作成することなく、Teamsの共有チャネルなどのリソースに直接アクセス・参加できるようにする機能です。

正解: B. B. マイアカウントポータル（My Account / myaccount.microsoft.com）

正解の根拠・詳細解説

「マイアカウント」ポータル（myaccount.microsoft.com）は、エンドユーザーが自身のプロフィール情報の確認・更新、セキュリティ情報（MFA用の電話番号や認証アプリ）の管理、パスワードの変更、参加しているグループの確認などを行えるセルフサービスポータルです。

正解: B. B. グローバル管理者

正解の根拠・詳細解説

新規にMicrosoft Entraテナント（ディレクトリ）を作成すると、その作成を行ったユーザーアカウントには自動的に「グローバル管理者」ロールが割り当てられます。グローバル管理者はテナント内のすべての管理機能にアクセスできる最上位のロールです。

正解: A. A. 対象ユーザー/グループ、クラウドアプリ、ネットワークの場所（名前付きロケーション）、デバイスプラットフォーム、サインインリスク

正解の根拠・詳細解説

条件付きアクセスポリシーの「割り当て」セクションでは、対象とするユーザー/グループ、対象となるクラウドアプリやアクション、ネットワークの場所（名前付きロケーション）、デバイスプラットフォーム、クライアントアプリ、サインインリスクレベルなど、さまざまな条件を組み合わせて適用範囲を定義します。

正解: A. A. 多要素認証を要求する、準拠デバイスを要求する、承認済みクライアントアプリを要求するなど

正解の根拠・詳細解説

条件付きアクセスの「アクセス制御」では、ポリシーの条件に一致した場合にアクセスを許可するための要件（MFAを要求する、準拠デバイスである必要がある、Microsoft Entraハイブリッド参加済みデバイスである必要がある、承認済みクライアントアプリを要求するなど）を設定します。複数指定時にはAND/ORの組み合わせも選択できます。

正解: B. B. Microsoft Defender for Cloud Appsと連携してアプリ強制制限を適用したり、サインイン頻度を設定したりする

正解の根拠・詳細解説

セッション制御では、Microsoft Defender for Cloud Apps（条件付きアクセスアプリ制御）と連携してブラウザーセッション内のダウンロード制限などを適用したり、サインイン頻度（一定期間ごとに再認証を要求）や永続的なブラウザーセッションの設定を構成したりできます。

正解: A. A. 条件付きアクセスの「What If」ツール

正解の根拠・詳細解説

条件付きアクセスの「What Ifツール」を使用すると、特定のユーザー、アプリ、場所、デバイスなどの条件を入力し、既存のどのポリシーが適用される（または適用されない）かをシミュレーションできます。新しいポリシーを「レポートのみ」モードで作成し、影響を事前に確認する際にも有用です。

正解: A. A. Microsoft Authenticatorアプリのプッシュ通知、SMS、音声通話、FIDO2セキュリティキーなど

正解の根拠・詳細解説

Microsoft Entra IDのMFAでは、Microsoft Authenticatorアプリ（プッシュ通知やワンタイムパスコード）、SMSによるテキストメッセージ、音声通話、FIDO2セキュリティキー、Windows Hello for Businessなど複数の認証方法をサポートしています。組織は認証方法ポリシーでどの方法を許可するかを制御できます。

正解: B. B. FIDO2セキュリティキー、Windows Hello for Business、Microsoft Authenticatorの電話によるサインイン（Phone Sign-in）

正解の根拠・詳細解説

Microsoft Entra IDがサポートするパスワードレス認証方式には、FIDO2セキュリティキー、Windows Hello for Business（デバイスに組み込まれた生体認証やPIN）、Microsoft Authenticatorアプリを使った電話によるサインイン（パスワードレス）があります。これらはパスワードの入力なしで強力な認証を実現します。

正解: B. B. 認証方法（電話番号、メールアドレス、セキュリティの質問など、ポリシーで指定された認証方法）

正解の根拠・詳細解説

SSPRを利用するには、ユーザーが事前に認証方法（モバイル電話番号、代替メールアドレス、認証アプリ通知、セキュリティの質問など、管理者が許可したオプションの中から指定数）を登録しておく必要があります。パスワード忘れ時にこれらの方法で本人確認を行い、自分でパスワードをリセットできます。

正解: B. B. 組織名やサービス名など、推測されやすい単語を含むパスワードの設定を禁止し、パスワードスプレー攻撃のリスクを低減するため

正解の根拠・詳細解説

パスワードプロテクションのカスタム禁止パスワードリストでは、会社名・製品名・地域名などの組織固有の用語を登録し、それらを含むパスワードの設定を禁止できます。Microsoftのグローバル禁止パスワードリストと組み合わせることで、推測されやすい弱いパスワードの使用を防ぎ、パスワードスプレー攻撃への耐性を高めます。

正解: B. B. 失敗したサインイン試行のパターンを分析し、既知の正規ユーザーのデバイスやアプリからのサインインと、見知らぬ場所からの攻撃的な試行を区別してロックアウトする

正解の根拠・詳細解説

スマートロックアウトは、サインイン失敗の試行パターンを分析し、ユーザーの通常のサインイン挙動（既知のデバイス・場所）と、ブルートフォース攻撃やパスワードスプレー攻撃のような不審な試行を区別します。これにより、正規ユーザーの利便性を損なわずに不正アクセスの試行をロックアウトできます。

正解: B. B. 匿名IPアドレス（Torなど）からのサインインや、地理的に通常あり得ない移動（Impossible travel）を伴うサインイン

正解の根拠・詳細解説

Identity Protectionは、匿名IPアドレス（Tor出口ノードなど）からのアクセス、不可能な移動（短時間で地理的に離れた2か所からのサインイン）、マルウェアにリンクされたIPアドレスからのアクセスなどを検出し、サインインリスクとして「高」「中」「低」に分類します。これらのリスク検出は条件付きアクセスのリスクベースポリシーで利用できます。

正解: B. B. パスワードの変更を必須にする、またはアクセスをブロックする

正解の根拠・詳細解説

ユーザーリスクポリシーでは、Identity Protectionが「高リスク」と判定したユーザーアカウント（漏えいした資格情報の検出など）に対して、安全なパスワード変更を要求する、またはアクセス自体をブロックするといった対応を条件付きアクセス経由で自動的に適用できます。

正解: B. B. ユーザー管理者（User Administrator）

正解の根拠・詳細解説

ユーザー管理者（User Administrator）ロールは、ユーザーアカウントの作成・更新・削除、パスワードのリセット、グループ管理などを行えますが、グローバル管理者などの特権ロールを持つユーザーの管理は行えません。これは最小権限の原則に基づいたロール設計の一例です。

正解: B. B. 通常はロールが非アクティブの状態であり、必要な時にユーザーがアクティブ化（Activate）の要求を行うことで、一定時間だけそのロールの権限を利用できるようになる割り当て

正解の根拠・詳細解説

PIMの「適格な割り当て」は、ユーザーが特権ロール（例: グローバル管理者）に対して常時アクセス権を持つのではなく、必要なときに自分でアクティブ化要求（多くの場合MFAや承認、理由の入力を伴う）を行い、設定された期間だけそのロールの権限を一時的に得られる仕組みです。これにより常時付与（Just Always On）のリスクを低減します。

正解: B. B. 重要な権限の利用開始時に第三者のレビューを挟むことで、不正使用や誤操作のリスクを低減し、監査証跡を残すため

正解の根拠・詳細解説

PIMでロールのアクティブ化に承認を必須にすると、ユーザーが特権ロールを使用したい場合、指定された承認者の承認が下りるまでロールが有効化されません。これにより、重要な権限の利用が適切な監督下で行われ、不正利用のリスク低減や監査要件への対応につながります。

正解: A. A. 特定のアプリへのアクセス時に、フィッシング耐性のある認証方法（FIDO2、証明書ベース認証など）のみを要求するなど、許可する認証方法の組み合わせを細かく制御するため

正解の根拠・詳細解説

認証強度は、条件付きアクセスのアクセス制御として使用でき、「MFA」と一括りにするだけでなく、フィッシング耐性のある認証方法（FIDO2セキュリティキー、証明書ベース認証、Windows Hello for Businessなど）に限定して要求するなど、許容する認証方法の組み合わせをより細かく制御できます。

正解: A. A. パスワードを完全に廃止しつつ、追加のフェデレーションサービス（AD FSなど）を構築せずにスマートカードなどによるパスワードレス認証を実現できる

正解の根拠・詳細解説

Microsoft Entra ID独自の証明書ベース認証機能を使用すると、従来AD FSなどのフェデレーションサービスが必要だったスマートカードや電子証明書による認証を、Microsoft Entra ID単体（クラウドのみ）で実現できます。これによりパスワードレス認証の選択肢が広がります。

正解: B. B. 新入社員のオンボーディングや、認証方法を失ったユーザーへの一時的なサインイン手段として、有効期限付きのワンタイムまたは限定回数のパスコードを発行し、パスワードレス認証方法の登録などに利用する

正解の根拠・詳細解説

一時アクセスパス（TAP）は、有効期限と利用回数を設定できる一時的な認証情報です。新入社員がアカウント初回設定時にパスワードレス認証方法（Authenticator appやFIDO2キーなど）を登録する際や、通常の認証方法を利用できなくなったユーザーが一時的にサインインする際に活用されます。

正解: A. A. 特定のIPアドレス範囲や国・地域を「信頼できる場所」または特定の地域として定義し、条件付きアクセスポリシーの条件として利用するため

正解の根拠・詳細解説

名前付きの場所では、オフィスのIPアドレス範囲を「信頼できる場所」として登録したり、特定の国・地域をブロック対象として定義したりできます。これらの名前付き場所は、条件付きアクセスポリシーの条件（場所に基づくアクセス制御）として利用されます。

正解: A. A. サインインの成功・失敗、使用されたアプリケーション、IPアドレス、デバイス情報、適用された条件付きアクセスポリシーの結果など

正解の根拠・詳細解説

サインインログには、誰が・いつ・どのアプリケーションに・どのデバイス/場所からサインインを試行したか、その結果（成功/失敗）、さらに条件付きアクセスポリシーがどのように評価・適用されたかなどの詳細情報が記録されます。トラブルシューティングやセキュリティ監査に活用されます。

正解: B. B. 「レポート専用（Report-only）」モードで作成し、実際にアクセスがブロック・許可される前にログで影響を確認する

正解の根拠・詳細解説

新しい条件付きアクセスポリシーは、まず「レポート専用」モードで有効化することが推奨されます。このモードでは実際のアクセス制御は行われませんが、ポリシーが適用された場合の結果がサインインログに記録されるため、本番展開前に意図しない影響がないかを確認できます。

正解: A. A. セキュリティの既定値群（Security defaults）またはConditional Access テンプレート「すべてのユーザーに対してMFAを要求する」

正解の根拠・詳細解説

小規模な組織やライセンスを持たない組織向けには「セキュリティの既定値群（Security defaults）」が、より柔軟な制御が必要な組織（Entra ID P1/P2）向けには条件付きアクセスのテンプレート「すべてのユーザーに対してMFAを要求する」が用意されており、これらを使うことで簡単に全ユーザーへのMFA要求を有効化できます。

正解: B. B. 割り当て期間はユーザーがそのロールに対して適格・アクティブ割り当てを持つ期間（例: 6か月間）を指し、アクティブ化の最大期間はユーザーが一度のアクティブ化要求でロールを利用できる連続時間（例: 8時間）を指す

正解の根拠・詳細解説

割り当て期間は、ユーザーがそのロールに対する適格（Eligible）または恒常的（Active）な割り当てを保持している全体の期間（例: 開始日から6か月間）を指します。一方、アクティブ化の最大期間は、ユーザーが「アクティブ化」操作を行った際に、そのロールが実際に有効になっている1回あたりの時間（例: 最大8時間）を指します。

正解: B. B. 最小権限の原則に基づき、特権アカウントの侵害時の被害範囲を最小化し、内部不正のリスクも低減するため

正解の根拠・詳細解説

最小権限の原則は、ユーザーに業務上必要な最小限の権限のみを付与するという考え方です。特権ロールの割り当てを必要最小限の管理者に限定することで、アカウントが侵害された場合の被害範囲を抑え、内部不正やヒューマンエラーによるリスクも低減できます。PIMの利用と組み合わせることでさらに強化されます。

正解: B. B. MFA疲労攻撃（MFA fatigue attack、ユーザーに繰り返し承認通知を送り誤って承認させる攻撃）

正解の根拠・詳細解説

番号確認（Number matching）は、Microsoft Authenticatorのプッシュ通知に表示された番号を、サインイン画面に表示された番号と一致させて入力させることで、攻撃者が大量のプッシュ通知を送りユーザーが誤って承認してしまう「MFA疲労攻撃」を防ぐための機能です。

正解: B. B. 管理者が許可していない国・地域からのアクセスや、レガシー認証プロトコルを使用するクライアントからのアクセスをブロックする

正解の根拠・詳細解説

ブロックの一般的な使用例としては、特定の国・地域からのアクセスをブロックする、または基本認証（レガシー認証）を使用するクライアント（多くの場合MFAをバイパスできてしまう古いプロトコル）からのアクセスを一律ブロックする、といったポリシーが挙げられます。

正解: A. A. 設定の変更権限を持たずに、グローバル管理者と同等の範囲をすべて読み取り専用で参照できるため、監査担当者やヘルプデスクのエスカレーション先として利用する

正解の根拠・詳細解説

グローバル閲覧者（Global Reader）ロールは、グローバル管理者が参照できる設定や構成情報のほぼすべてを「読み取り専用」で確認できますが、変更操作は行えません。コンプライアンス担当者や監査担当者、トラブルシュート時に設定変更権限なしで広く状況を把握したい場合に適しています。

正解: B. B. レガシー認証プロトコル（POP、IMAP、古いOffice クライアントなど）は多要素認証をサポートしないことが多く、パスワードスプレー攻撃の主要な標的となっているため

正解の根拠・詳細解説

レガシー認証（基本認証）プロトコルはMFAをサポートしないため、攻撃者にとってパスワードスプレー攻撃を成功させやすい経路になっています。条件付きアクセスでレガシー認証クライアントからのアクセスをブロックすることは、Microsoftが推奨する基本的なセキュリティ強化策の一つです。

正解: A. A. セキュリティ情報（Security info）ページ（aka.ms/mysecurityinfo）

正解の根拠・詳細解説

ユーザーは「セキュリティ情報（Security info）」ページにアクセスすることで、MFAやSSPRで使用する認証方法（電話番号、Authenticatorアプリ、FIDO2キーなど）の登録・変更・削除を自分で行うことができます。

正解: B. B. 条件に一致するすべてのポリシーが評価され、それぞれのアクセス制御の要件がAND条件で組み合わされて適用される（つまり、最も厳しい要件をすべて満たす必要がある）

正解の根拠・詳細解説

複数の条件付きアクセスポリシーの条件にユーザーやアクセスの状況が一致する場合、該当するすべてのポリシーが評価され、それぞれが要求するアクセス制御（MFA、準拠デバイスなど）はすべて満たす必要があります（暗黙的なAND条件）。つまり、適用されるポリシーが増えるほど要件は厳しくなります。

正解: B. B. グローバル管理者はテナント全体に対するほぼ無制限の権限を持つため、アカウントが侵害された場合の被害が極めて大きく、適切な権限分散とPIMの活用によりリスクを低減する必要があるため

正解の根拠・詳細解説

グローバル管理者はテナント内のほぼすべての管理機能にアクセスでき、他のユーザーへのロール割り当てや構成の変更も行えるため、このアカウントが侵害されると被害はテナント全体に及びます。したがって、常時この権限を保持するアカウントは必要最小限にとどめ、日常業務にはユーザー管理者やヘルプデスク管理者のように、担当業務に必要な範囲だけを持つ組み込みロールを使い分けるのが、最小権限の原則にかなった設計です。さらにPrivileged Identity Management（PIM）を利用して、権限を常時付与するのではなく「対象（適格）」として割り当て、必要なときだけ承認や多要素認証を伴って一定時間だけ有効化する運用にすれば、権限が悪用され得る時間の窓を大幅に狭められます。あわせて、すべての管理者に多要素認証を必須とし、管理者全員がサインインできなくなった場合に備えた緊急アクセス用アカウントを用意しておくことも重要です。人数の目安はライセンスや技術的な上限ではなく、あくまでリスク低減のための推奨事項です。

正解: B. B. アプリの登録はアプリケーションオブジェクト（グローバルな定義）を作成するもので、エンタープライズアプリケーションはそのアプリをテナント内で利用するためのサービスプリンシパル（インスタンス）を表す

正解の根拠・詳細解説

アプリを登録すると、グローバルなアプリケーションオブジェクト（アプリの登録）と、それをそのテナントで使用するためのサービスプリンシパル（エンタープライズアプリケーション一覧に表示される）の両方が作成されます。エンタープライズアプリケーションは、テナント内でのそのアプリのインスタンスとしてアクセス権の割り当てなどに使われます。

正解: A. A. 委任された権限はサインインしたユーザーの代わりにアプリが行う操作の権限であり、アプリケーション権限はユーザーの介在なしにアプリ自身（バックグラウンドサービスなど）が持つ権限である

正解の根拠・詳細解説

委任された権限（Delegated permissions）は、サインインしているユーザーに代わってアプリが実行できる操作を定義し、ユーザーが持つ権限の範囲内でのみ動作します。一方、アプリケーション権限（Application permissions、ロールベース）は、ユーザーがサインインしていない状態でアプリ自身（デーモンやバックグラウンドサービス）が独立して操作するための権限で、通常は管理者の同意が必要です。

正解: B. B. アプリケーション権限を要求する場合、または組織全体に影響を与える高い特権の委任された権限（例: すべてのユーザーのメールボックスへのフルアクセス）を要求する場合

正解の根拠・詳細解説

アプリケーション権限（ユーザーの介在なしにテナント全体のデータへアクセスできる権限）や、組織全体に大きな影響を及ぼす高い特権の委任された権限を要求するアプリは、個々のユーザーの同意だけでは付与できず、管理者による同意（Admin consent）が必要です。

正解: B. B. ユーザーは新しいアプリへのアクセス許可を自分で同意できなくなり、必要な権限を持つ管理者の同意が必須になる

正解の根拠・詳細解説

ユーザーの同意設定を制限すると、エンドユーザーが新しいアプリケーションに対して自分自身でアクセス許可（コンセント）を与えることができなくなり、管理者（または管理者の同意ワークフローを通じて許可された権限を持つユーザー）が代わりに同意を行う必要があります。これにより、悪意のあるアプリへの不用意な同意（コンセントフィッシング）のリスクを低減できます。

正解: B. B. ユーザーが管理者の同意が必要なアプリへのアクセスを要求した際に、指定されたレビュー担当者に通知が送られ、承認・拒否のプロセスを経て対応できる

正解の根拠・詳細解説

管理者の同意ワークフローを有効にすると、ユーザーが管理者同意が必要なアプリへのアクセスを要求した場合、指定されたレビュー担当者（管理者など）に通知が届き、申請内容を確認した上で承認または拒否を行えます。これにより、ユーザーの同意を完全に禁止しつつも、業務上必要なアプリの利用申請に対応できます。

正解: A. A. IDプロバイダー（Microsoft Entra ID）とサービスプロバイダー（対象アプリ）間で、エンティティID、応答URL（ACS URL）、署名証明書などを相互に設定する

正解の根拠・詳細解説

SAMLベースのSSOでは、Microsoft Entra ID（IDプロバイダー）側でエンティティID（識別子）や応答URL（Reply URL/ACS URL）、署名証明書などを設定し、対象アプリ（サービスプロバイダー）側にもこれらの情報を登録することで、相互に信頼関係を構築し、ユーザーがMicrosoft Entra IDの認証情報でアプリにサインインできるようになります。

正解: B. B. オンプレミス環境で稼働するWebアプリケーションに、VPNを構築せずに外部（リモートワーカーなど）からセキュアにアクセスできるようにし、条件付きアクセスなどのクラウドの機能を適用する

正解の根拠・詳細解説

アプリケーションプロキシは、オンプレミスで稼働するWebアプリケーション（社内イントラサイトなど）に対して、VPNなどのリモートアクセスインフラを構築せずに、社外からMicrosoft Entra IDの認証を介してセキュアにアクセスできるようにする機能です。条件付きアクセスやMFAなどクラウドのセキュリティ機能をオンプレミスアプリにも適用できます。

正解: B. B. プライベートネットワークコネクタ（Private Network Connector / Application Proxy connector）

正解の根拠・詳細解説

アプリケーションプロキシを利用するには、オンプレミスのアプリケーションサーバーと同じネットワーク上に「プライベートネットワークコネクタ（旧称: アプリケーションプロキシコネクタ）」をインストールする必要があります。このコネクタが、外部からのアクセス要求をMicrosoft Entra IDから受け取り、内部のアプリケーションへ中継します。

正解: B. B. アプリケーション内で「Reader」「Approver」「Admin」のようなカスタムロールを定義し、ユーザーやグループ、サービスプリンシパルに割り当てることで、アプリ内の権限レベルを制御するため

正解の根拠・詳細解説

アプリロールは、アプリの登録時に開発者が定義できるカスタムロール（例: 読み取り専用ユーザー、承認者、管理者など）です。これらのロールはユーザーやグループ、または他のサービスプリンシパルに割り当てることができ、トークンに含まれてアプリ側で権限の判断に使用されます。

正解: A. A. シングルテナントアプリは登録された1つのテナントのユーザーのみがサインイン可能で、マルチテナントアプリは任意のMicrosoft Entraテナントのユーザーがサインイン可能（SaaSベンダーが提供するアプリなどで利用）

正解の根拠・詳細解説

アプリの登録時に「サポートされているアカウントの種類」を選択します。シングルテナント（この組織ディレクトリのみ）に設定すると、登録したテナントのユーザーのみがサインインできます。マルチテナント（任意の組織ディレクトリ）に設定すると、他のMicrosoft Entraテナントのユーザーもそのアプリにサインインできるようになり、SaaSアプリの提供などで使われます。

正解: B. B. 証明書ベースの認証はクライアントシークレットよりもセキュリティが高いとされ、本番環境では証明書の使用が推奨される。クライアントシークレットには有効期限があり定期的な更新が必要

正解の根拠・詳細解説

クライアントシークレットとX.509証明書は、アプリ（サービスプリンシパル）がMicrosoft Entra IDに対して自身を証明するための資格情報です。証明書ベースの認証は秘密鍵がクライアント側に留まるためより安全とされ、本番環境では証明書の使用が推奨されます。いずれも有効期限管理と定期的なローテーションが重要です。

正解: B. B. Microsoft Entra IDと連携するSaaSアプリケーション間で、ユーザーやグループのアカウント情報（作成・更新・無効化）を自動的に同期するため

正解の根拠・詳細解説

SCIM（System for Cross-domain Identity Management）は、Microsoft Entra IDと対応するSaaSアプリケーション（Slack、ServiceNowなど）間で、ユーザーアカウントの作成・更新・無効化（ライフサイクル）を自動的に同期するための標準プロトコルです。これにより、ユーザーの入退社や部署異動に応じてアプリ側のアカウントも自動的に最新状態に保たれます。

正解: B. B. 発行元が確認済み（Publisher verified）で、要求する権限のリスクが低いアプリに限り、ユーザー自身が同意できるようにすることで、利便性とセキュリティのバランスを取るため

正解の根拠・詳細解説

カスタムのアプリ同意ポリシーを使用すると、例えば「発行元が確認済み」かつ「低リスクの権限のみを要求する」アプリに限ってユーザー自身の同意を許可し、それ以外のアプリは管理者の同意を必須にするなど、リスクに応じた柔軟な同意ポリシーを構成できます。

正解: B. B. アプリの発行元がMicrosoft 365開発者プログラムなどで身元確認済みであることが同意画面でユーザーに示され、信頼性の判断材料となる

正解の根拠・詳細解説

発行元の確認済みアプリには、同意画面に確認済みバッジが表示されます。これにより、ユーザーや管理者は、そのアプリの発行元がMicrosoftによって本人確認を受けた組織であることを確認でき、同意を許可するかどうかの判断材料になります。

正解: B. B. テナント内の全ユーザーが自動的にそのアプリにアクセスできる状態を防ぎ、明示的に割り当てられたユーザー・グループのみがアプリにアクセスできるように制限するため

正解の根拠・詳細解説

「ユーザーの割り当てが必要」を有効にすると、そのエンタープライズアプリケーションには明示的にユーザーやグループを割り当てた場合のみアクセスが許可されます。これにより、組織内の誰でもアプリにアクセスできてしまう状態を防ぎ、最小権限の原則に基づいたアクセス制御が可能になります。

正解: B. B. 特定の機密性の高いアプリ（例: 人事システム）にアクセスする場合のみ、追加のMFAや準拠デバイスを要求するなど、アプリごとに異なるアクセス要件を設定する

正解の根拠・詳細解説

条件付きアクセスポリシーの対象アプリに特定のアプリを指定することで、すべてのアプリに同じ要件を課すのではなく、特に機密性が高いアプリ（財務システムや人事システムなど）に限定して、追加のMFAやデバイス準拠の要求などのより厳しいアクセス要件を適用できます。

正解: B. B. アプリ自体はMicrosoft Entra IDと認証を連携しておらず、Microsoft Entra のマイアプリ（My Apps）ポータルにそのアプリへのリンク（URL）を追加するだけで、ユーザーがアクセスしやすくする方法

正解の根拠・詳細解説

リンクベースのSSO（リンク先のサインオン）は、アプリ側で実際のSSO連携が構成されていない場合に、My Appsポータルなどにそのアプリへのリンク（URL）を追加するだけの簡易的な方法です。実際の認証連携は行われず、単にアクセスのショートカットを提供するだけです。

正解: B. B. Microsoft Entra IDにユーザーのアプリ用の資格情報（ユーザー名・パスワード）を安全に保存し、ブラウザー拡張機能などを通じてログインフォームに自動入力する

正解の根拠・詳細解説

パスワードベースSSO（フォームベースSSOとも呼ばれる）は、アプリ自体がSAMLなどの連携プロトコルをサポートしていない場合に、ユーザーのそのアプリ用のユーザー名・パスワードをMicrosoft Entra IDに安全に格納し、ブラウザー拡張機能（マイアプリ拡張機能）がログインフォームに自動入力することで、ユーザー側はMicrosoft Entra IDへのサインインのみで利用できるようにする仕組みです。

正解: B. B. アプリケーションがテナント内のリソースにアクセスするために使用する、アプリのID（テナント内でのセキュリティプリンシパル）を表すオブジェクト

正解の根拠・詳細解説

サービスプリンシパルは、アプリケーション（またはサービス、デーモン）がMicrosoft Entra IDで認証され、リソースへのアクセス権を持つために必要な、テナント内のアイデンティティを表すオブジェクトです。アプリの登録（グローバルなアプリケーションオブジェクト）に対応する、各テナントにおけるそのアプリの「インスタンス」と考えることができます。

正解: B. B. どのアプリがどのユーザーによってどの程度利用されているか、またサインインアクティビティの傾向

正解の根拠・詳細解説

使用状況と分析情報のレポートでは、組織内でどのアプリがどのくらいの頻度・人数で利用されているかなどのサインインアクティビティを確認できます。利用されていないアプリの整理や、利用状況に基づくライセンスの見直しなどに活用されます。

正解: B. B. ユーザーの介在なしに、バックグラウンドで動作するデーモンアプリやサービス間通信が、自身のアイデンティティ（アプリケーション権限）でリソースにアクセスするシナリオ

正解の根拠・詳細解説

クライアントクレデンシャルフローは、ユーザーが関与しないアプリ間通信（例: バックグラウンドジョブが定期的にMicrosoft Graph APIを呼び出してレポートを生成するなど）で使用されます。アプリは自身のクライアントID・シークレット（または証明書）を使ってトークンを取得し、付与されたアプリケーション権限の範囲でリソースにアクセスします。

正解: B. B. エンタープライズアプリケーションの「権限」タブやMicrosoft Graphを使ったアプリの同意状況のレポート（OAuth permission grants）

正解の根拠・詳細解説

管理者は、エンタープライズアプリケーションごとの「権限」タブや、Microsoft Graph APIを使用してテナント全体のOAuth同意許可（permission grants）を一覧表示・分析することで、過剰な権限を要求しているアプリや、ユーザーが不用意に同意してしまったアプリを洗い出すことができます。これはセキュリティ上のガバナンス活動として重要です。

正解: B. B. GitHub ActionsやKubernetesなどの外部のワークロードが、シークレットを保存せずにトークン交換によってMicrosoft Entra IDのアプリのIDを使用してリソースにアクセスするシナリオ

正解の根拠・詳細解説

フェデレーション資格情報を使用すると、GitHub ActionsのワークフローやKubernetesのサービスアカウントなどの外部のワークロードIDが、クライアントシークレットや証明書をMicrosoft Entra IDに保存することなく、信頼関係に基づくトークン交換によってアプリのIDを引き受け、Azureリソースなどにアクセスできます。シークレット管理の負担とリスクを軽減します。

正解: B. B. 各SaaSアプリをMicrosoft Entra IDのエンタープライズアプリケーションとして登録し、SAMLまたはOIDCベースのSSOを構成する

正解の根拠・詳細解説

複数のSaaSアプリケーションに対するSSOを実現するには、各アプリをエンタープライズアプリケーションとして登録し、対応するプロトコル（SAMLまたはOpenID Connect/OAuth 2.0）でSSOを構成します。これにより、ユーザーはMicrosoft Entra IDへの1回のサインインで、許可されたすべてのアプリにシームレスにアクセスできます。

正解: B. B. 認証が成功した後、Microsoft Entra IDが認証応答（トークンや認証コード）を送信する先のエンドポイントを指定するもの

正解の根拠・詳細解説

リダイレクトURI（応答URLとも呼ばれる）は、ユーザーが認証に成功した後、Microsoft Entra IDが認証コードやトークンを返す先のエンドポイントです。アプリ側で正しく構成されていないと、認証フローが完了せずエラーになります。セキュリティ上、登録されていないURIへのリダイレクトは許可されません。

正解: B. B. これらはテナント全体のユーザー情報やメールへのアクセスを許可する強力な権限であるため、管理者の同意が必要であり、最小権限の原則に基づき本当に必要な権限のみを許可すべきである

正解の根拠・詳細解説

「User.Read.All」や「Mail.Read」のようなアプリケーション権限は、ユーザーの操作を介さずにテナント全体のユーザー情報やメールボックスへアクセスできる強力な権限です。これらは管理者の同意が必要であり、付与する際は本当にその権限が必要かを慎重に評価し、最小権限の原則に従うべきです。

正解: B. B. Azureポータル、Microsoft Entra管理センター、Exchange管理センターなど、管理用ポータル全体へのアクセスに対する条件（例: 管理者は常にMFAと準拠デバイスを要求）

正解の根拠・詳細解説

「Microsoft Admin Portals」をターゲットに選択すると、Azureポータル、Microsoft Entra管理センター、Exchange管理センター、Microsoft 365 管理センターなど、管理者向けのポータル全体へのアクセスに対してポリシーが適用されます。管理者アクセスには特に厳格な条件（MFA必須、準拠デバイス必須など）を課すための一般的な構成です。

正解: B. B. 任意の組織ディレクトリ内のアカウント（マルチテナント）

正解の根拠・詳細解説

複数の顧客企業（複数のテナント）にアプリを提供するSaaSベンダーは、アプリの登録時に「任意の組織ディレクトリ（マルチテナント）」を選択することで、各顧客企業の管理者がそのアプリに同意してエンタープライズアプリケーションとして自社テナントに追加できるようになります。

正解: B. B. アプリが必要とする追加のユーザー属性（部署名、従業員IDなど）やグループ情報をトークンに含めることで、アプリ側での認可判断に利用できるようにするため

正解の根拠・詳細解説

トークンのクレームをカスタマイズ（オプションのクレームの追加など）すると、アプリが必要とする追加情報（部署、従業員ID、グループメンバーシップなど）をトークンに含めることができます。アプリ側はこれらのクレームを参照して、ユーザーごとのアクセス可否や表示内容を制御できます。

正解: B. B. ユーザーの異動や入退社時に、グループのメンバーシップを変更するだけでアプリへのアクセス権が自動的に更新され、管理が効率化される

正解の根拠・詳細解説

エンタープライズアプリケーションへのアクセス権をグループ単位で割り当てると、権限管理の単位が個人からグループへ移り、人事上の変化にアクセス権が自動的に追随します。入社や異動でユーザーを該当グループに追加すればアプリを利用できるようになり、退職や配置換えでグループから外せばアクセスは失われるため、割り当ての漏れや削除忘れによる不要な権限の残留を防げます。動的グループを使えば部署や職種といった属性の変化に応じてメンバーシップ自体が自動更新され、アクセスレビューと組み合わせれば定期的な棚卸しも仕組みとして回せます。なお、グループベースの割り当てはMicrosoft Entra IDのP1以上のライセンスを前提とする機能であり、割り当て方法を変えることでアプリ自体のライセンス費用が不要になるわけではありません。またシングルサインオンを無効化することもなく、条件付きアクセスの対象をグループで指定するなど、両者はむしろ組み合わせて運用するのが一般的です。

正解: B. B. グループへのメンバーシップ、Teams、SharePointサイト、アプリケーションへのアクセス権など、関連するリソースへのアクセス権をまとめた「束」で、ユーザーがセルフサービスで要求できるもの

正解の根拠・詳細解説

アクセスパッケージは、複数のリソース（グループ、Teams、SharePointサイト、アプリケーションなど）へのアクセス権を1つにまとめたものです。ユーザーはこのアクセスパッケージに対してアクセスを要求し、承認されると関連するすべてのリソースへのアクセス権が一括で付与されます。プロジェクト参加時のオンボーディングなどに有効です。

正解: B. B. 関連するリソース（グループ、アプリ、SharePointサイトなど）とアクセスパッケージをまとめて整理するためのコンテナ

正解の根拠・詳細解説

カタログは、アクセスパッケージを作成する際に使用する、関連リソースの集合を整理するためのコンテナです。例えば「マーケティング部門用カタログ」を作成し、その中にマーケティング関連のグループ・Teams・アプリをまとめて登録し、それらを組み合わせたアクセスパッケージを作成できます。

正解: B. B. パートナー企業など外部の組織のユーザーが、B2Bゲストとしてアクセスパッケージを要求できるようにし、必要に応じて自動的にゲストアカウントを作成・招待するため

正解の根拠・詳細解説

接続済み組織を設定すると、パートナー企業など外部組織のメンバーが、自社のアクセスパッケージに対してアクセスを要求できるようになります。要求が承認されると、必要に応じて自動的にB2Bゲストアカウントが作成・招待され、アクセスパッケージに含まれるリソースへのアクセスが付与されます。

正解: B. B. グループのメンバーシップ、アプリへのアクセス権、ロールの割り当てなどを定期的にレビューし、不要になったアクセス権を発見・削除することで、過剰な権限の蓄積（権限クリープ）を防ぐ

正解の根拠・詳細解説

アクセスレビューは、グループメンバーシップ、アプリへのアクセス、PIMでの特権ロール割り当てなどを定期的（例: 四半期ごと）に見直すための機能です。レビュー担当者（マネージャーやリソース所有者など）が承認・拒否を行うことで、不要になったアクセス権を発見し削除でき、権限が蓄積し続ける「権限クリープ」を防止します。

正解: B. B. レビュー対象のユーザー自身が、自分自身のアクセスが引き続き必要かどうかを確認・申告する

正解の根拠・詳細解説

自己レビューを選択すると、アクセス権を持つユーザー自身が「このアクセスは引き続き必要ですか？」という確認に回答し、自分のアクセスの継続を申告します。レビュー担当者を別途指定する必要がない場合に便利ですが、ユーザーが応答しなかった場合の既定の動作（アクセス削除など）も設定しておく必要があります。

正解: A. A. 常にアクセスを承認する、常にアクセスを拒否する（削除する）、または直前のレビュー結果を引き継ぐ、など

正解の根拠・詳細解説

レビュー担当者が期限内に応答しない場合の動作として、「アクセスを自動承認する」「アクセスを自動拒否（削除）する」「レビュー前の状態を維持する」などのオプションを事前に設定できます。これにより、レビューが滞留した場合でも一定のガバナンスルールに基づいて自動的に処理されます。

正解: B. B. グループのメンバーシップやオーナー権限を「適格な割り当て」として設定し、必要なときだけアクティブ化することで、グループに紐づくアプリやロールへのアクセス権を時限的に付与できる

正解の根拠・詳細解説

PIM for Groupsを使用すると、Microsoft 365グループやセキュリティグループへのメンバーシップ・オーナーシップ自体をPIMの管理対象にできます。これにより、そのグループに紐づくアプリのアクセス権限やAzureロールなどを、必要なときだけアクティブ化して利用する時限的なアクセスとして管理できます。

正解: B. B. 従業員の入社（オンボーディング）・異動・退社（オフボーディング）時に発生する一連のタスク（アカウント作成、グループ追加、ライセンス割り当て、アクセス権の削除など）を自動化する

正解の根拠・詳細解説

ライフサイクルワークフローは、HR属性（入社日、退職日など）をトリガーとして、ユーザーの入社・異動・退社時に必要な一連のタスク（ウェルカムメール送信、グループへの追加、ライセンス割り当て、アクセス権の無効化、アカウントの削除など）を自動的に実行するためのワークフロー機能です。

正解: B. B. 属性ベースのトリガー（例: 従業員の退職日属性が設定された日数前になったら自動実行）

正解の根拠・詳細解説

ライフサイクルワークフローは、ユーザーのプロパティ（例: employeeLeaveDateTime）に基づいた属性ベースのトリガーをサポートしており、「退職日の7日前」「入社日の1日前」のようなタイミングで自動的にワークフローを実行できます。これにより、退職処理の遅延によるセキュリティリスクを低減できます。

正解: B. B. ユーザーがアプリやリソースにアクセスする前に、利用規約やコンプライアンス文書（PDF）への同意を求め、その同意履行を記録する

正解の根拠・詳細解説

利用条件（Terms of use）機能では、PDF形式のドキュメント（プライバシーポリシーや行動規範など）を用意し、特定のユーザー（特にゲストユーザーなど）がアプリやリソースにアクセスする前に同意を求めることができます。同意状況は記録され、コンプライアンス要件への対応やレポートに利用できます。

正解: B. B. 現在のセキュリティ設定状況を数値化し、Microsoftの推奨事項（MFAの有効化、リスクポリシーの構成など）と比較して改善余地を示すスコアとレコメンデーションを提供する

正解の根拠・詳細解説

Identity Secure Scoreは、テナントのID関連のセキュリティ設定状況をスコアとして可視化し、未実施のセキュリティ推奨事項（例: MFA登録の推奨、レガシー認証の無効化、特権ロールの確認など）を提示します。組織がセキュリティ態勢を継続的に改善するための指標として活用されます。

正解: B. B. 非アクティブなユーザーに関するレポート（最終サインイン日時に基づくユーザー アクティビティのレポート）

正解の根拠・詳細解説

Microsoft Entra IDのレポート機能には、ユーザーごとの最終サインイン日時を確認できる「ユーザーの最終サインイン」レポートや、非アクティブユーザーの特定に役立つ機能があります。これらを使い、長期間サインインのないアカウントを特定し、無効化や削除などのガバナンス対応を行うことができます。

正解: B. B. ユーザー作成・削除、ロールの割り当て変更、ポリシーの変更など、ディレクトリに対するすべての書き込み操作（変更履歴）

正解の根拠・詳細解説

監査ログは、Microsoft Entra IDのディレクトリに対する変更操作（ユーザーの作成・削除・更新、グループメンバーシップの変更、ロールの割り当て、アプリの登録、ポリシーの変更など）を記録します。「誰が・いつ・何を」変更したかを追跡できるため、セキュリティ監査やトラブルシューティングに不可欠です。

正解: B. B. SCIMプロビジョニングなどによって、Microsoft Entra IDと連携先アプリ（SaaSアプリなど）との間でユーザー・グループ情報が同期された際の処理結果（作成・更新・削除の成功/失敗）を確認する

正解の根拠・詳細解説

プロビジョニングログは、Microsoft Entra IDとアプリケーション間（クラウドHRからMicrosoft Entra ID、またはMicrosoft Entra IDからSaaSアプリへなど）のユーザー・グループのプロビジョニング処理（作成、更新、無効化、削除）の実行結果やエラーを確認するためのログです。同期がうまくいかない場合のトラブルシューティングに使用されます。

正解: B. B. プロジェクト終了後も不要なアクセス権を持ち続けるゲストユーザーが残存しやすく、定期的なレビューによって不要なゲストアカウントやアクセス権を特定・削除し、セキュリティリスクを低減できるため

正解の根拠・詳細解説

B2Bゲストユーザーは、プロジェクトや協業の終了後もアクセス権が残り続けてしまうケースが多く、これは不要なアクセスの蓄積（権限クリープ）やセキュリティリスクの一因となります。定期的なアクセスレビューをゲストユーザーに対して実施し、不要になったアクセス権やゲストアカウント自体を削除することが推奨されます。

正解: B. B. プロジェクトの終了予定日などに合わせてアクセス権が自動的に失効するように設定でき、手動での削除作業を忘れることによるアクセス権の残存を防げる

正解の根拠・詳細解説

アクセスパッケージには、割り当ての有効期限（例: 「○日後」「特定の日付」「アクセスレビューの結果に基づく」など）を設定できます。これにより、プロジェクトが終了した際に管理者が手動でアクセス権を削除し忘れても、自動的にアクセスが失効するため、不要なアクセス権の残存を防止できます。

正解: B. B. ライフサイクルワークフロー（入社時のオンボーディングテンプレート）とエンタイトルメント管理（アクセスパッケージ）の組み合わせ

正解の根拠・詳細解説

入社時の一連のタスク（アカウントの有効化、属性の設定、ウェルカムメール送信など）はライフサイクルワークフローのオンボーディングテンプレートで自動化でき、必要なリソースへのアクセス権（グループ、アプリ、Teamsなど）の付与はエンタイトルメント管理のアクセスパッケージで一括管理できます。これらを組み合わせることで、オンボーディングプロセス全体を効率化できます。

正解: B. B. 業務上もはや特権ロールが不要になったユーザーの割り当てを発見し、削除することで、特権アカウントの数を必要最小限に保つため

正解の根拠・詳細解説

特権ロールの割り当ては、業務内容の変化（異動など）に伴い不要になることがありますが、明示的に削除されない限り残り続けてしまいます。PIMのアクセスレビューを定期的に実施することで、不要になった特権ロールの割り当てを発見・削除し、特権アカウントの数を必要最小限に保つことができます。

正解: B. B. 誰が・いつ・どのバージョンの利用条件に同意した（または拒否した）かの履歴

正解の根拠・詳細解説

利用条件への同意履行レポートでは、各ユーザーがどの利用条件文書のどのバージョンに、いつ同意したか（または同意しなかったか）の履歴を確認できます。コンプライアンス上の証跡として、規制業界などでは重要な記録となります。

正解: B. B. 条件付きアクセスの「許可（Grant）」コントロールの一つとして利用条件への同意を要求する設定を追加する

正解の根拠・詳細解説

利用条件は、条件付きアクセスポリシーの「アクセス制御 – 許可」の中で、「用語への同意が必要」のような形でアクセス制御の要件の1つとして組み込むことができます。これにより、特定の条件（例: 外部ユーザーがアクセスする場合）に該当するユーザーに対して、リソースへのアクセス前に利用条件への同意を要求できます。

正解: B. B. グループのメンバーシップ管理やアクセスレビューへの対応を、IT部門ではなく業務部門の担当者（オーナー）に委任でき、より実態に近い判断でメンバーシップを管理できる

正解の根拠・詳細解説

グループに「オーナー」を設定すると、そのグループのメンバーシップ管理（メンバーの追加・削除の承認など）やアクセスレビューへの対応を、IT部門ではなく実際の業務内容を把握している業務部門の担当者に委任できます。これにより、実態に即した適切なアクセス管理が可能になります。

正解: B. B. そのユーザーのロールへの適格な割り当てが削除され、以後そのロールをアクティブ化できなくなる

正解の根拠・詳細解説

アクセスレビューでレビュー担当者が「アクセスを削除」と判断すると、対象ユーザーのそのロールに対する割り当て（適格な割り当てまたはアクティブな割り当て）自体が取り消されます。これにより、ユーザーは以後そのロールをPIMでアクティブ化することができなくなります。

正解: B. B. サインインログや監査ログなどのデータをグラフやテーブルでカスタマイズして可視化し、定期的なモニタリングやレポーティングに活用する

正解の根拠・詳細解説

ワークブックは、Azure Monitor/Log Analyticsと連携し、サインインログや監査ログなどのデータをカスタムのダッシュボード形式（グラフ、表、マップなど）で可視化するための機能です。組み込みのテンプレートに加え、組織独自のレポートを作成して定期的なセキュリティモニタリングに活用できます。

正解: B. B. 例えばリソース部門の承認者とセキュリティ部門の承認者など、複数の異なる承認者の承認を順番に得ることを必須にし、より慎重な承認フローを実現するため

正解の根拠・詳細解説

複数段階の承認を設定すると、アクセス要求に対して複数の承認者（例: 第1段階はリソース所有者、第2段階はセキュリティ管理者）が順番に承認を行う必要があります。これにより、重要なリソースへのアクセス許可において、より慎重で多角的な判断を組み込むことができます。

正解: B. B. アクセスレビューを作成し、対象を「Microsoft 365グループとTeamsへのゲストアクセス」に設定し、繰り返し間隔を四半期ごとに設定して自動化する

正解の根拠・詳細解説

アクセスレビューでは、レビューの対象（例: 「Teams & グループへのゲストアクセス」）、レビュー担当者、繰り返し間隔（毎月・四半期ごとなど）を設定し、定期的なレビューを自動的にスケジュール・実行できます。これにより、手動でのレビュー作業を削減しつつ、コンプライアンス要件を継続的に満たすことができます。

正解: B. B. どのアクセスパッケージが多く要求されているか、承認にかかる平均時間、アクセスパッケージの利用状況の傾向

正解の根拠・詳細解説

アクセスパッケージの分析情報レポートでは、各アクセスパッケージへの要求件数、承認・拒否の状況、承認にかかった平均時間などの利用状況を確認できます。これにより、ガバナンスプロセスの効率性を評価し、改善点を特定できます。

正解: B. B. 組み込みタスクだけでは対応できない処理（例: 外部のHRシステムへの通知や、サードパーティのITサービス管理ツールでチケットを自動作成するなど）を、Logic Appsなどのカスタムロジックをワークフローのタスクとして呼び出す

正解の根拠・詳細解説

カスタムタスク拡張機能を使用すると、ライフサイクルワークフローの組み込みタスク（アカウント作成、グループ追加など）に加えて、Azure Logic Appsなどと連携したカスタムロジックをワークフロー内のタスクとして実行できます。例えば、外部システムへの通知やチケットの自動作成などの組織固有のプロセスを統合できます。

正解: B. B. 常時アクティブな特権アカウントの数を減らし、攻撃対象領域を縮小するとともに、アクティブ化のたびに監査ログが記録されるため、特権操作のトレーサビリティが向上する

正解の根拠・詳細解説

PIMの適格な割り当てを使用すると、特権ロールは既定では「非アクティブ」な状態であり、必要なときにユーザー自身がアクティブ化要求を行う必要があります。これにより、常時アクティブな特権アカウントを減らして攻撃対象領域（アタックサーフェス）を縮小できるほか、いつ・誰が・なぜそのロールをアクティブ化したかが記録され、特権操作の追跡性が向上します。

正解: B. B. 一定期間アクセスのないゲストユーザーアカウントを自動的に削除またはレビュー対象とすることで、利用されていないゲストアカウントの蓄積を防ぐため

正解の根拠・詳細解説

ゲストユーザーのアクセスレビューやライフサイクル管理機能では、一定期間アクセスがないゲストアカウントを自動的に特定し、レビュー対象としたり、自動的に無効化・削除したりするポリシーを設定できます。これにより、もはや必要のないゲストアカウントがテナント内に蓄積し続けることを防ぎます。

正解: B. B. あるアクセスパッケージに既に割り当てられているユーザーが、別の特定のアクセスパッケージ（利益相反となる組み合わせ）を要求した場合に自動的に拒否される「不適合なアクセスパッケージ（Incompatible access packages）」のルールを設定する

正解の根拠・詳細解説

職務分掌は、不正やミスを防ぐために、単独では完結させるべきでない業務の権限を同一人物に集中させないという統制の考え方である。Microsoft Entraのエンタイトルメント管理では、アクセスパッケージに対して「不適合なアクセスパッケージ／グループ」を定義できる。ここに、たとえば購買の承認権限を含むパッケージと支払い処理の権限を含むパッケージのように、同時に保持させたくない組み合わせを登録しておくと、片方をすでに割り当てられているユーザーが他方を要求した時点で、その要求が自動的に拒否される。承認者個人の判断や事後の棚卸しに頼らず、申請の入口で利益相反を機械的に防げるため、運用担当の負荷を増やさずに統制を効かせられるのが利点である。すべてのユーザーに同じアクセスパッケージを割り当てる運用は、かえって権限の集中を招き職務分掌に反する。パスワードの有効期限の統一やディレクトリ同期の対象設定は、アカウントのライフサイクルや認証に関わる話であり、権限の組み合わせそのものを制御する仕組みではない。