【正解】A
【0からの解説】
①前提知識
・Cloud Identity：Google Cloud のユーザーやグループを管理する ID サービス（IDaaS）です。管理コンソールで、組織部門（OU）やグループ単位にセキュリティ設定（2SV の適用など）を行えます。
・特権管理者（Super admin）：Cloud Identity / Google Workspace アカウントのすべてを操作できる最も強い権限を持つアカウントです。Google は、特権管理者アカウントに多要素認証を適用し、セキュリティ キーなどの物理的な認証デバイスで 2SV を強制することを推奨しています。
・サードパーティ IdP によるシングル サインオン（SSO）と特権管理者：SSO を構成していても、特権管理者が admin.google.com からログインする場合は IdP にリダイレクトされず、Google アカウントのメールアドレスと Google のパスワードで直接サインインします。また、特権管理者の SSO は従来の SSO プロファイルの一部のケースでしかサポートされず、新しい SSO プロファイルではサポートされていません。つまり特権管理者の認証は Cloud Identity（Google）側で行われるため、2SV も Cloud Identity 側で適用する必要があります。
・2SV の適用範囲：Cloud Identity では、2SV の有効化と「適用（強制）」を OU 単位またはグループ単位で設定できます。
②要件の整理
・現在の IdP はユーザー名とパスワードのみ（2 つ目の要素がない）
・Cloud Identity の特権管理者に 2SV を「適用（強制）」したい
③正解の理由
特権管理者は IdP を経由せずに Google で直接認証されるため、IdP 側の設定では特権管理者のログインを制御できません。特権管理者用の OU を作成して特権管理者を配置し、その OU に対して Cloud Identity の 2SV を有効化・適用すれば、一般ユーザーの SSO 構成に影響を与えずに、特権管理者だけに 2SV を確実に強制できます。2 つ目の要素にはセキュリティ キーを指定するのが推奨です。
【誤りの選択肢】
B：特権管理者は admin.google.com へのログイン時に IdP を経由せず Google のパスワードで認証されるため、IdP 側で 2SV を有効にしても、その経路のログインには 2SV がかかりません（現在の IdP がパスワードのみであることも踏まえると、IdP 側の対応だけでは不十分です）。「Cloud Identity の構成を維持したまま」では要件を満たせません。
C：監視とアラートは事後に検知する仕組みにすぎず、2SV を「適用（強制）」するものではありません。2SV を使っていない特権管理者のログイン自体は防げないため、要件を満たしません。
D：一見もっともらしい選択肢ですが、評価したうえで「どちらか一方」を実装する方針です。IdP 側の 2SV を選んだ場合、IdP を経由しない特権管理者のログインには効きません。Google は特権管理者の SSO を使う場合でも IdP と Google の両方で 2SV を有効にするよう推奨しており、少なくとも Cloud Identity 側での適用は必須です。要件である「Cloud Identity で特権管理者に 2SV を適用する」に直接答えているのは A です。
【参考】
特権管理者アカウントのベスト プラクティス | Resource Managerシングル サインオン