正解: 選択肢1（要件1: セッションポリシー、要件2: アクセスポリシー）。リアルタイムのダウンロード時ラベル付けはセッションポリシー、デバイス準拠状態に基づくサインイン制御はアクセスポリシーで実現します。
解説Microsoft Defender for Cloud Apps の条件付きアクセス アプリ制御は、Microsoft Entra 条件付きアクセスと連携し、ユーザーセッションをリバースプロキシ経由でルーティングすることで、SaaS アプリへのアクセスとセッション内アクティビティをリアルタイムに監視・制御します。
要件1（リアルタイムにラベル適用）: セッションポリシーは「ファイルのダウンロードの制御（検査あり）」を使い、ダウンロード中にコンテンツを検査して、
保護（Protect）アクションで Microsoft Purview の秘密度ラベルをファイルに適用できます。コンテンツ検査に基づくリアルタイムのラベル付与・暗号化はセッションポリシーでのみ可能です。
要件2（Intune準拠デバイスのみDropboxにサインインOK）: アクセスポリシーは、ユーザー・場所・デバイス（準拠/ハイブリッド参加など）・アプリを条件として、クラウドアプリへのサインインそのものを許可またはブロックします。Dropbox など SAML/Microsoft Entra IdP 連携アプリに対し、デバイスタグ「準拠」を条件にアクセスを許可することで要件を満たします。
各選択肢の検討- 選択肢1（正解）: 要件1=セッションポリシー（ダウンロード時のコンテンツ検査＋ラベル保護に対応）、要件2=アクセスポリシー（サインイン時のデバイス準拠チェックに対応）でいずれも適合します。
- 選択肢2: ファイルポリシーは、クラウドに保存済みのファイルを定期的にスキャンして遡及的にラベル付け・隔離する仕組みであり、ダウンロード時のリアルタイム適用はできません。要件1を満たしません。
- 選択肢3: アクティビティポリシーは個別アクティビティの監視・自動応答用で、ダウンロード中のコンテンツ検査によるラベル付けはできません。OAuthアプリポリシーはOAuth付与アプリの管理用で、デバイス準拠に基づくサインイン制御には使えません。両方とも不適合です。
- 選択肢4: 要件1のセッションポリシーは正しいですが、要件2のアクティビティポリシーはサインインのデバイス準拠制御を行えないため不正解です。
参考: Microsoft Learnセッション ポリシーの作成 - Microsoft Defender for Cloud Appsアクセス ポリシーの作成 - Microsoft Defender for Cloud Apps