SC-100 練習問題 11

あなたはMicrosoft Entraテナントを持っています。このテナントには、会社のITサポートチームのメンバーが含まれるGroup1という名前のセキュリティグループがあります。 あなたはAzureサブスクリプションを持っています。このサブスクリプションには、Microsoft Entraに参加している800台のWindowsデバイスと、Microsoft Entraに登録されている200台のWindowsデバイスが含まれています。 また、200台のスタンドアロンmacOSデバイスがあります。 あなたは、Microsoft EntraのExtensionAttribute1の値が「SecureWorkstation」に設定された、Microsoft Entraに参加している10台のWindowsデバイスを展開します。 以下の要件を満たす条件付きアクセスソリューションを推奨する必要があります。 - Windows 10またはWindows 11を実行しているデバイスからのみMicrosoft Entraリソースへのアクセスを許可する。 - Windows Azure Service Management APIへのアクセスを以下のユーザーに制限する。 - Group1のメンバー - 多要素認証（MFA）を使用して認証するユーザー - SecureWorkstationのExtensionAttribute1を持つデバイスから接続するユーザー このソリューションは、必要なポリシーの数を最小限に抑え、セキュリティを最大化する必要があります。 推奨事項に含めるべき内容として、正しい組み合わせを以下から選択してください。

正解: 選択肢4（条件付きアクセスポリシー: 2つ、デバイスフィルター: 2つの包含フィルター）。要件が異なるターゲット・制御を持つため2ポリシーが必要で、それぞれに包含デバイスフィルターを使います。

解説
ポリシー1（OSプラットフォーム制限）: すべてのユーザー・すべてのリソースを対象に、Windows 10/11 以外のデバイス（例: macOS）からのアクセスをブロックします。デバイスフィルターで対象デバイス集合を指定してアクセスをブロックします。
ポリシー2（Azure Service Management API の制限）: 対象ユーザーを Group1、対象リソースを Windows Azure Service Management API とし、`device.extensionAttribute1 -eq "SecureWorkstation"` のデバイスを対象に MFA を要求します。
2つのポリシーは対象アプリ・ユーザー・制御（ブロック vs MFA要求）が異なるため統合できず、ポリシー数の最小値は2です。両ポリシーとも「特定のデバイス集合を狙い撃ち」するため包含フィルターを用い、合計で2つの包含デバイスフィルターになります。

各選択肢の検討

• 選択肢1: ポリシー1つでは異なるアプリ/ユーザー/制御を両立できず不足です。
• 選択肢2: 同上、1ポリシーでは要件を満たせません。
• 選択肢3: ポリシー数は正しいですが、本シナリオは特定デバイス集合を狙う包含フィルターが適切で「2つの除外フィルター」ではありません。
• 選択肢4（正解）: 2ポリシー＋各1つの包含デバイスフィルター（OS条件用と extensionAttribute1 用）で要件を満たし、ポリシー数も最小です。
• 選択肢5: 包含/除外の組合せは本シナリオの設計（両方とも対象集合を包含指定）に合いません。
• 選択肢6: 3ポリシーは要件達成に不要で、ポリシー数最小化の要件に反します。

参考: Microsoft Learn
条件付きアクセス ポリシーの条件としてのデバイスのフィルター
条件付きアクセス: ターゲットリソース（Windows Azure Service Management API）