SC-100 練習問題 2

あなたの会社には、Office1とOffice2という2つのオフィスがあります。これらのオフィスには、Microsoft Entraに参加している合計1,000台のオンプレミスWindows 11デバイスがあります。 あなたはMicrosoft 365サブスクリプションを持っており、Microsoft Intuneを使用しています。 あなたは、オフィスからMicrosoft 365へのMicrosoft Entra Internet Accessを展開する予定です。 Microsoft 365プロファイルを有効にし、以下のように構成します。 ・すべてのMicrosoft 365トラフィックに対するトラフィックポリシー ・以下の構成を持つリンクされた条件付きアクセスポリシー： - すべてのユーザーに適用 - 【準拠したネットワークチェック】を実行 - 準拠したデバイスからのMicrosoft 365トラフィックを許可 ・すべてのデバイスへの割り当て ・Office1に関連付けられた【リモートネットワーク】への割り当て あなたは、Office2のすべてのデバイスにGlobal Secure Accessクライアントを展開し、接続を確立します。 準拠したデバイスからMicrosoft 365サービスにアクセスできるユーザー、および準拠していないデバイスを使用している場合にMicrosoft 365サービスへのアクセスがブロックされるユーザーについて、正しい組み合わせを選択してください。

正解: 選択肢1（準拠デバイスからのアクセス: Office1とOffice2 / 非準拠デバイスからのブロック: Office1とOffice2）。Office1はリモートネットワーク経由、Office2はGSAクライアント経由で、いずれもトラフィックがGlobal Secure Accessサービスを通過するため準拠ネットワークチェックを満たします。

解説
Microsoft Entra Internet Access の「準拠したネットワーク」チェックは、トラフィックがそのテナントの Global Secure Access サービスを経由しているかどうかを認証時に検証する仕組みです。GSA サービスを経由する方法は2つあり、(1) デバイスに Global Secure Access クライアントをインストールする、(2) サイトを「リモートネットワーク」(IPsec トンネル) として構成する、のいずれかです。

本シナリオでは、Office1 は「リモートネットワーク」割り当てによりトラフィックが GSA を経由し、Office2 は全デバイスに GSA クライアントが展開されているため同様に GSA を経由します。したがって両オフィスのトラフィックは準拠ネットワーク条件を満たします。条件付きアクセスポリシーは「すべてのユーザー」に適用され「準拠デバイスを許可」する設定のため、Intune で非準拠と判定されたデバイスからのアクセスは両オフィスともブロックされます。

各選択肢の検討

• 選択肢1（正解）: Office1（リモートネットワーク）とOffice2（GSAクライアント）はともにGSA経由となり、準拠デバイスはアクセス可、非準拠デバイスは両方ブロック。整合します。
• 選択肢2: Office2をリモートネットワーク扱いしておらず誤りですが、Office2はGSAクライアントでGSA経由となるため対象に含まれます。Office1のみとするのは不正解です。
• 選択肢3: Office1もリモートネットワーク割り当てでGSA経由となるため、Office2のみとするのは不正解です。
• 選択肢4: アクセス可は両オフィスで正しいですが、条件付きアクセスポリシーは「すべてのユーザー」に適用されるため非準拠ブロックも両オフィスに及びます。Office1のみとするのは不正解です。
• 選択肢5: Office2もGSAクライアント経由でアクセス可能なため、アクセス可をOffice1のみとするのは不正解です。

参考: Microsoft Learn
条件付きアクセスによる準拠しているネットワークのチェックを有効にする - Global Secure Access
Microsoft Entra Internet Access について