SC-100 練習問題 3

あなたは `contoso.com` という名前のMicrosoft Entraテナントを持ち、Microsoft Intuneを使用しています。`contoso.com` の各ユーザーは、Microsoft Entra ID P1ライセンスと、Global Secure Accessクライアントが展開されたWindows 11デバイスを持っています。 Microsoft Entra Internet Accessの以下の構成を展開する予定です。 - ベースラインプロファイルを有効にする。 - 優先度が300の `Profile1` という名前のセキュリティプロファイルを作成し、`WCFPolicy1` という名前の単一のWebコンテンツフィルタリングポリシーを含める。`WCFPolicy1` を次のように構成する。 - アクションを「許可」に設定する。 - `*.adatum.com` の完全修飾ドメイン名（FQDN）宛先を持つ単一のルールを含める。 - `Profile1` を `CAPolicy1` という名前の条件付きアクセスポリシーにリンクし、`CAPolicy1` をすべてのユーザーに適用し、ユーザーのデバイスが非準拠でない限りアクセスを許可する。 計画された展開が、以下のリソースへのトラフィックに与える影響を評価する必要があります。 - `https://www.adatum.com:8433` - `https://www.fabrikam.com` どの2つのトラフィックシナリオが発生しますか？それぞれの正解は、完全なソリューションを示します。

正解: 選択肢1と5。`adatum.com` 宛のトラフィックは `Profile1`/`CAPolicy1` の対象となり準拠デバイスのみ許可、`fabrikam.com` 宛はプロファイルにマッチせず全デバイスで許可されます。

解説
セキュリティプロファイルにリンクされた条件付きアクセスポリシーは、そのプロファイルのフィルタリングルールに一致するトラフィックを処理するときに評価されます。

`https://www.adatum.com:8433`（選択肢5）: 宛先 FQDN `www.adatum.com` は `WCFPolicy1` のルール `*.adatum.com` に一致します（ポート番号はFQDN一致に影響しません）。このトラフィックは `Profile1` で処理され、リンクされた `CAPolicy1` が評価されます。`CAPolicy1` は「デバイスが非準拠でない限り許可」＝準拠デバイスを要求するため、準拠デバイスからのみ許可されます。

`https://www.fabrikam.com`（選択肢1）: 宛先は `*.adatum.com` ルールに一致せず、`Profile1` の対象外です。ベースラインプロファイルが有効ですが、`fabrikam.com` を悪意あるサイトとしてブロックする情報はなく、また `CAPolicy1` はトリガーされません。よってデバイス準拠状態に関係なくすべてのデバイスから許可されます。

各選択肢の検討

• 選択肢1（正解）: fabrikamはプロファイル対象外でCAPolicy1も適用されないため全デバイスで許可。正しい。
• 選択肢2: adatumはCAPolicy1により準拠デバイスからは許可されるため「全デバイスからブロック」は誤り。
• 選択肢3: adatumは準拠デバイスのみ許可（非準拠はブロック）であり「全デバイスから許可」は誤り。
• 選択肢4: fabrikamはCAPolicy1の対象外なので準拠デバイス限定にはならず誤り。
• 選択肢5（正解）: adatumはWCFPolicy1にマッチしCAPolicy1（準拠要求）が評価されるため準拠デバイスのみ許可。正しい。
• 選択肢6: fabrikamはブロックされないため「非準拠デバイスからのみブロック」は誤り。

参考: Microsoft Learn
Microsoft Entra Internet Access について（セキュリティプロファイル/ベースラインプロファイル）
条件付きアクセスによる準拠しているネットワークのチェック