SC-300 練習問題 10

Microsoft Entra テナントを管理しています。テナントには、次のユーザー、デバイス、および RemoteNetwork1 と RemoteNetwork2 という名前のリモート ネットワークが含まれています。 【ユーザー】 ・User1: Group1 のメンバー ・User2: Group1 のメンバー ・User3: Group2 のメンバー 【デバイス】 ・Device1: User1 が使用、RemoteNetwork1 に接続 ・Device2: User2 が使用、RemoteNetwork2 に接続 ・Device3: User3 が使用、インターネットに直接接続 以下の設定を持つ条件付きアクセス ポリシー（CAPolicy1）があります。 ・名前: CAPolicy1 ・割り当て - ユーザー: Group1, Group2 ・割り当て - ターゲット リソース: グローバル セキュア アクセスを使用するすべてのインターネット リソース ・アクセス コントロール - 許可: 多要素認証を要求する ・ポリシーの有効化: オン グローバル セキュア アクセスのトラフィック転送プロファイルは、RemoteNetwork1 からのインターネット トラフィックのみを転送するように構成されています。 各ユーザーがインターネット リソースにアクセスしたときに多要素認証（MFA）が要求されるかどうかの正しい組み合わせはどれですか？

正解: 選択肢2「User1: はい, User2: いいえ, User3: いいえ」。

解説: CAPolicy1 はターゲット リソースが『グローバル セキュア アクセスを使用するすべてのインターネット リソース』です。このポリシーが適用されるには、(1) ユーザーが Group1/Group2 のメンバーであること、(2) トラフィックが Global Secure Access（インターネット アクセス）を経由することの両方が必要です。トラフィック転送プロファイルは RemoteNetwork1 のみに構成されているため、RemoteNetwork1 経由のトラフィックのみが Global Secure Access を通過します。

• User1: Group1 メンバー、Device1 は RemoteNetwork1 に接続 → トラフィックが Global Secure Access を経由し条件を満たす → MFA 要求（はい）。
• User2: Group1 メンバーだが Device2 は RemoteNetwork2 接続で転送プロファイル対象外 → Global Secure Access を経由しないためターゲット リソース条件を満たさない → MFA 不要（いいえ）。
• User3: Group2 メンバーだが Device3 はインターネット直結で、Global Secure Access クライアントや転送経路の記述がない → ターゲット リソース条件を満たさない → MFA 不要（いいえ）。

各選択肢の検討:

• User1:はい, User2:はい, User3:はい: 不正解。User2・User3 のトラフィックは Global Secure Access を経由しないため対象外。
• User1:はい, User2:いいえ, User3:いいえ: 正解。上記評価と一致。
• User1:いいえ, User2:はい, User3:いいえ: 不正解。User1 のみが転送プロファイル対象（RemoteNetwork1）で MFA 対象。
• User1:はい, User2:はい, User3:いいえ: 不正解。User2 は RemoteNetwork2 接続のため対象外。

参考: Microsoft Learn

• Global Secure Access クライアント（トラフィック転送プロファイル）
• 条件付きアクセスの構成