SC-300 練習問題 7

次のユーザーを含む Microsoft Entra テナントがあります。 | 名前 | ロール | |---|---| | Admin1 | 全体管理者（グローバル管理者） | | Admin2 | 条件付きアクセス管理者 | | Admin3 | 認証ポリシー管理者 | | Admin4 | 全体管理者（グローバル管理者） | Admin4 は、『Azure 管理のための多要素認証を要求する』テンプレートを使用して、Policy1 という名前の条件付きアクセス ポリシーを作成します。 次回のサインイン時に多要素認証（MFA）の使用を要求されるユーザーは誰ですか？

正解: 選択肢3「Admin1、Admin2、およびAdmin3のみ」。テンプレート使用時はポリシー作成者（Admin4）が既定で除外されるためです。

解説: 『Azure 管理のための多要素認証を要求する』条件付きアクセス ポリシー テンプレートは、Azure 管理（Windows Azure Service Management API などの管理リソース）へのアクセス時に MFA を要求します。本シナリオの 4 名はいずれも対象になり得るロールを保持しています。ただし、テンプレートからポリシーを作成すると、管理者の自己ロックアウトを防ぐため『現在のユーザーを除外する』が既定で有効になります。Policy1 を作成したのは Admin4 のため、Admin4 はこのポリシーの対象から除外されます。結果として MFA を要求されるのは Admin1・Admin2・Admin3 のみです。

各選択肢の検討:

• Admin2とAdmin3のみ: 不正解。Admin1（除外されていない管理者）も対象になります。
• Admin1とAdmin4のみ: 不正解。Admin2・Admin3 も対象であり、Admin4 は作成者として除外されます。
• Admin1、Admin2、およびAdmin3のみ: 正解。作成者 Admin4 のみ既定除外され、残り 3 名が MFA 対象。
• Admin1、Admin2、Admin3、およびAdmin4: 不正解。Admin4 は作成者として既定で除外されます。

参考: Microsoft Learn

• 条件付きアクセスの構成（使用条件/テンプレート）
• Microsoft Entra 組み込みロール