AZ-305：Designing Microsoft Azure Infrastructure Solutions ID・ガバナンス・監視ソリューションの設計 問16
ID・ガバナンス・監視ソリューションの設計／認証と認可ソリューションの設計ある企業は、管理者アカウントのサインインには常に多要素認証（MFA）を要求し、レガシー認証プロトコルをブロックし、国外からのアクセスには追加の条件を課したい。サインインの状況に応じてアクセスを制御する設計はどれか。
当サイトのオリジナル問題（AZ-305：Designing Microsoft Azure Infrastructure Solutionsの出題範囲「ID・ガバナンス・監視ソリューションの設計」に対応。実際の試験問題ではありません）
- A全ユーザーのパスワードを定期的に変更させる
- Bセキュリティ既定値（Security defaults）を有効化する
- CAzure Policy で管理者のサインインを制御する
- D条件付きアクセスポリシーを設計し、ユーザー/場所/クライアントなどの条件に応じてMFA要求やブロックを適用する
正解：D
解説
条件付きアクセス（Conditional Access）は、ユーザー・グループ・場所・デバイス・クライアントアプリ・リスクなどの条件（シグナル）に基づき、MFA要求・アクセスブロック・準拠デバイス必須などを適用する設計手段です。パスワード定期変更・リソースロック・Azure Policy はサインイン状況に応じたアクセス制御ではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。パスワード定期変更は条件に応じた制御ではなく、要件を満たしません。
- B誤り。セキュリティ既定値は一律のMFA等を適用する簡易機能で、場所やクライアント等の条件に応じたきめ細かい制御はできません。
- C誤り。Azure Policy はリソース構成の準拠制御で、サインインの条件制御ではありません。
- D正しい。サインイン状況に応じた制御は条件付きアクセスで設計します。