SC-900：Microsoft Security, Compliance, and Identity Fundamentals Microsoft Entra の機能 問9
Microsoft Entra の機能／Microsoft Entra ID の認証機能ハイブリッド環境の組織で、ユーザーが自分のパスワードを忘れた場合にヘルプデスクに問い合わせることなく自分自身でパスワードを再設定できるようにしたいと考えています。さらに、クラウドで再設定したパスワードをオンプレミスの Active Directory にも反映させ、クラウドとオンプレミスの両方で同じ新しいパスワードを使い続けられるようにしたいと考えています。この要件を満たす構成として適切なものはどれか。
当サイトのオリジナル問題（SC-900：Microsoft Security, Compliance, and Identity Fundamentalsの出題範囲「Microsoft Entra の機能」に対応。実際の試験問題ではありません）
- Aパスワード保護のグローバル禁止パスワードリストとカスタム禁止パスワードリストを構成し、推測されやすいパスワードの設定を拒否する
- Bセルフサービス パスワード リセット（SSPR）を有効化し、オンプレミスへのパスワード ライトバックを構成する
- Cスマート ロックアウトのしきい値とロックアウト時間を調整し、誤ったパスワードの入力試行回数を制限する
- D認証方法の登録キャンペーンを有効化し、ユーザーに Microsoft Authenticator アプリの登録を促す
正解：B
解説
セルフサービス パスワード リセット（SSPR）は、ユーザーが登録済みの認証方法を使って自分自身でパスワードを再設定できる機能です。あわせてパスワード ライトバックを構成すると、クラウドで行われたパスワードの変更・リセットが Microsoft Entra Connect などを介してオンプレミスの Active Directory にリアルタイムで書き戻され、オンプレミスのパスワードポリシーに準拠しているかどうかもその場でチェックされます。パスワード保護の禁止パスワードリストは推測されやすいパスワードの設定自体を拒否する機能、スマート ロックアウトは総当たり攻撃対策としてログイン試行回数を制限する機能であり、いずれもユーザー自身によるパスワードの再設定を可能にする機能ではありません。認証方法の登録キャンペーンは MFA の認証方法登録を促すための機能で、パスワードの再設定やオンプレミスへの反映とは関係ありません。
選択肢ごとの解説
- A誤り。禁止パスワードリストは推測されやすい弱いパスワードの設定を拒否する機能であり、ユーザー自身によるパスワードの再設定やオンプレミスへの反映を可能にする機能ではありません。
- B正しい。SSPR によりユーザー自身でのパスワード再設定が可能になり、パスワード ライトバックを構成することで、その変更をリアルタイムでオンプレミスの Active Directory に反映できます。
- C誤り。スマート ロックアウトは誤ったパスワード入力の試行回数を制限して総当たり攻撃を防ぐための機能であり、パスワードの自己再設定やオンプレミスへの反映とは異なる目的の機能です。
- D誤り。認証方法の登録キャンペーンはユーザーに MFA の認証方法の登録を促す機能であり、パスワードの再設定やオンプレミスへの反映を実現する機能ではありません。