SC500-IAM#5
Microsoft Entra テナント fabrikam.com があります。テナントには Microsoft Entra ID P1 ライセンスだけが割り当てられており、PIM はまだ使用していません。グローバル管理者ロールを常時保持している管理者が 6 名います。
グローバル管理者ロールを Just-In-Time でのみ使用できるようにし、アクティブ化の際に多要素認証を必須にする必要があります。どの 2 つの作業を行うべきですか。それぞれの正解は解決策の一部です。
2 つ選択してください
解説
【正解: A / B】の理由
PIM は Microsoft Entra ID P2 または Microsoft Entra ID ガバナンスに含まれる機能で、P1 だけのテナントでは利用できません。まずテナントと利用者に P2 相当のライセンスを割り当てることが前提になります。そのうえで、常時保持されているグローバル管理者の割り当てをPIM の適格な割り当てへ変更すると、管理者は既定では権限を持たず、必要なときにアクティブ化を要求して初めて権限を得ます。これが Just-In-Time の運用であり、常時特権を保持する管理者を実質ゼロにできます。アクティブ化時の多要素認証はロール設定で有効にできるため、この 2 つで要件を満たせます。
【他選択肢が違う理由】
- C: セキュリティの既定値群は基本的な多要素認証を適用する簡易設定で、割り当ては適格に変わらず Just-In-Time になりません。
- D: Microsoft Entra Domain Services はドメイン参加や従来の認証プロトコルを提供するサービスで、特権ロールの制御とは無関係です。
- E: カスタム ロールではグローバル管理者と同等の権限を再現できず、作成しても Just-In-Time の運用にはなりません。
コメント