SC500-IAM#2
Microsoft Entra テナント contoso.com があります。テナントには Microsoft Entra ID P2 ライセンスが割り当てられており、特権ロールは Privileged Identity Management (PIM) で管理しています。ヘルプデスク管理者ロールの現在のロール設定は、次の表のとおりです。
| 設定 | 現在の値 |
|---|---|
| アクティブ化の最大期間 | 8 時間 |
| アクティブ化に多要素認証を必要とする | いいえ |
| アクティブ化に承認を必要とする | いいえ |
| 適格な割り当ての期間 | 永続的 |
担当者がヘルプデスク管理者ロールの権限を実際に使用する前に、ID ガバナンス チームのグループ Group1 に属する承認者の承認を必ず得るようにする必要があります。管理オーバーヘッドを最小限に抑える必要があります。何を構成すればよいですか。
解説
【正解: B】の理由
PIM のロール設定には、アクティブ化に承認を必要とするという項目があります。有効にすると、適格な割り当てを持つ担当者がアクティブ化を要求しても要求は保留となり、指定した承認者が承認するまで権限が付与されません。承認者にはグループも指定できるため、ID ガバナンス チームの Group1 を承認者にしておけば、メンバー構成が変わってもロール設定を編集し直す必要がなく、管理オーバーヘッドを抑えられます。権限は有効期間が過ぎれば自動的に失われ、要求と承認は監査ログに残るため、誰がいつ何のために特権を使ったかを説明できます。設定はロール単位のため、ヘルプデスク管理者だけに承認を要求できます。
【他選択肢が違う理由】
- A: 特権ロール管理者は PIM の構成やロール割り当てを委任するロールで、個々のアクティブ化に承認フローは適用されません。
- C: 認証コンテキストの条件付きアクセスは多要素認証や準拠デバイスを追加要求する仕組みで、人手による承認ではありません。
- D: 割り当て種類をアクティブに変更すると権限が常時有効になり、使用前に承認を得るという要件を満たせません。
コメント