Explanation:

ボックス1：いいえ
ボックス2：はい
ボックス3：いいえ
参照：
https://docs.microsoft.com/en-us/office365/securitycompliance/retention-policies

説明

ボックス1：ユーザーが保護できるようにする
Office 365 用 Defender のフィッシング対策ポリシーには、なりすましに関する設定もあり、なりすまし保護の対象となる送信者のメールアドレスやドメインを個別に指定できます。
ユーザーなりすまし防止
ユーザーなりすまし防止機能は、特定の社内または社外のメールアドレスがメッセージ送信者としてなりすまされることを防ぎます。例えば、会社の副社長から社内情報を送ってほしいというメールが届いたとします。あなたはそれに応じますか？多くの人は考えもせずに返信してしまうでしょう。
保護されたユーザーを使用すると、内部および外部の送信者メールアドレスを追加して、なりすましから保護できます。
ユーザーなりすましから保護される送信者のリストは、ポリシーが適用される受信者のリストとは異なります（デフォルトポリシーの場合はすべての受信者、共通ポリシー設定セクションの「ユーザー、グループ、ドメイン」設定で構成された特定の受信者）。
保護対象ユーザーリストに内部または外部のメールアドレスを追加すると、それらの送信者からのメッセージはなりすまし防止チェックの対象となります。メッセージがポリシーの適用対象受信者（デフォルトポリシーではすべての受信者、カスタムポリシーではユーザー、グループ、ドメインの受信者）に送信された場合、なりすましチェックが行われます。送信者のメールアドレスでなりすましが検出された場合、なりすましユーザーに対するアクションがメッセージに適用されます。
ボックス2：信頼できる送信者とドメインを追加する
信頼できる送信者とドメイン
信頼できる送信者とドメインは、なりすまし防止設定の例外となります。指定された送信者および送信者ドメインからのメッセージは、ポリシーによってなりすまし攻撃として分類されることはありません。つまり、保護対象の送信者、保護対象のドメイン、またはメールボックスインテリジェンス保護に関するアクションは、これらの信頼できる送信者または送信者ドメインには適用されません。これらのリストの最大エントリ数は1024です。
参照：
https://learn.microsoft.com/en-us/microsoft-365/security/office-365-security/anti-phishing-policies-about

これは権限の問題ではないため、セキュリティ閲覧者ロールを割り当てる必要はありません。
オンプレミスのActive Directoryドメインはcontoso.comという名前です。User2は[email protected]としてサインインできますが、そのためにはまずUser2のUPNを[email protected]に変更する必要があります。