1 - Azure Active Directory (Azure AD) で App1 を公開します。
2 - Microsoft Cloud App Security から、App1 の接続アプリの設定を変更します。
3 - Microsoft Cloud App Security からセッション ポリシーを作成します。
4 - セッション制御が構成された条件付きアクセス ポリシーを作成します。
参照：
https://docs.microsoft.com/en-us/cloud-app-security/proxy-deployment-any-app
https://docs.microsoft.com/en-us/cloud-app-security/session-policy-aad

グループ 1 の直接のメンバーのみが同期されます。グループ 2 はグループ 1 の直接のメンバーであるため同期されますが、グループ 2 のメンバーは同期されません。
参照：
https://docs.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-install-custom

Explanation:
Box1 = ユーザー アクセスは、自身のディレクトリ オブジェクトのプロパティとメンバーシップに制限されます (最も制限が厳しい)。この設定により、ゲスト ユーザーはスタッフの電子メール アドレスを照会できなくなり、User1 によって招待された場合にのみテナントにアクセスできるようになります。
Box2 = 特定の管理者ロールに割り当てられたユーザーのみがゲスト ユーザーを招待できます。この設定により、ゲスト ユーザーは、User1 によって招待された場合にのみテナントにアクセスできるようになります。
Box3 = この設定により、ゲスト ユーザーは、User1 から招待された場合にのみテナントにサインアップできるようになります。

参照：
https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-password-ban-bad-on-premisesdep