参照：
https://bitsizedbytes.wordpress.com/2018/12/10/distribution-security-and-office-365-groups-nesting/

Explanation:

グループベースの割り当てには、Azure Active Directory Premium P1 または P2 エディションが必要です。グループベースの割り当ては、セキュリティ グループでのみサポートされます。
https://docs.microsoft.com/en-us/azure/active-directory/manage-apps/assign-user-or-group- access-portal

https://docs.microsoft.com/en-us/cloud-app-security/create-snapshot-cloud-discovery- reports#using-traffic-logs-for-cloud-discovery

Explanation:
App1をMicrosoft Entra IDに登録します。
セッション制御が構成された条件付きアクセス ポリシーを作成します。
Microsoft Defender for Cloud Apps から、App1 の接続アプリの設定を変更します。
Microsoft Defender for Cloud Apps からセッション ポリシーを作成します。
Microsoft Identity and Access Administrator ドキュメントで概説されているように、リアルタイムのセッション レベルの監視を有効にするために、Microsoft Defender for Cloud Apps (MDCA) と Microsoft Entra ID の統合に基づいて、これを段階的に説明してみましょう。
目標を理解する: Microsoft Defender for Cloud Apps によるリアルタイムのセッション レベル監視:
Microsoft Defender for Cloud Apps (MDCA) は、クラウド アプリケーションの可視性、制御、脅威からの保護を提供するクラウド アクセス セキュリティ ブローカー (CASB) ソリューションです。
リアルタイムのセッションレベル監視により、MDCAはアクティブセッション中にクラウドアプリ（この場合はApp1）内のユーザーアクティビティを検査・制御できます。そのためには、Microsoft Entra IDとの統合と、条件付きアクセスポリシーを使用してセッションをMDCA経由でルーティングし、監視する必要があります。
Microsoft 365 E5 テナントには、この機能に必要な Microsoft Entra ID P2 と Microsoft Defender for Cloud Apps のライセンスが含まれています。
アクションのステップバイステップの分析: リアルタイムのセッション レベルの監視を有効にするには、クラウド アプリを MDCA と統合するための Microsoft の推奨ワークフローに沿った論理的な順序でアクションを実行する必要があります。
ステップ 1: Microsoft Entra ID に App1 を登録します。
App1 を MDCA で監視するには、Microsoft Entra ID にアプリケーションとして登録する必要があります。この手順では、テナントのエンタープライズ アプリケーションに App1 を追加し、Microsoft Entra ID がアプリの認証と承認を管理できるようにします。
アプリを Microsoft Entra ID に登録すると、シングル サインオン (SSO) が有効になり、セッション レベルの監視の前提条件である条件付きアクセス ポリシーでアプリを管理できるようになります。
App1 が Microsoft Entra ID によって認識されなければ、他のアクションを続行できないため、これが最初のステップとなります。
手順 2: セッション制御が構成された条件付きアクセス ポリシーを作成します。
Microsoft Defender for Cloud Apps は、Microsoft Entra ID 条件付きアクセスと統合され、セッションレベルの監視を実施します。App1 をターゲットとし、ユーザーセッションを MDCA 経由でルーティングするセッション制御を含む条件付きアクセスポリシーを作成する必要があります。
条件付きアクセスポリシーの「セッション」制御で、「条件付きアクセスアプリ制御を使用する」オプションを有効にします。これはMDCAと統合されます。これにより、MDCAはセッションをリアルタイムで監視および制御できるようになります。
条件付きアクセスポリシーは既存のアプリを対象とする必要があるため、この手順はMicrosoft Entra IDにアプリを登録した後に実行する必要があります。また、セッション制御統合によってMicrosoft Entra IDとMDCA間の接続が確立されるため、この手順はMDCA固有の手順よりも前に実行する必要があります。
手順 3: Microsoft Defender for Cloud Apps から、App1 の接続アプリの設定を変更します。
条件付きアクセスポリシーによってセッションがMDCAにルーティングされた後、MDCA内でApp1の「接続アプリ」設定を変更して構成する必要があります。この手順では、App1がMDCAに正しく接続されていることを確認する必要があります。これには、APIコネクタの構成や、MDCAがアプリのアクティビティを監視できるかどうかの確認などが含まれる場合があります。
この手順は、MDCA が App1 を監視するために必要な権限と構成を持っていることを確認するために必要です。条件付きアクセス ポリシーによって統合が有効になり、アプリを処理するために MDCA を設定する必要があるため、この手順は条件付きアクセス ポリシーの後に行われます。
手順 4: Microsoft Defender for Cloud Apps からセッション ポリシーを作成します。
最後に、MDCA でセッションポリシーを作成し、App1 のリアルタイム監視および制御ルールを定義します。MDCA のセッションポリシーを使用すると、ユーザーアクティビティ（ファイルのダウンロード、データ共有など）を監視し、事前定義された条件に基づいてアクション（ブロック、通知など）を適用できます。
この手順は最後の手順です。これは、前の手順に依存しているためです。つまり、アプリを登録し、条件付きアクセスポリシーでセッションをMDCAにルーティングし、MDCAがApp1を認識できるように接続アプリの設定を構成する必要があります。これらが完了したら、リアルタイム監視を適用するためのセッションポリシーを定義できます。
なぜこの注文なのですか?
この順序により論理的な流れが保証されます。
アプリを Microsoft Entra ID に登録すると、テナント内にアプリの ID が確立されます。
条件付きアクセス ポリシーは、セッションを MDCA 経由でルーティングすることで MDCA との統合を可能にします。
MDCA の接続アプリの設定を変更すると、アプリが監視用に適切に設定されるようになります。
MDCA でセッション ポリシーを作成すると、リアルタイムのセッション レベル監視の特定の監視および制御ルールが定義されます。
この順序から外れるとエラーが発生します。例えば、Microsoft Entra ID にアプリを登録する前に MDCA でセッションポリシーを作成すると、MDCA がアプリを認識できないため失敗します。
追加の考慮事項:
Microsoft 365 E5 ライセンスには Microsoft Entra ID P2 と Microsoft Defender for Cloud Apps が含まれているため、このシナリオでは追加のライセンスは必要ありません。
App1 が MDCA のアプリ コネクタでサポートされているアプリでない場合は、追加の手順 (カスタム アプリ コネクタの使用など) が必要になる可能性がありますが、質問では、App1 は標準プロセスで監視できることが示唆されています。
MDCA のセッション ポリシーには、ダウンロードのブロックやステップアップ認証の要求などのアクションを含めることができ、これらはユーザーのセッション中にリアルタイムに適用されます。
結論: Microsoft Defender for Cloud Apps を使用して App1 のリアルタイム セッション レベルの監視を有効にする正しい順序は次のとおりです。
App1をMicrosoft Entra IDに登録します。
セッション制御が構成された条件付きアクセス ポリシーを作成します。
Microsoft Defender for Cloud Apps から、App1 の接続アプリの設定を変更します。
Microsoft Defender for Cloud Apps からセッション ポリシーを作成します。
参考文献:
Microsoft Defender for Cloud Apps のドキュメント:「Microsoft Defender for Cloud Apps を使用したセッション制御」(Microsoft Learn:https://learn.microsoft.com/en-us/defender-cloud-apps/session-policy) Microsoft Entra ID 条件付きアクセスのドキュメント:「条件付きアクセスでのセッション制御」(Microsoft Learn:https://learn.microsoft.com/en-us/entra/identity/conditional-access/concept-conditional-access-session) Microsoft Identity and Access Administrator (SC-300) 試験の学習ガイド。セッション レベルの監視のために Microsoft Defender for Cloud Apps と Microsoft Entra ID を統合する方法について説明します。