Explanation:

参照：
https://docs.microsoft.com/en-us/azure/active-directory/roles/管理ユニット

Azure AD の監視とレポートのドキュメントと SC-300 学習ガイド (モジュール: ID とアクセスの監視とレポート) では、Azure Active Directory のサインイン ログは既定で 14 日間保持されます。
サインインログには、アプリケーションの使用状況、条件付きアクセスポリシー、多要素認証の詳細など、ユーザーのサインインアクティビティに関する情報が含まれます。これらのログには、Azure Portal # Azure Active Directory # サインイン、またはMicrosoft Graphを介してプログラムでアクセスできます。
Microsoft は次のように指定します:
「Azure AD は、サインイン アクティビティを既定で 14 日間保存します。より長い保持期間を設定するには、Azure Monitor (Log Analytics)、Azure Storage、または Event Hub と統合する必要があります。」この 14 日間の保持期間制限は、追加のプレミアム ログ保持ソリューションを導入していないテナントに適用されます。

Azure AD パスワード保護は、アカウントが無効化された後のサインインを制御するようには設計されていません。SC-300 資料と Microsoft のドキュメントでは、これをパスワード強化機能として説明しています。「Azure AD パスワード保護は、グローバルな禁止パスワードリストとカスタム禁止パスワードの追加機能を提供し、ユーザーが脆弱なパスワードや侵害されたパスワードを使用することを防ぎます。」この機能は、パスワードの選択とリセットポリシーを管理するものであり、同期されたユーザーアカウントのリアルタイムの認証状態を管理するものではありません。
ご指摘の遅延は、Azure AD Connect 同期スケジューラによるものです。同期に関する試験内容において、Microsoft は「デフォルトでは、スケジューラは 30 分ごとに実行されます。変更内容のインポート、同期、エクスポートには差分同期が実行されます」と述べています。無効化操作はオンプレミスの Active Directory で行われるため、Azure AD では次回の同期サイクルが完了するまでその変更が反映されません。そのため、最近無効化されたユーザーは、その間隔まで認証を続行できる可能性があります。
したがって、パスワード保護を有効にしても、Azure AD 認証を即座に阻止するという目標は達成されません。SC-300 ガイダンスでは、即時の効果を実現するために、パスワード保護を構成するのではなく、オンデマンドの差分同期を開始する、Azure AD でアカウントを直接無効化する、Entra ID 経由でサインインセッション/トークンを取り消すなどのアクションが示されています。

デバイス グループのアクセス レビューを作成することはできません。
参照：
https://docs.microsoft.com/en-us/azure/active-directory/governance/create-access-review

Explanation:

Litware は最近、litware.com Active Directory フォレストに LWLicenses という名前のカスタム ユーザー属性を追加しました。
Litware は、LWLicenses 属性の値を変更することで、Azure AD ライセンスの割り当てを管理したいと考えています。LWLicenses 属性に適切な値を持つユーザーは、適切なライセンスが割り当てられている Microsoft 365 グループに自動的に追加される必要があります。
トピック2、Contoso株式会社
概要
Contoso 社は、モントリオールに本社を置き、ロンドンとシアトルにオフィスを構えるコンサルティング会社です。
Contoso は、Fabrikam, Inc という会社と提携しています。Fabrikam には、fabrikam.com という Azure Active Directory (Azure AD) テナントがあります。
既存の環境
Contoso 社のオンプレミスネットワークには、contos.com という Active Directory ドメインが含まれています。このドメインには、Contoso_Resources という組織単位 (OU) が含まれています。Contoso_Resoureces OU には、すべてのユーザーとコンピューターが含まれています。
Contoso.com Active Directory ドメインには、次の表に示すユーザーが含まれています。

Microsoft 365/Azure 環境
Contoso には、次の関連ライセンスを持つ Contoso.com という名前の Azure AD テナントがあります。
* マイクロソフト Office 365 エンタープライズ E5
* エンタープライズモビリティ + セキュリティ
* Windows 10 エンタープライズ E5
* プロジェクト計画3
Azure AD Connect は、Azure AD と Active Directory Domain Serverless (AD DS) の間で構成されています。Contoso Resources OU のみが同期されます。
ヘルプデスク管理者は、通常、Microsoft 365 管理センターを使用してユーザー設定を管理します。
ユーザー管理者は現在、Microsoft 365 管理センターを使用してライセンスを手動で割り当てています。次の例外を除き、すべてのユーザーにすべてのライセンスが割り当てられています。
ロンドンオフィスのユーザーは、Microsoft 365 管理センターを使用して手動でライセンスを割り当てることができます。以下の例外を除き、すべてのユーザーにライセンスが割り当てられています。
* ロンドン オフィスのユーザーには、Microsoft 365 電話システム ライセンスが割り当てられていません。
* シアトル オフィスのユーザーには、Yammer Enterprise ライセンスが割り当てられていません。
Contoso.com ではセキュリティの既定値が無効になっています。
Contoso は、Azure AD Privileged Identity Management (PIM) を使用してプロジェクト管理者ロールを実行します。
問題ステートメント
Contoso は次の問題を特定しています。
* 現在、すべてのヘルプデスク管理者は、Microsoft 365 テナント全体のユーザー ライセンスを管理できます。
* ユーザー管理者は、Contoso オフィスごとに異なるライセンス要件を手動で構成するのは面倒だと報告しています。
* ヘルプデスク管理者は、必要な Microsoft 365 サービスとアプリへの内部アクセスとゲスト アクセスのプロビジョニングに多くの時間を費やしています。
* 現在、ヘルプデスク管理者は、正当な理由や承認なしに、ユーザー管理者ロールを使用してタスクを実行できます。
* Azure AD でログ ノードを選択すると、Log Analytics 統合が有効になっていないことを示すエラー メッセージが表示されます。
計画された変更
Contoso は次の変更を実装する予定です。
セルフサービスパスワードリセット（SSPR）を実装します。Azure Monitorを使用してAzure監査アクティビティログを分析し、テナントに追加された新規ユーザーへのライセンス割り当てを簡素化します。Fabrikamのユーザーと協力して共同マーケティングキャンペーンを実施します。ユーザー管理者ロールを構成し、アクティベーションに正当な理由と承認が必要になります。
App1 という名前のカスタム基幹業務 Azure Web アプリを実装します。App1 はインターネットからアクセスでき、Azure AD アカウントを使用して認証されます。
マーケティング部門の新規ユーザーに対して、自動承認ワークフローを実装して、Microsoft SharePoint Online サイト、グループ、アプリへのアクセスを提供します。
Contoso社はCorporation社という会社を買収する予定です。AdatumというActive Directory組織単位（OU）に、新たにA Datumユーザー100名が作成されます。ユーザーはロンドンとシアトルに拠点を置く予定です。
技術要件
Contoso では、次の技術要件を特定しています。
* AH ユーザーは、AD DS から contoso.com Azure AD テナントに同期する必要があります。
* App1 には https://contoso.com/auth-response を指すリダイレクト URI が必要です。
* 新規ユーザーのライセンス割り当ては、ユーザーの所在地に基づいて自動的に割り当てられる必要があります。
* Fabrikam ユーザーは、マーケティング部門の SharePoint サイトに最大 90 日間アクセスできる必要があります。
* Azure AD で実行される管理アクションは監査される必要があります。監査ログは 1 年間保持する必要があります。
* ヘルプデスク管理者は、それぞれのオフィス内のユーザーのみのライセンスを管理できる必要があります。
* ユーザーの個人情報が漏洩した可能性がある場合、ユーザーにパスワードの変更を強制する必要があります。