Explanation:
ユーザー1は多要素認証（MFA）を使用してサインインできます: いいえ
ユーザー2は多要素認証（MFA）を使用してサインインできます: いいえ
ユーザー3は匿名IPアドレスからサインインできる: いいえ
このシナリオは、Azure AD Identity Protection とその 2 つのコア条件付きアクセス メカニズムに基づいています。
* ユーザー リスク ポリシー - ユーザーの ID が侵害される可能性を評価します。
* サインイン リスク ポリシー - サインイン試行が正当なユーザーによって実行されない可能性を評価します。
提供された表に基づいて、段階的に分析してみましょう。
* リスクレベル: 低
* ユーザー リスク ポリシー: 低レベル以上 (つまり、低、中、高レベルのユーザー) に適用されます。
* 制御: アクセスをブロックします。
* 実行されたアクション: ユーザーのセキュリティが侵害されたことを確認します。ユーザーがセキュリティが侵害されたことを確認すると、ユーザーが修復されるまで (つまり、パスワードのリセット)、そのユーザーのリスク レベルが維持または増加します。ポリシーによって、ユーザー リスクが「低以上」の場合にアクセスがブロックされるため、User1 のサインインはブロックされ、MFA は要求されず、アクセスは拒否されます。
# ユーザー1 MFAサインイン: いいえ
* 初期リスクレベル: 中
* 実行されたアクション:
* サインインの安全を確認 # サインインのリスクをクリアします。
* ユーザーのセキュリティが侵害されたことを確認すると、ユーザー リスクが再び「高」に引き上げられます。
* 適用されるポリシー:
* ユーザー リスク ポリシー (低以上): アクセスをブロックします。
* サインイン リスク ポリシー: 高レベルのサインインにのみ適用されます (ここでは関係ありません)。
ユーザー2のユーザーリスクは、侵害が確認された後に「高」に設定されているため、ユーザーリスクポリシーは、
「低くて上。」
したがって、MFA は許可されません (セッションは完全に拒否されます)。
# ユーザー2 MFAサインイン: いいえ
* ユーザーリスク: 高
* 実行されたアクション: ユーザー リスクを無視 # は、ユーザー リスクを「リスクなし」にリセットします。
* サインイン ポリシー: 高いサインイン リスク # アクセスをブロックします。User3 が匿名 IP からサインインすると、Azure AD Identity Protection はこれを高いサインイン リスクとして検出します (Microsoft ドキュメントによる)。サインイン リスク ポリシーによってすべての高いサインインがブロックされるため、アクセスがブロックされます。
# ユーザー3 匿名 IP サインイン: いいえ

参照：
https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-sspr-deployment
https://docs.microsoft.com/en-us/azure/active-directory/authentication/concept-authentication-security-questions

Update-MgPolicyPermissionGrantPolicyExclude コマンドレットは、特定のユーザーグループへのポリシーの適用を除外するために使用されます。この場合、このコマンドレットを使用して、contoso.com SMTP アドレス空間を持つユーザーへのセルフサービスサインアップポリシーの適用を除外できます。

説明
コンピュータのスクリーンショット 低い信頼度で自動生成された説明

参照：
https://docs.microsoft.com/en-us/azure/active-directory/governance/review-your-access

SC-300公式学習ガイドとMicrosoft Learn: アクセスレビューの管理では、Azure ADのアクセスレビューはユーザーベースのグループ、Azure ADロール、エンタープライズアプリケーションを対象とできることが確認されています。ただし、動的デバイスグループはアクセスレビューではサポートされていません。