参照：
https://docs.microsoft.com/en-us/azure/active-directory/privileged-identity-management/pim-configure
https://docs.microsoft.com/en-us/azure/active-directory/privileged-identity-management/pim-deployment-plan

参照：
https://docs.microsoft.com/en-us/azure/active-directory/governance/review-your-access

Azure AD MFA 構成に関する SC-300 資料では、Microsoft は通知（Microsoft Authenticator がプッシュ通知を送信するかどうかを制御）と不正行為アラート設定（ユーザーが予期しない通知を報告した場合の動作を決定）を区別しています。学習ガイドでは、通知によって「アプリへのプッシュ承認が可能になる」と説明されていますが、ユーザーが疑わしい通知を報告した場合には、通知はアクションを実行しません。「ユーザーが開始していない MFA リクエストを報告した場合に、自動的にユーザーをブロックする」という要件を満たすには、不正行為アラートオプションを使用する必要があります。資料には、管理者は「ユーザーが不正行為アラートを送信できるようにする」と「不正行為を報告したユーザーをブロックする」ことで、「報告されたアカウントは管理者がブロックを解除するまで直ちにブロックされる」と記載されています。これらのオプションは、テナントの MFA サービス設定の一部であり、通知セクションではありません。つまり、通知を設定するだけでは、Microsoft Authenticator で「報告」をタップしたユーザーを自動的にブロックすることはできません。不正行為が報告された際にユーザーをブロックするには、設定を明示的に有効にする必要があります。したがって、提案されているソリューション（通知設定を変更する）は目的を達成しません。正しい方法は、不正行為の警告を有効にし、不正行為を報告するユーザーをブロックするを選択して、ユーザーが予期しない MFA プロンプトを報告したときに自動保護を確実にすることです。

Explanation:

参照：
https://bitsizedbytes.wordpress.com/2018/12/10/distribution-security-and-office-365-groups-nesting/