説明/参照:
https://docs.microsoft.com/en-us/azure/active-directory/条件付きアクセス/ブロックレガシー認証

Azure AD ロール向けの Azure AD Privileged Identity Management (PIM) では、試験資料で、ロール設定を編集することで、ロール（ユーザー管理者など）の使用方法をカスタマイズすることが説明されています。これらの設定は、多要素認証の要求、正当化、承認、割り当てなど、アクティベーションの動作を制御します。
アクティベーション期間、通知など、様々な設定が可能です。ガイドでは、管理者は「ロールごとにアクティベーション要件と期限付き資格を設定」し、「アクティベーション時に承認ワークフローとMFAを適用」できるとされています。アクセスレビューは、誰がまだロールを必要としているかを定期的に確認するために使用されますが、ロールのアクティベーション方法に関する運用上の変更は実施しません。「アクティブな割り当て」は、現在アクティブ/資格のある割り当てを保持しているユーザーを表示および変更するだけであり、ロールのアクティベーション動作に関するポリシーを設定するものではありません。
管理単位は特定のディレクトリタスクの範囲を定めますが、PIMのアクティベーション/承認を変更する方法ではありません。
/MFA 要件。したがって、ユーザー管理者ロールの計画的な変更（承認、正当性、MFA による最小権限のアクティブ化など）に対応するには、PIM # Azure AD ロール # ユーザー管理者 # ロール設定を更新します。これは、SC-300 の目標「Azure AD ロールの PIM 設定とポリシーを構成する」と一致しており、アドホックな割り当てではなくポリシーによるガバナンスを確保します。