詳しい手順については、解説をご覧ください。
Explanation:
Sg-Executiveグループのメンバーが会社のアプリにアクセスする前に、追加のセキュリティチェックを実施するには、Microsoft Entraの条件付きアクセス ポリシーを使用できます。以下に手順を説明します。
* Microsoft Entra 管理センターにサインインします。
* グローバル管理者またはセキュリティ管理者の役割を持っていることを確認してください。
* 条件付きアクセスに移動します。
* [セキュリティ] > [条件付きアクセス] に移動します。
* 新しいポリシーを作成します:
* 「+ 新しいポリシー」を選択してください。
* ポリシーには、「Sg-エグゼクティブセキュリティチェック」など、適切な名前を付けてください。
* ポリシーをSg-Executiveグループに割り当てます。
* [割り当て] で、[ユーザーとグループ] を選択します。
* 「ユーザーとグループを選択」を選択し、次に「グループ」を選択します。
* Sg-Executiveグループを検索して選択します。
* アプリケーション制御条件を定義します。
* 「クラウド アプリまたはアクション」で「すべてのクラウド アプリ」を選択すると、ポリシーがすべての企業アプリに適用されます。
* デバイスの準拠要件を設定します。
* [条件] > [デバイスの状態] で、Microsoft Intune によって準拠しているとマークされたデバイスを含めるようにポリシーを設定します。
* アプリ保護ポリシーの要件を設定します。
* [条件] > [クライアントアプリ] で、アプリ保護ポリシーによって保護されているクライアントアプリを含めるようにポリシーを設定します。
* アクセス制御を設定します。
* アクセス制御 > 許可 で、「アクセスを許可する」を選択します。
* 「デバイスを準拠としてマークする」と「承認済みのクライアントアプリを必須とする」を選択します。
* 「選択したコントロールのいずれかを必須にする」オプションが有効になっていることを確認してください。
* ポリシーを有効にする：
* 有効化ポリシーを「オン」に設定します。
* ポリシーを確認して保存する：
* すべての設定を確認し、要件を満たしていることを確認してください。
* [作成]をクリックしてポリシーを保存し、適用します。
これらの手順に従うことで、Sg-Executiveグループのメンバーは、準拠したデバイスを使用するか、保護されたクライアントアプリを使用するなど、指定された条件のいずれかを満たした場合にのみ、会社のアプリにアクセスできるようになります。
これにより、経営幹部レベルのユーザーに対するアクセス制御が強化され、組織のセキュリティ体制が強化されます。

Explanation:

セッション ポリシーを機能させるには、トラフィックを制御するためのアクセス許可を作成する Microsoft Entra ID 条件付きアクセス ポリシーも必要です。https://learn.microsoft.com/en-us/defender-cloud-apps/session-policy-aad

Azure AD Identity Protection は、危険なサインインや危険なユーザーを検出するのに役立ちます。ユーザーアクセスをブロックせずにこれらのリスクを軽減するために、Microsoft は、サインインをブロックするのではなく、MFA を強制するようにサインインリスクポリシーを設定することを推奨しています。
SC-300のドキュメントより：
「ユーザーをブロックせずにサインインのリスクを軽減したい場合は、条件付きアクセスまたはID保護ポリシーを設定し、リスクの高いサインインが検出された場合に多要素認証（MFA）を要求するようにしてください。」この方法により、ユーザーは本人確認を行い、安全にサインインを続けることができ、即座にブロックされることはありません。
したがって、ユーザーをブロックすることなくサインインのリスクを軽減するには、まずすべてのユーザーに対してMFAを有効にして強制し、ユーザーがリスクのあるサインインを自己修復できるようにする必要があります。