Microsoft SC-300: ID およびアクセス管理者学習ガイドおよび Microsoft Learn の公式コンテンツ「レポートとログを使用した Azure AD の監視とトラブルシューティング」によると、条件付きアクセス ポリシー データは、Azure Active Directory のサインイン ログに記録されます。各サインイン レコードには、評価された条件付きアクセス ポリシー、適用されたポリシー、およびその適用結果 (「アクセスを許可」、「ブロック」、「MFA を要求」など) を含む、認証プロセスに関する詳細情報が含まれています。
一方、Azure AD の監査ログは、ポリシーの作成、変更、管理操作など、ディレクトリレベルの変更を追跡するものであり、ユーザー認証や条件付きアクセス評価データは含まれません。そのため、外部 SIEM システムで条件付きアクセスのアクティビティを分析するには、条件付きアクセス評価の詳細を含むサインインログをエクスポートする必要があります。
Microsoftのドキュメントでは、サードパーティのSIEMシステムとの統合にはJSON形式でのエクスポートが推奨されると明記されています。これは、JSON形式はネストされたポリシー評価データ構造を保持できるためであり、CSV形式では完全に表現できない構造です。CSV形式でエクスポートすると、詳細な条件付きアクセス結果（ポリシーIDやポリシーごとの結果など）が省略されるため、自動解析や詳細な分析には適していません。
したがって、マイクロソフトの公式ドキュメントに基づくと、次のようになります。
「条件付きアクセス ポリシーの評価結果はサインイン ログでのみ確認でき、SIEM との統合のために JSON 形式でエクスポートする必要があります。」
# 正解: A. JSON形式のサインイン

Explanation:

Microsoftの公式IDおよびアクセス管理者（SC-300）学習ガイドとAzure Active Directoryのドキュメント「セルフサービスパスワードリセット（SSPR）の有効化と構成」によると、セルフサービスパスワードリセットが有効になっている場合、利用可能な認証方法はAzure ADにおけるユーザーの役割によって異なります。具体的には、管理者の役割を持つユーザーは、一般ユーザーよりも強力な認証方法を必要とします。
マイクロソフトのドキュメントには次のように記載されています。
「セキュリティ質問は、管理者以外のユーザーのみが利用できます。管理者権限を持つユーザーは、メール、モバイルアプリ、電話認証などの安全な認証方法を使用する必要があります。」この制限により、特権アカウント（ユーザー管理者、パスワード管理者、グローバル管理者、セキュリティ管理者など）は、より強力でフィッシング対策に優れた復旧オプションを利用できるようになります。
提供された表では：
* User1（ユーザー管理者）とUser2（パスワード管理者）は管理者であるため、SSPRのセキュリティ質問を使用することはできません。
* User3（セキュリティリーダー）とUser4（ユーザー）は管理者権限を持たないため、パスワードをリセットする際にセキュリティ質問を使用できます。
したがって、パスワードリセット時にセキュリティ質問に答える必要があるのは、ユーザー3とユーザー4のみです。

Azure AD Identity Protection では、リスク検出はサインインリスクとユーザーリスクに分類されます。Microsoft の SC-300 学習ガイドおよび Identity Protection のドキュメントによると、ユーザーリスクとは、アカウントが侵害された可能性を表します。Microsoft は複数のサインインシグナルを集約し、独自の脅威インテリジェンスアルゴリズムを適用して、ユーザーの ID が危険にさらされているかどうかを判断します。
リストされているオプションのうち、パスワードスプレー、匿名IPアドレス、見慣れないサインインプロパティはサインインリスク検出に分類されますが、Azure AD脅威インテリジェンスはユーザーリスク検出に分類される唯一のタイプです。
Microsoft Docsには、「ユーザーリスク検出は、Microsoftがユーザー認証情報が侵害された可能性があると検出した場合に、Azure ADの脅威インテリジェンスによって生成されます」と記載されています。

参照：
新しい Microsoft 365/Azure AD テナントでは、セキュリティの既定値が既定で有効になっています。SC-300 の資料では、セキュリティの既定値と条件付きアクセスは併用できないことが強調されています。カスタムの条件付きアクセス ポリシーを作成して適用するには (たとえば、特定の条件下で MFA を要求する場合)、まずセキュリティの既定値を無効にする必要があります。セキュリティの既定値を無効にした後、特定のユーザー、アプリ、場所、またはデバイスの状態を対象とし、MFA やセッション制限などの制御を要求する条件付きアクセス ポリシーを定義できます。
ユーザーの同意を無効にする、オンプレミスのパスワード保護を設定する、あるいは単にMFA登録ポリシーを作成するだけでは、条件付きアクセスは有効になりません。これらはそれぞれ異なる機能に対応しています。したがって、条件付きアクセスでアクセスを制御するための最初のステップは、セキュリティのデフォルト設定を無効にすることです。