Explanation:
アプリコード
60
https://docs.microsoft.com/en-us/azure/active-directory/authentication/howto-mfa-mfasettings#account-lockout

Set-MsolUserLicense コマンドレットは、ユーザーのライセンス割り当てを更新します。これには、新しいライセンスの追加、ライセンスの削除、ライセンスオプションの更新、またはこれらの操作の任意の組み合わせが含まれます。
注記：
試験には、この問1の複数のバージョンがあります。問1には、正解が2つあります。
Azure Active Directory 管理センターのライセンスブレード
Set-MsolUserLicensecmdlet
試験で出題される可能性のあるその他の誤った選択肢には、以下のようなものがあります。
Azure Active Directory 管理センターの ID ガバナンス ブレード

Set-WindowsProductKeyコマンドレット

Set-AzureAdGroupcmdlet

参照：
https://docs.microsoft.com/en-us/powershell/module/msonline/set-msoluserlicense?view=azureadps-1.0

Explanation:

Explanation:
Microsoft Entra のサインインは、Active Directory ドメイン コントローラーによって認証される必要があります。パススルー認証 Active Directory ドメイン ユーザーは、Microsoft Entra のセルフ サービス パスワード リセット (SSPR) を使用できる必要があります。
パスワードライトバック
Microsoft Identity and Access Administrator のドキュメントに記載されている Microsoft Entra Connect、認証方法、および SSPR 要件に基づいて、手順を一つずつ詳しく見ていきましょう。
要件1：Microsoft Entraへのサインインは、Active Directoryドメインコントローラーによって認証される必要があります。
* 要件の理解：
* この要件では、Microsoft Entra へのサインインはオンプレミスの Active Directory ドメイン コントローラーによって認証される必要があると規定されています。つまり、認証プロセスはクラウドではなくオンプレミスで行われる必要があります。
* Microsoft Entra Connect は、ハイブリッド ID 用の複数の認証方法をサポートしています。
* パスワードハッシュ同期（PHS）：パスワードハッシュはMicrosoft Entra IDに同期され、認証はクラウド上で行われます。ドメインコントローラーが認証プロセスに関与しないため、この方法は要件を満たしません。
* パススルー認証 (PTA): ユーザーは Microsoft Entra ID にサインインしますが、認証要求は検証のためにオンプレミスの Active Directory ドメイン コントローラーに渡されます。ドメイン コントローラーが認証を実行するため、この方法は要件を満たします。
* Active Directory フェデレーション サービス (AD FS) とのフェデレーション: ユーザーはオンプレミスの AD FS サーバーにリダイレクトされ、そこでドメイン コントローラーに対して認証が行われます。ドメイン コントローラーが AD FS を介して関与するため、これも要件を満たします。
* オプションの比較：
* Active Directory Federation Services (AD FS) とのフェデレーション:
* AD FSはフェデレーション認証を提供します。ユーザーは認証のためにオンプレミスのAD FSサーバーにリダイレクトされます。AD FSサーバーはドメインコントローラーと通信して資格情報を検証します。
* これは、ドメインコントローラーがユーザーを認証するため、要件を満たしています。
ただし、AD FS には大規模なインフラストラクチャ (AD FS サーバー、Web アプリケーション プロキシ サーバーなど) と継続的なメンテナンスが必要であり、管理作業が増加します。
* パススルー認証 (PTA)
* PTAを使用すると、Microsoft Entra IDは、オンプレミス環境のサーバーにインストールされた軽量エージェントを介して、認証要求をオンプレミスのドメインコントローラーに直接渡すことができます。
* これは、ドメインコントローラーが認証を実行するため、要件を満たしています。
* PTAはAD FSよりも導入と管理が簡単です。必要なのはMicrosoft Entra ConnectサーバーとPTAエージェントだけで、AD FSサーバーのような追加のインフラストラクチャは不要です。
これは「管理業務の負担を最小限に抑える」という要件に合致する。
* 管理業務の負担を最小限に抑える：
* この質問は、事務作業の負担を最小限に抑えることを重視している。
* AD FS では、AD FS サーバー、Web アプリケーション プロキシ サーバー、証明書、ロード バランサーなどを含むフェデレーション インフラストラクチャの展開と維持管理が必要です。これには、かなりの管理上の負担が伴います。
一方、PTAは軽量です。既存のMicrosoft Entra Connectサーバーと小型のエージェントを使用するため、追加のインフラストラクチャは不要です。また、複数のPTAエージェントを許可することで、高可用性もサポートしています。
したがって、要件を満たしつつ管理上の労力を最小限に抑えるには、PTAがより良い選択肢となります。
* 要件1に関する結論：
どちらのオプションもドメインコントローラー認証の要件を満たしていますが、管理作業を最小限に抑えられるため、PTAの方がより良い選択肢です。
* この要件に対する正解は、パススルー認証です。
要件2：Active Directoryドメインのユーザーは、Microsoft Entraのセルフサービスパスワードリセット（SSPR）を使用できる必要があります。
* 要件の理解：
* 要件では、Active DirectoryドメインのユーザーはMicrosoft Entraのセルフサービスパスワードリセット（SSPR）を使用できる必要があると規定されています。
SSPRを使用すると、ユーザーは管理者に連絡することなく、Webポータル（aka.ms/ssprなど）経由でパスワードをリセットできます。ハイブリッド環境（Microsoft Entra Connectを使用）では、SSPRをオンプレミスのActive Directoryアカウントと連携するように構成する必要があります。
* SSPR がハイブリッド環境で機能するためには、パスワードのリセットがオンプレミスの Active Directory に書き戻され、Microsoft Entra ID と Active Directory の両方でユーザーのパスワードが更新される必要があります。
* オプションを理解する：
* デバイスライトバック:
* デバイスライトバックは、Microsoft Entra IDとActive Directory間でデバイスオブジェクト（条件付きアクセスやWindows Hello for Businessなど）を同期します。
* これはSSPRやパスワード管理とは関係ありません。
* グループ書き戻し:
* グループ書き戻し機能は、Microsoft Entra ID から Active Directory へ Microsoft 365 グループを同期し、オンプレミス アプリケーションがこれらのグループを使用できるようにします。
* これはSSPRやパスワード管理とは無関係です。
* パスワードハッシュの同期:
* パスワードハッシュ同期（PHS）は、ユーザーのActive DirectoryパスワードのハッシュをMicrosoft Entra IDに同期させ、クラウド認証を可能にします。
* PHSはハイブリッド環境でよく使用されますが、Active DirectoryからMicrosoft Entra IDへのパスワード同期（一方向）のみに対応しています。ハイブリッド環境でSSPRを使用する際に必要な、パスワード変更（SSPRなど）をActive Directoryに書き戻す機能はサポートしていません。
* パスワードの書き戻し:
* パスワード書き戻しは、Microsoft Entra Connect の機能であり、Microsoft Entra ID で行われたパスワード変更 (SSPR 経由など) をオンプレミスの Active Directory に書き戻すことができます。
* これは、ハイブリッド環境におけるSSPR（Simple Scheduler Password Replacement）専用に設計されています。ユーザーがSSPRを使用してパスワードをリセットすると、新しいパスワードがActive Directoryに書き戻され、両方の環境間でユーザーの認証情報が一貫していることが保証されます。
* パスワード書き戻し機能を使用するには、Microsoft Entra ID P1またはP2ライセンスが必要であり、Microsoft Entra Connectで有効にする必要があります。
* ハイブリッド環境におけるSSPR：
* Active Directoryドメインユーザーに対してSSPRを機能させるには、パスワードライトバックを有効にする必要があります。
パスワードの書き戻し機能がない場合、Microsoft Entra ID でパスワードをリセットしてもオンプレミスの Active Directory が更新されないため、ユーザーはオンプレミスのリソースにサインインできなくなります。
* パスワードライトバックにより、ユーザーが SSPR を介してパスワードをリセットした際に、新しいパスワードが Active Directory に同期され、要件を満たします。
* 要件2に関する結論：
* ハイブリッド環境で Active Directory ドメインユーザーに対して SSPR を有効にする唯一のオプションは、パスワード ライトバックです。
* その他のオプション（デバイス書き戻し、グループ書き戻し、パスワードハッシュ同期）は、SSPRに必要な、パスワード変更をActive Directoryに書き戻す機能をサポートしていません。
最終回答の要約：
* Microsoft Entra のサインインは、Active Directory ドメイン コントローラーによって認証される必要があります: パススルー認証 (要件を満たし、AD FS と比較して管理作業を最小限に抑えます)。
* Active Directory ドメイン ユーザーは、Microsoft Entra セルフサービス パスワード リセット (SSPR):パスワード ライトバック (ハイブリッド環境での SSPR に必須) を使用できる必要があります。
参考文献：
Microsoft Entra Connect ドキュメント: 「適切な認証方法を選択する」(Microsoft Learn:
Microsoft Entra Connect ドキュメント: 「SSPR のパスワード書き戻し」(Microsoft Learn:https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/choose-ad-authn)
microsoft.com/en-us/entra/identity/authentication/howto-sspr-writeback) Microsoft Identity and Access Administrator (SC-300) 試験の学習ガイド。ハイブリッド環境における Microsoft Entra Connect 認証方法と SSPR 構成について解説しています。