Explanation:

正しい：
* アイデンティティガバナンス管理者
* ユーザー管理者
資料についてはカタログをご確認ください
アクセスパッケージにリソースを追加する必要がある場合は、必要なリソースがアクセスパッケージのカタログに存在するかどうかを確認する必要があります。アクセスパッケージマネージャーは、たとえリソースを所有していても、カタログにリソースを追加することはできません。カタログに存在するリソースのみを使用できます。
前提条件となる役割：グローバル管理者、アイデンティティガバナンス管理者、ユーザー管理者、カタログ所有者、またはアクセスパッケージ管理者。
Azure ポータルで、Azure Active Directory を選択し、次に ID ガバナンスを選択します。
左側のメニューから「カタログ」を選択し、カタログを開きます。
左側のメニューで「リソース」を選択すると、このカタログに含まれるリソースの一覧が表示されます。
参照：
https://learn.microsoft.com/en-us/azure/active-directory/governance/entitlement-management-access-package-resources

トピック1、コントソ社
概要
Contoso, Ltdは、モントリオールに本社を置き、ロンドンとシアトルにもオフィスを構えるコンサルティング会社です。
ContosoはFabrikam, Inc.という会社と提携しており、Fabcricamはfabrikam.comという名前のAzure Active Directory（Azure AD）テナントを所有しています。
既存の環境
Contosoのオンプレミスネットワークには、contos.comという名前のActive Directoryドメインが含まれています。このドメインには、Contoso_Resourcesという名前の組織単位（OU）が含まれています。Contoso_Resources OUには、すべてのユーザーとコンピューターが含まれています。
Contoso.comのActive Directoryドメインには、次の表に示すユーザーが含まれています。

Microsoft 365/Azure環境
Contosoは、Contoso.comという名前のAzure ADテナントを所有しており、以下のライセンスが関連付けられています。
* Microsoft Office 365 Enterprise E5
* エンタープライズモビリティ＋セキュリティ
* Windows 10 Enterprise E5
* プロジェクト計画3
Azure AD Connectは、Azure ADとActive Directoryドメインサーバーレス（AD DS）の間で構成されています。同期されるのはContoso Resources OUのみです。
ヘルプデスク管理者は、ユーザー設定を管理するために日常的にMicrosoft 365管理センターを使用します。
現在、ユーザー管理者はMicrosoft 365管理センターを使用してライセンスを手動で割り当てています。以下の例外を除き、すべてのユーザーにすべてのライセンスが割り当てられています。
ロンドンオフィスのユーザーは、Microsoft 365 管理センターを使用してライセンスを手動で割り当てることができます。以下の例外を除き、すべてのユーザーにライセンスが割り当てられています。
* ロンドンオフィスのユーザーは、Microsoft 365 Phone Systemのライセンスが割り当てられていません。
* シアトルオフィスのユーザーは、Yammer Enterpriseライセンスが未割り当ての状態です。
Contoso.comでは、セキュリティのデフォルト設定が無効になっています。
Contosoは、Azure ADの特権ID管理（PIM）を使用して管理者ロールをプロジェクト化します。
問題提起
コントソ氏は以下の問題点を指摘している。
* 現在、すべてのヘルプデスク管理者は、Microsoft 365テナント全体にわたるユーザーライセンスを管理できます。
* ユーザー管理者からは、Contosoの各オフィスごとに異なるライセンス要件を手動で設定するのは面倒だという報告が寄せられています。
ヘルプデスク管理者は、必要なMicrosoft 365サービスおよびアプリへの内部アクセスとゲストアクセスをプロビジョニングするのに時間をかけすぎている。
* 現在、ヘルプデスク管理者は、正当な理由や承認なしに、ユーザー管理者ロールを使用してタスクを実行できます。
* Azure AD で [ログ] ノードを選択すると、Log Analytics の統合が有効になっていないことを示すエラーメッセージが表示されます。
計画されている変更
コントソ氏は以下の変更を実施する予定です。
セルフサービスパスワードリセット（SSPR）を実装します。Azure Monitorを使用してAzure監査アクティビティログを分析し、テナントに追加された新規ユーザーのライセンス割り当てを簡素化します。Fabrikamのユーザーと協力して共同マーケティングキャンペーンを実施します。ユーザー管理者ロールを構成し、アクティベーションに正当性と承認が必要になるようにします。
App1という名前の、業務専用のカスタムAzure Webアプリを実装します。App1はインターネットからアクセス可能で、Azure ADアカウントを使用して認証されます。
マーケティング部門の新規ユーザー向けに、Microsoft SharePoint Onlineのサイト、グループ、およびアプリへのアクセス権を付与するための自動承認ワークフローを実装します。
Contoso社は、Corporationという会社を買収する予定です。買収後、Adatumという名前のActive Directory組織単位（OU）内に、新たに100人のA Datumユーザーが作成されます。これらのユーザーはロンドンとシアトルに拠点を置く予定です。
技術要件
Contoso社は、以下の技術要件を特定しました。
* AHユーザーは、AD DSからcontoso.comのAzure ADテナントに同期される必要があります。
* App1 には、https://contoso.com/auth-response を指すリダイレクト URI が必要です。
* 新規ユーザーへのライセンス割り当ては、ユーザーの所在地に基づいて自動的に行われる必要があります。
* Fabrikamのユーザーは、マーケティング部門のSharePointサイトに最大90日間アクセスできる必要があります。
* Azure AD で実行される管理操作は監査対象とする必要があります。監査ログは 1 年間保持する必要があります。
* ヘルプデスク管理者は、それぞれのオフィスに所属するユーザーのライセンスのみを管理できる必要があります。
* ユーザーの身元が侵害された可能性がある場合、ユーザーにはパスワードの変更を強制しなければならない。

セキュリティのデフォルト設定では、ユーザーは通知機能を使用してMicrosoft Authenticatorアプリで多要素認証に登録し、利用する必要があります。ユーザーはMicrosoft Authenticatorアプリから認証コードを取得できますが、登録は通知オプションのみで行えます。また、OATH TOTPを使用するサードパーティ製アプリケーションを使用してコードを生成することもできます。
https://learn.microsoft.com/en-us/entra/fundamentals/security-defaults#authentication-methods