DISPLAY SETTINGS 各種設定
Q1.ある企業のオンプレミス ネットワークには、Fabrikam.com という Active Directory ドメインがあり、macOS または Windows 8.1 で稼働する 500 台のデバイスが所属しています。
これに加えて、Windows 10 または Windows 11 を実行するデバイスも存在します。
これらのデバイスはいずれも Microsoft Configuration Manager によって管理されており、ドメインは Microsoft Entra ID（旧 Azure Active Directory）と同期されています。
今後 Microsoft 365 E5 を展開し、共同管理を有効化する計画です。
展開後に共同管理の対象にできるデバイスはどれですか。
解答を見る
共同管理は、Microsoft Configuration Manager と Microsoft Intune の両方で 1 台の Windows クライアントを同時に管理する仕組みです。
この機能が対応するのは Windows 10 以降のクライアントであり、Windows 8.1 や macOS は共同管理の対象にはなりません。
したがって、展開後に共同管理できるのは Windows 11 と Windows 10 のデバイスのみです。
共同管理の対応 OS は Windows 10 以降に限られる点を正確に区別することが重要です。
なお設問中の Azure Active Directory は、現在は Microsoft Entra ID という名称に変更されています。
Windows デバイスの共同管理 – Configuration Manager
Q2.Microsoft 365 E5 サブスクリプションがあり、次の表に示す ID が登録されています。
ここで Shared1 という名前の共有メールボックスを新しく作成します。
Shared1 のメンバーとして追加できる ID はどれですか。
| 名前 | 種類 |
|---|---|
| User1 | User |
| Group1 | Microsoft 365 group |
| Group2 | Mail-enabled security group |
| Group3 | Distribution group |
解答を見る
共有メールボックスのメンバー（アクセス権の委任先）として指定できるのは、ユーザーと、メールが有効なセキュリティ グループ（Mail-enabled security group）だけです。
Microsoft 365 グループ（Microsoft 365 group）や配布グループ（Distribution group）は委任先として追加できないため、Group1 と Group3 は対象外になります。
したがって Shared1 に追加できるのは User1 と Group2 のみです。
委任先に使えるのはユーザーとメールが有効なセキュリティ グループに限られる点を区別できることが重要です。
Exchange Onlineで受信者のアクセス許可を管理する | Microsoft Learn
Q3.Microsoft 365 E5 テナントを運用しています。
ISO 27001:2013 テンプレートをベースに、独自のコンプライアンス マネージャー評価テンプレートを作成する予定です。
その前提として、既存のテンプレートをエクスポートする必要があります。
エクスポートしたテンプレートには、どのファイル形式を使用する必要がありますか。
解答を見る
コンプライアンス マネージャーでは、既存テンプレートをエクスポートする際に Excel 形式のファイルが生成されます。
Microsoft Learn でも、現在のテンプレートや更新済みテンプレートをダウンロードすると Excel ファイルが得られると説明されています。
したがって、選択肢の中では XLSX が正解となります。
エクスポート形式が CSV や JSON、XML ではない点を正しく区別できることが重要です。
Microsoft Purview コンプライアンス マネージャーで評価を構築および管理する | Microsoft Learn
Q4.Microsoft 365 E5 サブスクリプションを利用しています。
メールが有効な連絡先（メール連絡先）を新規に作成する必要があります。
この作業には、どの管理ポータルを使用すべきですか。
解答を見る
メールが有効な連絡先は Exchange Online の受信者オブジェクトであり、Microsoft 365 管理センターの「ユーザー」＞「連絡先」から新しい連絡先を追加できます。
選択肢の中で Exchange の受信者を扱えるのはこのポータルだけです。
Microsoft Entra 管理センターはディレクトリ上のユーザーやグループ、SharePoint 管理センターはサイトやストレージ、Microsoft Purview コンプライアンス ポータルはデータ保護やコンプライアンス機能を管理する場所であり、いずれもメール連絡先は作成できません。
受信者の種類ごとにどの管理画面を使うのかを整理しておくことが重要です。
Exchange Onlineでメールの連絡先を管理する | Microsoft Learn
Q5.次の図のように、DLP1 という名前のデータ損失防止（DLP）ポリシーを構成します。
ドロップダウン メニューを使い、図に示された設定内容に基づいて各ステートメントを完成させてください。
保護するコンテンツの種類を選択する
このポリシーは、次の要件に一致するコンテンツを保護します。機密情報の種類と既存のラベルを選択できます。
コンテンツに次が含まれる（Content contains）
Any of these（これらのいずれか） ▼
| 機密情報の種類 | 一致精度（最小） | 一致精度（最大） |
|---|---|---|
| Credit Card Number | 85 | 100 |
保持ラベル（Retention labels）
1 year
＋ グループの追加
解答を見る
DLP1 の一致条件は「Any of these（これらのいずれか）」に設定されているため、一致精度 85〜100 でクレジット カード番号が検出された文書か、1 year の保持ラベルが付いた文書のいずれかに該当すれば対象になります。
ただし、保持ラベルを条件として使用できるのは SharePoint と OneDrive の場所だけで、Exchange のメールでは利用できません。
そのため DLP1 を適用できない場所は Exchange メールとなり、適用対象はクレジット カード番号または 1 年ラベルのいずれかを持つ文書になります。
条件の「いずれか／すべて」と、場所ごとに使える条件の違いを区別することが重要です。
データ損失防止ポリシー リファレンス | Microsoft Learn
Q6.Microsoft 365 サブスクリプションで、次の表に示す管理単位・グループ・ロールの割り当てが構成されています。
各記述が正しいかどうかを判定してください。
| 管理単位 | メンバー |
|---|---|
| AU1 | Group1, User2 |
| AU2 | Group2, User3, User4 |
| グループ | メンバー |
|---|---|
| Group1 | User1 |
| Group2 | User2, User4 |
| ユーザー | ロール | スコープ |
|---|---|---|
| User1 | なし | 該当なし |
| User2 | Password Administrator | AU1 |
| User3 | License Administrator | Organization |
| User4 | なし | 該当なし |
| 問題文 | はい | いいえ | |
|---|---|---|---|
| User2 は User1 のパスワードをリセットできる | |||
| User2 は User4 のパスワードをリセットできる | |||
| User3 は User1 にライセンスを割り当てられる |
解答を見る
公式仕様では、管理単位にグループを追加しても、そのグループのメンバーであるユーザーは管理範囲に含まれません。
管理単位のスコープで管理できるのはグループ自体（名前やメンバーシップ）であり、メンバーのパスワードや認証方法は対象外です。
そのため AU1 スコープの Password Administrator である User2 は、Group1 経由の User1 も、別の管理単位に属する User4 もパスワードをリセットできません。
一方、組織スコープの License Administrator である User3 は、テナント全体のユーザーが対象となるため User1 へライセンスを割り当てられます。
Microsoft Entra ID の管理単位 | Microsoft Learn
Q7.Microsoft Intune に登録されたデバイスを含む Microsoft 365 テナントがあります。
デバイスは、Device1 が Windows 10、Device2 が Android、Device3 が iOS という構成です。
Microsoft Endpoint Manager で、VPN デバイス構成プロファイルによる VPN 接続の展開と、Endpoint Protection デバイス構成プロファイルによるセキュリティ設定の構成という管理タスクを実施する予定です。
これらの管理業務を進めるにあたり、それぞれの対象デバイスを特定する必要があります。
各プロファイルは、どのデバイスに適用できますか。
| 名前 | プラットフォーム |
|---|---|
| Device1 | Windows 10 |
| Device2 | Android |
| Device3 | iOS |
解答を見る
VPN デバイス構成プロファイルは、Windows・Android・iOS など複数のプラットフォームに対応しているため、対象は Device1・Device2・Device3 のすべてになります。
一方、Endpoint Protection デバイス構成プロファイルは主に Windows と macOS を対象とするため、この表では Windows 10 の Device1 のみが該当します。
プロファイルの種類ごとに対応プラットフォームが異なる点を、正確に区別することが重要です。
Microsoft Intune のデバイスの機能と設定 – Microsoft Intune | Microsoft Learn
Q8.Microsoft 365 サブスクリプションがあり、ネットワークは 51.40.15.0/24 の IP アドレス空間を使用しています。
先日、ある Exchange Online 管理者がネットワーク上のコンピューターから Role1 という名前のロールを作成しました。
監査ログ検索を用いて、この操作を行った管理者の名前を特定する必要があります。
監査ログ検索では、どのアクティビティを検索し、どのフィールドで絞り込む必要がありますか。
回答するには、回答領域で適切なオプションを選択してください。
解答を見る
ロールの作成は特定のワークロードに限定されない管理操作であるため、まずは検索対象を「すべてのアクティビティの結果を表示」に設定するのが適切です。
さらに、作成された Role1 というロール名で絞り込む必要があるため、ユーザー名や IP アドレスではなく「詳細」フィールドでフィルター処理します。
これにより監査レコード内の操作対象名を確認でき、Role1 を作成した管理者を特定できます。
監査ログで何を検索し、どの列で絞り込むかを区別することが重要です。
監査ログの検索
Q9.ネットワークにオンプレミスの Active Directory ドメインがあり、ドメイン コントローラーは Windows Server 2019 で稼働しています。
フォレストおよびドメインの機能レベルは Windows Server 2012 R2 です。
ドメインには、Windows 10 を実行する 100 台のコンピューターと、Windows Server 2012 R2 を実行する Server1 というメンバー サーバーが含まれています。
Server1 を使ってドメインを管理し、Windows 10 向けのグループ ポリシー設定を構成する予定で、Server1 にグループ ポリシー管理コンソール（GPMC）をインストールします。
Server1 で Windows Update for Business のグループ ポリシー設定を構成する必要があります。
解決策として、Server1 を Windows Server 2019 にアップグレードします。
これは目標を達成していますか。
解答を見る
この解決策で目標は達成できます。
Microsoft Learn では、Windows Server 2019 が Windows Update for Business のクライアント ポリシーを構成できる対象として明記されています。
Server1 を Windows Server 2019 にアップグレードし、GPMC を利用すれば、Windows 10 向けの Windows Update for Business のグループ ポリシー設定を管理できます。
機能レベルではなく、管理端末側の OS が対応しているかどうかが重要である点が問われています。
クライアント ポリシー Windows Update構成する | Microsoft Learn
Q10.Microsoft 365 E5 サブスクリプションで Microsoft Defender for Endpoint を使用しています。
サブスクリプションには、次の表に示すデバイスが含まれます。
ここで、次の表に示す 2 つのエンドポイント セキュリティ ポリシーを作成する必要があります。
各ポリシーは、どのデバイスに適用できますか。
回答するには、回答領域で適切なオプションを選択してください。
| 名前 | プラットフォーム |
|---|---|
| Device1 | Windows 11 |
| Device2 | Android |
| Device3 | Linux |
| 名前 | テンプレート |
|---|---|
| Policy1 | Microsoft Defender Antivirus（Microsoft Defender ウイルス対策） |
| Policy2 | Device Control（デバイス制御） |
解答を見る
エンドポイント セキュリティ ポリシーは、テンプレートごとに対応プラットフォームが決まっています。
Microsoft Defender ウイルス対策のテンプレートは Windows と Linux（および macOS）で作成できるため、Policy1 を適用できるのは Windows 11 の Device1 と Linux の Device3 です。
これに対してデバイス制御のテンプレートは Windows 専用であり、Policy2 の適用対象は Device1 だけになります。
Android の Device2 はどちらのテンプレートにも対応しておらず、モバイル デバイスはアプリ保護ポリシーなど別の機能で保護します。
Microsoft Intune のエンドポイント セキュリティ ポリシーを使用してウイルス対策設定を管理する | Microsoft Learn
Microsoft Intune を使用して攻撃表面の縮小の設定を管理する（デバイス制御）| Microsoft Learn