変更要約: Associate Google Workspace Administrator 第4章を新規作成（ドメイン4「セキュリティ/アクセス」: 認証の強化＝2SV 強制/セキュリティキー・パスキー/SAML SSO/パスワードポリシー/復旧、アクセス制御と対応＝コンテキストアウェアアクセス/セキュリティダッシュボード/アラートセンター/安全性の低いアプリのブロック/侵害時の停止・再設定・セッション失効）。
4.1認証の強化（2 段階認証プロセス・SSO）
2 段階認証プロセス（2SV）の強制とより強い方式（セキュリティキー/パスキー）、外部 IdP との SAML SSO 連携、パスワードポリシー（長さ・再利用・強度）、そして安全なアカウント復旧の設定を理解します。
アカウントの乗っ取りは最大の脅威の一つです。最初の防衛線が 本人確認（認証）の強化 で、その柱が 2 段階認証プロセス（2SV） とシングルサインオンです。
4.1.12 段階認証プロセスと方式
2 段階認証プロセス（2SV） は、パスワードに加えて二つ目の要素を求め、パスワード漏えいだけでは突破されにくくします。管理者は OU/グループ単位で 2SV を強制 できます。方式には、SMS/アプリのコード、Google からのプロンプト、そして最も強い セキュリティキー（FIDO） や パスキー があります。フィッシング耐性が高いのはセキュリティキー/パスキーです。「乗っ取り対策の基本＝2SV を強制」「最も強い＝セキュリティキー/パスキー」を押さえます。
4.1.2SSO とパスワードポリシー
外部の IdP（Okta・Entra ID など）を真実の源にするなら、SAML による SSO を設定し、Workspace へのログインを IdP に委ねます（ユーザーは一つの認証で複数サービスへ）。Workspace 自身が認証する場合は、パスワードポリシー（最小長・強度・再利用の禁止）を OU 単位で定めます。安全な アカウント復旧 の手段（復旧用メール/電話、管理者によるリセット）も整えます。「IdP に認証を委ねる＝SAML SSO」「自前認証の強度＝パスワードポリシー」と結びます。
「要件 → 手段」が頻出。例：「乗っ取りを減らす基本」＝2SV の強制、「フィッシングに最も強い」＝セキュリティキー/パスキー、「外部 IdP でログインを一本化」＝SAML SSO、「パスワードの最小長や再利用禁止」＝パスワードポリシー、「特定 OU だけ 2SV 強制」＝OU 単位の強制。
混同に注意：
①2SV はコード/プロンプト/セキュリティキーと強度の幅がある（最強はキー/パスキー）。
②SSO（SAML）は認証の委任、プロビジョニング（SCIM/GCDS）はアカウント作成で別物。
③強制はOU/グループ単位で段階的に展開できる。
4.1.3この節のまとめ
- 2SV を OU/グループ単位で強制、最強はセキュリティキー/パスキー（フィッシング耐性）
- 外部 IdP でログインを一本化＝SAML SSO（認証の委任）
- 自前認証はパスワードポリシー（最小長/強度/再利用禁止）と安全な復旧を設定
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. パスワード漏えいだけでは突破されにくくする、乗っ取り対策の基本はどれですか？
Q2. 2 段階認証プロセスの方式のうち、最もフィッシング耐性が高いのはどれですか？
Q3. 外部 IdP（Okta や Entra ID など）にログインを委ね、複数サービスへ一度の認証で入りたい。使うのはどれですか？
Q4. Workspace 自身が認証する場合に、最小長や再利用禁止を定めるのはどれですか？
Q5. SSO（SAML）とプロビジョニング（SCIM/GCDS）の関係として正しいものはどれですか？
Q6. 段階的に導入するため、特定の OU だけ 2SV を強制したい。最も適した方法はどれですか？