変更要約: MS-102 第2章を新規作成（ドメイン: Microsoft Entra ID とアクセス）。ID 同期（IdFix の事前修復・Microsoft Entra Connect Sync vs Cloud Sync・Connect Health 監視・トラブルシュート）、認証（認証方法・SSPR・Password Protection のグローバル/カスタム禁止リスト・パスワード書き戻し）、セキュアアクセス（Identity Protection のリスク検出と risk policy・Conditional Access のシグナルと grant/block・MFA を Conditional Access で強制・準拠デバイス要求）。
2.2認証
認証方法の管理、セルフサービス パスワード リセット（SSPR）、Microsoft Entra Password Protection による弱い/禁止パスワードのブロック、認証問題の調査を理解します。
サインインの安全性は 認証方法・ユーザー自身のパスワード復旧・弱いパスワードの排除 の組み合わせで高めます。それぞれ役割が異なります。
2.2.1認証方法と SSPR
認証方法（authentication methods） では、Microsoft Authenticator・FIDO2 セキュリティ キー・電話・OATH トークンなど 利用可能な要素 を有効化/制御します。セルフサービス パスワード リセット（SSPR） は、登録済みの認証方法を使って ユーザー自身がパスワードをリセット でき、ヘルプデスク負荷を下げます（オンプレ反映にはパスワード書き戻しが必要）。
2.2.2Password Protection
Microsoft Entra Password Protection は 弱い/推測されやすい/禁止されたパスワード をブロックします。Microsoft の グローバル禁止パスワード リスト に加え、組織独自の カスタム禁止パスワード リスト（会社名・製品名など）を設定でき、オンプレ AD にも拡張できます。SSPR が「ユーザーがリセットする手段」なのに対し、Password Protection は「設定できるパスワードの品質を強制」する点が違います。
決め手：「利用できる要素(Authenticator/FIDO2/電話)の有効化」＝認証方法。「ユーザー自身がパスワードを再設定」＝SSPR。「弱い/禁止パスワードをブロック・カスタム禁止リスト」＝Password Protection。SSPRのオンプレ反映＝パスワード書き戻し。
混同に注意：
①SSPR(ユーザーがリセットする手段)とPassword Protection(設定可能なパスワード品質の強制)を取り違えない。
②認証方法(要素の有効化)はSSPR/MFAの前提だが別設定。
③カスタム禁止パスワードリスト＝Password Protection。
④SSPRをオンプレに反映するにはパスワード書き戻しが必要。
2.2.3この節のまとめ
- 認証方法はAuthenticator/FIDO2/電話などの要素を有効化/制御
- SSPRはユーザー自身のパスワード リセット(オンプレ反映は書き戻し)
- Password Protectionは弱い/禁止パスワードをブロック(グローバル+カスタム禁止リスト)
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ヘルプデスクへの問い合わせを減らすため、ユーザーが登録済みの方法で自分のパスワードを安全にリセットできるようにしたい。最適なのはどれですか？
Q2. 会社名や製品名を含む推測されやすいパスワードを、ユーザーが設定できないようブロックしたい。最適なのはどれですか？
Q3. ユーザーが MFA や SSPR に使える要素として、Microsoft Authenticator と FIDO2 セキュリティ キーを有効化したい。どこで構成しますか？
Q4. SSPR でクラウドのパスワードをリセットしてもオンプレ AD のパスワードが更新されない。必要な構成はどれですか？
Q5. 「ユーザーがパスワードを忘れたときの自己解決」と「設定できるパスワードの品質強制」は別機能である。後者にあたるのはどれですか？