変更要約: MS-102 第2章を新規作成（ドメイン: Microsoft Entra ID とアクセス）。ID 同期（IdFix の事前修復・Microsoft Entra Connect Sync vs Cloud Sync・Connect Health 監視・トラブルシュート）、認証（認証方法・SSPR・Password Protection のグローバル/カスタム禁止リスト・パスワード書き戻し）、セキュアアクセス（Identity Protection のリスク検出と risk policy・Conditional Access のシグナルと grant/block・MFA を Conditional Access で強制・準拠デバイス要求）。
2.3セキュアアクセス
Microsoft Entra Identity Protection によるリスクベースの検出、Conditional Access ポリシーによるアクセス制御、Conditional Access を用いた多要素認証（MFA）の強制を理解します。
セキュアアクセスは「リスクを検出する」層と「アクセスを制御する」層の連携です。検出は Identity Protection、制御は Conditional Access が担います。
2.3.1Identity Protection
Microsoft Entra Identity Protection は、漏えい資格情報・不可能な移動・匿名 IP などのシグナルから サインイン リスク と ユーザー リスク を評価し、risky users / risky sign-ins として可視化します。リスク ポリシー により、リスクが高いときに MFA を要求 したり パスワード変更 を求めたりできます。Identity Protection は「リスクの検出と分類」が役割です。
2.3.2Conditional Access と MFA
Conditional Access は シグナル（ユーザー/グループ・場所・デバイス・アプリ・リスク） を評価し、付与（grant）/ブロック の判断と条件を適用する アクセス制御エンジン です。MFA を要求、準拠デバイス（compliant device）を要求、サインイン頻度 などを条件に設定します。MFA は Conditional Access ポリシーで強制するのが現在の標準で、例として「管理者ロールや危険なサインインには必ず MFA」を組みます。Identity Protection の risk を Conditional Access の条件として使うこともできます。
決め手：「漏えい資格情報/不可能な移動などからリスクを検出・risky users/sign-ins」＝Identity Protection。「ユーザー/場所/デバイス/アプリのシグナルでgrant/blockやMFA要求/準拠デバイス要求」＝Conditional Access。「MFAを強制する標準手段」＝Conditional Accessポリシー。Identity ProtectionのriskをCAの条件にできる。
混同に注意：
①Identity Protection(リスクの検出/分類)とConditional Access(アクセスの制御)を取り違えない。
②MFAは「機能」だが強制は通常Conditional Accessで行う(レガシーのper-userMFAやセキュリティの既定値と区別)。
③準拠デバイス要求はConditional Accessの付与条件(Intuneのコンプライアンスと連携)。
2.3.3この節のまとめ
- Identity Protectionはリスクを検出/分類しrisky users/sign-insとrisk policyで対処
- Conditional Accessはシグナルでgrant/blockやMFA/準拠デバイスを要求するアクセス制御
- MFAの強制はConditional Accessポリシーで行うのが標準・IPのriskをCA条件に使える
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 漏えいした資格情報や不可能な移動などのシグナルから、危険なサインインやユーザーを検出して可視化したい。最適なのはどれですか？
Q2. 管理者ロールを持つユーザーが信頼できない場所からサインインするとき、必ず多要素認証を要求したい。最適なのはどれですか？
Q3. 管理されていないデバイスからの社外アクセスを、Intune で準拠と評価されたデバイスだけに限定したい。最適なのはどれですか？
Q4. サインイン リスクが高いと判定されたときに自動で MFA を要求し、ユーザー リスクが高ければパスワード変更を求めたい。最適なのはどれですか？
Q5. 「リスクの検出」と「アクセスの制御」は別レイヤーである。アクセスを実際に許可/ブロックする制御エンジンはどれですか？