変更要約: SC-300 第3章を新規作成（ドメイン2: 認証方式(CBA/TAP/passkeys FIDO2/Authenticator/MFA/SSPR/Windows Hello/パスワード保護/Entra Kerberos)、Conditional Access(割当/制御/セッション/CAE/認証コンテキスト/protected actions/テンプレ/レポート専用/緊急用除外)、ID Protection(ユーザーリスク/サインインリスク/危険なworkload id/登録キャンペーン)、Global Secure Access(GSAクライアント/Entra Private Access ZTNA/Entra Internet Access SWG/Internet Access for M365/テナント制限)）。
3.2Conditional Access
Conditional Access ポリシーの計画・割当・制御、セッション管理、デバイス強制制限、継続的アクセス評価（CAE）、認証コンテキスト、保護されたアクション（protected actions）、テンプレートからの作成を理解します。
Conditional Access（CA） は、ゼロトラストの「明示的に検証する」を実装するアクセス管理者の主力ツールです。シグナルに基づいて、リソースアクセスを動的に許可/制御します。
3.2.1割当と制御
CA ポリシーは「割当（assignments）＝誰に（ユーザー/グループ/ロール）・何に（クラウドアプリ/リソース）・どんな条件で（場所・デバイス・リスク・クライアント）」と「制御（access controls）＝許可（MFA・準拠デバイス必須・アプリ保護ポリシー必須）/ブロック」で構成します。設計では 除外（緊急用アカウント） を必ず設け、ロックアウトを防ぎます。まず レポート専用モード で影響を確認してから有効化します。テンプレートを使うと推奨ポリシーを素早く展開できます。
3.2.2セッション制御・CAE・認証コンテキスト
セッション制御 は、サインイン頻度の強制やアプリ強制制限、Defender for Cloud Apps の Conditional Access アプリ制御 を適用します。継続的アクセス評価（CAE） は、トークン有効期限を待たず危険な変化（無効化・場所変化）でセッションを即時失効させます。認証コンテキスト は、特定の操作/アプリに追加の認証要件（例：フィッシング耐性 MFA）を要求するラベルで、CA や 保護されたアクション（protected actions） と組み合わせて「最も危険な操作だけ強い認証」を実現します。
決め手：「準拠デバイス/リスク/場所で許可・MFA・ブロック」＝CA の割当＋制御。「影響を事前確認」＝レポート専用モード。「危険な変化で即時失効」＝CAE。「特定操作に追加認証ラベル」＝認証コンテキスト。「超危険操作に強い認証必須」＝protected actions。ロックアウト回避＝緊急用アカウントを除外。
混同に注意：
①CA は緊急用アカウントを必ず除外（全管理者ロックアウト事故を防ぐ）。
②レポート専用モードは「適用せず影響だけ記録」。
③認証コンテキスト（操作に追加要件）と protected actions（Entra 操作のゲート）は連携するが別概念。
3.2.3この節のまとめ
- CA＝割当(誰に/何に/条件)＋制御(許可:MFA/準拠/ブロック)。緊急用除外＋レポート専用で安全に展開
- セッション制御/CAE(即時失効)/認証コンテキスト(追加認証ラベル)/protected actions(超危険操作のゲート)
- テンプレートで推奨ポリシーを迅速展開
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 新しい Conditional Access ポリシーを本番適用する前に、実際のサインインへの影響を、ブロックせずに確認したい。最適なのはどれですか？
Q2. CA ポリシー設計で、全管理者がロックアウトされる事故を防ぐために必須の対策はどれですか？
Q3. アカウントが無効化された瞬間に、トークン有効期限を待たずアクセスを遮断したい。最適なのはどれですか？
Q4. 特定の機密性の高い操作に対してのみ、追加のフィッシング耐性 MFA を要求するラベルを使いたい。最適なのはどれですか？
Q5. 準拠デバイスからのみ特定の SaaS アプリへのアクセスを許可したい。Conditional Access の構成として正しいのはどれですか？