問1. ある企業では、地域ITサポート担当に、各地域の管理単位に属する一般ユーザーの無効化・表示名や部署などの属性変更・パスワードリセットを継続的に委任する。既存の組み込みロールでこの業務を満たせ、権限の広さも許容範囲とする。一方、人事連携担当には同じ範囲のユーザー属性更新だけを許可し、認証情報操作は許可しない。最小権限、運用負荷、監査しやすさを判断基準とする場合、最も適切な設計はどれか。
- 地域ITサポート担当と人事連携担当の双方にUser Administratorを各地域の管理単位スコープで割り当て、権限の種類を統一して運用と監査を簡素化する
- 地域ITサポート担当にはUser Administratorを各地域の管理単位スコープで割り当て、人事連携担当には必要な属性更新権限だけを含むカスタムロールを同じスコープで割り当て、変更を定期的にレビューする
- 双方に必要な属性更新だけを含むカスタムロールを作成し、地域ITサポート担当に必要な無効化やパスワード操作は別の申請運用で補う
- 地域ITサポート担当にはテナント全体のUser Administrator、人事連携担当には属性更新用カスタムロールを管理単位スコープで割り当て、設定を簡素化する
問2. 全国の人事部門では、各地域のヘルプデスク担当者に、担当地域の一般ユーザーに対するパスワードリセットと連絡先属性の更新だけを継続的に委任したい。担当者は複数名で、対象範囲は地域ごとの管理単位で限定する。過剰権限を抑えつつ、権限定義と担当者管理の保守負荷も抑える設計として最も適切なものはどれか。
- User Administratorをテナント全体に割り当て、標準ロールだけで権限定義を統一する
- 担当者を1つのロール割り当て可能グループにまとめ、そのグループへPassword Administratorと連絡先属性更新だけを含むカスタムロールを同じ管理単位スコープで割り当て、定期的にレビューする
- パスワードリセットと連絡先属性更新だけを含む1つのカスタムロールを作成し、管理単位スコープで担当者へ割り当てる
- Password AdministratorとUser Administratorを同じ管理単位スコープで担当者へ割り当て、二重のロールで必要操作を確実に満たす
問3. ある企業では、6人のEntra管理チームがユーザーの作成・属性更新と認証方法の管理を担当している。少人数のためロール割り当ての運用は簡素化したいが、監査要件として、ユーザー管理担当者と認証方法管理担当者の職務分離を維持し、常設の特権も減らす必要がある。各業務は既存の組み込みロールで満たせる。この要件に最も適した設計はどれか。
- 全員を1つのロール割り当て可能グループにまとめ、User AdministratorとAuthentication Administratorを付与してメンバー管理を一元化する
- 職務ごとに2つのロール割り当て可能グループを作り、対応する組み込みロールをそれぞれ付与し、PIM for Groupsで各グループのメンバーシップを必要時だけ有効化する
- ユーザー管理と認証方法管理を1つのカスタムロールに統合し、単一グループへ付与してロール定義を一度だけ監査する
- 管理者全員へGlobal AdministratorをPIMの適格割り当てで付与し、利用時の手順によって役割分担を補う