Identity and Access Administrator Associate（SC-300） 無料問題 1 / 10 ・ 分野1: ユーザー ID の実装と管理
オンプレミスの AD DS を Microsoft Entra Connect Sync で同期し、パスワード ハッシュ同期でサインインさせている。契約社員は、AD のユーザーのプロパティの［アカウント］タブで契約の終了日を「アカウントの期限」として入れて管理している。ある契約社員の終了日が過ぎた。この契約社員の Microsoft Entra ID のアカウントについて、パスワード ハッシュ同期のページの説明に合うものはどれか。
- Microsoft Entra ID のアカウントは有効のまま残るが、パスワードでのサインインは拒まれる
- Microsoft Entra ID のアカウントは有効のまま残る。期限の値はクラウドに届かない
- 次のディレクトリ同期で期限切れが伝わり、Microsoft Entra ID のアカウントも無効になる
- 期限の日時に、同期を待たずに Microsoft Entra ID のアカウントも無効になる
正解と解説を見る
正解: B
正解の理由
AD の「アカウントの期限」は、ユーザー オブジェクトの accountExpires 属性である。ページは、accountExpires 属性をアカウントの管理に使っていても、この属性は Microsoft Entra ID に同期されないと書く。そのため、パスワード ハッシュ同期を構成した環境では、AD で期限切れになったアカウントも Microsoft Entra ID では有効のまま残る。期限の値そのものがクラウドに届かないので、期限の日時に何かが起きることもない。
違う選択肢
「次のディレクトリ同期で期限切れが伝わり、Microsoft Entra ID のアカウントも無効になる」… ページは、accountExpires 属性が Microsoft Entra ID に同期されないと書く。同期の周期を何回待っても、期限切れは Microsoft Entra ID に伝わらず、期限切れの AD のアカウントは Microsoft Entra ID では有効のままになる。
「期限の日時に、同期を待たずに Microsoft Entra ID のアカウントも無効になる」… accountExpires は同期されないので、Microsoft Entra ID は AD の期限の値を持たない。クラウドの側が期限の日時を知って無効にすることはなく、ページは期限切れの AD のアカウントが Microsoft Entra ID では有効のままになると書く。
「Microsoft Entra ID のアカウントは有効のまま残るが、パスワードでのサインインは拒まれる」… ページは、期限切れになった AD のアカウントが、パスワード ハッシュ同期の環境では Microsoft Entra ID で有効（active）のままになると書く。有効のアカウントの、パスワードのサインインだけを止める動きは書かれていない。
押さえどころ
ページは対策として、期限が来た AD のアカウントを無効にする、スケジュールした PowerShell のスクリプト（Set-ADUser コマンドレットを使う）を勧める。逆に、AD のアカウントから期限を外すときは、アカウントを有効に戻すよう書いている。なお、パスワードの期限はアカウントの期限とは別の話で、CloudPasswordPolicyForPasswordSyncedUsersEnabled を有効にすると、同期した利用者にも Microsoft Entra ID のパスワードの方針（期限やロックアウト）を効かせられる。
Identity and Access Administrator Associate（SC-300）の演習アプリ（無料10問・全問は解錠で）へ