Identity and Access Administrator Associate（SC-300） 問題集

正解: B

正解の理由
ページは、発行者のヒントを有効にしたあとで信頼ストアの CA を追加・更新・削除すると、発行者のヒントがクライアントに伝わるまで最大で10分の遅れが起きうると書く。利用者は、ヒントが伝わるまでは新しい CA が発行した証明書で認証できず、更新を伝えている途中であることを示すエラーが表示される。伝わったあとは新しい CA の証明書で認証できる。伝わりを始めるため、ヒントが使えるようになったら認証ポリシー管理者が証明書でサインインするよう勧めている。

違う選択肢
「信頼ストアに追加した時点で発行者のヒントにも載るので、新しい CA の証明書ですぐに認証できる」… ページは、発行者のヒントを有効にして信頼ストアの CA を追加すると、ヒントがクライアントに伝わるまで最大で10分の遅れがありうると書き、伝わるまでは新しい CA の証明書で認証できないと書く。
「ヒントが伝わるまでは新しい CA の証明書で認証できず、伝わるまでに最大で24時間ほどかかる」… 伝わるまで認証できない点は合っているが、ページが書く遅れは最大で10分である。24時間かかるとは書かれていない。
「認証はできるが、ヒントが伝わるまでは証明書の選択の画面に出ないので、利用者が手で選ぶ」… ページは、ヒントが伝わるまでは、新しい CA が発行した証明書で認証できないと書く。選択の画面に出ないだけで認証はできる、という扱いではなく、利用者には更新の途中であることを示すエラーが出る。

押さえどころ
発行者のヒントは、TLS のハンドシェイクで信頼する CA の一覧を返し、ブラウザやネイティブのアプリが証明書の選択の画面に出す証明書を絞れるようにする。一覧は、テナントが信頼ストアに入れた CA のサブジェクトから作られる。ヒントを有効にすると、CA の URL は t<tenantId>.certauth.login.microsoftonline.com の形になる。