Microsoft Identity and Access Administrator (SC-300) — Preguntas de práctica y simulacro de examen

PIM for Groups habilita la activación just-in-time tanto de la pertenencia al grupo como de la propiedad del grupo (docs.microsoft.com/entra/id-governance/privileged-identity-management). Afirmación 1: Sí — PIM for Groups admite la activación JIT de pertenencia y propiedad. Afirmación 2: No — según la documentación de Microsoft Learn, los grupos asignables a roles no pueden tener otros grupos anidados dentro como miembros activos. Afirmación 3: Sí — PIM for Groups da acceso JIT a roles de Microsoft Entra, roles de Azure, Azure SQL, Azure Key Vault, Intune y aplicaciones de terceros. Afirmación 4: Sí — para los roles con permisos de SharePoint/Exchange, Microsoft recomienda asignaciones activas de usuario a grupo con asignaciones elegibles de grupo a rol para evitar retrasos de activación, ya que SharePoint/Exchange no admiten la propagación en tiempo real de la pertenencia JIT. Consejo para el examen: PIM for Groups = pertenencia JIT + propiedad. Los grupos asignables a roles no pueden anidar grupos. Usa asignaciones activas de usuario a grupo para los roles de SharePoint/Exchange.

Las aplicaciones con eliminación temporal en Microsoft Entra ID se conservan durante 30 días. Según Microsoft Learn (preguntas frecuentes sobre eliminación y recuperación de aplicaciones): los objetos de aplicación y de entidad de servicio con eliminación temporal pasan al contenedor de elementos eliminados y se pueden restaurar durante un máximo de 30 días. Después de 30 días se eliminan de forma permanente y se libera la cuota. Tanto los registros de aplicaciones como sus entidades de servicio correspondientes siguen el mismo ciclo de vida de 30 días. Los administradores con los roles Cloud Application Administrator o Application Administrator pueden restaurarlas dentro de esa ventana. Consejo para el examen: periodo de retención de 30 días para las apps con eliminación temporal. Eliminación permanente al terminar la ventana. Restaurables por los administradores durante la retención.

Sí, las directivas de Conditional Access pueden dirigirse a aplicaciones específicas en lugar de a todas las cloud apps. En la configuración de la directiva de CA, en Target resources (antes Cloud apps or actions), los administradores pueden seleccionar aplicaciones individuales, grupos de apps o todas las cloud apps. Esto permite un control de acceso granular; por ejemplo, requerir MFA solo para apps sensibles como Azure portal, mientras se permite un acceso menos restrictivo a apps generales de productividad. Las aplicaciones integradas de Microsoft y cualquier aplicación empresarial integrada con Microsoft Entra pueden ser objetivo. La respuesta 'No' es incorrecta porque el targeting a nivel de aplicación es una capacidad fundamental de CA documentada como una señal clave en la configuración de directivas. Ref: learn.microsoft.com/entra/identity/conditional-access/concept-conditional-access-cloud-apps