您希望將全域管理員的常設權限降到最低。管理員應該請求即時權限提升，並由安全團隊提示 MFA 和核准，且在兩小時後自動失去權限提升。您還希望每月驗證只有必要的用戶保留資格。您應該設定什麼？（選擇兩項）

正確答案是將全域管理員在 PIM 中指派為「符合資格」，並設定啟用需要核准和 MFA，最長持續時間為兩小時。這符合即時權限提升、MFA 提示、安全團隊核准以及兩小時後自動失去權限的需求。另一個正確答案是在 PIM 中建立每月定期存取審查，以驗證只有必要的用戶保留資格。讓管理員永久啟用並要求每次登入 MFA 不符合即時權限提升原則。Azure AD Identity Protection 主要用於風險偵測和補救，而非定期存取審查。將管理員新增到緊急存取群組並排除條件式存取，會繞過安全控制，不符合最小權限原則。