説明

ボックス 1: はい。
User1 は Compliant という名前のグループに属しています。すべての条件付きアクセス ポリシーは Group1 に適用されるため、User1 には適用されません。
Compliant という名前のグループのアクセスをブロックする条件付きアクセス ポリシーがないため、User1 は任意のデバイスを使用して App1 にアクセスできます。
ボックス 2: はい。
User2 は Group1 に属しているため、Policy1 が最初に適用されます。Policy1 は準拠デバイスを除外し、Device1 は準拠しています。
したがって、Policy1 は適用されないため、Policy2 に進みます。
User2 も Group2 に属しています。Policy2 は Group2 を除外します。したがって、Policy2 は適用されないため、Policy3 に進みます。
Policy3 は Group1 に適用されるため、Policy3 は User2 に適用されます。Policy3 は「すべてのデバイスの状態」に適用されるため、Policy3 は Device1 に適用されます。Policy3 はアクセスを許可します。したがって、User2 は Device1 を使用して App1 にアクセスできます。
ボックス 3: いいえ。
User2 は Group1 に属しているため、Policy1 が適用されます。Policy1 は準拠デバイスを除外しますが、Devices は非準拠です。
したがって、User2 は Device2 から App1 にアクセスできません。
参照：
https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/plan-conditional-access