Explanation:
User1 は、セルフサービス パスワード リセット (SSPR) を使用してパスワードをリセットできます: はい User1 が Microsoft Exchange Online にアクセスする場合、オンプレミスのドメイン コントローラーによって認証されます: はい User2 をメンバーとして Microsoft SharePoint Online サイトに追加できます: いいえ Microsoft の SC-300 学習ガイド、試験参照 SC-300: Microsoft Identity and Access Administrator、および Azure AD ドキュメントによると、Azure AD Connect の同期は、OU フィルタリング、認証方法、および同期スコープによって制御されます。
この構成では、Azure AD Connect は「選択したドメインと OU を同期する」に設定されており、OU1 のみが選択されています。したがって、OU1 にあるオブジェクト（ユーザー、グループなど）のみが Azure AD に同期されます。
* User1（OU1内）はAzure ADに同期されています。パスワード ライトバックが有効になっているため（構成「パスワード ライトバックを有効にする」を参照）、User1はAzure ADからセルフサービス パスワード リセット（SSPR）を実行でき、変更内容がオンプレミスのADに書き戻されます。したがって、最初のステートメントは「はい」です。
* パススルー認証も設定で有効になっています (「パススルー認証を有効にする」)。
PTA を使用すると、User1 が Microsoft 365 サービス（Exchange Online など）にアクセスすると、認証要求は Azure AD から PTA エージェントを介してオンプレミスのドメイン コントローラーに転送されます。したがって、認証はローカルの AD DS によって処理されます。したがって、2 番目のステートメントは「はい」となります。
* ドメイン/OU フィルタリング構成で OU2 が選択されていないため、User2 (OU2 内) は同期されません。
これは、User2 が Azure AD に存在せず、SharePoint Online を含む Microsoft 365 リソースへのアクセスを許可できないことを意味します。したがって、3 番目のステートメントは「いいえ」です。
このロジックは、Microsoft のドキュメントの「Azure AD Connect のフィルターを構成する」に記載されている内容と一致しています。
選択したドメインと組織単位のオブジェクトのみが同期されます。選択した OU 外のユーザーは Azure AD から除外され、認証やクラウド リソースへのアクセスはできません。