Microsoft Cybersecurity Architect のナレッジマップ
Microsoft Cybersecurity Architect の主要概念 68 件と、そのつながり。上のマップでノードをクリックすると関連用語や前提をたどれます。下は全概念の索引で、定義と「前提・関連する概念」への内部リンクを掲載しています。
概念一覧（68）
条件付きアクセス
場所・デバイス・リスクなどの条件に応じてアクセスを許可・追加要求する（ゼロトラストの実装）。
Microsoft Entra ID
クラウドのID/アクセス管理サービス（旧Azure AD）。MFA・SSO・条件付きアクセスを提供。オンプレのAD DSとは別物。
Microsoft Defender XDR
端末/メール/ID/SaaSアプリの防御を統合し、領域横断でシグナルを相関して検知・対応する（Endpoint/Office 365/Identity/Cloud Apps）。
Microsoft Defender for Cloud
リソースのセキュリティ状態を採点（セキュアスコア）し、設定不備や脅威を検出して改善を促す。
認証方式（MFA・パスワードレス）
本人確認の手段。多要素認証（MFA）やパスワードレス（FIDO2 セキュリティキー・Authenticator・Windows Hello 等）など、パスワード単独より強い方式を用いる。
前提: 多要素認証（MFA）
脅威防御と脅威インテリジェンス
攻撃の検知・分析・対応を支える仕組み。Microsoft Defender XDR が複数の領域のシグナルを統合し、拡張検知と対応（XDR）を提供する。
Azure SQL の Microsoft Entra 認証
Azure SQL の推奨認証。Entra ID で一元管理し、MFA・条件付きアクセス・マネージド ID でのパスワードレス接続に対応する。Entra ID 管理者を構成して有効化する。
Microsoft Purview
データガバナンスとコンプライアンスを統合した Microsoft の管理ソリューション群。情報保護・データライフサイクル・リスク管理・eDiscovery・監査に加え、データマップ/カタログによる横断的なデータガバナンスを含む（旧 Azure Purview を統合）。
データ分類（機微情報の種類・学習可能な分類子）
データ分類は、機微情報の種類（クレジットカード・マイナンバー等のパターン）や学習可能な分類子で内容を識別する仕組み。秘密度ラベルや DLP の適用判断に使う。
前提: 秘密度ラベル
関連: SQL データ分類
Purview Information Protection
Microsoft Purview Information Protection は、機微情報を発見・分類し、秘密度ラベルで保護（暗号化・アクセス制限・透かし）を適用する。Copilot の応答での露出を抑える基盤になる。
前提: 秘密度ラベル
SharePoint の過剰共有対策
Copilot は既存権限を継承するため、広すぎる共有（過剰共有）があると機微データが Copilot を通じて露出しうる。データ アクセス ガバナンス レポートで広く共有された/機微ラベルのサイトを特定し、SharePoint Advanced Management の制限付きサイト アクセスで是正する。
前提: SharePoint
サブスクリプション（Azure）
課金と利用の境界であり、リソースの論理的な入れ物。部門や環境ごとに分けることが多い。
ハイブリッド ID（Entra Connect）
オンプレの Active Directory を Entra ID と同期してハイブリッド ID を実現する。パスワードハッシュ同期・パススルー認証・フェデレーション（AD FS）から認証方式を選ぶ。
顧客管理キー（CMK）/ プラットフォーム管理キー（PMK）
保存時暗号化の鍵の管理方式。PMK＝Azure が既定で管理（追加設定なし）。CMK＝顧客が Key Vault で鍵を作成・ローテーション・失効を制御し、Storage や SQL TDE の保護キーに指定する（規制対応など）。暗号アルゴリズム自体は同じで、違いは「鍵を誰が管理するか」。ディスクは Azure ディスク暗号化（ゲスト OS 内 BitLocker/DM-Crypt）やホストでの暗号化（基盤側）で保護し、いずれも CMK 対応。
前提: Azure Key Vault
Microsoft Cloud Security Benchmark（MCSB）
Defender for Cloud が既定で評価する Microsoft のセキュリティベストプラクティス集。セキュアスコアの基準となり、業界フレームワークにマッピングされる。
B2C（Azure AD B2C）
消費者向けアプリのサインアップ/サインインをカスタマイズできる CIAM（顧客 ID・アクセス管理）機能。ソーシャルログインやカスタムポリシーでブランド化したログイン体験を提供する。旧 Azure AD B2C は2025年5月以降に新規テナントを作成できず、Microsoft Entra External ID への統合・移行が進んでいる。
Microsoft Entra ID Protection
漏洩資格情報やあり得ない移動などからユーザーリスク/サインインリスクを算出し、条件付きアクセスと連携する。
Microsoft 365
メール・文書・会議などをクラウドで提供する SaaS の生産性スイート。ユーザー単位のサブスクリプションで利用する。
前提: サブスクリプション（Azure）
Microsoft Teams
チャット・会議・通話・チームワークを集約したコラボレーションのハブ。ファイルは裏で SharePoint/OneDrive に保存。
前提: OneDrive
関連: SharePoint
Microsoft Defender for Cloud Apps
クラウドアプリの利用やシャドー IT を可視化・制御する CASB（クラウドアクセスセキュリティブローカー）。
Microsoft Secure Score
組織のセキュリティ態勢を数値化し、推奨される改善アクションと達成度を示す指標。Microsoft Defender ポータルで確認する。
RaMP（Rapid Modernization Plan）
ゼロトラスト導入を、効果の高い成果（特権アクセス保護・ユーザーアクセス/パスワードレス・データ/アプリ保護）を短期で実現できる順に並べた優先度ガイダンス。「まず何から固めるか」を経営層に示す。参照アーキの MCRA とは別物。
前提: 認証方式（MFA・パスワードレス）、MCRA（Microsoft Cybersecurity Reference Architectures）
高度なハンティング（KQL）
Defender XDR / Sentinel で KQL を使い、横断的なテレメトリから脅威を能動的に探索する。クエリを分析ルール化して自動検知につなげる。
アクセス管理（RBAC / 最小特権 / JIT）
ロールベースアクセス制御（RBAC）で職務に応じた権限を付与し、最小特権の原則を適用、PIM のジャストインタイム（JIT）昇格で特権を必要時のみ有効化する。
秘密度ラベル
データを分類し、暗号化や利用制限などの保護を適用する仕組み。ラベルはファイルに付随し社外でも保護が効く。
Microsoft Sentinel
クラウドネイティブな SIEM＋SOAR。各所のログを収集し脅威を検知・調査・自動対応する。
前提: SOAR
関連: SIEM
管理グループ
複数のサブスクリプションを束ねる最上位コンテナ。ポリシーやアクセス制御を一括適用し下位へ継承。
前提: サブスクリプション（Azure）
多要素認証（MFA）
パスワードに加え第二の要素で本人確認を強化する仕組み。
Azure Bastion
VM に公開 IP を付けずに、ブラウザ越し（Azure ポータル）で RDP/SSH 接続できるマネージドな踏み台サービス。管理ポートをインターネットに開放せずに済み、攻撃面を減らす。必要時のみ管理ポートを一時開放する Just-In-Time VM アクセスと併用されることが多い。
Just-In-Time VM アクセス
Defender for Cloud の機能で、VM の RDP/SSH などの管理ポートを普段は閉じておき、要求・承認時のみ一時的に NSG/Firewall へ許可規則を入れて開放、時間が経つと自動で閉じる。常時公開を避けて攻撃面を減らす。常時利用できる踏み台の Bastion とは異なり、JIT は「必要なときだけ開ける」方式。
前提: Microsoft Defender for Cloud
関連: Azure Bastion
規制コンプライアンス（標準・カスタム標準）
Defender for Cloud の規制コンプライアンスダッシュボードで、PCI DSS や ISO 等の標準への準拠状況を評価し、独自要件はカスタム標準として追加できる。
Azure Private Link / Private Link Service
PaaS や自作サービスへの接続を VNet 内のプライベート IP に閉じる基盤。Private Link はプライベートエンドポイント（プライベート IP を持つ NIC）を通じて PaaS（Storage/SQL 等）へ公開経路を使わず接続する。PaaS の公開 FQDN は CNAME で privatelink ゾーンを指し、プライベート DNS ゾーンの A レコードがプライベート IP に解決する（連携忘れで公開 IP に解決＝事故）。サブリソース（blob/file 等）ごとにエンドポイントとゾーンが必要。オンプレ解決は DNS プライベートリゾルバ＋条件付きフォワーダー。Private Link Service は自作サービス（背後に Standard Load Balancer）を Private Link で他テナント/VNet に提供する。サービスエンドポイントと異なり実際のプライベート IP を付与しオンプレからも到達できる。
前提: プライベートエンドポイント
Azure ランディングゾーン
管理グループ・サブスクリプション・ポリシー・ネットワーク・ID を含む、拡張可能で統制された Azure 環境の設計図。Cloud Adoption Framework のエンタープライズスケールに基づく。
Azure Backup
VM・ファイル共有・SQL/SAP HANA 等を定期的にバックアップし、Recovery Services コンテナーへ保存するマネージドサービス。必要なときに任意の復元ポイントからリストアする「データ復元」が目的で、暗号化・保持ポリシー・即時リストアに対応する。
前提: 保持ポリシー
CIEM
クラウドインフラのエンタイトルメント管理（Cloud Infrastructure Entitlement Management）。Azure・AWS・GCP にまたがるアイデンティティの権限を継続的にスキャンし、実際には使われていない過剰な権限（オーバープロビジョニング）を可視化・縮小する。特権のジャストインタイム昇格を担う PIM とは役割が異なり、CIEM は「常に持っている権限そのものを削る」棚卸しの仕組み。
B2B コラボレーション（Entra External ID）
取引先など外部組織のユーザーをゲストとして招待し、相手側の既存 ID のまま自社リソースへ共同アクセスさせる仕組み。現行は Microsoft Entra External ID に統合されており、条件付きアクセスやクロステナントアクセス設定で招待・権限を細かく制御する。招待されたゲストは自社（招待元）テナント内にゲストユーザーとして登録され、外部組織の資格情報で認証される（別テナントが作られるわけではない）。
前提: 条件付きアクセス
Azure Front Door
グローバルな L7 のエントリポイント。CDN キャッシュ・グローバルルーティング・WAF・SSL オフロードを兼ね、可用性と性能を高める。
Azure Key Vault
鍵・シークレット・証明書を安全に保管・管理するサービス。アプリに直接埋め込まずに済む。
Microsoft Intune
デバイスとアプリを管理・保護するクラウドサービス。MDM＝端末そのものを管理、MAM＝アプリ内データを管理。条件付きアクセスと連携。
前提: 条件付きアクセス
OneDrive
個人のクラウドファイル保存と同期。自分のファイルを保管し必要に応じて共有する（SharePoint は組織共有）。
前提: SharePoint
プライベートエンドポイント
PaaS（Storage/SQL 等）へ VNet 内のプライベート IP を持つ NIC を通じて公開経路を使わず接続する仕組み。サブリソースごとにエンドポイントと DNS ゾーンが要る。
保持ポリシー
データを必要な期間だけ保持し、不要になれば削除して情報の寿命を管理する仕組み。
Microsoft Entra Internet Access
Global Secure Access（SSE）の一部。ユーザーのインターネット/SaaS 行きの通信をセキュア Web ゲートウェイとして検査・制御し、クロステナント保護も行う。社内アプリへの ZTNA を担う Entra Private Access とは送信先で区別する。
MCRA（Microsoft Cybersecurity Reference Architectures）
Microsoft 製品がどの防御能力を担うかを ID/SOC/エンドポイント/ハイブリッド・マルチクラウド/OT 等にわたり体系化した参照アーキテクチャ。設計の出発点・能力ギャップ把握に使う「地図」で、適合を測る MCSB とは役割が異なる。
SSE（Security Service Edge）/ Global Secure Access
ユーザーとアプリの間にクラウドのセキュリティ層を挟む考え方。Microsoft の Global Secure Access 配下に Entra Internet Access（SWG）と Entra Private Access（ZTNA）がある。Conditional Access と統合してゼロトラスト化する。
Purview DSPM for AI
Microsoft Purview のデータ セキュリティ態勢管理（AI 向け）。Copilot や AI アプリが扱う機微データのリスクと過剰露出を可視化し、ラベル付け・アクセス見直し・DLP による是正につなげる事前の態勢管理機能。
UEBA と脅威インテリジェンス
UEBA（ユーザー/エンティティの行動分析）で平常からの逸脱を検知し、脅威インテリジェンス（IoC・MITRE ATT&CK）と突き合わせて高度な攻撃を特定する。
前提: 脅威防御と脅威インテリジェンス
SOAR
Security Orchestration, Automation and Responseの略。SIEMなどで検知されたアラート後の対応（調査・封じ込め・通知）をプレイブックで自動化・オーケストレーションする仕組み。アナリストの反復作業を減らし対応時間を短縮する。
前提: SIEM
Application Gateway
L7（HTTP）のリージョン内ロードバランサー。URL パスベースルーティング・リスナー・HTTP 設定・SSL 終端・書き換え規則・WAF に対応する。
BCDR 設計（バックアップ/災害復旧）
事業継続と災害復旧の設計。Azure Backup でデータを保護し、Azure Site Recovery でリージョン間レプリケーション/フェイルオーバー、ゾーン冗長やマルチリージョンで RPO/RTO 要件を満たす。
Azure ランディングゾーン（CAF）
Cloud Adoption Framework のエンタープライズスケールに基づく、標準化された基盤の青写真。ネットワーク（ハブ&スポーク）・ID・ポリシー・管理を事前構成し、管理グループ階層に沿って一貫したガバナンスを展開できる。
前提: 管理グループ
関連: Azure ランディングゾーン
Web Application Firewall（Azure WAF）
Application Gateway（リージョン内）または Front Door（グローバルエッジ）上で動き、SQL インジェクションや XSS など L7（アプリ層）攻撃を防ぐ。OWASP のマネージドルールセットと、地域遮断やレート制限などのカスタムルールを組み合わせる。導入時は検出（Detection）モードで誤検知を確認し、防御（Prevention）へ切り替える。NSG/Firewall が L3/L4 なのに対し WAF は L7。
Azure Site Recovery（ASR）
VM を別リージョン（または オンプレ⇔Azure）へ継続的にレプリケートし、災害時にフェイルオーバーして稼働を継続させる DR（災害復旧）サービス。テストフェイルオーバーで本番を止めずに手順検証でき、復旧計画（Recovery Plan）で複数 VM の起動順序をオーケストレーションする。
関連: Azure Backup
Microsoft Entra Permissions Management
Microsoft の CIEM 製品。マルチクラウド（Azure/AWS/GCP）の ID とリソースにまたがる権限を分析し、Permission Creep Index（権限の肥大度を示すスコア）で可視化、未使用権限の是正案を提示する。単一のダッシュボードで複数クラウドの実効権限を横断把握できる点が特徴。
前提: CIEM
Office アプリ（Word/Excel/PowerPoint/Outlook）
文書・表計算・プレゼン・メールの中核アプリ。Microsoft 365 ではサブスクで常に最新版を Web/デスクトップ/モバイルで使え、共同編集も可能。
Microsoft Defender ポータル
Defender XDR の各シグナル（メール・ID・エンドポイント・アプリ）を統合し、インシデント調査・対応・Secure Score を一元管理する管理ポータル。
Microsoft Priva
個人データのプライバシーリスク管理と主体権利要求（DSR）への対応を支援するソリューション。過剰な個人データの保持や共有を検出・是正する。
保護されたアクション（protected actions）
最も危険な管理操作（例：Conditional Access ポリシーの削除）に、強い認証コンテキスト（フィッシング耐性 MFA 等）を満たさない限り実行不可とする保護。通常のロール権限より厳格なゲートを追加する。
前提: 条件付きアクセス
Defender for Servers
VM の脆弱性スキャン（Defender 脆弱性管理）・EDR（Defender for Endpoint 統合）・エージェントレス スキャン・JIT VM アクセスを提供する。Azure Arc でオンプレや AWS/GCP のサーバーにも拡張できる。
Microsoft Entra Private Access
VPN に代わり、社内アプリへ ID ベース・アプリ単位（ゼロトラスト）でアクセスを提供する。ネットワーク全体ではなく必要なアプリだけに到達させる。
レコード管理とデータライフサイクル
Microsoft Purview のレコード管理で、規制対象の文書を保持ラベルで「レコード」として宣言・不変化し、保持期間後に処分レビューを経て削除する。データライフサイクル管理と連携する。
SIEM
Security Information and Event Managementの略。各所（サーバー・ネットワーク機器・アプリ等）のログやイベントを一元収集し、相関分析して脅威を検知する仕組み。Microsoft Sentinel・Google SecOps・Splunk等の製品がこの役割を担う。
Azure Arc
オンプレミスや他クラウドのサーバー・Kubernetes・DBを、Azureの管理面（ポリシー/タグ/RBAC）で一元管理する。
BYOK とインフラストラクチャ暗号化
BYOK（Bring Your Own Key）で顧客管理キーをストレージ暗号化に持ち込み、さらにインフラストラクチャ暗号化を有効化して 256 ビット AES の二層でデータを保護する。
SQL データ分類
列に機密度ラベル・情報の種類を付与して機微データを識別・可視化し、監査と組み合わせて取り扱いを管理する戦略。
Defender for Databases
Azure の各データベースサービスに脅威保護を提供し、SQL インジェクションの疑い・異常なログイン・機微データへの異常アクセスを検知する（旧 Advanced Threat Protection）。記録が役割の SQL 監査とは異なる。
前提: 脅威防御と脅威インテリジェンス
Entra ID ガバナンス
適切な人が適切なリソースに適切な期間だけアクセスできるよう統制する。エンタイトルメント管理（アクセスパッケージ）、アクセスレビュー、Privileged Identity Management（PIM）、ライフサイクルワークフローを含む。