変更要約: ミニクイズ q3/q4 の「畑違いの誤答」を是正＝AB-900 の公式出題範囲に一語も無い NSG／TDE／VPN を誤答から外し、同じ領域の実在機能（配布グループへのライセンス割り当て・PIM でのロール一括割り当て・条件付きアクセス・秘密度ラベル）へ差し替えた。範囲外の語は「知らない＝違う」で即座に消去でき、設問を読まずに正解できてしまうため。 / 各節に図（figure）を追加＝cert-figure-retrofit。AB-900 第1章を新規作成（ドメイン1「M365 コア機能とオブジェクト」: コアオブジェクト=ライセンス/管理センター(M365/Exchange/SharePoint/Teams)/オブジェクトと役割、セキュリティ原則=ゼロトラスト3原則/認証・認可/脅威防御/Defender XDR、コアセキュリティ機能=Entra/条件付きアクセス/SSO/サインイン トラブルシュート/Identity Secure Score/監査ログ/PIM/アプリ登録・エンタープライズ アプリ）
1.3Microsoft 365 のコアセキュリティ機能
Microsoft Entra の機能、条件付きアクセスと SSO、ユーザーとグループの使い分け、サインインの問題（MFA・条件付きアクセス・リスクのあるサインイン）のトラブルシュート、Identity Secure Score、監査ログ、特権 ID 管理（PIM）、アプリ登録とエンタープライズ アプリを理解します。
Microsoft 365 の ID 基盤が Microsoft Entra ID です。ユーザー・グループ・アプリ・デバイスの ID とアクセスを一元管理し、サインインの制御やセキュリティ態勢の評価を提供します。
1.3.1条件付きアクセスと SSO
条件付きアクセス は、サインインのシグナル（ユーザー・場所・デバイス・リスク）に応じて「MFA を要求」「ブロック」「準拠デバイスを要求」などの制御を適用するポリシーです。シングルサインオン（SSO） は、一度の認証で複数のアプリにアクセスできる仕組みで、利便性とセキュリティ（パスワードの使い回し削減・一元的な制御）を両立します。ユーザーとグループは、個人向けの設定か多数への一括適用かで使い分けます（一般にグループ単位の付与が推奨）。
1.3.2サインインの問題と Identity Secure Score
サインインの問題は、サインインログ で原因を切り分けます。MFA・条件付きアクセス・リスクのあるサインイン（Entra ID Protection）のどれでブロック/要求されたかを確認します。Identity Secure Score は、Entra ID のセキュリティ態勢を数値とおすすめの改善策で示す指標で、MFA の展開や危険な設定の是正などを優先順位付けできます。監査ログはユーザー/管理者の操作を記録し、調査と証跡に使います。
1.3.3PIM とアプリの ID
特権 ID 管理（PIM） は、強力な管理者ロールを常時割り当てず、必要なときだけ時間制限つきで昇格（JIT）させ、承認・MFA・監査を伴わせる仕組みです。アプリも ID を持ち、アプリ登録（アプリの定義＝設計図）と、テナントにインスタンス化された エンタープライズ アプリケーション（サービスプリンシパル） を区別します。これらはアプリへのアクセス許可（同意）管理の基礎になります。
| 目的 | 機能 | 要点 |
|---|---|---|
| 条件に応じたアクセス制御 | 条件付きアクセス | MFA 要求/ブロック/準拠デバイス |
| 一度の認証で複数アプリ | SSO | 利便性＋一元制御 |
| 態勢の数値評価 | Identity Secure Score | 改善策の優先順位付け |
| 操作の記録 | 監査ログ | 調査・証跡 |
| 特権の最小化 | PIM | JIT 昇格・承認・MFA・監査 |
| アプリの ID | アプリ登録 / エンタープライズ アプリ | 定義（設計図）と実体（SP） |
混同に注意：
①条件付きアクセス（条件→制御）とSSO（一度の認証で複数アプリ）。
②Identity Secure Score（態勢の数値評価）と監査ログ（操作の記録）。
③PIM（特権の JIT 昇格）。
④アプリ登録（設計図）とエンタープライズ アプリ＝サービスプリンシパル（実体）。
「要件 → 機能」が頻出。例：「特定条件で MFA を要求」＝条件付きアクセス、「一度の認証で複数アプリ」＝SSO、「セキュリティ態勢を数値で確認し改善」＝Identity Secure Score、「管理者の操作を後から確認」＝監査ログ、「管理者ロールを常時持たせない」＝PIM、「サインインがなぜブロックされたか調べる」＝サインインログ（MFA/条件付きアクセス/リスク）。
1.3.4この節のまとめ
- Entra ID＝ID 基盤。条件付きアクセス（条件→制御）＋SSO（一度の認証で複数アプリ）
- サインイン問題はサインインログで切り分け（MFA/条件付きアクセス/リスク）。Identity Secure Score で態勢評価、監査ログで記録
- PIM で特権を JIT 昇格。アプリ登録（設計図）とエンタープライズ アプリ（実体）を区別
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 一度の認証で複数のアプリにアクセスできるようにし、パスワードの使い回しを減らす仕組みはどれですか？
Q2. サインインのシグナル（場所・デバイス・リスク）に応じて MFA 要求やブロックを適用するのはどれですか？
Q3. Microsoft Entra ID のセキュリティ態勢を数値とおすすめの改善策で示す指標はどれですか？
Q4. 強力な管理者ロールを常時割り当てず、必要なときだけ時間制限つきで昇格させる仕組みはどれですか？
Q5. ユーザーや管理者の操作を後から確認し、調査や証跡に使うのはどれですか？
Q6. アプリ登録とエンタープライズ アプリケーションの関係として正しいものはどれですか？