変更要約: 各節に図（figure）を追加＝cert-figure-retrofit。AI-200 第4章を新規作成（シークレット管理＝Key Vault/App Configuration/マネージドID キーレス/RBAC、可観測性＝OpenTelemetry 計装/分散トレース/Application Insights・Azure Monitor/KQL/AI 固有監視＝トークン・コスト・クォータ・生成品質）
4.1シークレット管理と ID
AI バックエンドの機密情報と構成を安全に扱う設計——Azure Key Vault（シークレット/キー/証明書）、Azure App Configuration（構成と機能フラグ）、マネージド ID によるキーレス認証と RBAC——を開発者の視点で理解します。
AI バックエンドは、AI サービスの接続情報・データベース資格情報・API キーなどの機密情報を扱います。これらをコードや構成ファイルに直書きしないのが鉄則です。Azure では Azure Key Vault にシークレット・暗号鍵・証明書を集中管理し、アプリは マネージド ID でキーレスに取得します。構成値（接続先・パラメーター）や機能フラグは Azure App Configuration で一元管理し、環境ごとの差し替えや段階的な機能公開を安全に行います。
| 用途 | サービス |
|---|---|
| シークレット・暗号鍵・証明書の集中管理 | Azure Key Vault |
| 構成値・機能フラグの一元管理 | Azure App Configuration |
| 秘密を持たずに認証 | マネージド ID（キーレス） |
| 最小権限のアクセス制御 | RBAC |
頻出：
①「シークレット/暗号鍵/証明書を集中管理」＝Azure Key Vault。
②「構成値や機能フラグを一元管理」＝Azure App Configuration。
③「秘密キーを持たずに Key Vault や AI サービスへ認証」＝マネージド ID（キーレス）＋RBAC で最小権限。
④機密はコード/構成に直書きしない。
混同・注意：
①Key Vault（機密：シークレット/鍵/証明書）とApp Configuration（非機密の構成・機能フラグ）を取り違えない（機密は Key Vault）。
②認証（マネージド ID）と認可（RBAC）は別レイヤー。
③マネージド ID を使えばキーのローテーション負担を根本から減らせる。
④機能フラグはコード変更なしに機能の有効/無効を切り替える運用手段。
4.1.1この節のまとめ
- 機密はコード/構成に直書きしない。Key Vault に集中管理
- App Configuration＝構成値・機能フラグの一元管理（非機密）
- マネージド ID（キーレス）＋ RBAC（最小権限）で秘密を持たず安全に認証/認可
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. シークレット・暗号鍵・証明書を集中管理する Azure サービスはどれですか？
Q2. 構成値や機能フラグを一元管理し、環境ごとの差し替えや段階的な機能公開を行う Azure サービスはどれですか？
Q3. コードや構成に秘密キーを置かずに Key Vault や AI サービスへ認証する推奨方法はどれですか？
Q4. Key Vault と App Configuration の使い分けとして正しいものはどれですか？
Q5. AI バックエンドのアクセス権付与の方針として最も適切なものはどれですか？