変更要約: 各節に図（figure）を追加＝cert-figure-retrofit。AI-200 第4章を新規作成（シークレット管理＝Key Vault/App Configuration/マネージドID キーレス/RBAC、可観測性＝OpenTelemetry 計装/分散トレース/Application Insights・Azure Monitor/KQL/AI 固有監視＝トークン・コスト・クォータ・生成品質）
4.1シークレット管理と ID
AI バックエンドの機密情報と構成を安全に扱う設計——Azure Key Vault（シークレット/キー/証明書）、Azure App Configuration（構成と機能フラグ）、マネージド ID によるキーレス認証と RBAC——を開発者の視点で理解します。
AI バックエンドは、AI サービスの接続情報・データベース資格情報・API キーなどの機密情報を扱います。これらをコードや構成ファイルに直書きしないのが鉄則です。Azure では Azure Key Vault にシークレット・暗号鍵・証明書を集中管理し、アプリは マネージド ID でキーレスに取得します。構成値（接続先・パラメーター）や機能フラグは Azure App Configuration で一元管理し、環境ごとの差し替えや段階的な機能公開を安全に行います。
| 用途 | サービス |
|---|---|
| シークレット・暗号鍵・証明書の集中管理 | Azure Key Vault |
| 構成値・機能フラグの一元管理 | Azure App Configuration |
| 秘密を持たずに認証 | マネージド ID（キーレス） |
| 最小権限のアクセス制御 | RBAC |
頻出：
①「シークレット/暗号鍵/証明書を集中管理」＝Azure Key Vault。
②「構成値や機能フラグを一元管理」＝Azure App Configuration。
③「秘密キーを持たずに Key Vault や AI サービスへ認証」＝マネージド ID（キーレス）＋RBAC で最小権限。
④機密はコード/構成に直書きしない。
混同・注意：
①Key Vault（機密：シークレット/鍵/証明書）とApp Configuration（非機密の構成・機能フラグ）を取り違えない（機密は Key Vault）。
②認証（マネージド ID）と認可（RBAC）は別レイヤー。
③マネージド ID を使えばキーのローテーション負担を根本から減らせる。
④機能フラグはコード変更なしに機能の有効/無効を切り替える運用手段。