変更要約: AZ-104 第1章を Associate 級に深掘り（比較表・シナリオ・FAQ・ひっかけ＋深掘り段落、図を日本語化）
1.1Microsoft Entra ID の基礎
Microsoft Entra ID（旧 Azure AD）のテナント・ユーザー・グループ・アプリ登録、認証と MFA / 条件付きアクセスといった ID 管理の基礎を理解します。AZ-104 の「ID とガバナンスの管理」の出発点です。
Azure を安全に運用する第一歩は 「誰がサインインできるか」を管理する ことです。これを担うのが Microsoft Entra ID（旧 Azure AD）で、クラウドの ID およびアクセス管理サービスです。
1.1.1Entra ID の構成要素
- テナント：組織ごとのディレクトリ（ID の入れ物）。ユーザーやグループはこの中に存在する。
- ユーザー：メンバー（社内）とゲスト（外部）のアカウント。
- グループ：複数ユーザーへアクセスを一括付与する。
- アプリ登録/サービスプリンシパル：アプリが Entra ID で認証するための ID。
「サインインを強化＝MFA＋条件付きアクセス」、「外部ユーザーの招待＝ゲストユーザー（B2B）」 は AZ-104 で頻出です。グループはアクセスの一括付与に使うと覚えましょう。
AZ-104 の ID 管理は「誰が・どう認証し・どんな条件でサインインを許すか」を設計します。テナント は組織ごとの ディレクトリ で、ユーザー（メンバー＝社内／ゲスト＝外部 B2B 招待）と グループ を含みます。グループは 割り当て型 と、属性ルールで自動所属する 動的グループ があり、ライセンスやアクセスの一括付与に使います（グループベースのライセンス割り当て）。アプリは アプリ登録／サービスプリンシパル で認証し、パスワード不要で Azure リソースに安全アクセスする マネージド ID も重要です。サインイン強化は 多要素認証（MFA） と 条件付きアクセス（場所・デバイス・サインインリスクなどの条件で MFA 要求やブロックを制御。Entra ID P1/P2 が必要）。パスワードレス（Windows Hello/FIDO2/Authenticator）、セルフサービスパスワードリセット（SSPR）、リスク検知の Identity Protection（P2）、特権の時間制限付与 PIM（P2）も押さえます。オンプレ AD との同期は Microsoft Entra Connect。判断軸は「外部ユーザー＝ゲスト(B2B)」「アプリの ID＝サービスプリンシパル/マネージド ID」「条件付きでサインイン制御＝条件付きアクセス」。
| やりたいこと | 使うもの |
|---|---|
| 外部ユーザーを招待 | ゲストユーザー（B2B） |
| 多数ユーザーへ一括付与 | グループ（動的グループも） |
| アプリ/VM が安全に認証 | サービスプリンシパル / マネージド ID |
| 条件付きでサインイン制御 | 条件付きアクセス＋MFA |
シナリオ：社外パートナーに一部リソースを使わせ、リスクの高いサインインだけ MFA を要求したい。 パートナーは ゲストユーザー（B2B）として招待し、グループでアクセスを一括付与。条件付きアクセスで「サインインリスクが高い／信頼できない場所」のときだけ MFA を要求（または block）。アプリからの自動処理は マネージド ID でキーレスに認証します。
Q. 外部ユーザーは？ ゲスト（B2B）招待。Q. 一括でアクセス付与？ グループ（動的グループも）。Q. アプリ/VM の認証は？ サービスプリンシパル/マネージド ID（キー埋め込み回避）。Q. 条件付きでサインイン制御？ 条件付きアクセス（P1/P2）。Q. オンプレ AD 同期は？ Entra Connect。
混同に注意：
①Entra ID は認証/認可（IDサービス）であり、Azure RBAC のリソース権限とは別レイヤー（次節）。
②条件付きアクセスや Identity Protection/PIM は P1/P2 ライセンスが要る（無料テナントでは不可）。
③マネージド ID（システム割り当て/ユーザー割り当て）はキー埋め込みを避ける推奨手段——サービスプリンシパルのシークレット直書きより安全。
条件付きアクセスは「特定の条件（場所・デバイス・リスク）でのみ MFA を要求する」など、サインインの制御をきめ細かく行えます（一部は上位ライセンスが必要）。
1.1.2この節のまとめ
- Entra ID＝テナント・ユーザー・グループ・アプリ登録で ID を管理
- MFA＋条件付きアクセスでサインインを強化、外部はゲスト
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Azure のクラウド ID およびアクセス管理を担うサービスはどれですか？
Q2. 多数のユーザーへアクセスをまとめて付与するのに適した Entra ID の仕組みはどれですか？
Q3. サインインのセキュリティを高めるために有効な仕組みはどれですか？