変更要約: MS-102 第1章を新規作成（ドメイン: Microsoft 365 テナントの管理）。テナントとサービスの管理（テナント作成・ドメインのDNS TXT検証・組織設定・Service Health/通知・Network connectivity insights・ソフトウェア更新・Microsoft 365 Backup・採用/使用状況）、ユーザーとグループ（Entra IDユーザー/外部ユーザーB2Bゲスト/連絡先・Microsoft 365 Groups/セキュリティグループ/共有メールボックス・グループベースライセンス・Microsoft Graph PowerShell一括管理）、ロールとロールグループ（Entraロール/ワークロードrole groups・administrative units委任・PIMのJust-In-Time昇格）。
1.3ロールとロールグループ
Microsoft 365 と Microsoft Entra ID のロール、Defender XDR / Purview のワークロード権限を role groups で、administrative units による委任、Privileged Identity Management（PIM）による Entra ロールの Just-In-Time 昇格を理解します。
管理権限は 最小権限 で割り当てます。Entra ロール・ワークロード固有の role groups・委任・Just-In-Time 昇格 を適切に使い分けます。
1.3.1ロールとワークロード権限
Microsoft Entra ID ロール（グローバル管理者・ユーザー管理者・パスワード管理者など）はテナント全体の管理権限を表します。職務に必要な 最小のロール を割り当て、特権の集中を避けます。Defender XDR や Microsoft Purview などの ワークロード は、独自の role groups（権限の集合）で権限を管理することが多く、Entra ロールとは別レイヤーで委任します。
1.3.2administrative units による委任
administrative units（管理単位） は、ユーザー/グループを 範囲（スコープ） として束ね、その範囲だけに管理権限を 委任 します（例：地域管理者に「西日本のユーザーだけ」のパスワード リセット権を付与）。テナント全体に対する権限付与とは異なり、スコープを限定 できる点が要点です。
1.3.3PIM による Just-In-Time 昇格
Privileged Identity Management（PIM） は、特権ロールを 常時付与（permanent）ではなく「対象（eligible）」 として割り当て、必要時に 時間制限つきで昇格（activate） させます（Just-In-Time）。昇格には承認や MFA、理由の記録を要求でき、立ち上がりっぱなしの特権 を減らします。administrative units（スコープの委任）とは目的が異なり、PIM は 特権の時間的最小化 が要点です。
決め手：「テナント全体の管理権限」＝Entraロール(最小権限で)。「Defender/Purviewなどワークロード権限」＝そのワークロードのrole groups。「特定範囲のユーザーだけに委任」＝administrative units。「必要時だけ時間制限つきで特権昇格(JIT)」＝Privileged Identity Management(PIM)。
混同に注意：
①Entraロール(テナント全体)とワークロードのrole groups(Defender/Purview)を取り違えない。
②administrative units(範囲の委任=だれに対して)とPIM(時間の最小化=いつ昇格)は目的が別。
③グローバル管理者の常時付与は避け、PIMのeligible+JITにする。
1.3.4この節のまとめ
- Entraロールはテナント全体・最小権限で割り当て・Defender/Purviewはワークロードのrole groups
- administrative unitsは特定範囲のユーザー/グループへ管理を委任（スコープ限定）
- PIMは特権をeligible+Just-In-Timeで昇格し常時付与を減らす
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 地域担当の管理者に、特定地域のユーザーだけに対するパスワード リセット権を委任し、他地域には及ばないようにしたい。最適なのはどれですか？
Q2. 特権ロールを常時付与せず、必要なときだけ承認と MFA を伴って時間制限つきで昇格させたい。最適なのはどれですか？
Q3. ヘルプデスク担当に、テナント全体のユーザー管理（作成・パスワード リセット）の権限を最小限で与えたい。最適なのはどれですか？
Q4. セキュリティ運用担当に、Microsoft Defender XDR のインシデント調査に必要な権限だけを与えたい。最適なのはどれですか？
Q5. 常時有効なグローバル管理者アカウントが多すぎることが監査で指摘された。立ち上がりっぱなしの特権を減らす最善策はどれですか？