変更要約: MS-900 第3章を AZ-900 基準まで深掘り（M365セキュリティ Entra ID/Defender XDR/ゼロトラスト＋比較表・ID起点、コンプライアンス Purview/Service Trust Portal/データ所在地＋比較表・責任共有対応、シナリオ・FAQ・SC-900連携）。図1枚ja化
3.1Microsoft 365 のセキュリティ
Microsoft Entra ID による ID 管理（SSO・MFA・条件付きアクセス）、Microsoft Defender による脅威防御、ゼロトラストの考え方を Microsoft 365 の文脈で理解します。
Microsoft 365 のセキュリティは ID を起点 に、脅威防御とゼロトラストで多層的に守ります（詳しくは SC-900 で学べます）。
3.1.1セキュリティの柱
- Microsoft Entra ID：ID 管理の基盤。SSO（一度のサインインで複数アプリ）・MFA（多要素認証）・条件付きアクセス（状況に応じ許可/ブロック）でサインインを守る。
- Microsoft Defender：メール・エンドポイント・ID・アプリを横断して脅威を検知・対応する（XDR）。
- ゼロトラスト：「決して信頼せず、常に検証する」。明示的に検証・最小特権・侵害を前提とするの3原則。
クラウドの Microsoft 365 では、社内外を問わずアクセスが発生するため、守りの起点は境界（社内ネットワーク）ではなく ID です。まず Microsoft Entra ID がサインインを守り（MFA や条件付きアクセスで「正規の利用者か」を確認）、その上で Microsoft Defender がメール・端末・アプリを横断して脅威を検知・対応します。これら全体を貫く設計思想が ゼロトラスト（決して信頼せず常に検証）です。MS-900 ではこれらの詳細より「Microsoft 365 にこうした多層の保護が含まれる」全体像を押さえれば十分で、深掘りは SC-900 で行います。前章で学んだ Intune（デバイス管理）も条件付きアクセスと連携し、この多層防御の一部になります。
| 守るもの | サービス/概念 | 代表機能 |
|---|---|---|
| ID・サインイン | Microsoft Entra ID | SSO・MFA・条件付きアクセス |
| 脅威（メール/端末/アプリ） | Microsoft Defender | XDR（横断検知・対応） |
| 全体の設計思想 | ゼロトラスト | 明示的に検証・最小特権・侵害前提 |
シナリオ：社外からの安全なアクセス。 社員が出先で Microsoft 365 にサインイン→Entra ID が MFA で本人確認、条件付きアクセスが「管理された端末か・通常の場所か」を評価して許可/追加要求。受信メールの不審な添付は Defender が検知・隔離。これらは「決して信頼せず常に検証する」ゼロトラストの実装です。
混同に注意：
①ID/サインイン保護＝Entra ID／脅威検知・対応＝Defender／全体思想＝ゼロトラストは役割が別。
②セキュリティの起点は境界ではなく ID。
③詳細は SC-900。MS-900 では「Microsoft 365 にこれらが含まれる」全体像を押さえる。
Q. Entra ID と Defender の違いは？ Entra ID は ID/サインインの保護（MFA・条件付きアクセス）、Defender は脅威の検知・対応（XDR）。Q. ゼロトラストとは？ 「決して信頼せず常に検証」。場所に関係なく毎回検証する考え方。Q. なぜ ID が起点？ クラウドでは社内外問わずアクセスが起きるため、境界より ID で守る方が有効だからです。
「ID/サインイン保護＝Entra ID（MFA・条件付きアクセス）」「脅威防御＝Microsoft Defender（XDR）」「ゼロトラスト＝常に検証」は頻出です。セキュリティは ID を起点 に多層で守る点を押さえましょう（詳細は SC-900）。
3.1.2この節のまとめ
- Entra ID（ID・MFA・条件付きアクセス）／Defender（脅威防御 XDR）／ゼロトラスト
- セキュリティは ID を起点 に多層で守る（詳細は SC-900）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Microsoft 365 でサインインを保護する ID 管理の基盤はどれですか？
Q2. メール・エンドポイント・アプリを横断して脅威を検知・対応する Microsoft 365 の仕組みはどれですか？
Q3. 「決して信頼せず、常に検証する」というセキュリティの考え方はどれですか？