変更要約: SC-100 第3章を新規作成（ドメイン2 後半: Entra ID/ハイブリッド ID(Entra Connect・PHS/PTA/フェデレーション)/外部 ID(B2B/分散 ID)、Conditional Access/Entra ID Protection リスク/CAE/protected actions/AD DS ハードニング/Key Vault/マネージド ID、enterprise access model/PIM/エンタイトルメント管理/アクセスレビュー/CIEM(Entra Permissions Management)/PAW、規制コンプラ(要件→統制)/Microsoft Purview/Microsoft Priva/Azure Policy/Defender for Cloud 規制ダッシュボード）。
3.2モダン認証認可と Conditional Access
Conditional Access・継続的アクセス評価（CAE）・リスクスコアリング・保護されたアクション（protected actions）を含むモダン認証認可戦略、Conditional Access のゼロトラスト整合の検証、AD DS のハードニング、シークレット/キー/証明書の管理を理解します。
モダンな認可は「一度ログインしたら終わり」ではありません。シグナルに応じて継続的に評価し、リスクが上がれば即座に締めます。その要が Conditional Access と、それを補う CAE や Identity Protection のリスク評価です。
3.2.1Conditional Access とリスクベース
Conditional Access は「もし（ユーザー/場所/デバイス準拠/アプリ/リスク）なら、こうする（許可・ブロック・MFA・準拠デバイス必須）」を定義する認可エンジンです。Microsoft Entra ID Protection が ユーザーリスク/サインインリスク を機械学習でスコア化し、CA は「サインインリスクが高ければ MFA、ユーザーリスクが高ければパスワード変更」のようにリスクベースで対応します。継続的アクセス評価（CAE）は、トークン有効期限を待たず、危険な変化（アカウント無効化・場所変化等）でセッションを即時に失効させます。アーキテクトはこれらを束ね、ゼロトラストの「明示的検証」を実装します。
3.2.2保護されたアクションと AD DS ハードニング
最も危険な操作（CA ポリシーの削除等）には 保護されたアクション（protected actions）を適用し、強い認証コンテキスト（例：フィッシング耐性 MFA）を満たさない限り実行不可にします。オンプレの AD DS は依然重要な攻撃対象で、Tier モデル/特権アクセスの分離・不要な権限の削減・レガシープロトコルの無効化などハードニング要件を設計します。鍵やシークレットは Azure Key Vault（HSM オプション）に集約し、アプリには鍵を配らず マネージド ID でアクセスさせます。
決め手：「条件でアクセスを許可/MFA/ブロック」＝Conditional Access。「リスクをスコア化」＝Entra ID Protection。「危険な変化で即セッション失効（トークン期限を待たない）」＝CAE。「CA 削除など超危険操作に強い認証を必須化」＝protected actions。「鍵を配らずアプリに権限」＝マネージド ID＋Key Vault。
混同に注意：
①CAE はトークン失効を待たず即時に締める＝従来のトークン寿命依存との違い。
②ユーザーリスク（資格情報漏えい）とサインインリスク（その回の異常）を取り違えない。
③MFA は全員一律より、リスクと protected actions で段階適用する設計が望ましい。
3.2.3この節のまとめ
- Conditional Access＝条件で許可/MFA/ブロック。Entra ID Protection のリスクでリスクベース対応
- CAE＝危険な変化で即時セッション失効。protected actions＝超危険操作に強い認証コンテキストを必須化
- AD DS は Tier/特権分離でハードニング、鍵/シークレットは Key Vault＋マネージド ID（鍵を配らない）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. アカウントが無効化された瞬間に、トークン有効期限を待たずアクセスを遮断したい。最適なのはどれですか？
Q2. サインインリスクが高いと判定された場合のみ多要素認証を要求し、低リスクは妨げないようにしたい。最適なのはどれですか？
Q3. Conditional Access ポリシーの削除など最も危険な管理操作に、フィッシング耐性 MFA を必須化したい。最適なのはどれですか？
Q4. アプリケーションに鍵を配布せず Azure リソース/Key Vault へアクセスさせたい。最適なのはどれですか？
Q5. オンプレ AD DS のハードニング設計として最も適切なのはどれですか？