変更要約: SC-100 第4章を新規作成（ドメイン3「インフラのセキュリティ設計」: Defender for Cloud(CSPM/CWPP)/Secure Score/MCSB/Azure Arc/マルチクラウド posture、Security Exposure Management(攻撃パス/attack surface reduction/イニシアチブ)/Defender EASM、サーバ/エンドポイント(ベースライン/Defender for Endpoint/Intune/Windows LAPS)/OT・ICS・IoT(Defender for IoT)/コンテナ(Defender for Containers)/Azure AI services security、ネットワーク(マイクロセグメンテーション/Private Link/Azure Bastion)/SSE(Entra Internet Access/Entra Private Access/Global Secure Access)）。
4.1Defender for Cloud による posture 管理
Microsoft Defender for Cloud（MCSB 含む）と Microsoft Secure Score による posture 評価、ハイブリッド/マルチクラウドの統合 posture、cloud workload protection（CWPP）の選定、Azure Arc によるハイブリッド/マルチクラウド統合を理解します。
インフラのセキュリティは 2 つの問い＝「構成は安全か（posture）」と「実行中の脅威を検知/防御できるか（workload protection）」に分けて考えます。Microsoft Defender for Cloud は両方を、Azure だけでなく AWS/GCP/オンプレ まで一元的に担います。
4.1.1CSPM と Secure Score
クラウドセキュリティ posture 管理（CSPM）は、構成のミス（公開ストレージ・暗号化無効・過剰権限など）を継続的に評価します。Defender for Cloud は MCSB を既定ベンチマークに環境を採点し、Secure Score（Defender for Cloud のインフラ posture スコア）として改善の優先順位を示します。アーキテクトは「クラウド構成のリスクを継続的に測り、優先順位を付けて下げたい」要件にこれを据えます。Defender CSPM プランでは attack path 分析 や agentless スキャンなど高度な分析も加わります。
4.1.2CWPP と Azure Arc
cloud workload protection（CWPP）は、実行中のワークロード（サーバ・コンテナ・ストレージ・データベース等）の脅威を検知/防御するプランです（Defender for Servers/Containers/Storage/Databases など）。Azure 外のサーバや他クラウドを同じ管理下に置くには Azure Arc でオンボードし、Arc 対応サーバに Defender や Azure Policy を適用します。アーキテクトは「オンプレと AWS/GCP のサーバも、Azure と同じ posture/保護で一元管理したい」要件に Arc＋Defender for Cloud を組み合わせます。