変更要約: SC-100 第4章を新規作成（ドメイン3「インフラのセキュリティ設計」: Defender for Cloud(CSPM/CWPP)/Secure Score/MCSB/Azure Arc/マルチクラウド posture、Security Exposure Management(攻撃パス/attack surface reduction/イニシアチブ)/Defender EASM、サーバ/エンドポイント(ベースライン/Defender for Endpoint/Intune/Windows LAPS)/OT・ICS・IoT(Defender for IoT)/コンテナ(Defender for Containers)/Azure AI services security、ネットワーク(マイクロセグメンテーション/Private Link/Azure Bastion)/SSE(Entra Internet Access/Entra Private Access/Global Secure Access)）。
4.3サーバ・エンドポイント・OT/IoT のセキュリティ
サーバ/クライアントエンドポイント（複数 OS・モバイル・ベースライン・Windows LAPS）、IoT/組込み・OT/ICS（Microsoft Defender for IoT）、SaaS/PaaS/IaaS のセキュリティ要件（コンテナ・コンテナオーケストレーション・Azure AI services security）の設計を理解します。
ワークロードを動かす「土台」＝サーバ・端末・IoT/OT・コンテナ・AI サービスにも、それぞれの脅威に応じたセキュリティ要件があります。アーキテクトは一律でなく、対象ごとに適切なベースラインと製品を選びます。
4.3.1サーバ/クライアントとベースライン
サーバとクライアント（複数 OS・モバイル含む）には セキュリティベースライン（ハードニングの基準設定）を定め、Microsoft Defender for Endpoint でエンドポイント保護（EDR）を行い、Microsoft Intune でデバイスの構成/準拠を管理します。ローカル管理者パスワードの使い回しは横移動の温床なので、Windows LAPS（Local Administrator Password Solution）で端末ごとに自動ローテーション/保管します。アーキテクトは「端末ごとに異なる管理者パスワードを自動管理したい」要件に LAPS を指定します。
4.3.2OT/ICS/IoT とコンテナ・AI サービス
工場やインフラの OT/ICS（産業制御システム）と IoT/組込み は、従来のエージェントを入れられないことが多く、Microsoft Defender for IoT でエージェントレスにネットワークを可視化し異常を検知します（MITRE ATT&CK for ICS と整合）。クラウドの コンテナ と オーケストレーション（Kubernetes）には、イメージスキャン・ランタイム保護・最小権限の設定を Defender for Containers で適用します。Azure AI services には、キー/エンドポイントの保護・ネットワーク制限・コンテンツ安全性などの要件を設計します。