変更要約: SC-100 第4章を新規作成（ドメイン3「インフラのセキュリティ設計」: Defender for Cloud(CSPM/CWPP)/Secure Score/MCSB/Azure Arc/マルチクラウド posture、Security Exposure Management(攻撃パス/attack surface reduction/イニシアチブ)/Defender EASM、サーバ/エンドポイント(ベースライン/Defender for Endpoint/Intune/Windows LAPS)/OT・ICS・IoT(Defender for IoT)/コンテナ(Defender for Containers)/Azure AI services security、ネットワーク(マイクロセグメンテーション/Private Link/Azure Bastion)/SSE(Entra Internet Access/Entra Private Access/Global Secure Access)）。
4.3サーバ・エンドポイント・OT/IoT のセキュリティ
サーバ/クライアントエンドポイント（複数 OS・モバイル・ベースライン・Windows LAPS）、IoT/組込み・OT/ICS（Microsoft Defender for IoT）、SaaS/PaaS/IaaS のセキュリティ要件（コンテナ・コンテナオーケストレーション・Azure AI services security）の設計を理解します。
ワークロードを動かす「土台」＝サーバ・端末・IoT/OT・コンテナ・AI サービスにも、それぞれの脅威に応じたセキュリティ要件があります。アーキテクトは一律でなく、対象ごとに適切なベースラインと製品を選びます。
4.3.1サーバ/クライアントとベースライン
サーバとクライアント（複数 OS・モバイル含む）には セキュリティベースライン（ハードニングの基準設定）を定め、Microsoft Defender for Endpoint でエンドポイント保護（EDR）を行い、Microsoft Intune でデバイスの構成/準拠を管理します。ローカル管理者パスワードの使い回しは横移動の温床なので、Windows LAPS（Local Administrator Password Solution）で端末ごとに自動ローテーション/保管します。アーキテクトは「端末ごとに異なる管理者パスワードを自動管理したい」要件に LAPS を指定します。
4.3.2OT/ICS/IoT とコンテナ・AI サービス
工場やインフラの OT/ICS（産業制御システム）と IoT/組込み は、従来のエージェントを入れられないことが多く、Microsoft Defender for IoT でエージェントレスにネットワークを可視化し異常を検知します（MITRE ATT&CK for ICS と整合）。クラウドの コンテナ と オーケストレーション（Kubernetes）には、イメージスキャン・ランタイム保護・最小権限の設定を Defender for Containers で適用します。Azure AI services には、キー/エンドポイントの保護・ネットワーク制限・コンテンツ安全性などの要件を設計します。
決め手：「端末ごとに異なるローカル管理者パスワードを自動ローテーション」＝Windows LAPS。「OT/ICS/IoT をエージェントレスで可視化/検知」＝Defender for IoT。「端末の EDR」＝Defender for Endpoint、「端末の構成/準拠管理」＝Intune。「コンテナ/Kubernetes の保護」＝Defender for Containers。
混同に注意：
①Defender for Endpoint（EDR）と Intune（デバイス管理/準拠）は役割が違う＝併用。
②OT/ICS に通常のサーバ用エージェントを前提にしない（Defender for IoT のエージェントレス）。
③LAPS は「端末ローカル管理者」の管理＝Entra のロール権限（PIM）とは別レイヤ。
4.3.3この節のまとめ
- サーバ/端末＝ベースライン＋Defender for Endpoint(EDR)＋Intune(構成/準拠)。ローカル管理者は Windows LAPS で自動ローテーション
- OT/ICS/IoT＝Defender for IoT でエージェントレス可視化/検知（ATT&CK for ICS 整合）
- コンテナ/Kubernetes＝Defender for Containers。Azure AI services はキー/ネットワーク/コンテンツ安全性を設計
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 各端末のローカル管理者パスワードを使い回さず、端末ごとに自動でローテーション/安全に保管したい。最適なのはどれですか？
Q2. 工場の産業制御システム（OT/ICS）に通常のエージェントを入れられない。脅威の可視化/検知に最適なのはどれですか？
Q3. Kubernetes 上のコンテナに、イメージスキャンとランタイム保護を適用したい。最適なのはどれですか？
Q4. 端末の EDR（検知/対応）とデバイスの構成/準拠管理の役割分担として正しいのはどれですか？
Q5. Azure AI services のセキュリティ要件として最も適切なのはどれですか？