変更要約: SC-100 第4章を新規作成（ドメイン3「インフラのセキュリティ設計」: Defender for Cloud(CSPM/CWPP)/Secure Score/MCSB/Azure Arc/マルチクラウド posture、Security Exposure Management(攻撃パス/attack surface reduction/イニシアチブ)/Defender EASM、サーバ/エンドポイント(ベースライン/Defender for Endpoint/Intune/Windows LAPS)/OT・ICS・IoT(Defender for IoT)/コンテナ(Defender for Containers)/Azure AI services security、ネットワーク(マイクロセグメンテーション/Private Link/Azure Bastion)/SSE(Entra Internet Access/Entra Private Access/Global Secure Access)）。
4.4ネットワークセキュリティと SSE
ネットワーク設計のセキュリティ整合の評価、Microsoft Entra Internet Access（セキュア Web ゲートウェイ）・Microsoft Entra Private Access を含む Security Service Edge（SSE）、ゼロトラストネットワークの考え方を理解します。
ゼロトラストでもネットワークは重要です。ただし「境界で守る」から「ID と条件で検証しつつ最小限に接続する」へ発想が変わります。その新しい形が SSE（Security Service Edge）です。
4.4.1ネットワーク設計の評価と分離
アーキテクトはネットワーク設計がセキュリティ要件に整合しているかを評価します＝マイクロセグメンテーション（侵害時の横移動を限定）、プライベート接続（公開を避ける Private Link/プライベートエンドポイント）、管理アクセスの隔離（Azure Bastion による踏み台レス RDP/SSH）、L7 の防御（前章の WAF/Front Door）など。ネットワーク制御は ID 制御の補助ですが、侵害を前提とした「爆発半径の最小化」に不可欠です。
4.4.2SSE：Entra Internet Access と Private Access
Security Service Edge（SSE）は、ユーザーとアプリの間にクラウドのセキュリティ層を挟む考え方です。Microsoft の Global Secure Access 配下に、Microsoft Entra Internet Access（インターネット/SaaS 行きをセキュア Web ゲートウェイとして検査・制御・クロステナント保護）と、Microsoft Entra Private Access（社内アプリへ VPN を使わず ID ベースで最小接続＝ZTNA）があります。アーキテクトは「全社 VPN を ID ベースのゼロトラストアクセスへ置き換えたい」「SaaS への通信を条件付きで検査したい」要件に SSE を設計します。