変更要約: SC-100 第4章を新規作成（ドメイン3「インフラのセキュリティ設計」: Defender for Cloud(CSPM/CWPP)/Secure Score/MCSB/Azure Arc/マルチクラウド posture、Security Exposure Management(攻撃パス/attack surface reduction/イニシアチブ)/Defender EASM、サーバ/エンドポイント(ベースライン/Defender for Endpoint/Intune/Windows LAPS)/OT・ICS・IoT(Defender for IoT)/コンテナ(Defender for Containers)/Azure AI services security、ネットワーク(マイクロセグメンテーション/Private Link/Azure Bastion)/SSE(Entra Internet Access/Entra Private Access/Global Secure Access)）。
4.4ネットワークセキュリティと SSE
ネットワーク設計のセキュリティ整合の評価、Microsoft Entra Internet Access（セキュア Web ゲートウェイ）・Microsoft Entra Private Access を含む Security Service Edge（SSE）、ゼロトラストネットワークの考え方を理解します。
ゼロトラストでもネットワークは重要です。ただし「境界で守る」から「ID と条件で検証しつつ最小限に接続する」へ発想が変わります。その新しい形が SSE（Security Service Edge）です。
4.4.1ネットワーク設計の評価と分離
アーキテクトはネットワーク設計がセキュリティ要件に整合しているかを評価します＝マイクロセグメンテーション（侵害時の横移動を限定）、プライベート接続（公開を避ける Private Link/プライベートエンドポイント）、管理アクセスの隔離（Azure Bastion による踏み台レス RDP/SSH）、L7 の防御（前章の WAF/Front Door）など。ネットワーク制御は ID 制御の補助ですが、侵害を前提とした「爆発半径の最小化」に不可欠です。
4.4.2SSE：Entra Internet Access と Private Access
Security Service Edge（SSE）は、ユーザーとアプリの間にクラウドのセキュリティ層を挟む考え方です。Microsoft の Global Secure Access 配下に、Microsoft Entra Internet Access（インターネット/SaaS 行きをセキュア Web ゲートウェイとして検査・制御・クロステナント保護）と、Microsoft Entra Private Access（社内アプリへ VPN を使わず ID ベースで最小接続＝ZTNA）があります。アーキテクトは「全社 VPN を ID ベースのゼロトラストアクセスへ置き換えたい」「SaaS への通信を条件付きで検査したい」要件に SSE を設計します。
決め手：「社内アプリへ VPN なしで ID ベース最小接続（ZTNA）」＝Entra Private Access。「インターネット/SaaS 行きをセキュア Web ゲートウェイで検査/制御」＝Entra Internet Access。「踏み台レスで VM へ RDP/SSH」＝Azure Bastion。「公開を避けプライベート接続」＝Private Link/プライベートエンドポイント。
混同に注意：
①Entra Internet Access（送信先＝インターネット/SaaS の SWG）と Entra Private Access（送信先＝社内アプリの ZTNA）を取り違えない。
②SSE はネットワーク制御だが ID（Conditional Access）と統合してこそゼロトラスト＝ネットワーク単独で代替しない。
③Bastion は管理アクセスの隔離＝WAF（アプリ層防御）とは別目的。
4.4.3この節のまとめ
- ネットワーク設計＝マイクロセグメンテーション/Private Link/Azure Bastion で爆発半径を最小化（ID 制御の補助）
- SSE＝Entra Internet Access(SWG・インターネット/SaaS) と Entra Private Access(ZTNA・社内アプリ・VPN レス)
- SSE は Conditional Access と統合してゼロトラスト化＝ネットワーク単独では代替しない
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 社内アプリへのアクセスを、全社 VPN を廃して ID ベースの最小接続（ZTNA）に置き換えたい。最適なのはどれですか？
Q2. ユーザーのインターネット/SaaS 行き通信を、セキュア Web ゲートウェイとして検査・制御したい。最適なのはどれですか？
Q3. 管理者が VM へ踏み台（ジャンプボックス）や公開 RDP/SSH ポートなしで安全に接続したい。最適なのはどれですか？
Q4. ゼロトラストにおけるネットワーク制御の位置づけとして正しいのはどれですか？
Q5. Entra Internet Access と Entra Private Access の違いとして正しいのはどれですか？