変更要約: SC-300 第1章を新規作成（ドメイン1前半: テナント構成/組み込み・カスタムロール/有効な権限/管理単位、ユーザー・グループ(割当/動的)・グループベース割当・デバイス参加/登録・ライセンス、カスタムセキュリティ属性/ABAC・一括操作/Microsoft Graph PowerShell）。
1.1Entra テナントの構成・ロール・管理単位
Microsoft Entra テナントの構成（テナント/ユーザー/グループ/デバイス設定・ドメイン・ブランディング）、組み込み/カスタム Entra ロールと有効な権限の評価、管理単位（administrative units）による管理範囲の委任を理解します。
ID 管理者の出発点は Microsoft Entra テナント の土台づくりです。テナント全体の設定と、誰がどこまで管理できるか（ロールと範囲）を設計します。最小特権を守りつつ、必要な委任を実現するのが要点です。
1.1.1テナント構成とドメイン
テナントプロパティ とユーザー/グループ/デバイス設定で、外部共有やユーザーのアプリ登録可否などの既定動作を制御します。組織の独自ドメイン（例：contoso.com）を カスタムドメイン として追加・検証し、Microsoft 365 と共通の ID 基盤にします。Company branding でサインイン画面に組織のロゴ/背景を適用し、フィッシングとの識別性を高めます。これらはテナント全体に効く土台設定です。
1.1.2組み込み/カスタムロールと有効な権限
管理権限は Entra ロール で付与します。組み込みロール（User Administrator・Authentication Administrator 等）は最小特権で職務に合うものを選び、グローバル管理者 の常用は避けます。必要な権限の組合せが組み込みに無ければ カスタムロール を定義します。あるユーザーが実際に何をできるかは 有効な権限（effective permissions） の評価で確認します。「最強権限ではなく、職務に必要な最小ロールを選ぶ」が設計原則です。
1.1.3管理単位（administrative units）で範囲を委任
大きな組織では「特定の部門/地域のユーザーだけを管理させたい」要件が出ます。管理単位（administrative unit, AU） は、ロールの適用範囲をサブセット（特定のユーザー/グループ/デバイス）に限定する仕組みです。例：地域 IT 担当に、その地域の AU 内のユーザーだけ Password Administrator を付与する。テナント全体ロールとの違いは「範囲が AU に絞られる」点で、委任と最小特権を両立します。
決め手：「特定部門/地域のユーザーだけ管理させる」＝管理単位（AU）＋スコープ付きロール割当。「職務に必要な最小権限」＝適切な組み込みロール（無ければカスタムロール）。「ユーザーが実際に何をできるか」＝有効な権限の評価。グローバル管理者の常用は避ける。
混同に注意：
①Entra ロール（ディレクトリの管理権限）と Azure RBAC ロール（Azure リソースの権限）は別系統。
②管理単位はロールの「範囲」を絞るもので、それ自体は権限を付与しない（スコープ付き割当が必要）。
③グローバル管理者は最小人数＋PIM/緊急用に限定する。
1.1.4この節のまとめ
- テナント構成＝テナント/ユーザー/グループ/デバイス設定・カスタムドメイン・Company branding が全体の土台
- Entra ロールは最小特権で組み込み（無ければカスタム）。有効な権限で実効を確認、グローバル管理者は常用しない
- 管理単位（AU）でロールの範囲を部門/地域のサブセットに絞り委任と最小特権を両立
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 地域の IT 担当者に、その地域のユーザーのパスワードリセットだけを許可し、他地域には触れさせたくない。最適なのはどれですか？
Q2. 組み込みロールに、必要な権限の組合せがちょうど一致するものが無い。最小特権を保ちたい。最適なのはどれですか？
Q3. あるユーザーが特定の操作を実行できるか、付与済みロールから実効を確認したい。最適なのはどれですか？
Q4. Entra ロールと Azure RBAC ロールの関係として正しいのはどれですか？
Q5. サインイン画面に組織のロゴと背景を表示し、フィッシングとの識別性を高めたい。最適なのはどれですか？