変更要約: SC-300 第1章を新規作成（ドメイン1前半: テナント構成/組み込み・カスタムロール/有効な権限/管理単位、ユーザー・グループ(割当/動的)・グループベース割当・デバイス参加/登録・ライセンス、カスタムセキュリティ属性/ABAC・一括操作/Microsoft Graph PowerShell）。
1.2ユーザー・グループ・デバイス・ライセンス
Microsoft Entra のユーザー/グループの作成と管理（割当/動的・セキュリティ/Microsoft 365）、デバイスの参加・登録、ライセンスの割当とレポートを理解します。
ID の中身＝ユーザー・グループ・デバイスを日々管理します。とくに グループ は、アクセス権・ライセンス・ポリシーをまとめて付与する「単位」として設計の要になります。
1.2.1割当グループと動的グループ
グループには セキュリティグループ（アクセス/ライセンス/ポリシーの付与）と Microsoft 365 グループ（コラボレーション）があります。メンバーシップは 割当（手動） か 動的（dynamic） を選べます。動的グループは 属性ルール（例：department eq "Sales"）でメンバーを自動維持し、入退社や異動に追従します。「部門が変わったら自動でアクセスも変える」要件は動的グループで実現します。グループに権限/ライセンスを付与する グループベースの割当 が運用効率の鍵です。
1.2.2デバイスの参加と登録
デバイスを Entra に紐づけると、Conditional Access の「準拠デバイスのみ許可」などの条件に使えます。会社所有の Windows は Microsoft Entra 参加（join）、個人所有（BYOD）は Entra 登録（registered）、オンプレ AD と併用は ハイブリッド参加 を選びます。デバイスの「準拠（compliant）」状態は Microsoft Intune の準拠ポリシー（暗号化・パッチ・PIN 等）で評価され、その結果を Conditional Access のシグナルに使います。デバイスの状態（参加/登録/準拠）は ID とアクセス制御の重要なシグナルになります。
1.2.3ライセンスの割当とレポート
機能（MFA・PIM・ID Protection 等）はライセンスに依存します。ライセンスは グループベースのライセンス割当 でグループに付与すると、メンバー追加で自動配布され、運用が単純になります。割当状況や競合は ライセンスレポート で確認します。「機能が使えない」トラブルの多くは必要ライセンス（例：Entra ID P1/P2）の不足が原因です。
決め手：「異動でアクセスを自動更新」＝動的グループ（属性ルール）。「アクセス/ライセンスをまとめて付与」＝セキュリティグループ＋グループベース割当。「会社所有 Windows を管理下に」＝Entra 参加、「個人 BYOD」＝Entra 登録。「機能が使えない」＝必要ライセンス確認。
混同に注意：
①セキュリティグループ（アクセス付与）と Microsoft 365 グループ（コラボ）は用途が違う。
②動的グループのメンバーシップは属性で自動＝手動追加できない。
③Entra 参加（会社所有）と Entra 登録（BYOD）を取り違えない。
1.2.4この節のまとめ
- グループ＝セキュリティ(アクセス/ライセンス)とM365(コラボ)。動的グループは属性ルールでメンバーを自動維持
- デバイス＝Entra 参加(会社所有)/登録(BYOD)/ハイブリッド参加。状態は CA のシグナル
- ライセンスはグループベース割当で自動配布、レポートで競合確認。機能は必要ライセンス(P1/P2)依存
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 社員の部門が変わると、その部門用のアプリアクセスも自動で付与/剥奪されるようにしたい。最適なのはどれですか？
Q2. 個人所有のスマートフォン（BYOD）を、会社のリソースアクセスのために Entra に紐づけたい。最適なのはどれですか？
Q3. 新しい従業員をグループに追加するだけで、必要なライセンスが自動で付与されるようにしたい。最適なのはどれですか？
Q4. セキュリティグループと Microsoft 365 グループの違いとして正しいのはどれですか？
Q5. ユーザーが MFA や PIM を使えない。最初に確認すべきものとして最も適切なのはどれですか？