変更要約: SC-300 第3章を新規作成（ドメイン2: 認証方式(CBA/TAP/passkeys FIDO2/Authenticator/MFA/SSPR/Windows Hello/パスワード保護/Entra Kerberos)、Conditional Access(割当/制御/セッション/CAE/認証コンテキスト/protected actions/テンプレ/レポート専用/緊急用除外)、ID Protection(ユーザーリスク/サインインリスク/危険なworkload id/登録キャンペーン)、Global Secure Access(GSAクライアント/Entra Private Access ZTNA/Entra Internet Access SWG/Internet Access for M365/テナント制限)）。
3.3Microsoft Entra ID Protection でリスク管理
Microsoft Entra ID Protection によるユーザーリスク・サインインリスクの検知と、Conditional Access と連携したリスクベースの対応、MFA 登録キャンペーン、危険なユーザー/サインイン/ワークロード ID の監視・調査・修復を理解します。
Microsoft Entra ID Protection は、機械学習で ID のリスクを検知し、リスクに応じた自動対応を可能にします。アクセス管理者は、これを Conditional Access と組み合わせて「リスクが上がったときだけ締める」設計を作ります。
3.3.1ユーザーリスクとサインインリスク
ID Protection は 2 種類のリスクをスコア化します。ユーザーリスク は「その資格情報が漏えいしている可能性」（例：漏えい資格情報・ダークウェブ検出）で、対応は 安全なパスワード変更 です。サインインリスク は「そのサインインが本人でない可能性」（例：不慣れな場所・匿名 IP・不可能な移動）で、対応は MFA です。リスクベースの Conditional Access（または ID Protection のポリシー）で「高ユーザーリスク→パスワード変更」「高サインインリスク→MFA」を自動化します。両者の違いを取り違えないことが頻出ポイントです。
3.3.2監視・調査・修復と登録キャンペーン
管理者は 危険なユーザー/危険なサインイン のレポートを監視し、調査して修復（パスワードリセットの確認・リスクの却下/確認）します。最近は 危険なワークロード ID（サービスプリンシパル/マネージド ID の異常）も対象です。MFA の普及には 登録キャンペーン（Authenticator への移行を促す）を使い、SMS など弱い方式から強い方式へ誘導します。これらでリスクの「検知→対応→低減」のループを回します。
決め手：「資格情報の漏えい可能性」＝ユーザーリスク→安全なパスワード変更。「そのサインインが不審」＝サインインリスク→MFA。「リスクに応じて自動対応」＝リスクベース CA（ID Protection 連携）。「サービスプリンシパル/マネージド ID の異常」＝危険な workload identity。
混同に注意：
①ユーザーリスク（資格情報漏えい→パスワード変更）とサインインリスク（その回の異常→MFA）を取り違えない。
②ID Protection のリスクベースポリシーは P2 ライセンス依存。
③登録キャンペーンは方式移行を促すもので、強制ブロックではない。
3.3.3この節のまとめ
- ユーザーリスク(漏えい)→安全なパスワード変更、サインインリスク(異常)→MFA。リスクベース CA で自動化
- 危険なユーザー/サインイン/ワークロード ID を監視・調査・修復
- 登録キャンペーンで強い MFA 方式へ移行を促進（P2 ライセンス依存）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. あるユーザーの資格情報がダークウェブで見つかり、漏えいの可能性が高いと判定された。ID Protection の最適な自動対応はどれですか？
Q2. 匿名 IP・不可能な移動など、そのサインインが本人でない可能性が高い。ID Protection の最適な自動対応はどれですか？
Q3. ユーザーリスクとサインインリスクの違いとして正しいのはどれですか？
Q4. サービスプリンシパルやマネージド ID の異常な振る舞いを検知・対応したい。ID Protection の対象として正しいのはどれですか？
Q5. SMS に依存するユーザーを Microsoft Authenticator へ移行させ、強い MFA 方式の登録を促したい。最適なのはどれですか？