変更要約: SC-300 第4章を新規作成（ドメイン3: ワークロード ID 選択/マネージド ID(システム/ユーザー割当)/サービスプリンシパル/gMSA、エンタープライズアプリ(SSO/Application Proxy/app role 割当/同意ポリシー/管理者同意ワークフロー)、アプリ登録(リダイレクト URI/シークレット・証明書・フェデレーション資格情報/委任・アプリケーション権限/app roles)、Defender for Cloud Apps(cloud discovery/Cloud app catalog/OAuth アプリポリシー/CA アプリ制御/アクセス・セッションポリシー)）。
4.1ワークロード ID の選択とマネージド ID
アプリや Azure ワークロードに適した ID（マネージド ID・サービスプリンシパル・ユーザーアカウント・マネージドサービスアカウント）の選択、マネージド ID の作成・割当・他リソースへのアクセスを理解します。
人だけでなく、アプリやサービス（ワークロード）にも ID が必要です。アクセス管理者は、鍵を持たせずに最小特権で動かせる ID を選び、漏えいリスクを下げます。
4.1.1ワークロード ID の選択
Azure リソース上で動くワークロードには マネージド ID を第一に選びます＝資格情報を Azure が管理し、鍵を配布しません。アプリを Entra に表す実体は サービスプリンシパル（アプリ登録のインスタンス）です。人が使う ユーザーアカウント をサービスに流用するのはアンチパターンで避けます。オンプレ AD のサービスには グループ管理サービスアカウント（gMSA） 等を使います。「Azure リソースから他リソースへ鍵なしでアクセス」＝マネージド ID が原則です。
4.1.2システム割当とユーザー割当のマネージド ID
マネージド ID には 2 種類あります。システム割当 はリソース（例：VM）に 1:1 で紐づき、リソース削除で自動消滅します（単一リソース向け）。ユーザー割当 は独立したリソースとして作成し、複数のリソースで共有できます（複数 VM/関数で同じ ID を使う運用向け）。作成後、対象リソースに割り当て、アクセス先リソースで RBAC ロール（例：Key Vault の Secrets User）を付与すれば、コードに鍵を書かずにアクセスできます。