変更要約: SC-300 第4章を新規作成（ドメイン3: ワークロード ID 選択/マネージド ID(システム/ユーザー割当)/サービスプリンシパル/gMSA、エンタープライズアプリ(SSO/Application Proxy/app role 割当/同意ポリシー/管理者同意ワークフロー)、アプリ登録(リダイレクト URI/シークレット・証明書・フェデレーション資格情報/委任・アプリケーション権限/app roles)、Defender for Cloud Apps(cloud discovery/Cloud app catalog/OAuth アプリポリシー/CA アプリ制御/アクセス・セッションポリシー)）。
4.2エンタープライズアプリの統合
エンタープライズアプリのアプリ/テナントレベル設定、SaaS アプリの SSO 統合、Microsoft Entra Application Proxy によるオンプレアプリ公開、ユーザー/グループ/app role の割当、ユーザーと管理者の同意（consent）管理を理解します。
エンタープライズアプリは、Entra に登録された SSO 対象のアプリ（ギャラリーの SaaS、カスタム、オンプレ公開）です。アクセス管理者は、シングルサインオンとアクセス割当、そして同意（consent）の統制を設計します。
4.2.1SSO 統合と Application Proxy
SaaS アプリ はギャラリーから追加し、SSO（SAML/OIDC）を構成して 1 度の認証で利用させます。アプリへのアクセスは ユーザー/グループ/app role の割当 で制御し、Conditional Access も適用します。Microsoft Entra Application Proxy は、オンプレの Web アプリを VPN なしで安全に外部公開し、Entra 認証＋事前認証を前段に置く仕組みです（社内アプリのモダン化）。「レガシーなオンプレ Web アプリに Entra 認証を被せて公開」＝Application Proxy です。
4.2.2同意（consent）の統制
アプリがユーザーのデータ（例：メール/プロファイル）にアクセスするには 同意（consent） が要ります。ユーザー同意 を無制限に許すと、悪意あるアプリへの 同意フィッシング のリスクがあるため、同意ポリシー で「検証済み発行元・低リスク権限のみユーザー同意可、それ以外は管理者同意」と制御します。要求された権限を管理者がまとめて承認する 管理者同意の要求（admin consent workflow） を有効にすると、ユーザーは申請、管理者が審査できます。「リスクの高い権限はユーザーに同意させない」が設計原則です。
決め手：「オンプレ Web アプリを VPN なしで Entra 認証付き公開」＝Application Proxy。「ギャラリー SaaS に SSO」＝エンタープライズアプリ＋SSO。「アプリへのアクセスを役割で制御」＝app role/ユーザー・グループ割当。「危険な権限の同意を抑止」＝同意ポリシー＋管理者同意ワークフロー。
混同に注意：
①Application Proxy（オンプレ Web アプリの公開）と Global Secure Access の Private Access（ZTNA・広いプロトコル）は近いが別機能（Private Access が発展形）。
②エンタープライズアプリ（既存アプリの利用/SSO）とアプリ登録（自社開発アプリの定義）は別（次節）。
③ユーザー同意の無制限許可は同意フィッシングの温床。
4.2.3この節のまとめ
- エンタープライズアプリ＝SaaS/カスタム/オンプレ公開に SSO。アクセスは user/group/app role 割当＋CA
- Application Proxy＝オンプレ Web アプリを VPN なしで Entra 認証付き公開
- 同意ポリシー＋管理者同意ワークフローで同意フィッシングを抑止（危険な権限はユーザー同意させない）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 社内のレガシーなオンプレ Web アプリを、VPN を使わず Entra 認証と事前認証を被せて外部公開したい。最適なのはどれですか？
Q2. 従業員が悪意あるアプリにメール読み取り権限を同意してしまう「同意フィッシング」を防ぎたい。最適なのはどれですか？
Q3. ギャラリーの SaaS アプリに、1 度の認証でアクセスできるシングルサインオンを構成したい。最適なのはどれですか？
Q4. 特定のエンタープライズアプリに、特定のユーザー/グループだけアクセスを許可し、役割（app role）で機能を分けたい。最適なのはどれですか？
Q5. エンタープライズアプリとアプリ登録の違いとして正しいのはどれですか？