変更要約: SC-300 第4章を新規作成（ドメイン3: ワークロード ID 選択/マネージド ID(システム/ユーザー割当)/サービスプリンシパル/gMSA、エンタープライズアプリ(SSO/Application Proxy/app role 割当/同意ポリシー/管理者同意ワークフロー)、アプリ登録(リダイレクト URI/シークレット・証明書・フェデレーション資格情報/委任・アプリケーション権限/app roles)、Defender for Cloud Apps(cloud discovery/Cloud app catalog/OAuth アプリポリシー/CA アプリ制御/アクセス・セッションポリシー)）。
4.2エンタープライズアプリの統合
エンタープライズアプリのアプリ/テナントレベル設定、SaaS アプリの SSO 統合、Microsoft Entra Application Proxy によるオンプレアプリ公開、ユーザー/グループ/app role の割当、ユーザーと管理者の同意（consent）管理を理解します。
エンタープライズアプリは、Entra に登録された SSO 対象のアプリ（ギャラリーの SaaS、カスタム、オンプレ公開）です。アクセス管理者は、シングルサインオンとアクセス割当、そして同意（consent）の統制を設計します。
4.2.1SSO 統合と Application Proxy
SaaS アプリ はギャラリーから追加し、SSO（SAML/OIDC）を構成して 1 度の認証で利用させます。アプリへのアクセスは ユーザー/グループ/app role の割当 で制御し、Conditional Access も適用します。Microsoft Entra Application Proxy は、オンプレの Web アプリを VPN なしで安全に外部公開し、Entra 認証＋事前認証を前段に置く仕組みです（社内アプリのモダン化）。「レガシーなオンプレ Web アプリに Entra 認証を被せて公開」＝Application Proxy です。
4.2.2同意（consent）の統制
アプリがユーザーのデータ（例：メール/プロファイル）にアクセスするには 同意（consent） が要ります。ユーザー同意 を無制限に許すと、悪意あるアプリへの 同意フィッシング のリスクがあるため、同意ポリシー で「検証済み発行元・低リスク権限のみユーザー同意可、それ以外は管理者同意」と制御します。要求された権限を管理者がまとめて承認する 管理者同意の要求（admin consent workflow） を有効にすると、ユーザーは申請、管理者が審査できます。「リスクの高い権限はユーザーに同意させない」が設計原則です。