変更要約: SC-300 第4章を新規作成（ドメイン3: ワークロード ID 選択/マネージド ID(システム/ユーザー割当)/サービスプリンシパル/gMSA、エンタープライズアプリ(SSO/Application Proxy/app role 割当/同意ポリシー/管理者同意ワークフロー)、アプリ登録(リダイレクト URI/シークレット・証明書・フェデレーション資格情報/委任・アプリケーション権限/app roles)、Defender for Cloud Apps(cloud discovery/Cloud app catalog/OAuth アプリポリシー/CA アプリ制御/アクセス・セッションポリシー)）。
4.3アプリ登録（app registrations）
自社開発アプリの app registration、アプリ認証（リダイレクト URI・シークレット/証明書・フェデレーション資格情報）、API アクセス許可（委任/アプリケーション）と app roles を理解します。
自社で開発するアプリは アプリ登録（app registration） で Entra に定義します。これがアプリの「設計図」となり、各テナントに サービスプリンシパル として実体化します。
4.3.1アプリ認証と資格情報
アプリ登録では リダイレクト URI（認証後の戻り先）やサポートするアカウント種別を設定します。アプリ自身を認証する資格情報は クライアントシークレット か 証明書、そして最も安全な フェデレーション資格情報（workload identity federation） です。フェデレーション資格情報は GitHub Actions など外部 IdP のトークンを信頼し、シークレットを保存せずにアプリを認証します。「CI/CD パイプラインから鍵を持たず認証」＝フェデレーション資格情報が最適です。
4.3.2API アクセス許可と app roles
アプリが API（例：Microsoft Graph）にアクセスするには API アクセス許可 を構成します。委任（delegated）権限 は「サインインしたユーザーの代理」として動き、ユーザーの権限を超えません。アプリケーション権限 は「ユーザー無しでアプリ単独」で動き、強力なため 管理者同意が必須 です。バックグラウンドのデーモン/サービスはアプリケーション権限を使います。アプリが公開する役割は app roles で定義し、呼び出し側ユーザー/アプリに割り当てます。「ユーザー不在のバックエンドが Graph を読む」＝アプリケーション権限＋管理者同意です。