変更要約: SC-300 第4章を新規作成（ドメイン3: ワークロード ID 選択/マネージド ID(システム/ユーザー割当)/サービスプリンシパル/gMSA、エンタープライズアプリ(SSO/Application Proxy/app role 割当/同意ポリシー/管理者同意ワークフロー)、アプリ登録(リダイレクト URI/シークレット・証明書・フェデレーション資格情報/委任・アプリケーション権限/app roles)、Defender for Cloud Apps(cloud discovery/Cloud app catalog/OAuth アプリポリシー/CA アプリ制御/アクセス・セッションポリシー)）。
4.4Defender for Cloud Apps でアプリアクセスを管理
Microsoft Defender for Cloud Apps（CASB）による cloud discovery、connected apps、アプリ強制制限、Conditional Access アプリ制御、アクセス/セッションポリシー、OAuth アプリのポリシー、Cloud app catalog を理解します。
アプリの「利用」を可視化・制御するのが Microsoft Defender for Cloud Apps（CASB）です。SaaS のシャドー IT を発見し、セッション中の操作（ダウンロード等）まで制御します。
4.4.1Cloud discovery と OAuth アプリ統制
Cloud discovery は、ファイアウォール/プロキシのログや Defender for Endpoint の連携から、従業員が使う シャドー IT の SaaS を発見・リスク評価し、Cloud app catalog で承認/非承認を判断します。さらに OAuth アプリのポリシー で、ユーザーが同意した第三者アプリの過剰な権限や悪用を検知・取り消します（前節の同意統制を運用面で補完）。
4.4.2Conditional Access アプリ制御とセッションポリシー
Conditional Access アプリ制御 は、CA と Defender for Cloud Apps を連携し、セッションをプロキシ経由でリアルタイム制御します。アクセスポリシー（サインインの許可/ブロック）と セッションポリシー（セッション中の操作制御：ダウンロード/コピーのブロック・ラベル適用・監視）を作れます。「非管理デバイスからは閲覧のみ許可しダウンロードはブロック」のような細かい要件は、CA だけでなくセッションポリシーで実現します。