変更要約: SC-300 第5章を新規作成（ドメイン4: エンタイトルメント管理(カタログ/アクセスパッケージ/ポリシー/My Access/connected organizations/ToU/外部ライフサイクル)、アクセスレビュー(対象/レビュー担当/自動適用/特権ロールレビュー)、PIM(eligible/active/アクティブ化/Entra ロール/Azure リソース/PIM for Groups/設定/監査履歴/break-glass)、監視(サインイン/監査/プロビジョニングログ/診断設定 Log Analytics・ストレージ・Event Hubs/KQL/workbooks/Identity Secure Score)）。
5.1エンタイトルメント管理
Microsoft Entra エンタイトルメント管理によるカタログとアクセスパッケージ、アクセス要求と承認、利用規約（ToU）、外部ユーザーのライフサイクル、connected organizations を理解します。
ID ガバナンスは「適切な人が・適切な期間だけ・適切なアクセスを持つ」を自動で保つ仕組みです。その中心が エンタイトルメント管理＝アクセスの申請から承認・期限・失効までを一元化します。
5.1.1カタログとアクセスパッケージ
カタログ はリソース（グループ・アプリ・SharePoint サイト）をまとめる入れ物で、委任された所有者が管理します。アクセスパッケージ は「ある役割に必要なアクセスの束」を定義し、誰が申請でき・誰が承認し・どれだけの期間有効かを ポリシー で決めます。ユーザーは My Access ポータルでセルフサービス申請し、承認後に必要なグループ/アプリへのアクセスが自動付与され、期限切れで自動失効します。「役割に必要なアクセスをまとめてセルフサービス＋期限付きで配る」＝アクセスパッケージです。
5.1.2外部ユーザーのライフサイクルと ToU
エンタイトルメント管理は外部ユーザーにも有効です。connected organizations として信頼するパートナー組織を登録し、その組織の人にアクセスパッケージを申請させられます。承認時に外部ゲストを自動作成し、アクセス期限切れで自動的にゲストを削除する 外部ユーザーのライフサイクル を実現します。アクセス付与の条件に 利用規約（Terms of Use, ToU） の同意を組み込み、規約に同意しないとアクセスできないよう設計できます。
決め手：「役割に必要なアクセスをセルフサービス＋承認＋期限付きで配る」＝アクセスパッケージ（カタログ＋ポリシー）。「外部パートナーの組織を信頼して申請させる」＝connected organizations。「アクセス前に規約同意を必須化」＝Terms of Use。「期限切れで外部ゲストを自動削除」＝外部ユーザーのライフサイクル。
混同に注意：
①エンタイトルメント管理（アクセスの申請/承認/期限のライフサイクル）とアクセスレビュー（既存アクセスの定期見直し・次節）は補完だが別機能。
②アクセスパッケージは「束ねて配る」、グループは「付与の単位」＝役割が違う。
③外部ゲストの自動削除はライフサイクル設定が前提。
5.1.3この節のまとめ
- アクセスパッケージ＝役割に必要なアクセスの束をセルフサービス申請＋承認＋期限で配る（カタログ＋ポリシー）
- connected organizations で外部に申請させ、ToU 同意を条件化、期限切れで外部ゲストを自動削除
- エンタイトルメント管理(申請/期限)とアクセスレビュー(定期見直し)は補完
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. プロジェクト参加者が、必要なグループ・アプリ・SharePoint へのアクセスをまとめてセルフサービスで申請でき、承認後に自動付与・90 日で自動失効するようにしたい。最適なのはどれですか？
Q2. 信頼するパートナー組織の従業員に、自社のアクセスパッケージを申請させたい。最適なのはどれですか？
Q3. アクセスを付与する前に、ユーザーに利用規約への同意を必須化したい。最適なのはどれですか？
Q4. 招待した外部ゲストが、アクセスパッケージの期限切れとともに自動的に削除されるようにしたい。最適なのはどれですか？
Q5. エンタイトルメント管理とアクセスレビューの関係として正しいのはどれですか？