変更要約: SC-300 第5章を新規作成（ドメイン4: エンタイトルメント管理(カタログ/アクセスパッケージ/ポリシー/My Access/connected organizations/ToU/外部ライフサイクル)、アクセスレビュー(対象/レビュー担当/自動適用/特権ロールレビュー)、PIM(eligible/active/アクティブ化/Entra ロール/Azure リソース/PIM for Groups/設定/監査履歴/break-glass)、監視(サインイン/監査/プロビジョニングログ/診断設定 Log Analytics・ストレージ・Event Hubs/KQL/workbooks/Identity Secure Score)）。
5.1エンタイトルメント管理
Microsoft Entra エンタイトルメント管理によるカタログとアクセスパッケージ、アクセス要求と承認、利用規約（ToU）、外部ユーザーのライフサイクル、connected organizations を理解します。
ID ガバナンスは「適切な人が・適切な期間だけ・適切なアクセスを持つ」を自動で保つ仕組みです。その中心が エンタイトルメント管理＝アクセスの申請から承認・期限・失効までを一元化します。
5.1.1カタログとアクセスパッケージ
カタログ はリソース（グループ・アプリ・SharePoint サイト）をまとめる入れ物で、委任された所有者が管理します。アクセスパッケージ は「ある役割に必要なアクセスの束」を定義し、誰が申請でき・誰が承認し・どれだけの期間有効かを ポリシー で決めます。ユーザーは My Access ポータルでセルフサービス申請し、承認後に必要なグループ/アプリへのアクセスが自動付与され、期限切れで自動失効します。「役割に必要なアクセスをまとめてセルフサービス＋期限付きで配る」＝アクセスパッケージです。
5.1.2外部ユーザーのライフサイクルと ToU
エンタイトルメント管理は外部ユーザーにも有効です。connected organizations として信頼するパートナー組織を登録し、その組織の人にアクセスパッケージを申請させられます。承認時に外部ゲストを自動作成し、アクセス期限切れで自動的にゲストを削除する 外部ユーザーのライフサイクル を実現します。アクセス付与の条件に 利用規約（Terms of Use, ToU） の同意を組み込み、規約に同意しないとアクセスできないよう設計できます。