変更要約: SC-300 第5章を新規作成（ドメイン4: エンタイトルメント管理(カタログ/アクセスパッケージ/ポリシー/My Access/connected organizations/ToU/外部ライフサイクル)、アクセスレビュー(対象/レビュー担当/自動適用/特権ロールレビュー)、PIM(eligible/active/アクティブ化/Entra ロール/Azure リソース/PIM for Groups/設定/監査履歴/break-glass)、監視(サインイン/監査/プロビジョニングログ/診断設定 Log Analytics・ストレージ・Event Hubs/KQL/workbooks/Identity Secure Score)）。
5.2アクセスレビュー
Microsoft Entra のアクセスレビューによる、グループ/アプリ/ロールへの既存アクセスの定期的な見直し、レビューの計画・作成・監視、レビュー結果への手動/自動対応を理解します。
アクセスは時間とともに溜まり、「もう不要なのに残った権限（権限クリープ）」が生まれます。アクセスレビュー は、既存アクセスを定期的に「まだ必要か」見直し、不要を剥奪する仕組みです。
5.2.1レビューの作成と担当
アクセスレビューでは、対象（グループのメンバー・アプリの割当・特権ロール・ゲスト）と頻度（1 回/定期）を設定し、レビュー担当（リソース所有者・本人＝self-review・マネージャー）を指定します。レビュー結果を 自動適用 する設定にすると、否認されたアクセスが自動で剥奪されます（手動適用も可）。応答が無い場合の既定動作（削除/維持/推奨に従う）も設計します。とくに ゲストの定期レビュー と 特権ロールのレビュー は重要です。
5.2.2監視と特権ロールのガバナンス
管理者はレビューの進捗・結果を監視し、必要に応じて手動で対応します。PIM と連携した特権ロールのアクセスレビュー は、Global Administrator など高権限の保有者を定期的に棚卸しし、過剰な特権を削減します。アクセスレビューはエンタイトルメント管理（入口の統制）と対をなす「継続的な棚卸し」で、ゼロトラストの最小特権を時間軸で維持します。
決め手：「既存アクセスを定期的に見直し不要を剥奪」＝アクセスレビュー。「否認を自動で剥奪」＝自動適用。「高権限保有者を定期棚卸し」＝特権ロールのアクセスレビュー（PIM 連携）。「申請/承認/期限の入口統制」はエンタイトルメント管理（前節）と対。
混同に注意：
①アクセスレビュー（既存アクセスの定期見直し）とエンタイトルメント管理（アクセスの申請/付与/期限）を取り違えない。
②自動適用を有効にしないと、否認しても実際の剥奪は手動。
③無応答時の既定動作を設計しないと意図せずアクセスが維持/削除されうる。
5.2.3この節のまとめ
- アクセスレビュー＝既存アクセス(グループ/アプリ/ロール/ゲスト)を定期見直し、自動適用で否認を剥奪
- 特権ロールのレビュー(PIM 連携)で高権限を棚卸し。無応答時の既定動作を設計
- エンタイトルメント管理(入口)とアクセスレビュー(継続棚卸し)で最小特権を時間軸で維持
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 部門グループのメンバーシップが時間とともに肥大化している。四半期ごとに所有者が見直し、不要なメンバーを自動で剥奪したい。最適なのはどれですか？
Q2. Global Administrator などの高権限ロールの保有者を定期的に棚卸しし、過剰な特権を削減したい。最適なのはどれですか？
Q3. アクセスレビューで否認された結果を、実際のアクセス剥奪に自動で反映したい。必要な設定はどれですか？
Q4. アクセスレビューとエンタイトルメント管理の役割分担として正しいのはどれですか？
Q5. 外部ゲストのアクセスを定期的に見直す際、レビュー担当として有効でないものはどれですか？