変更要約: SC-300 第5章を新規作成（ドメイン4: エンタイトルメント管理(カタログ/アクセスパッケージ/ポリシー/My Access/connected organizations/ToU/外部ライフサイクル)、アクセスレビュー(対象/レビュー担当/自動適用/特権ロールレビュー)、PIM(eligible/active/アクティブ化/Entra ロール/Azure リソース/PIM for Groups/設定/監査履歴/break-glass)、監視(サインイン/監査/プロビジョニングログ/診断設定 Log Analytics・ストレージ・Event Hubs/KQL/workbooks/Identity Secure Score)）。
5.3Privileged Identity Management（PIM）
Microsoft Entra Privileged Identity Management（PIM）による Entra ロール/Azure リソース/グループの Just-In-Time 昇格、要求と承認、設定（MFA・正当な理由・期限）、監査履歴、break-glass アカウントを理解します。
特権は最大の攻撃対象です。Privileged Identity Management（PIM） は、管理者ロールを「常時付与」から「必要時のみ昇格」へ変え、最小特権を時間軸で徹底します。
5.3.1Just-In-Time 昇格と対象
PIM では、ユーザーをロールに 永続割当（active） でなく 対象（eligible） として割り当てます。対象者は必要なときだけ アクティブ化（activate） して時間制限つきで昇格し、自動失効します。対象は Entra ロール・Azure リソースのロール（RBAC）・そして PIM for Groups（グループメンバー/所有者の JIT 化＝グループ経由のアクセスも時間制限に）です。「グローバル管理者を常時 5 人持っている」状態は、PIM の eligible 化＋人数削減で解消します。
5.3.2設定・承認・監査と break-glass
ロールごとに アクティブ化の設定 を定めます＝MFA 必須・正当な理由（justification）・チケット番号・承認者の承認・最大有効時間。これにより「誰が・いつ・なぜ昇格したか」が記録され、PIM の監査履歴/レポート で追跡できます。一方、PIM や CA がすべてを締めると緊急時に誰も入れなくなるため、break-glass（緊急用）アカウント を 2 つ以上、PIM/CA から除外し、強い保護（長いパスワード・物理保管・監視）で用意します。「最小特権の徹底」と「ロックアウト回避」を両立させます。
決め手：「管理者ロールを常時付与せず必要時のみ承認/MFA/期限付きで昇格」＝PIM の eligible＋activate。「グループ経由のアクセスも JIT 化」＝PIM for Groups。「Azure リソース権限の JIT」＝PIM の Azure リソースロール。「誰がいつなぜ昇格」＝PIM 監査履歴。「全員ロックアウト回避」＝break-glass を PIM/CA から除外。
混同に注意：
①eligible（対象＝必要時アクティブ化）と active（永続割当）を取り違えない。
②PIM は特権の JIT 昇格＝マルチクラウドの過剰権限縮小（Permissions Management/CIEM）とは別。
③break-glass は PIM/CA から除外しつつ、強い保護と監視を必ずかける。
5.3.3この節のまとめ
- PIM＝ロールを eligible 化し必要時のみ activate（MFA/理由/承認/期限）。対象＝Entra ロール/Azure リソース/PIM for Groups
- 監査履歴で昇格を追跡。break-glass を PIM/CA から除外し強い保護で用意（ロックアウト回避）
- eligible(必要時)とactive(永続)を区別。PIM(JIT 昇格)とCIEM(過剰権限縮小)は別
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 管理者ロールを常時付与せず、必要なときだけ MFA と承認と期限付きで昇格させ、自動失効させたい。最適なのはどれですか？
Q2. グループのメンバーシップ（グループ経由のアクセス）も、必要時のみ時間制限つきで有効化したい。最適なのはどれですか？
Q3. PIM や Conditional Access ですべてを締めた結果、緊急時に全管理者がロックアウトされる事態を防ぎたい。最適なのはどれですか？
Q4. PIM の eligible 割当と active 割当の違いとして正しいのはどれですか？
Q5. 「いつ・誰が・なぜ特権ロールを昇格したか」を追跡し、コンプライアンスのために報告したい。最適なのはどれですか？