変更要約: SC-300 第5章を新規作成（ドメイン4: エンタイトルメント管理(カタログ/アクセスパッケージ/ポリシー/My Access/connected organizations/ToU/外部ライフサイクル)、アクセスレビュー(対象/レビュー担当/自動適用/特権ロールレビュー)、PIM(eligible/active/アクティブ化/Entra ロール/Azure リソース/PIM for Groups/設定/監査履歴/break-glass)、監視(サインイン/監査/プロビジョニングログ/診断設定 Log Analytics・ストレージ・Event Hubs/KQL/workbooks/Identity Secure Score)）。
5.3Privileged Identity Management（PIM）
Microsoft Entra Privileged Identity Management（PIM）による Entra ロール/Azure リソース/グループの Just-In-Time 昇格、要求と承認、設定（MFA・正当な理由・期限）、監査履歴、break-glass アカウントを理解します。
特権は最大の攻撃対象です。Privileged Identity Management（PIM） は、管理者ロールを「常時付与」から「必要時のみ昇格」へ変え、最小特権を時間軸で徹底します。
5.3.1Just-In-Time 昇格と対象
PIM では、ユーザーをロールに 永続割当（active） でなく 対象（eligible） として割り当てます。対象者は必要なときだけ アクティブ化（activate） して時間制限つきで昇格し、自動失効します。対象は Entra ロール・Azure リソースのロール（RBAC）・そして PIM for Groups（グループメンバー/所有者の JIT 化＝グループ経由のアクセスも時間制限に）です。「グローバル管理者を常時 5 人持っている」状態は、PIM の eligible 化＋人数削減で解消します。
5.3.2設定・承認・監査と break-glass
ロールごとに アクティブ化の設定 を定めます＝MFA 必須・正当な理由（justification）・チケット番号・承認者の承認・最大有効時間。これにより「誰が・いつ・なぜ昇格したか」が記録され、PIM の監査履歴/レポート で追跡できます。一方、PIM や CA がすべてを締めると緊急時に誰も入れなくなるため、break-glass（緊急用）アカウント を 2 つ以上、PIM/CA から除外し、強い保護（長いパスワード・物理保管・監視）で用意します。「最小特権の徹底」と「ロックアウト回避」を両立させます。