変更要約: SC-300 第5章を新規作成（ドメイン4: エンタイトルメント管理(カタログ/アクセスパッケージ/ポリシー/My Access/connected organizations/ToU/外部ライフサイクル)、アクセスレビュー(対象/レビュー担当/自動適用/特権ロールレビュー)、PIM(eligible/active/アクティブ化/Entra ロール/Azure リソース/PIM for Groups/設定/監査履歴/break-glass)、監視(サインイン/監査/プロビジョニングログ/診断設定 Log Analytics・ストレージ・Event Hubs/KQL/workbooks/Identity Secure Score)）。
5.4ID アクティビティの監視
サインイン/監査/プロビジョニングログの分析、診断設定（Log Analytics・ストレージ・Event Hubs への送信）、KQL クエリ、ブックと レポート、Identity Secure Score による posture 改善を理解します。
ガバナンスは「監視と可視化」で完結します。アクセス管理者は、ID のログを分析し、長期保管・相関し、posture を継続改善する仕組みを設計します。
5.4.1ログの種類と診断設定
Entra の主要ログは 3 種類です＝サインインログ（誰がいつどこからサインインしたか・CA の結果）、監査ログ（ディレクトリの変更：ロール付与・ポリシー編集など）、プロビジョニングログ（SaaS への自動プロビジョニングの結果）。既定では保持が短いため、診断設定 で Log Analytics ワークスペース（KQL で分析）・ストレージアカウント（長期保管/コンプライアンス）・Azure Event Hubs（SIEM/サードパーティへストリーム）へ送ります。「ログを長期保持し相関分析」したい要件は診断設定＋Log Analytics です。
5.4.2KQL・ブック・Identity Secure Score
Log Analytics に送ったログは KQL（Kusto Query Language） で柔軟に検索/集計します。ブック（workbooks） は、サインインの傾向や CA の影響などを可視化するダッシュボードです。さらに Identity Secure Score は、ID 構成のベストプラクティスに対する達成度を点数化し、改善アクション（MFA 拡大・レガシー認証ブロック等）を優先順位付けします。「ID の posture を測って継続改善」したい要件は Identity Secure Score です（インフラの Secure Score とは別）。
決め手：「ディレクトリ変更（ロール付与等）の記録」＝監査ログ。「サインイン状況/CA 結果」＝サインインログ。「ログを長期保持/SIEM へ」＝診断設定（Log Analytics/ストレージ/Event Hubs）。「KQL で分析」＝Log Analytics。「ID posture の点数化/改善優先」＝Identity Secure Score。
混同に注意：
①Identity Secure Score（ID posture）と Defender for Cloud の Secure Score（インフラ posture）を取り違えない。
②Entra のログは既定保持が短い＝長期は診断設定で外部へ。
③サインインログ（認証イベント）と監査ログ（管理変更）は用途が違う。
5.4.3この節のまとめ
- ログ3種＝サインイン/監査/プロビジョニング。診断設定で Log Analytics(KQL)/ストレージ(長期)/Event Hubs(SIEM)へ
- KQL とブックで分析/可視化。Identity Secure Score で ID posture を点数化し改善を優先
- Identity Secure Score(ID)とDefender for Cloud の Secure Score(インフラ)は別物
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Entra のサインイン/監査ログを長期保持し、KQL で相関分析できるようにしたい。最適なのはどれですか？
Q2. ロールの付与やポリシーの編集など、ディレクトリへの変更を追跡したい。どのログを見ますか？
Q3. Entra のログを SIEM（サードパーティ）へリアルタイムにストリームしたい。診断設定の宛先として最適なのはどれですか？
Q4. ID 構成のベストプラクティスに対する達成度を点数化し、改善アクションを優先順位付けしたい。最適なのはどれですか？
Q5. Identity Secure Score と Defender for Cloud の Secure Score の違いとして正しいのはどれですか？