変更要約: 各節に図（figure）を追加＝cert-figure-retrofit。SC-500 第3章を新規作成（ドメイン3「コンピュートの保護」: AI セキュリティ=SharePoint 過剰露出/Purview DSPM for AI/Copilot Studio リアルタイム保護/Entra Agent ID・条件付きアクセス/Defender XDR ブラスト半径/APIM AI Gateway・Foundry ガードレール/Defender for AI・データ&AI ダッシュボード、サーバー/VM=Bastion・JIT/ディスク暗号化・信頼された起動/Defender for Servers・エージェントレス/Azure Arc/Machine Configuration、アプリ基盤=Defender for Containers/ACR・AKS/App Service・Functions・Logic Apps/WAF・API Management）
3.2サーバーと仮想マシンのセキュリティ
ディスク暗号化、Azure Bastion、ジャストインタイム（JIT）VM アクセス、Azure Arc によるハイブリッド/マルチクラウドへの拡張、Defender for Servers（脆弱性スキャン・EDR・エージェントレススキャン）、そしてセキュアブート/vTPM/整合性監視と Azure Machine Configuration を学びます。
IaaS の VM やオンプレ/他クラウドのサーバーは、依然として攻撃対象です。守る観点は「管理アクセスを安全に（Bastion/JIT）→ ディスクを暗号化 → OS の整合性を担保（信頼された起動）→ 脆弱性と脅威を継続検知（Defender for Servers）→ 構成を強制（Machine Configuration）→ ハイブリッド/マルチクラウドへ拡張（Arc）」です。
3.2.1安全な管理アクセス：Bastion と JIT
Azure Bastion は、VM にパブリック IP や開いた RDP/SSH ポートを持たせずに、ブラウザ経由で安全にリモート接続できるマネージドサービスです。ジャストインタイム（JIT）VM アクセス（Defender for Servers の機能）は、管理ポートを普段は閉じておき、要求時に限られた時間・送信元だけ開放します。両者を組み合わせると「常時開いた管理ポート」をなくせます。
3.2.2ディスク暗号化と信頼された起動
VM のディスクは Azure Disk Encryption（ADE） やプラットフォーム/顧客管理キー（CMK）による保存時暗号化で保護します。さらに 信頼された起動（Trusted Launch） は、セキュアブート（署名されたブートローダーのみ起動）、仮想 TPM（vTPM）（鍵や測定値の保護）、整合性監視（ブート整合性の検証）を提供し、ルートキットやブートレベルのマルウェアを防ぎます。これらは VM の セキュリティの種類（security type） として構成します。
3.2.3Defender for Servers と Azure Arc
Microsoft Defender for Servers は、VM の脆弱性スキャン（Defender Vulnerability Management）、EDR（エンドポイントの検出と対応＝Defender for Endpoint 統合）、エージェントを入れずに行う エージェントレス スキャン を提供します。これを Azure Arc でオンボードすれば、オンプレや AWS/GCP のサーバー（ハイブリッド/マルチクラウド）にも同じ保護を拡張できます（Arc はそれらを Azure リソースとして扱えるようにする橋渡し）。構成のドリフトは Azure Machine Configuration（旧ゲスト構成）でコード化して強制します。
| 目的 | 機能 | 要点 |
|---|---|---|
| 管理ポートを開けずに接続 | Azure Bastion | パブリック IP/開いた RDP-SSH 不要 |
| 管理ポートを必要時だけ開放 | JIT VM アクセス | 時間/送信元を限定（Defender for Servers） |
| ブートレベルの保護 | 信頼された起動（セキュアブート/vTPM/整合性監視） | ルートキット対策・security type で設定 |
| 脆弱性と脅威の継続検知 | Defender for Servers（脆弱性管理/EDR/エージェントレス） | ワークロード保護プラン |
| オンプレ/他クラウドへ拡張 | Azure Arc | ハイブリッド/マルチクラウドを Azure 管理下に |
| 構成ドリフトの強制 | Azure Machine Configuration | ゲスト OS 設定をコード化・監査/適用 |
混同に注意：
①Bastion（管理ポートを開けずに接続する経路）とJIT（必要時だけ管理ポートを一時開放）——目的が補完的。
②ディスク暗号化（保存時データ）と信頼された起動（ブート整合性・ルートキット対策）。
③Defender for Servers（VM の脆弱性/脅威）とAzure Arc（管理対象をオンプレ/他クラウドへ拡張する橋渡し）は別物。
「要件 → 機能」：例「VM にパブリック IP を持たせず安全に RDP」＝Bastion、「管理ポートを普段閉じ要求時のみ開放」＝JIT、「ルートキットを防ぐブート保護」＝信頼された起動、「オンプレ/AWS のサーバーにも Defender 保護を拡張」＝Azure Arc、「ゲスト OS の設定を強制」＝Machine Configuration。
3.2.4この節のまとめ
- 管理アクセスは Bastion＋JIT で「常時開いたポート」を排除
- ディスク暗号化（保存時）＋信頼された起動（セキュアブート/vTPM/整合性監視）でブートまで保護
- Defender for Servers（脆弱性/EDR/エージェントレス）を Azure Arc でハイブリッド/マルチクラウドへ拡張。Machine Configuration で構成強制
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. VM にパブリック IP や開いた RDP/SSH ポートを持たせずに、ブラウザ経由で安全にリモート接続するためのサービスはどれですか？
Q2. 管理ポートを普段は閉じておき、要求時に限られた時間・送信元のみ開放する Defender for Servers の機能はどれですか？
Q3. オンプレミスや AWS/GCP のサーバーを Azure の管理下に置き、Defender for Servers の保護を拡張するために使うのはどれですか？
Q4. セキュアブート・仮想 TPM（vTPM）・整合性監視によってブートレベルのマルウェアやルートキットを防ぐ VM の機能はどれですか？
Q5. VM にエージェントを導入せずに脆弱性やマルウェアをスキャンする Defender for Servers の機能はどれですか？
Q6. ゲスト OS の構成設定をコード化して監査・適用し、構成ドリフトを強制的に是正するのはどれですか？