変更要約: 各節に図（figure）を追加＝cert-figure-retrofit。SC-500 第4章を新規作成（ドメイン4「態勢の管理と監視」: Defender for Cloud=CSPM(推奨/セキュアスコア/攻撃パス/規制コンプライアンス)・CWP プラン・マルチクラウド(AWS/GCP)・Defender 脆弱性管理・EASM、Microsoft Sentinel=ワークスペース/ロール/コンテンツハブ/データコネクタ/Syslog・CEF/Windows イベント(DCR・WEF)/カスタムテーブル/オートメーション規則・プレイブック/データ保持/Defender XDR の Purview 監査、Microsoft Security Copilot=ワークスペース/権限・ロール/プラグイン/Microsoft・Security Store エージェント）
4.3Microsoft Security Copilot
セキュリティ運用に生成 AI を活用する Microsoft Security Copilot のワークスペース構成、権限とロールの管理、プラグインの有効化と構成、Microsoft エージェントおよび Security Store エージェントの有効化と構成を学びます。
Microsoft Security Copilot は、セキュリティ運用（SecOps）に生成 AI を取り入れ、インシデント調査の要約・KQL の生成支援・脅威の説明・対応手順の提案などを自然言語で行えるようにするツールです。SC-500 では、機能の細部よりも「どう安全に構成・統制して使うか」（ワークスペース・権限・プラグイン・エージェント）が問われます。
4.3.1ワークスペースと権限・ロール
Security Copilot は ワークスペース を構成し、利用するためのセキュリティ コンピューティング ユニット（SCU）などの容量を割り当てます。アクセスは 権限とロール で制御し、誰が Copilot を使えるか・どのデータソース（プラグイン経由）に到達できるかを最小特権で管理します。Copilot は接続された製品（Defender・Sentinel・Intune・Entra など）のユーザーの権限の範囲内で動作させる設計が基本です。
4.3.2プラグインとエージェント
プラグイン は Security Copilot を各データソース/製品（Microsoft 製品やサードパーティ、Web 等）に接続する仕組みで、有効化と構成で利用範囲を決めます。Microsoft エージェント や Security Store エージェント は、特定の SecOps タスク（フィッシング トリアージ、脆弱性の修復提案、条件付きアクセスの最適化など）を半自律的に実行するエージェントで、必要なものだけを有効化し、権限とプラグインを最小特権で構成します。エージェントの導入時は、第3章で学んだエージェントの統制（ID・最小特権・監視）と同じ考え方が当てはまります。
| 項目 | 役割 | 要点 |
|---|---|---|
| ワークスペース | 利用の基盤・容量（SCU）割り当て | 容量管理 |
| 権限・ロール | 誰が何にアクセスできるか | 最小特権・ユーザー権限の範囲内 |
| プラグイン | データソース/製品への接続 | 有効化と構成で範囲決定 |
| エージェント | SecOps タスクの半自律実行 | 必要分のみ・最小特権で構成 |
混同に注意：
①プラグイン（データソース/製品への接続）とエージェント（タスクを半自律実行）は別物。
②Security Copilot はユーザーの既存権限の範囲内で動かすのが原則——Copilot に過剰な権限を与えない。
③第3章のEntra Agent ID/エージェント統制は、SecOps エージェントにも同様に適用する。
「要件 → 機能」：例「Copilot を特定のデータソース/製品に接続」＝プラグインの有効化・構成、「誰が Copilot を使えるか制御」＝権限とロール、「フィッシング トリアージを半自律で実行」＝Microsoft/Security Store エージェント、「Copilot に過剰な権限を与えない」＝ユーザー権限の範囲内＋最小特権。
4.3.3この節のまとめ
- Security Copilot＝SecOps に生成 AI を活用（調査要約・KQL 支援・対応提案）。SC-500 は安全な構成・統制が焦点
- ワークスペース＋権限/ロール（最小特権・ユーザー権限の範囲内）＋プラグイン（接続）
- Microsoft/Security Store エージェントは必要分のみ有効化し最小特権で構成（第3章のエージェント統制を適用）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Microsoft Security Copilot を各データソースや製品（Microsoft 製品やサードパーティ等）に接続する仕組みはどれですか？
Q2. Security Copilot のアクセス制御について最も適切な設計はどれですか？
Q3. フィッシングのトリアージや脆弱性の修復提案などの SecOps タスクを半自律的に実行するのはどれですか？
Q4. Security Copilot を利用する基盤として構成し、容量（Security Compute Units）を割り当てるのはどれですか？
Q5. プラグインとエージェントの違いとして正しいものはどれですか？
Q6. SecOps エージェント（Security Copilot のエージェント）を導入する際の統制として最も適切なものはどれですか？