ホーム ›
対応資格一覧 ›
IT・情報処理 › AZ-500 Microsoft Azure Security Technologies 出題範囲（4分野） Manage security operations89問 Manage identity and access90問 Secure data and applications89問 Implement platform protection89問 AZ-500 Microsoft Azure Security Technologiesの例題（6問・解説つき） スキルサートのAIが出題範囲に沿って作成した演習問題です（過去問ではありません）。アプリでは毎週新しい問題が追加されます。
例題1Manage security operations Azure Sentinel（Microsoft Sentinel）を使用して、Amazon Web Services (AWS) 環境の CloudTrail ログを収集し、セキュリティ分析を行いたいと考えています。この接続を構成するために、AWS 側で作成し、Azure ポータルに入力する必要がある構成要素はどれですか。
AWS Lambda 関数の ARN AWS IAM ユーザーのアクセスキーとシークレットキー Log Analytics ゲートウェイの接続エンドポイント AWS IAM ロールと信頼関係の構成 Azure Arc for Servers の登録トークン 解答と解説を見る 正解: AWS IAM ロールと信頼関係の構成
正解は「AWS IAM ロールと信頼関係の構成」です。Microsoft Sentinel で AWS CloudTrail ログを収集するには、推奨される方法として、Azure と AWS 間の「ロールベースの認証」を使用します。これには、AWS IAM ロールを作成し、Microsoft Sentinel のアプリケーション ID を信頼されたエンティティとして追加する必要があります。従来使用されていたアクセスキーによる認証（オプションA）は、セキュリティ上のベストプラクティスとしては現在推奨されていません。この構成により、Microsoft Sentinel は AWS の STS (Security Token Service) を介してログをセキュアにプルすることが可能になります。
例題2Manage identity and access Microsoft Entra Privileged Identity Management (PIM) を使用して、ユーザーに特権的な役割を割り当てることを検討しています。ユーザーが役割を必要とするときにのみアクティブ化の手順を実行し、一定期間のみ権限を付与するように設定したい場合、どの割り当てタイプを選択すべきですか。
グループベースの割り当て (Group-based Assignment) 永続的なアクティブ (Permanent Active) 条件付き割り当て (Conditional Assignment) 対象 (Eligible) 直接割り当て (Direct Assignment) 解答と解説を見る 正解: 対象 (Eligible)
正解は「対象 (Eligible)」です。Microsoft Entra Privileged Identity Management (PIM) において、「対象 (Eligible)」として割り当てられたユーザーは、普段は権限を持たず、特権が必要な時にのみ「アクティブ化」のプロセスを行う必要があります。このプロセスでは、多要素認証（MFA）の要求、承認の取得、または理由の入力などを強制することができ、ジャストインタイム（JIT）アクセスを実現します。一方で「永続的」な割り当ては、常に権限を保持した状態となるため、セキュリティリスクが高まります。
例題3Secure data and applications 開発チームが一時的に、Azure Storage アカウント内の特定のコンテナに対してのみアクセス権を必要としています。セキュリティを確保し、有効期限が経過した後にアクセス権が自動的に無効になるようにするための、最も適切な方法はどれですか？
ストレージアカウントに「ストレージ BLOB データ共同作成者」ロールを割り当てる コンテナのパブリックアクセスレベルを「BLOB」に変更する サービス共有アクセス署名 (SAS) を生成して提供する Azure 仮想ネットワークのサービスエンドポイントを構成する ストレージアカウントのアクセスキーを提供する 解答と解説を見る 正解: サービス共有アクセス署名 (SAS) を生成して提供する
正解は『サービス共有アクセス署名 (SAS) を生成して提供する』です。共有アクセス署名（SAS）を使用すると、特定のストレージリソース（この場合はコンテナ）への制限付きアクセス権を、特定の期間だけ付与できます。ストレージアカウントキーはアカウント全体への完全な権限を与えるため、最小特権の原則に反します。ロールの割り当ては永続的になりがちで、きめ細かな有効期限の設定には SAS が最適です。SAS を使用することで、キーを公開することなく安全にアクセスを制御できます。
例題4Implement platform protection Azure の仮想ネットワーク環境において、複数の仮想マシンを論理的なグループとしてまとめ、IP アドレスを個別に指定することなくネットワーク セキュリティ グループ (NSG) の規則を適用したいと考えています。この要件を満たすために使用すべき機能はどれですか。
Application Security Groups ルート テーブル Azure Front Door ローカル ネットワーク ゲートウェイ サービス エンドポイント 解答と解説を見る 正解: Application Security Groups
正解は「Application Security Groups」です。アプリケーション セキュリティ グループ (ASG) を使用すると、仮想マシンをその用途（Web サーバー、DB サーバーなど）に基づいて論理的にグループ化できます。これにより、ネットワーク セキュリティ グループ (NSG) の規則内で、送信元や送信先として IP アドレスではなく ASG 名を指定できるようになります。この機能により、環境のスケールアウト時に IP アドレスを個別に管理する手間が省け、セキュリティ ポリシーの管理効率が大幅に向上します。サービス エンドポイントやルート テーブルはトラフィックの経路制御や特定のサービスへの接続に使用されるもので、グループ化には適しません。
例題5Manage security operations Microsoft Defender for Cloud の Just-In-Time (JIT) VM アクセス機能について説明した次の記述のうち、誤っているものはどれですか。
ユーザーは、ポートを開放しておく時間を制限するように構成できる。 特定のソース IP アドレスまたは IP 範囲からの要求のみを許可するように制限できる。 JIT VM アクセスを使用するには、対象の仮想マシンが Azure Firewall の背後に配置されていることが必須条件である。 JIT VM アクセスを有効にするには、Defender for Cloud の特定の有料プラン（Microsoft Defender for Servers など）が必要である。 要求が承認されると、ネットワークセキュリティグループ (NSG) の受信ルールが動的に構成される。 解答と解説を見る 正解: JIT VM アクセスを使用するには、対象の仮想マシンが Azure Firewall の背後に配置されていることが必須条件である。
正解は「JIT VM アクセスを使用するには、対象の仮想マシンが Azure Firewall の背後に配置されていることが必須条件である。」です。JIT VM アクセスは、ネットワークセキュリティグループ (NSG) ルール、または Azure Firewall ルール、あるいはその両方を動的に制御することで動作します。Azure Firewall が存在しなくても、NSG が適用されていればこの機能を利用可能です。そのため、Azure Firewall の配置は必須条件ではありません。他の選択肢はすべて正しい仕様です。この機能を使用することで、RDP や SSH などの管理ポートを常時開放せず、必要な時だけ許可することで攻撃面を最小限に抑えることができます。
例題6Manage identity and access Microsoft Entra ID Protection に関する記述のうち、誤っているものはどれかを選択してください。
リスクベースの条件付きアクセスポリシーを作成し、アクセスの可否を自動制御できる。 ユーザーが通常使用しない場所からのサインインを異常として検知できる。 リスクが高いと判断された場合にパスワード変更を強制するポリシーを設定できる。 漏洩した資格情報が発見された場合にユーザーリスクを報告する。 Microsoft Entra ID Free エディションで全ての機能を利用できる。 解答と解説を見る 正解: Microsoft Entra ID Free エディションで全ての機能を利用できる。
正解は「Microsoft Entra ID Free エディションで全ての機能を利用できる」です。Microsoft Entra ID Protection の高度なリスクベースの自動修復ポリシーや詳細な分析レポート機能を利用するには、Microsoft Entra ID P2 ライセンスが必要です。Free エディションでは、一部の基本的なセキュリティレポートは提供されますが、リスクレベルに応じた動的なアクセス制御などの機能は含まれていません。その他の選択肢は、Microsoft Entra ID Protection の主要な機能として正しく記述されています。
AZ-500 Microsoft Azure Security Technologiesの重要用語
Microsoft Sentinel クラウドネイティブのSIEM（セキュリティ情報イベント管理）およびSOAR（セキュリティオーケストレーション自動応答）ソリューションです。Azureやサードパーティからのログを収集・分析し、高度な脅威検出、調査、自動応答を提供します。インシデント管理機能を通じてセキュリティ運用を統合し、効率化できるのが特徴です。
Microsoft Entra ID (旧 Azure AD) Microsoftが提供するクラウドベースのIDおよびアクセス管理サービスです。ユーザー、グループ、アプリケーションの認証と認可を一元管理し、シングルサインオン（SSO）やディレクトリ同期を可能にします。AZ-500においては、アイデンティティセキュリティの基盤として、テナント構成やディレクトリレベルのセキュリティ設定に関する知識が深く問われます。
Azure Key Vault 暗号化キー、パスワード、証明書などの機密情報を安全に保管・管理するためのクラウドサービスです。ハードウェアセキュリティモジュール（HSM）による保護も可能で、アプリケーションから機密情報を分離することで、ソースコードへの機密情報のハードコーディングを防ぎ、集中管理によるセキュリティ向上を実現します。
Network Security Group (NSG) Azure仮想ネットワーク内のリソースに対するトラフィックを制御する仮想ファイアウォールです。IPアドレス、ポート、プロトコルに基づいた受信および送信のセキュリティ規則を設定できます。サブネットまたはネットワークインターフェース（NIC）に適用し、特定の通信のみを許可または拒否することで、ネットワーク層でのセキュリティを強化します。
Microsoft Defender for Cloud クラウドセキュリティ態勢管理（CSPM）とクラウドワークロード保護プラットフォーム（CWPP）を統合したサービスです。Azureリソースの推奨設定を提示し、サーバーやコンテナーに対する脅威保護を提供します。セキュリティスコアを通じて、組織全体のセキュリティ状態を把握し改善するために利用されます。
Azure RBAC (ロールベースのアクセス制御) Azureリソースへのアクセスを「誰が」「何に対して」「どの程度の権限で」実行できるかを制御する仕組みです。最小権限の原則に基づき、組み込みロールやカスタムロールを使用して、サブスクリプションやリソースグループ単位で適切な権限を割り当てます。試験では、RBACとAzure ADロールの違いや、適切なスコープへの適用方法が重要となります。
Transparent Data Encryption (TDE) Azure SQL Databaseなどのデータベースにおいて、保存データ（Data at Rest）を自動的に暗号化する機能です。データベース、バックアップ、トランザクションログファイルをリアルタイムで暗号化・復号し、アプリケーション側の変更を必要とせずに、物理メディアの盗難や不正アクセスによるデータ漏洩リスクを低減します。
Application Security Group (ASG) ネットワークセキュリティ規則を、特定のIPアドレスではなくアプリケーションの論理的なグループ名で定義できる機能です。WebサーバーやデータベースサーバーなどをASGとしてグループ化し、NSGのルール内で指定することで、IP管理の手間を省き、セキュリティポリシーの構成を簡素化かつ可読性の高いものに改善できます。 よくある質問
AZ-500 Microsoft Azure Security Technologiesの問題はスキルサートで何問解けますか？ 全357問・4分野の問題を用意しています。問題は出題範囲に沿って随時追加しています。
無料で使えますか？ 無料プランで週10回の演習（1回10問）と、毎日の「今日の1問」を利用できます。解説を読み、わからない点はAIに質問できます。
ここの問題は過去問ですか？ 過去問ではありません。出題範囲に沿ってAIが作成した演習問題です。すべて解説つきで、間違えた問題は繰り返し解けます。 AZ-500 Microsoft Azure Security Technologiesの対策はアプリで AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
