SC-900 サンプル問題

正解：B

A　IaaSでMicrosoftが責任を持つのは物理ホスト・物理ネットワーク・物理データセンターまで。ゲストOSの管理は顧客側に残る

B（正解）　正解。IaaSではOS・ミドルウェア・アプリケーション・データの管理責任は顧客側に残る。クラウド移行で物理層の責任は移るが、OSパッチは顧客の仕事

C　OSベンダーは修正プログラムを提供するが、それを仮想マシンへ適用する運用責任は顧客にある

D　共有責任モデルの責任分界はサービスモデル（IaaS/PaaS/SaaS）で決まり、リージョンによって変わることはない

正解：C

A　物理データセンター・物理ネットワーク・物理ホストはどのモデルでも常にクラウドプロバイダーの責任

B　OSの管理はIaaSでは顧客責任だが、PaaS/SaaSではプロバイダーが担うため「常に」ではない

C（正解）　正解。情報とデータ、デバイス、アカウントとIDの管理責任は、どのサービスモデルでも常に顧客側に残る

D　実行基盤（ランタイムやミドルウェア）はPaaS/SaaSではプロバイダーの責任であり、常に顧客側とは言えない

正解：B・D

A　物理層の保護はどのサービスモデルでも常にクラウドプロバイダーの責任

B（正解）　正解。データの分類・保護の責任はSaaSを含むすべてのモデルで顧客側に残る

C　SaaSではアプリケーションの保守はプロバイダーの責任

D（正解）　正解。ユーザーアカウント・IDの管理はどのサービスモデルでも顧客の責任として残る

E　SaaSではOSを含む基盤の運用はプロバイダーが担う

正解：A・D

A（正解）　正解。利用可能なすべてのデータポイントに基づき、常に認証・認可を行うことがゼロトラストの第一の指針

B　場所を信頼の根拠にするのは境界型防御の考え方で、ゼロトラストが否定する前提

C　恒久的な特権付与は最小特権アクセスの正反対

D（正解）　正解。侵害の発生を前提にセグメント化・暗号化・検出強化で影響範囲を最小化することが指針の一つ（もう一つは最小特権アクセス）

E　一度きりの検証で信頼し続ける運用は、継続的な検証を求めるゼロトラストに反する

正解：B

A　オンプレミスのディレクトリサービスはAD DSの説明。Entra IDはインストール不要のクラウドサービス

B（正解）　正解。Entra ID（旧称Azure Active Directory）はクラウドベースのIDおよびアクセス管理サービスで、Microsoft 365やAzure、多数のSaaSへのサインインを支える

C　ネットワーク通信の制御はNSGやAzure Firewallの領域で、IDサービスではない

D　マルウェア検出はMicrosoft Defender for Endpointなどの役割で、Entra IDの機能ではない

正解：C

A　Kerberos/NTLMはオンプレミスAD DSの認証プロトコル。Entra IDは使用しない

B　GPOはAD DSの機能。Entra環境の端末管理はIntuneなどのMDMが担う

C（正解）　正解。Entra IDはクラウド標準のプロトコル群をサポートし、SaaSやモバイルアプリとの連携を前提に設計されている

D　OUやフォレストはAD DSの構造。Entra IDはテナントを単位としたフラットな構造を持つ

正解：A

A（正解）　正解。ワークロードIDはアプリケーション・サービスプリンシパル・マネージドIDなど、ソフトウェアのワークロードに割り当てるIDの総称

B　ゲストは外部組織から招待された人間のユーザーを指すB2Bコラボレーションの用語

C　ハイブリッドIDはオンプレミスとクラウドの両方で使える人間ユーザーのIDを指す

D　特権IDは管理者権限を持つユーザーの話であり、アプリケーション用IDの総称ではない

正解：C

A　ゲストユーザーは外部の人間ユーザー向けで、アプリの資格情報管理の課題は解決しない

B　SSPRはユーザーが自分のパスワードを再設定する機能で、アプリの認証とは無関係

C（正解）　正解。マネージドIDはEntra IDが資格情報を自動管理するワークロードIDで、開発者がシークレットを保存・ローテーションする必要がなくなる

D　MFAは人間の認証を強化する仕組みで、資格情報をコードから排除する仕組みではない

正解：B

A　複数リソースで共有できるのはユーザー割り当てマネージドIDの特徴

B（正解）　正解。システム割り当てマネージドIDはリソースと1対1でライフサイクルを共にし、リソース削除と同時に消える

C　外部ユーザーの招待はB2Bコラボレーションであり、マネージドIDとは無関係

D　マネージドIDはクラウドネイティブな仕組みで、オンプレミスからの同期では作られない

正解：A

A（正解）　正解。Entra登録はBYOD向けの形態で、個人アカウントでの利用を維持しながらデバイスをEntra IDに登録して組織リソースへのアクセスを管理できる

B　Entra参加は組織所有デバイス向けで、組織アカウントでのサインインが前提となる

C　ハイブリッド参加はオンプレミスADとEntra IDの両方に参加する組織所有デバイス向けの形態

D　オンプレミスドメインへの参加は社内ネットワークの組織端末向けで、私物スマートフォンには適さない

正解：D

A　別アカウントの発行はパスワード管理の負担と退場時の削除漏れリスクを生む。B2Bなら既存IDを活用できる

B　共有アカウントは操作者を特定できず監査不能になるアンチパターン

C　ID Protectionはリスク検出の機能で、外部ユーザーの受け入れの仕組みではない

D（正解）　正解。B2Bコラボレーションでは外部ユーザーをゲストとして招待し、相手は自組織の資格情報のまま自社リソースへアクセスできる

正解：B

A　AD DSはオンプレミスの組織内ディレクトリで、消費者向けアプリのID管理には適さない

B（正解）　正解。Entra External IDは外部ユーザー（顧客・パートナー）向けのIDソリューションで、消費者向けアプリのサインアップ/サインイン体験を構築できる

C　Entra Domain Servicesはクラウド上でドメインサービス（Kerberos/NTLM）を提供するもので、消費者ID管理の仕組みではない

D　AD FSはオンプレミスのフェデレーション基盤で、消費者向けID体験の構築を目的としたサービスではない

正解：C

A　Bastionは仮想マシンへの安全なRDP/SSH接続を提供するサービスで、トラフィックのフィルタリング機能ではない

B　WAFはWebアプリへのL7攻撃（SQLインジェクション等）の対策で、IP・ポート単位の汎用フィルタリングの機能ではない

C（正解）　正解。NSGは5組（送信元/宛先IP・ポート・プロトコル）に基づくレイヤー3/4の許可・拒否規則で、VNet内リソースへのトラフィックをフィルタリングする

D　DDoS Protectionは大量トラフィック攻撃の緩和サービスで、個別の許可・拒否規則を書くものではない

正解：B

A　評価順は作成日時ではなく優先度の数値で決まる

B（正解）　正解。NSGは優先度（100〜4096）の小さい順に評価し、条件に一致した時点でそれ以降の規則は評価されない

C　全規則の総合評価ではなく、最初に一致した規則のみが適用される

D　既定の規則（VNet内許可・インターネット送信許可・その他拒否など）は削除できず、より高い優先度の規則で上書きする

正解：A

A（正解）　正解。サブネット分割とNSGによるセグメンテーションは、ゼロトラストの「侵害を想定」を体現し、攻撃者の横移動（ラテラルムーブメント）を困難にする

B　セグメント分割で暗号化が自動有効化されることはない。暗号化はTLS等で別途実現する

C　サブネット分割自体に割引効果はなく、セグメンテーションはセキュリティ目的で行う

D　セグメント分割は性能改善の手段ではなく、分離による防御が目的

正解：D

A　リソースグループは管理上の入れ物で、NSGの関連付け対象ではない

B　サブスクリプション単位でNSGを関連付けることはできない

C　ディスクはストレージリソースで、ネットワークフィルタの適用先ではない

D（正解）　正解。NSGはサブネット単位またはVMのNIC単位で関連付けられ、両方に適用した場合は双方の規則が評価される

正解：B

A　Azure Firewallは有料のマネージドサービスで、基本無料のNSGよりコストは高い

B（正解）　正解。Azure FirewallはステートフルなマネージドファイアウォールとしてFQDN/URLフィルタや脅威インテリジェンス連携、集中的なポリシー管理を提供し、L3/4フィルタのNSGを補完する

C　NICへの関連付けはNSGの特徴。Azure Firewallは専用サブネットに配置する集中型サービス

D　Azure FirewallはOSにインストールするソフトウェアではなくマネージドなネットワークサービス

正解：A

A（正解）　正解。VNetはAzure内のプライベートネットワークの基本単位で、サブネット分割やオンプレミス接続、他VNetとの接続の土台になる

B　物理専用線はExpressRouteの説明で、VNet自体は論理ネットワーク

C　HTTP検査はWAFの役割で、VNetの定義ではない

D　DNS管理はAzure DNSの役割で、VNetの主目的ではない

正解：C

A　NSGの既定の規則は削除できない。優先度の高い規則で上書きするのが正しい方法

B　OSファイアウォール単独では多層防御にならず、ネットワーク層の制御を放棄することになる

C（正解）　正解。優先度の小さい順に評価されるNSGの特性を使い、限定的な許可規則を先に、広い拒否規則を後に評価させる構成が定石

D　ポート変更は難読化にすぎず、スキャンで容易に発見されるため代替にならない

正解：B

A　ネームドロケーションはEntra条件付きアクセスで使う場所定義で、NSG規則の宛先指定とは別の仕組み

B（正解）　正解。サービスタグはAzureサービスやネットワーク範囲のIPアドレス群を表す名前で、NSGやAzure Firewallの規則でIPを列挙せずに指定できる

C　リソースタグはリソースの分類用メタデータで、ネットワーク規則のアドレス指定とは無関係

D　ルートテーブルは経路制御の仕組みで、IP範囲を名前で表すものではない

正解：A

A（正解）　正解。DDoS Protectionは常時トラフィックを監視し、ボリューム型・プロトコル型などのDDoS攻撃を自動的に緩和するサービス。IP ProtectionとNetwork Protectionの2つのSKUがある

B　Key Vaultは鍵・シークレットの保管サービスで、トラフィック攻撃の緩和機能はない

C　Defender for IdentityはオンプレミスADへの攻撃検出で、ネットワーク攻撃の緩和サービスではない

D　Bastionは管理者向けのRDP/SSH接続サービスで、公開サービスのDDoS防御とは無関係

正解：C

A　プロトコル攻撃はSYNフラッドなどL3/L4のプロトコル処理の弱点を突く攻撃で、帯域飽和が主目的の分類とは区別される

B　アプリケーション層攻撃はWebアプリの処理を狙うL7の攻撃で、帯域の飽和を狙う分類ではない

C（正解）　正解。ボリューム型攻撃は一見正当な大量のトラフィックでネットワーク帯域を飽和させる、DDoSの代表的な類型

D　ブルートフォースはパスワードの総当たりを指し、DDoSの類型ではない

正解：B

A　NSGはサブネット/NIC単位のL3/4フィルタで、FQDNフィルタや集中管理型の検査には向かない

B（正解）　正解。Azure Firewallはフルマネージドでステートフルなネットワークファイアウォール。ハブVNetに配置してスポーク間・外部との通信を集中制御でき、高可用性が組み込みで提供される

C　Application GatewayはL7のロードバランサーで、ネットワーク全体の集中的なファイアウォール機能を担うものではない

D　VPN Gatewayは暗号化トンネルの接続サービスで、トラフィック検査のファイアウォールではない

正解：B

A　Defenderポータルは脅威対応の運用画面で、第三者監査レポートの配布サイトではない

B（正解）　正解。Service Trust PortalはMicrosoftの監査レポート・認証・コンプライアンス関連文書を公開するポータルで、独立監査機関のレポートを入手できる

C　Marketplaceはソリューションの販売・配布サイトで、監査文書の提供場所ではない

D　Learnは学習コンテンツのサイトで、監査レポートの公式配布場所ではない

正解：A

A（正解）　正解。プライバシー原則にはコントロール（顧客による管理）・透明性・セキュリティ・法的保護・コンテンツベースのターゲティングをしない・顧客の利益のための利用が含まれる

B　メールやドキュメント等の顧客コンテンツを広告ターゲティングに使わないことが原則として明示されている

C　透明性はプライバシー原則の柱であり、非公開方針は原則に反する

D　顧客データの所有者はあくまで顧客であり、Microsoftへの帰属という考え方は原則に反する

正解：C

A　改善アクションは自組織の対策管理の機能で、文書の保存・通知機能ではない

B　コンテンツエクスプローラーは自組織の機密データの可視化機能で、STPの文書管理とは無関係

C（正解）　正解。Service Trust Portalのマイライブラリは関心のある文書を保存でき、更新時の通知設定にも対応する

D　ワークブックはログの可視化機能で、コンプライアンス文書の保存機能ではない

正解：D

A　プライバシー原則は暗号化などの技術と、法令上のプライバシー権尊重の両方を含む

B　Microsoftは法的要求に対して顧客のプライバシー権を尊重し、適法性を争う姿勢を原則に含めている

C　保存時・転送時の暗号化などのセキュリティは原則としてサービスに組み込まれている

D（正解）　正解。セキュリティ原則は強力な暗号化等によるデータ保護を、法的保護の原則は各国の法令に基づくプライバシー権の尊重を意味する

正解：B

A　Entra管理センターはIDおよびアクセス管理の画面で、Purviewソリューションの起点ではない

B（正解）　正解。Purviewポータルは情報保護・DLP・記録管理・eDiscovery・監査・Compliance Managerなどのソリューションへ一元的にアクセスできる管理画面

C　仮想マシンの管理画面はコンプライアンス機能の入り口ではない

D　ライセンス管理のページであり、Purviewソリューションの管理画面ではない

正解：C

A　インサイダーリスク管理は内部者による危険な活動の検出機能で、規制対応の進捗管理ではない

B　コンテンツエクスプローラーは機密データの所在の可視化機能で、規制準拠の管理ツールではない

C（正解）　正解。Compliance Managerは規制・規格ごとの評価（アセスメント）テンプレートを提供し、改善アクションの割り当て・進捗追跡・コンプライアンススコアで対応状況を管理できる

D　SentinelはSIEM/SOARで、規制準拠の評価・進捗管理を目的としたツールではない

正解：A

A（正解）　正解。コンプライアンススコアは各コントロールへの対応状況をポイント化し、組織のコンプライアンス態勢の改善進捗を測る指標になる

B　スコアは自組織の進捗指標であり、公式認証や準拠の保証ではない点が重要なひっかけ

C　侵害件数はインシデント管理の情報で、コンプライアンススコアの定義ではない

D　研修受講率は1つの改善要素にはなり得るが、スコアの定義そのものではない