SC-900 サンプル問題

正解：B

A　IaaSでMicrosoftが責任を持つのは物理ホスト・物理ネットワーク・物理データセンターまで。ゲストOSの管理は顧客側に残る

B（正解）　正解。IaaSではOS・ミドルウェア・アプリケーション・データの管理責任は顧客側に残る。クラウド移行で物理層の責任は移るが、OSパッチは顧客の仕事

C　OSベンダーは修正プログラムを提供するが、それを仮想マシンへ適用する運用責任は顧客にある

D　共有責任モデルの責任分界はサービスモデル（IaaS/PaaS/SaaS）で決まり、リージョンによって変わることはない

正解：C

A　物理データセンター・物理ネットワーク・物理ホストはどのモデルでも常にクラウドプロバイダーの責任

B　OSの管理はIaaSでは顧客責任だが、PaaS/SaaSではプロバイダーが担うため「常に」ではない

C（正解）　正解。情報とデータ、デバイス、アカウントとIDの管理責任は、どのサービスモデルでも常に顧客側に残る

D　実行基盤（ランタイムやミドルウェア）はPaaS/SaaSではプロバイダーの責任であり、常に顧客側とは言えない

正解：A

A（正解）　正解。多層防御は単一の防御に依存せず、物理・ID・境界・ネットワーク・コンピューティング・アプリ・データの各層で防御を重ねて被害を抑える戦略

B　単一の境界防御への依存はまさに多層防御が否定する考え方。境界が破られると内部が無防備になる

C　これは共有責任モデルの誤解であり、多層防御とは無関係。責任委譲は防御戦略ではない

D　ネットワーク経路の限定は1つの統制にすぎず、複数層で防御を重ねる多層防御の説明ではない

正解：D

A　物理層はデータセンターへの入退室管理など建物・ハードウェアの保護を指す

B　データ層は保存データの暗号化やアクセス制御など、データそのものの保護を指す

C　コンピューティング層は仮想マシンやエンドポイントの保護（不要ポートを閉じる等）を指す

D（正解）　正解。境界層はDDoS保護や境界ファイアウォールなど、ネットワーク境界で大規模攻撃をユーザー影響前に検出・排除する層

正解：B・D

A　物理層の保護はどのサービスモデルでも常にクラウドプロバイダーの責任

B（正解）　正解。データの分類・保護の責任はSaaSを含むすべてのモデルで顧客側に残る

C　SaaSではアプリケーションの保守はプロバイダーの責任

D（正解）　正解。ユーザーアカウント・IDの管理はどのサービスモデルでも顧客の責任として残る

E　SaaSではOSを含む基盤の運用はプロバイダーが担う

正解：A・D

A（正解）　正解。利用可能なすべてのデータポイントに基づき、常に認証・認可を行うことがゼロトラストの第一の指針

B　場所を信頼の根拠にするのは境界型防御の考え方で、ゼロトラストが否定する前提

C　恒久的な特権付与は最小特権アクセスの正反対

D（正解）　正解。侵害の発生を前提にセグメント化・暗号化・検出強化で影響範囲を最小化することが指針の一つ（もう一つは最小特権アクセス）

E　一度きりの検証で信頼し続ける運用は、継続的な検証を求めるゼロトラストに反する

正解：B

A　オンプレミスのディレクトリサービスはAD DSの説明。Entra IDはインストール不要のクラウドサービス

B（正解）　正解。Entra ID（旧称Azure Active Directory）はクラウドベースのIDおよびアクセス管理サービスで、Microsoft 365やAzure、多数のSaaSへのサインインを支える

C　ネットワーク通信の制御はNSGやAzure Firewallの領域で、IDサービスではない

D　マルウェア検出はMicrosoft Defender for Endpointなどの役割で、Entra IDの機能ではない

正解：C

A　Kerberos/NTLMはオンプレミスAD DSの認証プロトコル。Entra IDは使用しない

B　GPOはAD DSの機能。Entra環境の端末管理はIntuneなどのMDMが担う

C（正解）　正解。Entra IDはクラウド標準のプロトコル群をサポートし、SaaSやモバイルアプリとの連携を前提に設計されている

D　OUやフォレストはAD DSの構造。Entra IDはテナントを単位としたフラットな構造を持つ

正解：A

A（正解）　正解。ワークロードIDはアプリケーション・サービスプリンシパル・マネージドIDなど、ソフトウェアのワークロードに割り当てるIDの総称

B　ゲストは外部組織から招待された人間のユーザーを指すB2Bコラボレーションの用語

C　ハイブリッドIDはオンプレミスとクラウドの両方で使える人間ユーザーのIDを指す

D　特権IDは管理者権限を持つユーザーの話であり、アプリケーション用IDの総称ではない

正解：C

A　ゲストユーザーは外部の人間ユーザー向けで、アプリの資格情報管理の課題は解決しない

B　SSPRはユーザーが自分のパスワードを再設定する機能で、アプリの認証とは無関係

C（正解）　正解。マネージドIDはEntra IDが資格情報を自動管理するワークロードIDで、開発者がシークレットを保存・ローテーションする必要がなくなる

D　MFAは人間の認証を強化する仕組みで、資格情報をコードから排除する仕組みではない

正解：B

A　複数リソースで共有できるのはユーザー割り当てマネージドIDの特徴

B（正解）　正解。システム割り当てマネージドIDはリソースと1対1でライフサイクルを共にし、リソース削除と同時に消える

C　外部ユーザーの招待はB2Bコラボレーションであり、マネージドIDとは無関係

D　マネージドIDはクラウドネイティブな仕組みで、オンプレミスからの同期では作られない

正解：A

A（正解）　正解。Entra登録はBYOD向けの形態で、個人アカウントでの利用を維持しながらデバイスをEntra IDに登録して組織リソースへのアクセスを管理できる

B　Entra参加は組織所有デバイス向けで、組織アカウントでのサインインが前提となる

C　ハイブリッド参加はオンプレミスADとEntra IDの両方に参加する組織所有デバイス向けの形態

D　オンプレミスドメインへの参加は社内ネットワークの組織端末向けで、私物スマートフォンには適さない

正解：D

A　別アカウントの発行はパスワード管理の負担と退場時の削除漏れリスクを生む。B2Bなら既存IDを活用できる

B　共有アカウントは操作者を特定できず監査不能になるアンチパターン

C　ID Protectionはリスク検出の機能で、外部ユーザーの受け入れの仕組みではない

D（正解）　正解。B2Bコラボレーションでは外部ユーザーをゲストとして招待し、相手は自組織の資格情報のまま自社リソースへアクセスできる

正解：B

A　AD DSはオンプレミスの組織内ディレクトリで、消費者向けアプリのID管理には適さない

B（正解）　正解。Entra External IDは外部ユーザー（顧客・パートナー）向けのIDソリューションで、消費者向けアプリのサインアップ/サインイン体験を構築できる

C　Entra Domain Servicesはクラウド上でドメインサービス（Kerberos/NTLM）を提供するもので、消費者ID管理の仕組みではない

D　AD FSはオンプレミスのフェデレーション基盤で、消費者向けID体験の構築を目的としたサービスではない

正解：C

A　共有管理者アカウントの話ではない。エージェントIDはAIエージェントという非人間の主体を識別するためのもの

B　デバイスの識別子はデバイスIDの話で、AIエージェントのIDとは別物

C（正解）　正解。エージェントIDはAIエージェントを一意に識別するIDで、人間やアプリと同様に認証・アクセス管理・ガバナンスの対象にできる

D　外部パートナーのアカウントはB2Bコラボレーションのゲストであり、AIエージェントのIDではない

正解：A

A（正解）　正解。ハイブリッドIDはオンプレミスADのIDをEntra IDと同期し、1つのIDで両環境のリソースへアクセスできるようにする構成

B　IDを二重管理するのはハイブリッドIDが解決しようとする課題そのもの

C　クラウド利用を前提とした構成の話であり、オンプレミス回帰はハイブリッドIDではない

D　個人アカウントの業務利用は統制上のアンチパターンで、ハイブリッドIDとは無関係

正解：B

A　PTAはパスワード検証をオンプレミスのエージェントに委ねる方式で、クラウド側だけでは認証が完結しない

B（正解）　正解。PHSはパスワードハッシュをさらにハッシュ化してEntra IDへ同期し、クラウド側で認証を完結できる最もシンプルな方式

C　フェデレーションは認証をオンプレミスのフェデレーションサーバーへリダイレクトする方式で、追加インフラが必要になる

D　証明書ベース認証はX.509証明書で認証する方式であり、オンプレミスADとの同期方式の名称ではない

正解：C

A　PHSはハッシュのハッシュとはいえパスワード由来の情報をクラウドへ同期するため、この要件には合わない

B　セキュリティの既定値群はMFA等の基本保護を一括有効化する機能で、認証方式の選択とは無関係

C（正解）　正解。PTAはオンプレミスに置いたエージェント経由でドメインコントローラーがパスワードを検証するため、パスワード情報がクラウドに保存されない

D　SMSサインインは電話番号で認証する方式で、オンプレミスでの検証要件とは関係がない

正解：A

A（正解）　正解。Entra Connect（またはクラウド側から管理するEntra Cloud Sync）がオンプレミスADとEntra ID間のオブジェクト同期を担う

B　Intuneはデバイスとアプリの管理（MDM/MAM）サービスで、ディレクトリ同期のツールではない

C　Azure Migrateはサーバーやデータベースの移行評価ツールで、ID同期とは無関係

D　SentinelはSIEM/SOARソリューションで、ディレクトリの同期機能は持たない

正解：D

A　パスワードの保管・自動入力はパスワードマネージャーの説明で、Windows Helloはパスワード自体を置き換える

B　生体情報はデバイスのローカルにのみ保存され、クラウドやサーバーへ送信されない。ここが誤解されやすいポイント

C　SMSコードは電話ベースの認証方式で、Windows Helloとは別物

D（正解）　正解。Windows Hello for Businessは顔・指紋・PINなどデバイスに紐づく資格情報で認証するパスワードレス方式で、生体情報は端末外に出ない

正解：C

A　Bastionは仮想マシンへの安全なRDP/SSH接続を提供するサービスで、トラフィックのフィルタリング機能ではない

B　WAFはWebアプリへのL7攻撃（SQLインジェクション等）の対策で、IP・ポート単位の汎用フィルタリングの機能ではない

C（正解）　正解。NSGは5組（送信元/宛先IP・ポート・プロトコル）に基づくレイヤー3/4の許可・拒否規則で、VNet内リソースへのトラフィックをフィルタリングする

D　DDoS Protectionは大量トラフィック攻撃の緩和サービスで、個別の許可・拒否規則を書くものではない

正解：B

A　評価順は作成日時ではなく優先度の数値で決まる

B（正解）　正解。NSGは優先度（100〜4096）の小さい順に評価し、条件に一致した時点でそれ以降の規則は評価されない

C　全規則の総合評価ではなく、最初に一致した規則のみが適用される

D　既定の規則（VNet内許可・インターネット送信許可・その他拒否など）は削除できず、より高い優先度の規則で上書きする

正解：A

A（正解）　正解。サブネット分割とNSGによるセグメンテーションは、ゼロトラストの「侵害を想定」を体現し、攻撃者の横移動（ラテラルムーブメント）を困難にする

B　セグメント分割で暗号化が自動有効化されることはない。暗号化はTLS等で別途実現する

C　サブネット分割自体に割引効果はなく、セグメンテーションはセキュリティ目的で行う

D　セグメント分割は性能改善の手段ではなく、分離による防御が目的

正解：D

A　リソースグループは管理上の入れ物で、NSGの関連付け対象ではない

B　サブスクリプション単位でNSGを関連付けることはできない

C　ディスクはストレージリソースで、ネットワークフィルタの適用先ではない

D（正解）　正解。NSGはサブネット単位またはVMのNIC単位で関連付けられ、両方に適用した場合は双方の規則が評価される

正解：B

A　Azure Firewallは有料のマネージドサービスで、基本無料のNSGよりコストは高い

B（正解）　正解。Azure FirewallはステートフルなマネージドファイアウォールとしてFQDN/URLフィルタや脅威インテリジェンス連携、集中的なポリシー管理を提供し、L3/4フィルタのNSGを補完する

C　NICへの関連付けはNSGの特徴。Azure Firewallは専用サブネットに配置する集中型サービス

D　Azure FirewallはOSにインストールするソフトウェアではなくマネージドなネットワークサービス

正解：A

A（正解）　正解。VNetはAzure内のプライベートネットワークの基本単位で、サブネット分割やオンプレミス接続、他VNetとの接続の土台になる

B　物理専用線はExpressRouteの説明で、VNet自体は論理ネットワーク

C　HTTP検査はWAFの役割で、VNetの定義ではない

D　DNS管理はAzure DNSの役割で、VNetの主目的ではない

正解：C

A　NSGの既定の規則は削除できない。優先度の高い規則で上書きするのが正しい方法

B　OSファイアウォール単独では多層防御にならず、ネットワーク層の制御を放棄することになる

C（正解）　正解。優先度の小さい順に評価されるNSGの特性を使い、限定的な許可規則を先に、広い拒否規則を後に評価させる構成が定石

D　ポート変更は難読化にすぎず、スキャンで容易に発見されるため代替にならない

正解：B

A　ネームドロケーションはEntra条件付きアクセスで使う場所定義で、NSG規則の宛先指定とは別の仕組み

B（正解）　正解。サービスタグはAzureサービスやネットワーク範囲のIPアドレス群を表す名前で、NSGやAzure Firewallの規則でIPを列挙せずに指定できる

C　リソースタグはリソースの分類用メタデータで、ネットワーク規則のアドレス指定とは無関係

D　ルートテーブルは経路制御の仕組みで、IP範囲を名前で表すものではない

正解：A

A（正解）　正解。DDoS Protectionは常時トラフィックを監視し、ボリューム型・プロトコル型などのDDoS攻撃を自動的に緩和するサービス。IP ProtectionとNetwork Protectionの2つのSKUがある

B　Key Vaultは鍵・シークレットの保管サービスで、トラフィック攻撃の緩和機能はない

C　Defender for IdentityはオンプレミスADへの攻撃検出で、ネットワーク攻撃の緩和サービスではない

D　Bastionは管理者向けのRDP/SSH接続サービスで、公開サービスのDDoS防御とは無関係

正解：C

A　プロトコル攻撃はSYNフラッドなどL3/L4のプロトコル処理の弱点を突く攻撃で、帯域飽和が主目的の分類とは区別される

B　アプリケーション層攻撃はWebアプリの処理を狙うL7の攻撃で、帯域の飽和を狙う分類ではない

C（正解）　正解。ボリューム型攻撃は一見正当な大量のトラフィックでネットワーク帯域を飽和させる、DDoSの代表的な類型

D　ブルートフォースはパスワードの総当たりを指し、DDoSの類型ではない

正解：B

A　NSGはサブネット/NIC単位のL3/4フィルタで、FQDNフィルタや集中管理型の検査には向かない

B（正解）　正解。Azure Firewallはフルマネージドでステートフルなネットワークファイアウォール。ハブVNetに配置してスポーク間・外部との通信を集中制御でき、高可用性が組み込みで提供される

C　Application GatewayはL7のロードバランサーで、ネットワーク全体の集中的なファイアウォール機能を担うものではない

D　VPN Gatewayは暗号化トンネルの接続サービスで、トラフィック検査のファイアウォールではない

正解：D

A　規則の作成はStandardでも可能な基本機能

B　脅威インテリジェンスフィルタはStandardでも利用できる

C　ブラウザー経由のRDPはAzure Bastionの機能で、Firewallの機能ではない

D（正解）　正解。PremiumはTLS復号による暗号化トラフィックの検査、シグネチャベースのIDPS、URLフィルタリングなど高度な保護を追加する

正解：A

A（正解）　正解。WAFはOWASPコアルールセットに基づき、SQLインジェクションやXSSなどWebアプリケーション層（L7）の一般的な攻撃を一元的に防御する

B　NSGはL3/4のIP・ポートフィルタで、HTTPリクエストの中身を検査してWeb攻撃を判別することはできない

C　DDoS Protectionは大量トラフィック攻撃の緩和が目的で、SQLインジェクション等の攻撃パターン検査は行わない

D　Bastionは管理接続用のサービスで、公開Webアプリの保護機能ではない

正解：C

A　Key VaultやStorageはWAFのホスト先ではない

B　NSGやルートテーブルはWAFエンジンを載せるサービスではない

C（正解）　正解。WAFはリージョナルなApplication Gateway、グローバル配信のAzure Front Door（およびCDN統合）に統合してデプロイできる

D　BastionやVPN Gatewayは管理接続・VPNのサービスで、WAFの配置先ではない

正解：B

A　ポート変更は難読化にすぎず、スキャンされれば発見される。公開自体をやめるのが本質的対策

B（正解）　正解。BastionはVMにパブリックIPを持たせず、TLSで保護されたブラウザーセッション（またはネイティブクライアント）でRDP/SSH接続を仲介するマネージドサービス

C架空　このような名称のAzureサービスは実在しない架空のサービス名

D　NSGの削除は防御を放棄する行為で、対策と正反対

正解：A

A（正解）　正解。BastionはHTML5ブラウザーからTLS（443）で接続を仲介するため、クライアントから3389/22ポートへ直接到達できる必要がない

B　3389の直接開放が不要になることこそBastionの利点

C　BastionはPaaSとしてVNet内にプロビジョニングするもので、物理機器は不要

D　Bastionは接続対象のVMへのエージェント導入を必要としない

正解：C

A　汎用ストレージはシークレット管理向けのアクセス制御・監査・ローテーション機能を持たない

B　NSGはネットワークフィルタで、秘密情報の保管とは無関係

C（正解）　正解。Key Vaultはシークレット・暗号化キー・証明書を集中管理するサービスで、アクセス制御と監査ログ、証明書の自動更新にも対応する

D　DNSは名前解決のサービスで、秘密情報の保管場所ではない

正解：B

A　Base64は暗号化ではなく単なるエンコードで、誰でも復元できるため対策にならない

B（正解）　正解。シークレットをKey Vaultへ集約し、マネージドIDで実行時に取得すればコード・構成ファイルから秘密情報を排除でき、アクセスも監査できる

C　共有シートはアクセス統制も監査もできず、漏えいリスクを高める

D　プライベートでも内部者や漏えい事故のリスクは残る。秘密情報はコードから分離するのが原則

正解：D

A　Standardはソフトウェア保護されたキーを提供する。HSM保護キーの要件にはPremium以上が必要

B　汎用ストレージへの移動はHSM保護にならず、むしろ統制を弱める

C　暗号化キーの要件をパスワードで代替することはできない

D（正解）　正解。Key Vault PremiumはHSMで保護されたキーをサポートし、より高い分離要件にはAzure Key Vault Managed HSMも選択できる

正解：B

A　Defenderポータルは脅威対応の運用画面で、第三者監査レポートの配布サイトではない

B（正解）　正解。Service Trust PortalはMicrosoftの監査レポート・認証・コンプライアンス関連文書を公開するポータルで、独立監査機関のレポートを入手できる

C　Marketplaceはソリューションの販売・配布サイトで、監査文書の提供場所ではない

D　Learnは学習コンテンツのサイトで、監査レポートの公式配布場所ではない

正解：A

A（正解）　正解。プライバシー原則にはコントロール（顧客による管理）・透明性・セキュリティ・法的保護・コンテンツベースのターゲティングをしない・顧客の利益のための利用が含まれる

B　メールやドキュメント等の顧客コンテンツを広告ターゲティングに使わないことが原則として明示されている

C　透明性はプライバシー原則の柱であり、非公開方針は原則に反する

D　顧客データの所有者はあくまで顧客であり、Microsoftへの帰属という考え方は原則に反する

正解：C

A　改善アクションは自組織の対策管理の機能で、文書の保存・通知機能ではない

B　コンテンツエクスプローラーは自組織の機密データの可視化機能で、STPの文書管理とは無関係

C（正解）　正解。Service Trust Portalのマイライブラリは関心のある文書を保存でき、更新時の通知設定にも対応する

D　ワークブックはログの可視化機能で、コンプライアンス文書の保存機能ではない

正解：D

A　プライバシー原則は暗号化などの技術と、法令上のプライバシー権尊重の両方を含む

B　Microsoftは法的要求に対して顧客のプライバシー権を尊重し、適法性を争う姿勢を原則に含めている

C　保存時・転送時の暗号化などのセキュリティは原則としてサービスに組み込まれている

D（正解）　正解。セキュリティ原則は強力な暗号化等によるデータ保護を、法的保護の原則は各国の法令に基づくプライバシー権の尊重を意味する

正解：B

A　Entra管理センターはIDおよびアクセス管理の画面で、Purviewソリューションの起点ではない

B（正解）　正解。Purviewポータルは情報保護・DLP・記録管理・eDiscovery・監査・Compliance Managerなどのソリューションへ一元的にアクセスできる管理画面

C　仮想マシンの管理画面はコンプライアンス機能の入り口ではない

D　ライセンス管理のページであり、Purviewソリューションの管理画面ではない

正解：C

A　インサイダーリスク管理は内部者による危険な活動の検出機能で、規制対応の進捗管理ではない

B　コンテンツエクスプローラーは機密データの所在の可視化機能で、規制準拠の管理ツールではない

C（正解）　正解。Compliance Managerは規制・規格ごとの評価（アセスメント）テンプレートを提供し、改善アクションの割り当て・進捗追跡・コンプライアンススコアで対応状況を管理できる

D　SentinelはSIEM/SOARで、規制準拠の評価・進捗管理を目的としたツールではない

正解：A

A（正解）　正解。コンプライアンススコアは各コントロールへの対応状況をポイント化し、組織のコンプライアンス態勢の改善進捗を測る指標になる

B　スコアは自組織の進捗指標であり、公式認証や準拠の保証ではない点が重要なひっかけ

C　侵害件数はインシデント管理の情報で、コンプライアンススコアの定義ではない

D　研修受講率は1つの改善要素にはなり得るが、スコアの定義そのものではない

正解：D

A　計算誤りではなく、責任分担に基づく仕様

B　ライセンス購入でコントロールが完了扱いになる仕組みはない

C　改善アクションの実施状況はスコアに直接反映される

D（正解）　正解。コントロールには顧客管理のものとMicrosoft管理のものがあり、Microsoft側で実装済みのコントロールのポイントは組織の作業なしに反映される

正解：B

A　既定表示は代表的なベースラインのみで、特定規制の評価にはテンプレートの追加が必要

B（正解）　正解。Compliance Managerは多数の規制・規格に対応する評価テンプレートを提供しており、必要な規制の評価を作成して対応状況を管理する

C　自組織の準拠は自組織の対応が必要で、サポートが証明書を発行する仕組みはない

D　Sentinelは脅威検出の仕組みで、規制評価の作成とは無関係

正解：C

A　対象も算出基準も異なる別々の指標

B　対応が逆。Secure Scoreがセキュリティ態勢、コンプライアンススコアが規制対応の進捗を測る

C（正解）　正解。Secure Score（Defenderポータル）は脅威への防御態勢の指標、コンプライアンススコア（Compliance Manager）は規制コントロールへの対応進捗の指標という役割分担

D　スコアは対策・対応の実施状況で決まり、ライセンス数に比例するものではない

正解：A

A（正解）　正解。SITはパターン・キーワード・チェックサム等でクレジットカード番号などの機密データを識別する定義で、組み込みの種類に加えカスタム定義も作成できる

B　動的グループはEntra IDのメンバーシップ自動化で、データの分類とは無関係

C　NSGはトラフィックフィルタで、データ内容の識別機能ではない

D　保持ポリシーは保持・削除の管理で、機密データのパターン識別の仕組みではない