はじめに

AZ-900（Microsoft Azure Fundamentals）の試験合格を目指すうえで、ID とアクセス管理（IAM）の理解は避けて通れません。本資料では、Microsoft Entra ID（旧称：Azure Active Directory）を中心に、Azure RBAC、MFA、条件付きアクセス、Privileged Identity Management（PIM）、ID Protection など、試験で頻出の重要ポイントを整理します。

1 Microsoft Entra ID（旧 Azure Active Directory）の概要

Microsoft Entra ID は、組織内外のユーザーやアプリケーションに対する ID の作成と管理、サインイン時の認証を提供するクラウドベースの ID プラットフォームです。Microsoft 365、Azure、数千種類の SaaS アプリケーションと統合され、認証基盤としての SSO と高度なセキュリティ機能（MFA、条件付きアクセスなど）を備えています。

1.1 主な機能

• ユーザー / グループ管理、アプリ登録（エンタープライズ アプリ / アプリの登録）
• SSO（シングル サインオン）、フェデレーション
• MFA（多要素認証）、条件付きアクセス
• デバイス登録・管理（Intune などとの連携）
• 監査ログ、サインイン ログ、リスク検知（ID Protection）

2 Azure ロールベースのアクセス制御（Azure RBAC）

Azure リソースに対する操作権限を、ロールとスコープ（管理グループ > サブスクリプション > リソース グループ > リソース）で制御する仕組みです。誰（セキュリティ プリンシパル）に、何の権限（ロール）を、どの範囲（スコープ）で付与するかを組み合わせて、最小権限の原則を実現します。

2.1 RBAC の主要要素

• セキュリティ プリンシパル：ユーザー、グループ、サービス プリンシパル、マネージド ID
• ロール定義：Owner / Contributor / Reader などの組み込みロール（カスタム ロールも可）
• スコープ：管理グループ / サブスクリプション / リソース グループ / リソース（下位へ継承）

3 認証強化とアクセス制御

3.1 多要素認証（MFA）

パスワードに加えて、スマートフォン アプリ（Authenticator）、SMS、音声通話、FIDO2 セキュリティ キーなどを組み合わせることで、アカウント乗っ取りのリスクを大幅に低減します。

3.2 条件付きアクセス

ユーザー、場所、デバイスの状態、アプリ、サインイン リスクなどのシグナルに基づき、アクセス制御（許可 / ブロック / 条件付き許可（MFA 要求、準拠デバイス要求など））を自動で適用できます。

3.3 Privileged Identity Management（PIM）

特権ロールへの常時割り当てを避け、必要な時だけ JIT（Just-In-Time）で昇格する運用を実現します。承認ワークフロー、チケット番号の入力、MFA の要求、アクティブ化の記録などにより、内部不正や誤操作のリスクを抑制します。

3.4 ID Protection

漏えいした認証情報の使用、異常なサインイン パターン、リスクの高いユーザーを検出し、自動または半自動で対処（パスワード変更、アクセス ブロックなど）します。条件付きアクセスと組み合わせることで、リスクに応じた動的な保護が可能です。

4 試験に出やすい比較と注意点

4.1 Entra ロールと Azure ロール（RBAC）の違い

4.2 Entra ID プラン別の機能