AZ-900（Microsoft Azure Fundamentals）の試験合格を目指すうえで、ID とアクセス管理（IAM）の理解は避けて通れません。
本記事では、Microsoft Entra ID（旧称：Azure Active Directory）を中心に、Azure RBAC、MFA、条件付きアクセス、Privileged Identity Management（PIM）、ID Protection など、試験で頻出の重要ポイントを整理します。
- Microsoft Entra ID（旧 Azure AD）の役割と主な機能
- Azure RBACの3要素（セキュリティプリンシパル・ロール定義・スコープ）
- MFA・条件付きアクセス・PIM・ID Protectionによる認証強化
- 試験に出やすいEntraロールとAzureロールの違い、プラン別の機能
- 模擬問題3問で出題パターンをチェック
Microsoft Entra ID（旧 Azure Active Directory）の概要
Microsoft Entra ID は、組織内外のユーザーやアプリケーションに対する ID の作成と管理、サインイン時の認証を提供するクラウドベースの ID プラットフォームです。Microsoft 365、Azure、数千種類の SaaS アプリケーションと統合され、認証基盤としての SSO と高度なセキュリティ機能（MFA、条件付きアクセスなど）を備えています。
主な機能
- ユーザー / グループ管理、アプリ登録（エンタープライズ アプリ / アプリの登録）
- SSO（シングル サインオン）、フェデレーション
- MFA（多要素認証）、条件付きアクセス
- デバイス登録・管理（Intune などとの連携）
- 監査ログ、サインイン ログ、リスク検知（ID Protection）
Azure ロールベースのアクセス制御（Azure RBAC）
Azure リソースに対する操作権限を、ロールとスコープ（管理グループ > サブスクリプション > リソース グループ > リソース）で制御する仕組みです。誰（セキュリティ プリンシパル）に、何の権限（ロール）を、どの範囲（スコープ）で付与するかを組み合わせて、最小権限の原則を実現します。
RBAC の主要要素
- セキュリティ プリンシパル：ユーザー、グループ、サービス プリンシパル、マネージド ID
- ロール定義：Owner / Contributor / Reader などの組み込みロール（カスタム ロールも可）
- スコープ：管理グループ / サブスクリプション / リソース グループ / リソース（下位へ継承）
認証強化とアクセス制御
多要素認証（MFA）
パスワードに加えて、スマートフォン アプリ（Authenticator）、SMS、音声通話、FIDO2 セキュリティ キーなどを組み合わせることで、アカウント乗っ取りのリスクを大幅に低減します。
条件付きアクセス
ユーザー、場所、デバイスの状態、アプリ、サインイン リスクなどのシグナルに基づき、アクセス制御（許可 / ブロック / 条件付き許可（MFA 要求、準拠デバイス要求など））を自動で適用できます。
Privileged Identity Management（PIM）
特権ロールへの常時割り当てを避け、必要な時だけ JIT（Just-In-Time）で昇格する運用を実現します。承認ワークフロー、チケット番号の入力、MFA の要求、アクティブ化の記録などにより、内部不正や誤操作のリスクを抑制します。
ID Protection
漏えいした認証情報の使用、異常なサインイン パターン、リスクの高いユーザーを検出し、自動または半自動で対処（パスワード変更、アクセス ブロックなど）します。条件付きアクセスと組み合わせることで、リスクに応じた動的な保護が可能です。
試験に出やすい比較と注意点
Entra ロールと Azure ロール（RBAC）の違い
| 項目 | Microsoft Entra ロール | Azure ロール（Azure RBAC） |
|---|---|---|
| 管理対象 | ディレクトリ（Entra ID）機能 | Azure リソース（VM、ストレージ、ネットワーク 等） |
| 管理内容 | ユーザー/グループ管理、ライセンス、ID 機能の操作権限 | リソースの作成/管理/閲覧など、Azure リソースの操作権限 |
| 注意点 | グローバル管理者は ID 領域の最高権限だが、Azure リソースの権限は別途 RBAC が必要 | Azure リソースへの権限を付与/制御する仕組み。Entra ロールとは領域が異なる |
Entra ID プラン別の機能
| 機能 / プラン | Free | P1 | P2 |
|---|---|---|---|
| 基本的な ID 管理 | 〇 | 〇 | 〇 |
| 基本的な MFA（セキュリティの既定値による全ユーザー適用） | 〇 | 〇 | 〇 |
| 条件付きアクセス（条件に応じた柔軟な MFA 要求を含む） | × | 〇 | 〇 |
| ID Protection（リスクベース制御） | × | × | 〇 |
| Privileged Identity Management（PIM） | × | × | 〇 |
模擬問題
役員グループが社外から Azure Portal にアクセスする際、必ず MFA を要求したい。最適な Microsoft Entra の機能はどれ？
回答・解説を見る
条件付きアクセスは、ユーザー/場所/デバイス/リスクなどのシグナルに基づいて MFA 要求やブロック等を自動適用する仕組み。RBAC はリソース操作権限の管理であり、認証条件は扱いません。
Azure リソースへの操作権限を、管理グループ/サブスクリプション/リソース グループ/リソースといったスコープで付与・継承する仕組みはどれ？
回答・解説を見る
Azure RBAC は Azure Resource Manager 上の承認機構。Entra ロールはディレクトリ（Entra ID）機能に対する権限で領域が異なります。
次のうち、Microsoft Entra ID の P2 でのみ利用できる（または P2 の主要機能）に該当するものはどれ？
回答・解説を見る
ID Protection と PIM は P2 の高度機能。SSO やハイブリッド連携は Free でも提供され、条件付きアクセスによる柔軟な MFA は P1 から利用可能です。
まとめ
AZ-900のID・アクセス管理では、Microsoft Entra ID（旧 Azure AD）が「認証・ID基盤」、Azure RBACが「Azureリソースの承認（権限付与）」という役割の違いを整理して押さえることが重要です。
あわせて、MFA・条件付きアクセス・PIM・ID Protectionが「いつ・誰に・どんな条件でアクセスさせるか」を強化する仕組みである点を理解し、問題演習で出題パターンに慣れていきましょう。
AZ-900 ID・アクセス管理の理解度をさらに深めよう！
StepStudyの試験対策講座や模擬問題で、Microsoft Azure認定試験の合格力を効率的に高めよう。
初回登録で7日間無料で体験できます。
参考資料
本記事は以下の公式資料を参照して作成しています。
公式資料
- 試験 AZ-900 のスタディ ガイド － Microsoft Learn公式（出題範囲の根拠）
- Microsoft Entra ID とは － Microsoft Learn公式（Entra IDの機能・プランの根拠）
- Azure ロールベースのアクセス制御 (Azure RBAC) とは － Microsoft Learn公式（RBACの3要素・スコープの根拠）
- Microsoft Entra 条件付きアクセスとは － Microsoft Learn公式（条件付きアクセスの根拠）
