【SC-500】ID・アクセス・ガバナンスの管理 WEB問題集（01）

【正解マッチング】

【ポイント】

Key Vault の保護は、誰に許すかを決める認証と承認の層と、どこから届くかを決めるネットワークの層に分かれます。資格情報を保存しないという要件は認証の話で、App1 にマネージド ID を構成し、その ID に KV1 のデータ プレーンのRBAC ロールを割り当てます。送信元を Subnet1 に限定する構成とプライベート IP だけに限定する構成はどちらもネットワーク制御ですが経路が異なり、前者はパブリック エンドポイントを残したまま仮想ネットワーク規則で絞り、後者はプライベート エンドポイントを作成してパブリック ネットワーク アクセス自体を無効にします。Azure Backup のようなサービスは固定の IP を持たないため、信頼された Microsoft サービスのバイパスという例外で通します。ただしこの例外はネットワーク層だけの許可で、データ プレーンの承認は別途必要です。

【参考】

Azure Key Vault のネットワーク セキュリティを構成する

【正解: B】の理由

PIM のロール設定には、アクティブ化に承認を必要とするという項目があります。有効にすると、適格な割り当てを持つ担当者がアクティブ化を要求しても要求は保留となり、指定した承認者が承認するまで権限が付与されません。承認者にはグループも指定できるため、ID ガバナンス チームの Group1 を承認者にしておけば、メンバー構成が変わってもロール設定を編集し直す必要がなく、管理オーバーヘッドを抑えられます。権限は有効期間が過ぎれば自動的に失われ、要求と承認は監査ログに残るため、誰がいつ何のために特権を使ったかを説明できます。設定はロール単位のため、ヘルプデスク管理者だけに承認を要求できます。

【他選択肢が違う理由】

• A: 特権ロール管理者は PIM の構成やロール割り当てを委任するロールで、個々のアクティブ化に承認フローは適用されません。
• C: 認証コンテキストの条件付きアクセスは多要素認証や準拠デバイスを追加要求する仕組みで、人手による承認ではありません。
• D: 割り当て種類をアクティブに変更すると権限が常時有効になり、使用前に承認を得るという要件を満たせません。

【参考】

Microsoft Entra ロールのロール設定を構成する

【正解マッチング】

【ポイント】

PIM の割り当ては、適格かアクティブかという状態と、永続的か期限付きかという期間の組み合わせで表します。適格な割り当てはロールを使う資格だけを持つ状態で、権限を得るにはアクティブ化が必要です。日常的に特権を持たない Just-In-Time の運用になるため、必要なときだけ申請する User1 に該当します。アクティブな割り当てはアクティブ化なしで権限が有効な状態で、開始日と終了日を指定した期限付きにすると終了日に自動的に削除されます。6 か月後に失効させたい User2 はこれに当たります。終了日を設けなければ永続的なアクティブな割り当てとなり、明示的に削除するまで権限が残るため User3 に該当します。特権の常時保有を減らす観点では、永続的なアクティブな割り当ては例外的に使います。

【参考】

Microsoft Entra ロールを割り当てる

【正解: A】の理由

PIM のアクセス レビューは、Microsoft Entra ロールや Azure リソース ロールの割り当てが今も必要かを、指定した周期で確認する機能です。作成時に対象のロール、レビュー担当者、頻度、期間を指定でき、四半期ごとの繰り返しも設定できます。担当者は本人、管理者、グループの所有者などを指定でき、承認または拒否の判断と理由が記録として残ります。結果を自動的に適用する設定を有効にすれば、拒否された割り当ては期間終了後に自動で削除されるため、棚卸しの結果を反映する手作業も不要です。履歴は監査証跡として参照でき、既存の割り当てを消さずに定期確認を自動化できる点が、最小の管理オーバーヘッドの解になります。

【他選択肢が違う理由】

• B: 適格な割り当ての期限は自動失効する日を決める設定で、必要性を判断して記録に残す棚卸しにはなりません。
• C: アクセス パッケージはアクセスを申請する資格情報管理の機能で、ロール割り当ての定期確認は目的にしていません。
• D: サインイン頻度は再認証の間隔を制御する設定で、割り当てが業務上必要かどうかを確認する機能ではありません。

【参考】

Microsoft Entra ロールのアクセス レビューを作成する

【正解: A / B】の理由

PIM は Microsoft Entra ID P2 または Microsoft Entra ID ガバナンスに含まれる機能で、P1 だけのテナントでは利用できません。まずテナントと利用者に P2 相当のライセンスを割り当てることが前提になります。そのうえで、常時保持されているグローバル管理者の割り当てをPIM の適格な割り当てへ変更すると、管理者は既定では権限を持たず、必要なときにアクティブ化を要求して初めて権限を得ます。これが Just-In-Time の運用であり、常時特権を保持する管理者を実質ゼロにできます。アクティブ化時の多要素認証はロール設定で有効にできるため、この 2 つで要件を満たせます。

【他選択肢が違う理由】

• C: セキュリティの既定値群は基本的な多要素認証を適用する簡易設定で、割り当ては適格に変わらず Just-In-Time になりません。
• D: Microsoft Entra Domain Services はドメイン参加や従来の認証プロトコルを提供するサービスで、特権ロールの制御とは無関係です。
• E: カスタム ロールではグローバル管理者と同等の権限を再現できず、作成しても Just-In-Time の運用にはなりません。

【参考】

Microsoft Entra ID ガバナンスのライセンスの基礎