Microsoft Azure Security Engineer Associate参考書

Azure のセキュリティの起点である Microsoft Entra ID（旧 Azure AD）を理解します。テナント／ユーザー／グループ、ハイブリッド ID（同期）、外部 ID（B2B、および顧客向けは Microsoft Entra External ID。旧 Azure AD B2C は 2025 年 5 月以降 新規テナント作成を終了）といった、認証と ID 管理の基礎が AZ-500 の「ID とアクセスの管理」の出発点です。

パスワードだけに頼らない 多要素認証（MFA） と、サインインの状況（ユーザー・場所・デバイス・リスク）に応じてアクセスを制御する 条件付きアクセス を理解します。ゼロトラストの中核となる仕組みです。

「誰が何をできるか」を定める ロールベースアクセス制御（RBAC） と、強力な権限を必要なときだけ一時的に有効化する 特権 ID 管理（PIM） を理解します。最小権限の原則を支える仕組みです。

サブネットや NIC のレベルで通信を許可/拒否する ネットワークセキュリティグループ（NSG） と、VM をアプリの役割でグループ化する アプリケーションセキュリティグループ（ASG） を理解します。仮想ネットワーク内の通信を最小限に絞る基礎です。

VNet 全体の通信を集中管理する Azure Firewall、公開 IP なしに VM へ安全に接続する Azure Bastion、送信を 1 つの IP に集約する NAT ゲートウェイ を理解します。境界の防御と安全な運用アクセスの基礎です。

インターネット公開アプリを守る Web Application Firewall（WAF） と DDoS Protection、そしてサービスへの接続を VNet 内に閉じる プライベートエンドポイント を理解します。L7 の攻撃やボリューム型攻撃から守る仕組みです。

キー・シークレット・証明書を安全に保管する Azure Key Vault と、保存データの暗号化（保存時暗号化）の基礎を理解します。マネージド ID と組み合わせ、資格情報をコードに持たない安全な構成が AZ-500 の中核です。

ストレージアカウントのアクセス制御（SAS・キー無効化・Entra 認可）とネットワーク制限、Azure SQL の 認証・ファイアウォール・透過的データ暗号化（TDE）・Always Encrypted を理解します。データ層を多層で守ります。

VM の安全な運用（Just-In-Time VM アクセス・ディスク暗号化・更新管理）と、クラウド全体のセキュリティ態勢を可視化・強化する Microsoft Defender for Cloud（セキュアスコア・ワークロード保護）を理解します。

セキュリティ運用の土台となる Azure Monitor・Log Analytics ワークスペース・診断設定 を理解します。何が起きたかを記録し、必要なログを集約・分析・保持することが、検知と調査の前提です。

クラウドネイティブな SIEM（セキュリティ情報イベント管理） かつ SOAR（自動対応） である Microsoft Sentinel を理解します。データコネクタで広く収集し、分析ルールで脅威を検知、プレイブックで自動対応します。

組織のルールを技術的に強制する Azure Policy、設定の雛形をまとめて適用する Azure Blueprints（※非推奨で 2026 年 7 月に廃止予定。後継は Azure Deployment Stacks＋Azure Policy）、規制基準への適合を可視化する Defender for Cloud の 規制コンプライアンス を理解します。大規模環境を一貫して安全に保ちます。