変更要約: AZ-500 第1章を Associate 級に深掘り（比較表・シナリオ・FAQ・ひっかけ＋深掘り段落、図を日本語化）
1.3RBAC と特権 ID 管理（PIM）
「誰が何をできるか」を定める ロールベースアクセス制御（RBAC） と、強力な権限を必要なときだけ一時的に有効化する 特権 ID 管理（PIM） を理解します。最小権限の原則を支える仕組みです。
認証（誰か）の次は認可（何ができるか）です。Azure では RBAC でロールをスコープに割り当て、強力な管理者権限は PIM で必要なときだけ昇格させて最小権限を守ります。
1.3.1RBAC と PIM
- RBAC の割り当て ＝ プリンシパル（誰）＋ロール（何を）＋スコープ（どこで） の3要素。
- スコープ：管理グループ→サブスクリプション→リソースグループ→リソースの順に継承される。
- 最小権限：必要最小限のロールを、必要最小限のスコープに割り当てる。
- PIM：所有者やグローバル管理者などの強い権限を必要なときだけ一時昇格（承認・期限・監査つき）する。
「誰が何をできるか＝RBAC（プリンシパル＋ロール＋スコープ）」「強い権限を常時持たせず必要時だけ昇格＝PIM の JIT」「最小権限＝必要なロールを必要なスコープに」 は AZ-500 で頻出です。RBAC は Azure リソースの認可、Entra ロールはディレクトリの認可です。
認可は「最小権限を、必要なときだけ」が原則です。Azure RBAC の割り当ては プリンシパル（誰）＋ロール定義（何を）＋スコープ（どこで） の3要素で、スコープは 管理グループ→サブスクリプション→リソースグループ→リソース の順に継承します。代表ロールは 閲覧者（読み取り）、共同作成者（作成/変更だがアクセス管理＝ロール付与は不可）、所有者（全権＋アクセス管理）、ユーザーアクセス管理者（権限管理のみ）。組み込みで足りなければ カスタムロール。明示的な 拒否割り当て は許可に優先します。PIM（Privileged Identity Management・P2） は所有者やグローバル管理者などの強い権限を 対象（eligible） にしておき、必要時のみ 承認・期限・MFA・監査つきで一時昇格（Just-In-Time） させ、アクセスレビュー で棚卸しします。RBAC（Azure リソースの認可）と Entra ディレクトリロール（テナント/ID 管理）は別レイヤー。判断軸は「誰が何をどこで＝RBAC」「常時付与せず必要時だけ＝PIM」「読み取り＝閲覧者/作る・変える＝共同作成者/権限まで＝所有者」。
| やりたいこと | 使うもの |
|---|---|
| 読み取りのみ許可 | 閲覧者（Reader） |
| 作成/変更（権限付与は不可） | 共同作成者（Contributor） |
| 全権＋アクセス管理 | 所有者（Owner） |
| 強い権限を必要時だけ | PIM（JIT 昇格・P2） |
シナリオ：運用担当に普段は閲覧のみ、緊急時だけ所有者権限を与えたい。 普段は 閲覧者を割り当て、所有者は PIM で対象（eligible）に設定。緊急時に 承認＋MFA＋数時間の期限で一時昇格し、操作は 監査ログに残す。割り当てスコープは最小（対象リソースグループ）にし、四半期ごとに アクセスレビューで棚卸し。常設の所有者/グローバル管理者は最小限にします。
Q. 誰が何をどこで？ RBAC（プリンシパル＋ロール＋スコープ）。Q. 読み取りだけ？ 閲覧者。Q. 作る/変えるが権限付与は不可？ 共同作成者。Q. 全権＋アクセス管理？ 所有者。Q. 常設せず必要時だけ強権限？ PIM（JIT・P2）。Q. RBAC と Entra ロールの違い？ リソース認可 vs ディレクトリ管理。
ひっかけ：
①共同作成者はロール付与（アクセス管理）ができない——それは所有者/ユーザーアクセス管理者。
②スコープは継承するので広すぎる上位割り当ては過剰権限——最小スコープで。
③PIM は P2 が必要。
④拒否割り当ては許可に優先。
グローバル管理者や所有者を常時多数のユーザーに割り当てるのは危険です。PIM で対象（eligible）にしておき、必要なときだけ昇格させましょう。
1.3.2この節のまとめ
- RBAC＝プリンシパル＋ロール＋スコープ（継承あり）
- PIM＝必要なときだけ一時昇格（最小権限）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Azure リソースに対する「誰が・何を・どのスコープでできるか」を定める認可の仕組みはどれですか？
Q2. 強力な管理者ロールを常時付与せず、必要なときだけ承認・期限付きで一時昇格させたい。何を使いますか？
Q3. RBAC のスコープとして正しい継承順（広い→狭い）はどれですか？