第3章 · コンピュート・ストレージ・データベースの保護·v2.0.0·更新 2026/6/3·読了目安約9分

変更要約: AZ-500 第3章を深掘り（図ja化・比較表/シナリオ/FAQ/ひっかけ/深掘り段落を全節に追加）

3.3コンピュートの保護と Defender for Cloud

この節の要点

VM の安全な運用（Just-In-Time VM アクセス・ディスク暗号化・更新管理）と、クラウド全体のセキュリティ態勢を可視化・強化する Microsoft Defender for Cloud（セキュアスコア・ワークロード保護）を理解します。

VM などのコンピュートは攻撃の足がかりになりやすいため、管理ポートを常時開けない・ディスクを暗号化するなどで守ります。全体の弱点は Defender for Cloud で可視化します。

3.3.1コンピュート保護と態勢管理

VM 側に Just-In-Time VM アクセス（必要時だけ管理ポートを一時開放）・Azure ディスク暗号化（OS/データディスクを暗号化）・更新管理（パッチ適用）を並べ、Microsoft Defender for Cloud がセキュアスコア（態勢の点数化と推奨事項）とワークロード保護（VM/ストレージ/SQL/コンテナの脅威検知）を提供して全体を可視化・強化する様子を示した図。 — コンピュート保護と Defender for Cloud

Just-In-Time VM アクセス：RDP/SSH などの管理ポートを必要なときだけ一時的に開放し、普段は閉じておく。
ディスク暗号化：Azure ディスク暗号化で OS/データディスクを暗号化する。
セキュアスコア：Defender for Cloud が態勢を点数化し、改善の推奨事項を提示する。
ワークロード保護：VM・ストレージ・SQL・コンテナなどの脅威検知（アラート）を提供する。

試験ポイント

「管理ポートを必要時だけ開放＝Just-In-Time VM アクセス」「態勢の点数化と推奨＝セキュアスコア（Defender for Cloud）」「VM/SQL/ストレージの脅威検知＝Defender のワークロード保護」「ディスクの暗号化＝Azure ディスク暗号化」は AZ-500 で頻出です。

補足

Defender for Cloud は「無料の CSPM（態勢管理・セキュアスコア）」と「有料の Defender プラン（ワークロード保護）」に分かれます。脅威検知アラートは後者で有効になります。

セキュアスコアはセキュリティ推奨事項の達成度から算出され、推奨は Azure Policy の組み込みイニシアティブ（Microsoft クラウドセキュリティベンチマーク）に基づきます。規制コンプライアンスダッシュボードでは PCI DSS や ISO 27001 などの基準に対する適合状況を確認できます。ディスク暗号化は 2 系統あり、ゲスト OS 内で BitLocker/DM-Crypt を使う Azure Disk Encryption（ADE）と、ストレージ基盤側で透過的に暗号化するホストでの暗号化／サーバー側暗号化（SSE）があり、いずれも CMK に対応します。脅威検知では、Defender for Cloud のアラートを Microsoft Sentinel（SIEM/SOAR）に集約して相関分析・自動対応へつなげるのが一般的な流れです。VM の構成逸脱は Machine Configuration（旧ゲスト構成）で評価し、JIT は内部的に NSG/Firewall に時間制限つきの規則を入れて実現します。

層	提供内容	課金
CSPM（基礎）	セキュアスコア・推奨事項・規制コンプライアンス	無料
Defender プラン	ワークロード別の脅威検知アラート（VM/SQL/Storage/コンテナ等）	リソース従量課金
Sentinel 連携	アラートの集約・相関・自動対応（SOAR）	取り込み量課金

補足

シナリオ： 経営層に「クラウドの安全度」を一目で示し、SQL への不審なログインも検知したい。→ Defender for Cloud のセキュアスコアを態勢の指標として共有し、推奨事項を順に解消します。さらに Defender for SQL（有料プラン）を有効化して異常ログインや SQL インジェクションのアラートを受け、必要なら Sentinel に集約して対応を自動化します。

補足

FAQ： Q. セキュアスコアを上げるだけで安全ですか？ → A. 良い指標ですが態勢（設定）の話で、実際の攻撃検知はワークロード保護（Defender プラン）が担います。両輪で考えます。Q. ADE と「ホストでの暗号化」はどちらを使う？ → A. OS 内で完結させたいなら ADE、基盤側で透過的に全ディスク（一時ディスク含む）を暗号化したいならホストでの暗号化が選択肢です。

注意

ひっかけ： 「セキュアスコアが高ければ脅威検知アラートも届く」は誤りです。セキュアスコアは無料 CSPM の態勢評価で、脅威検知アラートは有料の Defender プランを有効化して初めて届きます。また「JIT は VM を完全に隔離する」も誤り（必要時に管理ポートを一時開放する仕組みで、隔離そのものではありません）。

3.3.2この節のまとめ

コンピュート＝JIT アクセス・ディスク暗号化・更新管理
Defender for Cloud＝セキュアスコア（態勢）＋ワークロード保護（検知）

進捗の記録にはログインが必要です。

理解度チェック

（軽い確認用）

Q1. VM の RDP/SSH ポートを普段は閉じ、必要なときだけ一時的に開放してアクセスしたい。何を使いますか？

Q2. クラウド全体のセキュリティ態勢を点数化し、改善の推奨事項を提示する Defender for Cloud の機能はどれですか？

Q3. VM・ストレージ・SQL・コンテナなどに対する脅威検知アラートを提供する Defender for Cloud の領域はどれですか？

理解度を確認第3章「コンピュート・ストレージ・データベースの保護」の問題を解く