Microsoft Azure Security Engineer Associate
225問の練習問題
最終確認：April 2026
学習のための個人ノートとリソースリンク
認定でフィルター
AZ-500は、Azureセキュリティエンジニアの日常的なスキル、すなわちMicrosoft Entraを通じたIDとアクセスの管理、ネットワークの保護、コンピュート/ストレージ/データベースの強化、およびMicrosoft Defender for CloudとMicrosoft Sentinelを用いたセキュリティ運用の実行を検証します。対象読者は、現役のセキュリティエンジニアおよびセキュリティを専門とするAzure管理者です。この試験は実装に重点を置いており — エキスパートレベルの設計試験というよりはAZ-104に近い形式で — ドラッグ＆ドロップ、ホットエリア、多肢選択問題、およびシナリオ駆動型の項目を含む少なくとも1つのケーススタディを含め、120分で40〜60問が出題され、実践的なポータル経験が報われます。
27%を占める最大のドメイン。Microsoft Entra ID (ユーザー、グループ、MFA、条件付きアクセス、PIM、ID保護、B2B/B2C)、エンタープライズアプリケーション、アプリ登録、RBAC、カスタムロール。条件付きアクセスのシナリオが多めに予想されます。
約23%。NSG、ASG、Azure Firewall、Front Door / Application GatewayのWeb Application Firewall、DDoS Protection、Private Endpoints / Private Link、Service Endpoints、Bastion。トラフィックフローのシナリオが多めです。
約22%。VMの強化、Azure Disk Encryption、Microsoft Defender for Servers、コンテナセキュリティ、ストレージアカウントセキュリティ (ファイアウォール、SAS、暗号化、不変性)、Key Vault、Azure SQLセキュリティ (TDE、Always Encrypted、RLS)。
約28%。Microsoft Defender for Cloud (CSPM、CWPP、規制コンプライアンス)、Microsoft Sentinel (データコネクタ、分析ルール、ワークブック、KQLハンティング、自動化)、セキュリティ用Azure Policy、組み込みのセキュリティアラートとインシデント対応。
試験で出会うサービスと、それぞれが重要な理由。
ユーザー、グループ、アプリ登録、Conditional Access ポリシー、MFA、ジャストインタイム昇格のための Privileged Identity Management (PIM) を備えたクラウドIDディレクトリ。
試験に出題される理由： ドメイン 1 (ID とアクセスを管理する) は Entra ID を中心に構築されており、Conditional Access、MFA の適用、PIM のアクティベーションが試験で最も頻繁に問われるトピックです。
サインインリスク、ユーザーリスク、異常な移動信号が Conditional Access ポリシーに情報を提供し、適応的なチャレンジとブロックを行うリスクベースの ID 脅威検出。
試験に出題される理由： ドメイン 1 の侵害された認証情報や危険なサインインへの対応に関する問題では、ID Protection が Azure ネイティブな信号源として挙げられます。
クラウドネイティブな CSPM + CWPP であり、Secure Score、規制コンプライアンスダッシュボード、推奨事項、サーバー、ストレージ、SQL、コンテナー、App Service、DNS 向けの Defender プランを提供します。
試験に出題される理由： ドメイン 4 (セキュリティオペレーションを管理する) では、Defender for Cloud が、複数のサブスクリプションにわたる態勢管理とワークロード保護のための単一の窓口として挙げられています。
クラウドネイティブな SIEM および SOAR であり、データコネクタ、分析ルール (KQL 駆動)、エンティティ行動分析 (UEBA)、プレイブック (Logic Apps)、インシデントトリアージを提供します。
試験に出題される理由： ドメイン 4 では Sentinel が AZ-500 の SIEM としてテストされ、コネクタ設定、分析ルール作成、プレイブックの自動化がほぼすべての試験形式で出題されます。
Defender for Endpoint、Identity、Office 365、Cloud Apps からの信号を相互に関連付け、クロスドメインインシデントと自動調査に統合する統一 XDR ポータル。
試験に出題される理由： ドメイン 4 (セキュリティオペレーションを管理する) では、Defender XDR (製品間の相関) と Sentinel (SIEM) が区別され、その境界に関する知識が繰り返しテストされます。
FQDN フィルタリング、脅威インテリジェンスフィード、TLS 検査 (Premium)、IDPS、および Firewall Policy を介した集中型ルール管理を備えたマネージドなステートフル Layer-3/4/7 ファイアウォール。
試験に出題される理由： ドメイン 2 (ネットワークを保護する) では、Azure Firewall がハブスポークおよび Virtual WAN トポロジにおける送受信検査プレーンとして挙げられています。
Application Gateway または Front Door にデプロイされる Layer-7 WAF で、OWASP Core Rule Sets、カスタムルール、ボット保護、ポリシーごとの検出/防止モードを備えています。
試験に出題される理由： ドメイン 2 とドメイン 3 の、インジェクション、スクレイピング、Layer-7 DDoS からパブリックウェブエンドポイントを保護する問題では、WAF が Azure ネイティブなエッジ防御として挙げられます。
Windows、macOS、Linux、iOS、Android 向けの EDR/EPP で、攻撃対象領域の縮小、自動調査と修復、脆弱性管理、脅威ハンティングを提供します。
試験に出題される理由： ドメイン 3 (コンピューティングを保護する) とドメイン 4 では、MDE が Defender for Cloud および Defender XDR にエンドポイント信号を供給するワークロードレベルの防御として登場します。
常時稼働のプラットフォーム DDoS (無料) に加え、アプリケーション層テレメトリ、コスト保護保証、迅速な対応を可能にする SRT アクセスを追加する Network および IP Protection SKU。
試験に出題される理由： ドメイン 2 では、無料の常時稼働ティアと有料の Network/IP Protection が区別され、これはパブリック向けワークロードの強化に関する繰り返し出題される試験シナリオです。
パブリック IP の公開や受信 NSG ルールの開放なしに、ポータルまたはネイティブクライアントを介して VM への RDP/SSH を仲介するマネージドジャンプボックス。
試験に出題される理由： ドメイン 2 とドメイン 3 のセキュアアクセスシナリオでは、ジャンプボックスインフラやパブリック IP なしで VM 管理を行うための解答として Bastion が挙げられます。
Microsoft バックボーン経由で Azure PaaS (Storage、SQL、Key Vault など) およびパートナーサービスへのプライベート IP アクセスを提供し、パブリックインターネットへの露出を排除します。
試験に出題される理由： ドメイン 2 とドメイン 3 では、サービス機能を維持しつつ PaaS からパブリックエンドポイントを削除するための規範的なパターンとして Private Endpoint がテストされます。
サブネットまたは NIC スコープで、優先順位付けされた許可/拒否ルール、アプリケーションセキュリティグループ (ASG)、フォレンジック用の NSG フローログを備えたステートフル Layer-3/4 ACL。
試験に出題される理由： ドメイン 2 (ネットワークを保護する) では、NSG ルールの優先順位、ASG ベースのセグメンテーション、トラフィック監査のためのフローログキャプチャがほぼすべての形式でテストされます。
Defender for Cloud のワークロード層保護プラン — Defender for Servers (MDE 統合)、Storage (マルウェアスキャン)、SQL (脆弱性 + 脅威検出)、Containers (Kubernetes 対応ランタイム)。
試験に出題される理由： ドメイン 3 (コンピューティング、ストレージ、データベースを保護する) は、ワークロード層ごとに正しい Defender プランを選択し、そのアラートを調整することに重点が置かれています。
オンプレミス AD 脅威検出 — ドメインコントローラーのトラフィックから、パス・ザ・ハッシュ、パス・ザ・チケット、ゴールデンチケット、偵察、横方向移動の信号を検出します。
試験に出題される理由： ドメイン 1 とドメイン 4 のハイブリッド ID 侵害検出に関する問題では、Defender for Identity が Defender XDR に情報を供給する AD 対応脅威センサーとして挙げられます。
Microsoft 365、Endpoint DLP、Azure データソース全体で、機密ラベル、暗号化、データ損失防止ポリシーを提供し、検出、分類、強制を実施します。
試験に出題される理由： ドメイン 3 (コンピューティング、ストレージ、データベースを保護する) では、Purview IP + DLP が機密コンテンツのデータ分類および保存時/転送時保護層として挙げられています。
Defender for Containers のイメージスキャン、コンテンツ信頼、保持ポリシー、および複数リージョンでのプルパスのための geo レプリケーションを備えたマネージドレジストリ。
試験に出題される理由： ドメイン 3 のコンテナーシナリオでは、Defender スキャンを備えた ACR が、Kubernetes/AKS イメージ配布のセキュアサプライチェーンの解答として挙げられます。
Entra 統合 RBAC、論理削除、消去保護、BYOK/HYOK フローを備えた、シークレット、証明書、ソフトウェアまたは HSM ベースのキーのマネージドストア。
試験に出題される理由： ドメイン 3 (コンピューティング、ストレージ、データベースを保護する) では、ストレージアカウント/データベース TDE 暗号化キーの管理と、顧客管理キー (CMK) パターンについて Key Vault がテストされます。
拒否/監査/deployIfNotExists 効果、イニシアティブバンドル (例: CIS、ISO 27001、NIST 800-53)、環境ベースライン用 Blueprints を備えた宣言的ガバナンス。
試験に出題される理由： ドメイン 4 (セキュリティオペレーションを管理する) では、Azure Policy がセキュリティベースライン、暗号化要件、大規模なタグ付けの強制メカニズムとして挙げられています。
クラウドアクセスセキュリティブローカー (CASB) であり、シャドウ IT の検出、SaaS 態勢管理、Conditional Access App Control を介したセッション制御、情報保護統合を提供します。
試験に出題される理由： ドメイン 1 とドメイン 4 では、未承認アプリの検出や Microsoft 365 / 接続された SaaS 上でのリアルタイムセッションポリシーの適用など、SaaS 側のガバナンスのために Defender for Cloud Apps が挙げられます。
アクティビティログ、診断設定、メトリクス、KQL を介してクエリされる Log Analytics ワークスペースを提供する統合テレメトリであり、Sentinel と Defender for Cloud がデータを取り込む基盤です。
試験に出題される理由： ドメイン 4 (セキュリティオペレーションを管理する) では、診断設定を中央ワークスペースにルーティングするため、および Sentinel の分析ルールに情報を提供する KQL クエリのために Azure Monitor が活用されます。
$110k–$150k–$205k USD 年収
この範囲は、Azureの習熟度が求められる米国拠点の中級から上級のクラウドセキュリティエンジニアを対象としています。FAANG / フィンテック / 規制産業のシニアクラウドセキュリティエンジニアは、総報酬が23万ドルを超えることがよくあります。この認定はスクリーニングシグナルであり、本番環境でのセキュリティインシデント対応経験が上限を引き上げます。
出典: levels.fyi 2025 クラウドセキュリティ / IAMエンジニア職、U.S. BLS OEWS 2024年5月 (15-1212 情報セキュリティアナリスト)、Glassdoor 2025。数値は概算であり、実際の報酬は職務、地域、経験によって異なります。
AZ-500は、求人情報で最も多く求められるAzureセキュリティ認定であり、Microsoftセキュリティ試験全体の中でも最も受験者数の多いものの一つです。企業がセキュリティツールをMicrosoft Defender for CloudとMicrosoft Sentinelに統合するにつれて、2024年から2026年にかけて需要が加速しています。金融サービス、医療、政府機関の契約業者、およびMicrosoftパートナーのコンサルティング会社のリクルーターは、これをAzureセキュリティ能力の典型的な証明として扱っています。AZ-104 (セキュリティに傾倒した管理者にとって最も一般的な組み合わせ)、セキュリティに傾倒したアーキテクト向けのAZ-305、ネットワークセキュリティエンジニア向けのAZ-700、そしてMicrosoftセキュリティポートフォリオを補完するSC-200 (Security Operations Analyst) およびSC-100 (Cybersecurity Architect) と自然に組み合わせることができます。
正式な前提条件はありません。Microsoftは、1〜2年のAzure管理経験と、ID、ネットワーク、セキュリティの原則に関する実務知識を推奨しています。AZ-104は非常に補完的であり — AZ-500の多くの問題は、Microsoft Entra、RBAC、およびコアネットワーキングに関するAzure管理者レベルの流暢さを前提としています。SC-900は、Microsoftセキュリティが初めての受験者にとって有用な概念的導入となりますが、必須ではありません。
公式のMicrosoft Learnパスは、4つのすべてのドメインを約35〜45時間でカバーしています。実践的なラボ時間は必須です。Microsoft Entra P2トライアル、Microsoft Defender for Cloudが有効化された個人用Azureサブスクリプション、および小規模なSentinelワークスペースがあれば、受験者は条件付きアクセス、PIM、セキュリティアラート、KQLハンティングクエリを練習できます。多くの受験者は、公式の模擬試験とサードパーティのビデオコースを追加で利用しています。
AZ-500はアソシエイトティアに位置し、中程度から非常に挑戦的であると広く考えられています — 難易度はAZ-204に匹敵し、Microsoft EntraとSentinelコンテンツの深さを考慮するとAZ-104よりもかなり難しいです。以前のAzure管理者経験がある場合、8〜12週間で80〜120時間の学習時間を計画してください。そのバックグラウンドがない場合は、大幅に長くなります。試験は約120分 — ほとんどのアソシエイト試験より長い — で、多肢選択、多肢応答、ドラッグ＆ドロップ、ホットエリア、ケーススタディ形式の40〜60問が出題されます。
最も一般的なつまづきは、Microsoft Entraの高度な機能の広さです — 条件付きアクセス、PIM、ID保護、エンタイトルメント管理、アクセスレビューはそれぞれ異なる構成インターフェースを持ち、試験では微妙なシナリオの違いが問われます。Microsoft SentinelのKQLハンティングクエリと分析ルール構成も、Azure経験が管理業務のみの受験者を頻繁に驚かせます。
最新のスキル測定項目更新。Microsoft Defender for CloudのCSPMカバレッジを拡張し、Microsoft Defender for ContainersおよびDevOpsコンテンツを追加、Sentinelの自動化フレームワークを最新化しました。Microsoftは試験コードを変更せずに、約12〜18ヶ月ごとにAZ-500を更新します。
現在の4つのドメインレイアウトに再構築され、セキュリティ運用に重点が置かれるように再バランスされ、Azure ADの参照がMicrosoft Entra IDに改名され、統合されたMicrosoft Defender XDRの概念が統合されました。
最初のGA。当初の概要は、Azure AD、ネットワークセキュリティグループ、Azure Security Center、およびAzure Sentinel (当時はプレビュー) に焦点を当てていました。
AZ-500 (Microsoft Azure Security Engineer Associate) は、実践的な実務経験とベストプラクティスに関するしっかりとした理解を期待される、中程度の難易度の試験 Associateレベルの試験です。ほとんどの受験者は、アソシエイトレベルの試験に6〜12週間かけて80〜150時間の学習を必要とします。 練習試験で合格基準を安定して上回るスコアを獲得している受験者のほとんどは、初回で合格しています。
ほとんどの受験者は、アソシエイトレベルの試験に6〜12週間かけて80〜150時間の学習を必要とします。 合格までの時間は、これまでの経験によって大きく異なります。基礎となるテクノロジーでの実践的な本番経験を持つエンジニアは通常、より少ない時間で済みますが、プラットフォームに初めて触れる受験者は、この範囲の上限を目安に計画を立てる必要があります。
AZ-500は、Azureエコシステムで認められた資格であり、雇用主、リクルーター、クライアントに検証済みの知識を示します。あなたにとって時間と費用をかける価値があるかどうかは、あなたの役割と目標によります。通常、Azureを日常的に扱っている、またはそのような役割に就きたいと考えているクラウドエンジニア、アーキテクト、コンサルタントにとって最も報われる傾向があります。
AZ-500の合格点は700 / 1000です。試験には50問の問題が含まれており、所要時間は2 時間です。
AZ-500試験の受験料は$165 USDです。受験料はAzureによって設定されており、地域によって異なる場合があります。予約する前に、常にAzureの公式認定ページで現在の価格を確認してください。
Microsoftロールベース認定は1年後に期限切れになりますが、失効の6か月前からMicrosoft Learnで監督なしのオンライン評価を介して無料で更新できます。
はい。試験はオンライン（プロバイダーのセキュアブラウザを介して監督され、ほとんどの地域で24時間年中無休で利用可能）または営業時間内のピアソンVUE試験センターで対面で受験できます。どちらの形式も同じ問題、時間制限、合格点を使用します。
CertLabProでは、AZ-500の練習問題バンクで15の学習モードを提供しています。試験シミュレーションモードは、実際の試験を反映しており、2 時間で50問、合格基準は700 / 1000と同じです。ブラウズモードでは、すべてのQ&Aを静的に読むことができます。