Microsoft Security, Compliance, and Identity Fundamentals
175問の練習問題
最終確認：April 2026
学習のための個人ノートとリソースリンク
認定でフィルター
Microsoft Security, Compliance, and Identity Fundamentals (SC-900) は、Microsoft 365 および Azure における Microsoft のセキュリティ、コンプライアンス、および ID (SCI) ポートフォリオの概念的理解を検証する基礎的な資格情報です。ビジネスステークホルダー、ITゼネラリスト、営業およびパートナー担当者、コンプライアンス担当者、そして Microsoft Entra、Microsoft Defender、Microsoft Sentinel、Microsoft Purview、および Intune に関する共通の語彙を必要とするセキュリティ初心者向けです。試験は実践的ではなく概念的です。サービス機能の認識、特定のシナリオ（ゼロトラスト、DLP、条件付きアクセス、インサイダーリスク）に対処する製品の特定、および ID、暗号化、共有責任の核となる原則を平易な言葉で説明する能力が求められます。
基礎となる語彙: ゼロトラスト、多層防御、共有責任モデル、暗号化とハッシュの基本、および4つのIDの柱（管理、認証、認可、監査）。最も比重は低い（12%）ですが、試験の他の部分が構築される概念的な足場となります。
Microsoft Entra ID（旧 Azure AD）、外部ID（B2B/B2C）、条件付きアクセス、多要素認証、パスワードレス、Identity Protection、Privileged Identity Management、および Entra Permissions Management / Verified ID。試験の約28%を占める—2番目に大きいドメイン。
最大のドメイン（38%）。Microsoft Sentinel（クラウドネイティブ SIEM/SOAR）、Microsoft Defender XDRファミリー（Defender for Endpoint、Office 365、Identity、Cloud Apps）、Defender for Cloud、Azure ネットワークセキュリティ（NSG、Azure Firewall、DDoS Protection）、および Azure Bastionをカバーします。どの製品がどの脅威に適しているかを問うシナリオ問題が予想されます。
Microsoft Purview（コンプライアンスポータル、情報保護、DLP、インサイダーリスク管理、eDiscovery、監査）、Service Trust Portal、Compliance Manager、および Azure Policy と Microsoft Purview Data Governance を介したリソースガバナンス。試験の約22%を占めます。
試験で出会うサービスと、それぞれが重要な理由。
ディレクトリアカウント、B2B/B2C外部ID、フェデレーションプロバイダーに対してユーザー、デバイス、ワークロードを認証するクラウドIDおよびアクセス管理サービスです。
試験に出題される理由： ドメイン 2 (Microsoft Entra の機能) は、IDプロバイダーとしての Entra ID を中心としており、認証、SSO、MFA、テナントタイプに関する質問が予想されます。
サインインの異常、漏洩した資格情報、ありえない移動パターンを検出し、リスクポリシーを適用するリスクベースのID保護です。
試験に出題される理由： ドメイン 2 はリスクベースの条件付きアクセスをテストします。ID Protection はサインインおよびユーザーのリスクシグナルの指定されたソースです。
オープン標準 (W3C DIDs, Verifiable Credentials) に基づき、改ざん防止されたデジタル証明書を発行および検証する分散型IDサービスです。
試験に出題される理由： ドメイン 2 は分散型IDシナリオとして Verified ID を取り上げ、クレームベースの検証を従来のディレクトリ参照と区別します。
Entra ID、Azureリソース、Microsoft 365における特権ロールのジャストインタイムの昇格と承認ワークフローで、時間制限付きアクセスと監査証跡を提供します。
試験に出題される理由： ドメイン 2 は最小特権パターンをテストします。「常時アクセス権なしでオンデマンドで管理者アクセスを付与する方法」に対する指定された解答が PIM です。
エンドポイント、ID、メール、クラウドアプリ、データ全体からのシグナルを単一のインシデントビューに相関させる、侵害前および侵害後の統合防御スイートです。
試験に出題される理由： ドメイン 3 (Microsoft Security solutions) は、ワークロード横断的なインシデント調査の窓口として Defender XDR に依拠しています。
Azure、AWS、GCP全体にわたるセキュリティ体制管理 (CSPM) とワークロード保護 (CWP) を提供するクラウドネイティブアプリケーション保護プラットフォーム (CNAPP) です。
試験に出題される理由： ドメイン 3 では、Defender for Cloud がマルチクラウドの態勢およびワークロード保護の解答として期待されます。セキュアスコア、規制コンプライアンス、CWP プランに関する質問が出題されます。
Azure上に構築されたクラウドネイティブな SIEM および SOAR で、資産全体からシグナルを取り込み、KQL で脅威をハンティングし、プレイブックを介して対応を自動化します。
試験に出題される理由： ドメイン 3 では Sentinel が SIEM/SOAR の解答として挙げられ、SIEM と SOAR の区別およびデータコネクタのアーキテクチャに関する質問が出題されます。
Windows、macOS、Linux、iOS、Androidにわたる攻撃対象領域の削減、次世代アンチマルウェア、および自動調査を備えたエンタープライズの EDR プラットフォームです。
試験に出題される理由： ドメイン 3 はエンドポイント保護機能をテストします。Defender for Endpoint はデバイスレベルの脅威シナリオに対する指定された EDR です。
Microsoft 365のメールボックス、Teams、SharePoint、OneDriveを、フィッシング、ビジネスメール詐欺、悪意のある添付ファイルから Safe Links および Safe Attachments を介して保護します。
試験に出題される理由： ドメイン 3 にはメール/コラボレーションの脅威シナリオが含まれており、Defender for Office 365 は Safe Links / Safe Attachments / アンチフィッシングポリシーの指定された制御です。
シャドー IT を検出し、セッション制御を適用し、API コネクタとリバースプロキシを介して承認済み SaaS アプリを保護する CASB です。
試験に出題される理由： ドメイン 3 は CASB シナリオ（シャドー IT の検出、条件付きアクセスアプリ制御、SaaS DLP）を扱っており、これらすべてが Defender for Cloud Apps を指し示します。
ドメインコントローラートラフィックから偵察、ラテラルムーブメント、ドメイン支配、Golden Ticket 攻撃を明らかにするオンプレミス Active Directory の脅威検出です。
試験に出題される理由： ドメイン 3 はハイブリッドIDの脅威をカバーしており、Defender for Identity はクラウド専用の Entra ID Protection とは異なる、AD に特化した検出レイヤーとして指定されています。
Windows、macOS、iOS、Android、Linux にわたるデバイス登録、構成、アプリ展開、コンプライアンス評価のための UEM です。
試験に出題される理由： ドメイン 3 はデバイスのコンプライアンスを条件付きアクセスに結び付けており、Intune はリソースアクセスを制御するコンプライアンスシグナルを提供します。
Microsoft 365 および承認済みサードパーティアプリ全体でドキュメントやメールとともに移動する秘密度ラベル、暗号化、およびコンテンツ認識型分類です。
試験に出題される理由： ドメイン 4 (Microsoft コンプライアンスソリューション) は、ラベルが保存時、転送中、使用中のデータをどのように分類および保護するかをテストします。
Microsoft 365サービス、エンドポイント、オンプレミスの SharePoint/OneDrive 全体で移動中の機密データを検出し、ブロックまたは監査するポリシーエンジンです。
試験に出題される理由： ドメイン 4 は、メール、Teams、エンドポイント全体で「テナントからの機密コンテンツ流出を阻止する」シナリオに対する標準的な解答として DLP を挙げています。
データ流出、退職社員による盗難、ポリシー違反などの悪意のある、または意図しないインサイダー活動を ML 主導で検出し、仮名化された調査ワークフローを備えます。
試験に出題される理由： ドメイン 4 はインサイダー脅威を個別のコンプライアンスの柱としてカバーしており、Insider Risk Management が指定されたワークロードです。
訴訟、調査、規制対応のために Microsoft 365 コンテンツ全体にわたる法務ホールド、検索、エクスポート機能を提供し、eDiscovery (Premium) のカストディアンワークフローを備えます。
試験に出題される理由： ドメイン 4 は法務/規制ホールドのワークフローをテストします。eDiscovery は保存、検索、エクスポートのための指定されたツールです。
Azure サブスクリプション全体でリソース構成を監査および強制する Policy-as-code サービスで、Blueprints はポリシー、ロール割り当て、ARM テンプレートをデプロイ可能な単位としてパッケージ化します。
試験に出題される理由： ドメイン 1 およびドメイン 4 は、ガバナンスベースラインの背後にあるメカニズムとしてポリシーの強制を参照しており、Azure Policy + Blueprints が指定された制御です。
Microsoft のクラウドコンプライアンスドキュメントのための一元化されたポータルで、ISO 27001、NIST、GDPR などのフレームワークに対してテナントのコンプライアンスを評価する Compliance Manager と組み合わせて使用されます。
試験に出題される理由： ドメイン 4 は、顧客がコンプライアンス体制を証明するために使用するインターフェースとして、Service Trust Portal と Compliance Manager を明示的にテストします。
ユーザー、場所、デバイスの状態、アプリ、リスクなどのシグナルを評価し、アクセスを許可する前に MFA、準拠デバイス、セッション制限などの制御を適用するポリシーエンジンです。
試験に出題される理由： ドメイン 2 は条件付きアクセスを Zero Trust シグナルの中心的な強制ポイントとして扱います。ポリシーの割り当てと除外に関するシナリオ問題が予想されます。
HSM によるキー保護、カスタマー管理キー (CMK) 統合、RBAC またはキーコンテナーアクセスポリシーを介したアクセス制御を備えた、キー、シークレット、証明書のマネージドサービスです。
試験に出題される理由： ドメイン 3 はシークレットの保護と CMK 暗号化シナリオをカバーしており、Key Vault は Azure ワークロード全体の指定されたストアです。
$65k–$92k–$130k USD 年収
SC-900は基礎的なものであり、給与を決定する要因となることはめったにありません。これらの範囲は、米国におけるキャリア初期のセキュリティおよびID関連職務におけるもので、SC-900は履歴書のいくつかのシグナルの1つです。上級セキュリティ職務（SC-200、SC-100、AZ-500、またはCISSPが期待される）は、はるかに高額になる傾向があります。
出典: U.S. BLS OEWS May 2024 (15-1212 情報セキュリティアナリスト、中央値 約$120k; 15-1232 コンピューターユーザーサポート、中央値 約$60k), levels.fyi 2025–2026 セキュリティおよびITサポート職。数値は概算であり、実際の報酬は職務、地域、経験によって異なります。
Microsoftのセキュリティスタック — Defender XDR、Sentinel、Purview、Entra、およびIntune — は、すでにMicrosoft 365およびAzureを実行している多くの企業でデフォルトとなっており、SC-900は最も広く認識されているエントリーレベルのセキュリティ資格の1つです。採用担当者は、候補者が実践的な役割に就く前であっても、面接でMicrosoftセキュリティの語彙を話せるかどうかのスクリーニングシグナルとして使用します。特に、ヘルプデスク、ITジェネラリスト、コンプライアンス、パートナーのプリセールス担当者がセキュリティに転向する場合や、ゼロトラスト、条件付きアクセス、DLPについてセキュリティチームと議論する際に信頼性を必要とする非技術系ステークホルダー（プロジェクトマネージャー、アカウントエグゼクティブ、GRCリード）の履歴書でよく見られます。これ単独でアナリストやエンジニアの職務に適格となるわけではありませんが、次のステップとしてSC-200またはAZ-500と組み合わせるのに適しています。
正式な前提条件はありません。Microsoftは、ネットワーキングとクラウドコンピューティングの概念、一般的なITリテラシー、およびMicrosoft AzureとMicrosoft 365の基本的な理解を推奨していますが、Microsoftのバックグラウンドがない候補者でも、公式のMicrosoft Learnパス（約10〜14時間）と1回の模擬評価をこなせば定期的に合格しています。
AzureまたはMicrosoft 365を一度も使用したことがない場合は、まずAZ-900（Azure Fundamentals）またはMS-900（Microsoft 365 Fundamentals）を修了すると、SC-900が著しく容易になります。SC-900の多くの問題は、主要なAzureリソースとM365管理画面を認識していることを前提としています。これら3つの「900レベル」試験は意味のある重複があり、Microsoftクラウドの基盤を構築する候補者によって一緒に取得されることがよくあります。ハンズオンラボは厳密には必須ではありませんが、無料のMicrosoft 365開発者テナントとAzure無料アカウントがあれば、Entra、Purview、Defenderポータルをクリックして操作でき、読むだけよりもはるかに定着します。
SC-900は基礎レベルと評価されており、Microsoft認定資格の中でも比較的取り組みやすいものです。Microsoftクラウドまたはセキュリティの事前知識がない場合は、2〜4週間で20〜40時間の学習を計画し、AZ-900 / MS-900の範囲をすでに知っている場合は、1週間で8〜15時間の学習を計画してください。試験は約45分で、おおよそ40〜60問の多肢選択式および複数回答式の問題が出題されます。合格スコアは、スケール採点モデルで1000点中700点です。
ほとんどの候補者にとって最も難しいのは、サービス名の認識です。Microsoftのセキュリティポートフォリオは、繰り返し名称変更や再編成が行われてきました（Azure ADはEntra IDに、DefenderスイートはDefender XDRに統合され、Microsoft 365 ComplianceはPurviewに）。試験問題は、現在の製品名と適切な機能とを一致させられるかを一貫してテストします。各製品の役割（Defender for EndpointとDefender for CloudとDefender for Identity、PurviewとPriva、Entra IDとEntra Permissions Management）を記憶することが、合格と不合格を分ける最も重要な要素です。
Microsoft Security, Compliance, and Identity Fundamentalsトラックの一環として2021年4月に一般提供が開始されました。目標は定期的に更新されます（最近ではAzure AD → Entraへの名称変更とMicrosoft 365 Compliance → Purviewへのブランド変更を反映）。基礎試験であるため、1年周期での引退はなく、資格情報も失効しません。
SC-900 (Microsoft Security, Compliance, and Identity Fundamentals) は、概念的理解の広範さよりも実践的な深さを問う、エントリーレベルの試験と見なされます Foundationalレベルの試験です。ほとんどの受験者は、基礎レベルの試験に3〜6週間かけて30〜80時間の学習を必要とします。 練習試験で合格基準を安定して上回るスコアを獲得している受験者のほとんどは、初回で合格しています。
ほとんどの受験者は、基礎レベルの試験に3〜6週間かけて30〜80時間の学習を必要とします。 合格までの時間は、これまでの経験によって大きく異なります。基礎となるテクノロジーでの実践的な本番経験を持つエンジニアは通常、より少ない時間で済みますが、プラットフォームに初めて触れる受験者は、この範囲の上限を目安に計画を立てる必要があります。
SC-900は、Microsoftエコシステムで認められた資格であり、雇用主、リクルーター、クライアントに検証済みの知識を示します。あなたにとって時間と費用をかける価値があるかどうかは、あなたの役割と目標によります。通常、Microsoftを日常的に扱っている、またはそのような役割に就きたいと考えているクラウドエンジニア、アーキテクト、コンサルタントにとって最も報われる傾向があります。
SC-900の合格点は700 / 1000です。試験には40問の問題が含まれており、所要時間は45 分です。
SC-900試験の受験料は$99 USDです。受験料はMicrosoftによって設定されており、地域によって異なる場合があります。予約する前に、常にMicrosoftの公式認定ページで現在の価格を確認してください。
Microsoft基礎認定は期限切れになりません（AZ-900、AI-900、DP-900、SC-900）。
はい。試験はオンライン（プロバイダーのセキュアブラウザを介して監督され、ほとんどの地域で24時間年中無休で利用可能）または営業時間内のピアソンVUE試験センターで対面で受験できます。どちらの形式も同じ問題、時間制限、合格点を使用します。
CertLabProでは、SC-900の練習問題バンクで15の学習モードを提供しています。試験シミュレーションモードは、実際の試験を反映しており、45 分で40問、合格基準は700 / 1000と同じです。ブラウズモードでは、すべてのQ&Aを静的に読むことができます。