模擬試験 第3部：セキュリティ、ガバナンス、コスト

模擬試験 セクション 3：セキュリティ、ガバナンス、コストへようこそ。この分野は AZ-900 の得点の約 30～35% を占め、Entra ID、Defender for Cloud、Azure Policy、リソース ロック、コスト ツール、SLA を扱います。この分野では、サービス名の混同や微妙な違いによって受験者が最も頻繁に失点します。このセクションには18～20 分を確保してください。解答する前に、それぞれのシナリオを注意深く読むことに集中しましょう。

シナリオ：あるクラウド管理者が、すべての Azure サブスクリプションにわたるセキュリティの全体的な健全性を 1 つのダッシュボードで確認したいと考えています。そこには、優先順位付けされた推奨事項と、環境がセキュリティのベスト プラクティスにどの程度従っているかを示す数値スコアも必要です。これを提供する Azure サービスはどれですか。

A) Microsoft Defender for Cloud（Secure Score） — B) Microsoft Sentinel — C) Azure Policy — D) Azure Advisor

回答：A — Microsoft Defender for Cloud（Secure Score）。 Defender for Cloud はセキュリティに関する推奨事項を集約し、パーセンテージ形式の Secure Score を提供します。Microsoft Sentinel は脅威の検出とインシデント対応を行う SIEM であり、セキュリティ態勢のスコアリング ツールではありません。Azure Policy はガバナンス ルールを適用しますが、セキュリティ スコアは提供しません。Azure Advisor にもセキュリティの項目はありますが、Defender for Cloud ほど特化していません。重要な手がかり：「数値のセキュリティ スコア + 推奨事項」 → Defender for Cloud。

シナリオ：ある企業が、従業員に企業の資格情報で一度サインインしてもらい、その後、再度資格情報の入力を求めることなく Microsoft 365 と Salesforce の両方にアクセスさせたいと考えています。構成すべき Entra ID の機能はどれですか。

A) Single Sign-On（SSO） — B) Multi-Factor Authentication（MFA） — C) Conditional Access — D) B2B Collaboration

回答：A — Single Sign-On（SSO）。 Entra ID SSO を使用すると、ユーザーは一度認証するだけで、資格情報を再入力せずに複数の統合アプリケーションへアクセスできます。MFA は 2 つ目の認証要素を追加しますが、アプリ間での認証プロンプトを減らすものではありません。Conditional Access はサインイン シグナルを評価し、SSO と組み合わせてポリシーを適用しますが、SSO そのものではありません。B2B Collaboration は外部パートナー ユーザー向けであり、社内従業員向けではありません。重要な手がかり：「一度サインインし、再度求められることなく複数のアプリにアクセス」 → SSO。

シナリオ：ある企業が、すべてのサブスクリプションにおいて East US と West US 以外の場所に Azure SQL Database が作成されないようにしたいと考えています。準拠していないリージョンのリソースは、単に警告するのではなく、作成時に拒否する必要があります。使用すべき Azure ガバナンス ツールはどれですか。

A) Azure Policy（Deny 効果） — B) リソース ロック — C) Azure Blueprints — D) Azure Advisor

回答：A — Deny 効果を持つ Azure Policy。 Deny 効果を持つ Azure Policy は、ポリシー ルールに違反するリソースの作成を阻止します。管理グループ スコープで割り当てると、すべての子サブスクリプションが対象になります。リソース ロックは既存のリソースの削除や変更を防ぎますが、誤ったリージョンで新しいリソースが作成されるのを防ぐことはできません。Blueprints は Policy の割り当てをパッケージ化しますが、実際に適用するのは Policy 自体です。重要な手がかり：「作成時に拒否」 → Azure Policy、Deny 効果。

シナリオ：ある企業は Azure リソースをまだデプロイしていません。CFO は、プロジェクトを正式に開始する前に、East US で VM 2 台、Azure SQL Database 1 つ、Load Balancer 1 つを実行した場合の月額コストを見積もりたいと考えています。使用すべきツールはどれですか。

A) Azure Pricing Calculator — B) Azure Cost Management — C) TCO Calculator — D) Azure Advisor

回答：A — Azure Pricing Calculator。 Pricing Calculator は、デプロイ前に、予定しているアーキテクチャの月額コストを見積もります。Azure Cost Management は、すでにデプロイされたリソースの実際の支出を監視します。TCO Calculator はオンプレミスのコストと Azure のコストを比較するもので、移行のビジネス ケース向けであり、新しいアーキテクチャの見積もりには使用しません。Azure Advisor は既存のリソースに対する推奨事項を提示するもので、未デプロイのサービスのコスト見積もりは行いません。重要な手がかり：「まだデプロイしていない、開始前に見積もる」 → Pricing Calculator。

シナリオ：ある企業が、Azure App Service（SLA：99.95%）と Azure SQL Database（SLA：99.99%）を使用して Web アプリケーションをデプロイします。アプリケーションが動作するには、両方のサービスが利用可能でなければなりません。複合 SLA はいくつですか。

A) 約 99.94% — B) 99.95% — C) 99.99% — D) 100%

回答：A — 約 99.94%。 2 つのサービスが両方とも利用可能でなければならない場合（AND 関係）、複合 SLA = SLA1 × SLA2 = 0.9995 × 0.9999 = 0.99940005 ≈ 99.94% です。依存関係を追加すると、複合 SLA は必ず個々の SLA よりも低下します。そのため、高可用性の目標を維持するには、冗長性（Availability Zones、マルチリージョン）が必要です。OR 関係の場合は、複合 SLA は向上します。この公式は試験のために暗記しておきましょう。

このレッスンで扱った Microsoft Azure Fundamentals（AZ-900）の概念について、理解度を確認しましょう。

このセクションでは、セキュリティ態勢に使用する Defender for Cloud Secure Score、複数のアプリにまたがるシングル サインオンに使用する SSO、準拠していないリソースの作成をブロックする Azure Policy の Deny 効果、デプロイ前のコスト見積もりに使用する Azure Pricing Calculator、AND 依存関係にあるサービスの複合 SLA の乗算について練習しました。間違えた問題があれば、そのレッスンをもう一度確認してください。次は最後のレッスンで、得点を振り返り、重点的な弱点克服計画を作成します。