AZ-500は誰のための試験か

結論

AZ-500（Microsoft Azure Security Engineer）は、Azureを日常的に触っている人には現実的に合格できる試験ですが、Azureの管理画面をほとんど開いたことがない人には相当厳しい試験です。合否を分けるのは暗記量ではなく、複数のAzureサービスをまたいでセキュリティ設定を実際に組んだ経験があるかどうかです。読むだけの勉強で臨むと、シナリオ問題の途中で「設定はどこで完結するのか」が分からなくなり、時間切れになります。

AZ-500試験が実際に問う内容 — 公式ドメインとその背景

出題は次の4つの公式ドメインに分かれています。

• Manage security operations（32.5%）
• Secure compute, storage, and databases（22.5%）
• Secure networking（22.5%）
• Manage identity and access（17.5%）

最も比重が大きいManage security operationsは、Microsoft Defender for CloudやMicrosoft Sentinelを使った検知・対応の設計を問います。単に画面の場所を知っているかではなく、アラートのポリシー設定やログ収集の範囲をどう決めるかという判断力が問われます。

Secure compute, storage, and databasesとSecure networkingは合わせるとManage security operationsに匹敵する比重になり、実質的にこの試験の骨格を成します。前者はKey Vaultによるシークレット管理、ディスク暗号化、Managed Identityの使い分けが中心です。後者はNSG、ASG、Azure Firewall、Private Endpointを組み合わせて「どの通信を誰から誰へ通すか」を設計する力を見ます。

Manage identity and accessは比重こそ最も小さいものの、Microsoft Entra IDの条件付きアクセス、RBACとAzure Policyの使い分けなど、他のドメインの前提になる知識が詰まっています。ここが弱いと他の3ドメインの理解も浅くなります。

最も不合格者を出すドメインとその理由

体感的に最も不合格者を出すのはSecure networkingです。理由は単純で、ネットワークのセキュリティ設定は「正解が一つに見えて実は複数の層で重なっている」からです。NSGでは許可しているのにAzure Firewallで塞いでいる、Private Endpointを作ったのにDNS解決が経路通りに動いていない、といった状態を頭の中で追いかける必要があります。参考書を読んで単語を覚えているだけの人は、この「層をまたいだトラブルシューティング」の問題で時間を溶かします。

Manage security operationsも比重が大きいため落とす人は多いのですが、こちらは情報量の多さが原因であり、Secure networkingのような構造的な難しさとは性質が異なります。

AZ-500が向いている人・向いていない人

向いている人は、すでにAzureを業務で扱っていて、セキュリティ設定を「作ったことがある」人です。具体的には、クラウド運用担当者がセキュリティ専任にキャリアを寄せたい場合、あるいはSC-100（セキュリティアーキテクト）を将来目指す前段階として実装力を固めたい場合です。

向いていない人は、Azureのポータルにログインした経験が数回しかないのに「セキュリティは重要そうだから」という理由だけで挑む人です。この試験は設定を作った経験がないと成立しない問題が多く、座学だけでは合格ラインに届きません。また、資格をコレクションとして増やしたいだけで、実際にAzure環境に触れる時間を確保できない人にも向きません。

現実的に必要な前提知識

最低限あるべきなのは、AZ-104レベルのAzure管理経験です。具体的には、リソースグループの操作、ARMテンプレートまたはBicepの基本的な読み書き、PowerShellまたはAzure CLIでのリソース操作、サブネット設計とルーティングの基礎です。

加えて、RBACとAzure Policyの違いを説明できること、TLS証明書の仕組みを理解していることも前提として扱われます。これらをゼロから学びながらAZ-500の勉強をすると、範囲が広すぎて消化不良を起こします。

初心者にとっての難易度 — 何が難しさを決めるか

難しさを決めるのは「読んだ時間」ではなく「手を動かした時間」です。初心者が誤解しやすいのは、Microsoft Learnの記事を全部読めば知識がつながると思ってしまうことです。実際には、Key VaultとManaged Identityを組み合わせてApp Serviceからシークレットを取得する、といった一連の作業を自分の環境で完結させて初めて、シナリオ問題の文脈が読めるようになります。

初心者が特に苦戦するのは、複数ドメインをまたぐ設問です。たとえばネットワークの制約とIDの条件付きアクセスを同時に満たす設計を選ばせる問題では、片方の知識だけでは正解にたどり着けません。

同じベンダーの類似試験と何が違うか

AZ-104はAzure全般の管理を広く浅く問う試験で、セキュリティはその一部にすぎません。SC-300はMicrosoft Entra IDに特化しており、ネットワークやコンピューティングのセキュリティは範囲外です。SC-100はアーキテクチャレベルの設計判断を問う試験で、実際に設定を組む深さまでは要求しません。

AZ-500はこの中で唯一、4つのセキュリティ領域を横断しながら「実装レベルの深さ」まで求める試験です。設計だけでなく、実際にその設計をAzure上で成立させる手順まで問われる点が、同じベンダーの他の試験と最も違うところです。

出題される問題形式とその狙い

出題形式は単純な四択だけでなく、複数の選択肢から正しい組み合わせを選ぶ形式や、手順を正しい順番に並べる形式が含まれます。長めのシナリオ文を読ませたうえで、そのシナリオに最も適した設定を選ばせる問題も多く、これは知識の暗記ではなく状況判断力を測るためのものです。

具体的な出題数や制限時間、合格までの構成は試験形式のページで確認しておくと、当日の時間配分がぶれません。

資格取得が仕事にもたらすものともたらさないもの

AZ-500が証明するのは、Azure上でセキュリティ設定を正しく組み立てられる実装力です。これは採用の場面で「この人はAzureの設定を任せられる」という具体的な信頼につながります。

一方で、この資格は設計判断力やインシデント対応の実戦経験までは証明しません。SC-100が扱うようなアーキテクチャレベルの意思決定力は別の資格や実務でしか示せませんし、資格そのものが直接の待遇改善を保証するものでもありません。

正直な準備期間はどれくらいか

すでにAZ-104を持っていて日常的にAzureを触っている人であれば、週に数時間の学習とラボ作業で数週間から一か月程度が目安になります。

Azure経験がほぼゼロの状態から始める場合は、AZ-104レベルの基礎固めも同時に必要になるため、数か月単位の準備期間を見込むべきです。特にSecure networkingとManage security operationsの2ドメインは、実際に手を動かす時間が結果を左右します。

使える学習教材と時間を浪費する教材

使える教材は、Microsoft Learnの公式ラーニングパスと、自分のAzure無料枠で作る実験環境の組み合わせです。加えて、間違えた理由まで解説してくれる模擬問題は、弱点の言語化に役立ちます。

時間を浪費するのは、正解だけを暗記させる問題集（いわゆるブレインダンプ）と、ラボを一切含まない動画講座だけの学習です。どちらも試験中のシナリオ問題では役に立たず、実際に手を動かす経験の代わりにはなりません。

資格の有効期限とその後

Microsoftの資格は取得から1年間有効で、期限が近づくと無料のオンライン更新アセスメントを受けることで延長できます。更新のたびに新しい試験を受け直す必要はありません。

AZ-500取得後の自然な次のステップは、設計判断力を扱うSC-100や、より専門を絞ったMicrosoft Entra ID周りの資格です。どちらに進むかは、実装を極めたいか設計側に寄りたいかで決めるとよいです。

今日から始めるなら

まずAzureの無料アカウントを作り、Key VaultとManaged Identity、Conditional Access、NSGの4つを一つの小さなラボの中で同時に動かしてみることから始めます。ここで詰まる部分が、そのまま自分にとってのAZ-500の弱点です。

すでにAZ-104レベルの経験がある場合は、Microsoft Learnのセキュリティエンジニア向けラーニングパスの最初のモジュールから着手し、各モジュールの後に必ず自分の環境で同じ設定を再現してから次に進みます。

よくある質問

Q. Azureの実務経験なしでも合格できますか。 不可能ではありませんが、非常に遠回りになります。無料のAzureアカウントで実際に設定を組む時間を確保しないまま合格した場合、資格の中身が伴わない状態になりやすいです。

Q. PowerShellやAzure CLIのコマンドは丸暗記すべきですか。 コマンドの丸暗記より、そのコマンドが「何をどう変更するのか」を理解しているほうが重要です。試験は特定のコマンドの綴りより、設定の結果を問う問題が中心です。

Q. Azureのアップデートが速いですが、試験内容は追いついていますか。 出題内容は定期的に見直されますが、変更のタイムラグは常に存在します。合格ラインや出題範囲の最新情報は合格基準のページで確認しておくと安心です。

Q. 識別（Identity）だけ、ネットワークだけといった一分野特化を目指す人にも向きますか。 向きますが、AZ-500自体は4ドメイン横断の試験なので、特化した分野だけを深掘りしても他ドメインの学習は避けられません。特化志向が強いなら、資格取得後にその分野の専門資格へ進む前提でAZ-500を土台として使うのが現実的です。

最後に

AZ-500は、Azureで手を動かした経験の量がそのまま得点に直結する試験です。読書量で乗り切ろうとせず、まず小さなラボを自分の手で組んでみることが、結果的に一番の近道になります。