AZ-500合格までの勉強時間と学習計画

結論

AZ-500（Microsoft Azure Security Engineer）にどれくらいの勉強時間が必要かは、Azureの実務経験の有無でまったく変わります。普段からAzure ADの条件付きアクセスやNSG、Azure Policyを触っている人であれば14日、場合によっては7日の集中プランでも間に合います。逆にAzureにほぼ触れたことがない人は、30日プランを基準に組み立てるのが現実的です。試験の出題数や制限時間、選択問題の形式については試験形式のページにまとめてあるので、学習計画を組む前に一度確認しておくと、後半の時間配分を決めやすくなります。

どの学習期間がどんな状況に向いているか

30日プランが向いているのは、Azureの管理画面をほとんど触ったことがない人、あるいはオンプレミスのセキュリティ経験しかない人です。Azure AD、VNet、RBACといった基本概念からのインプットが必要なので、期間を圧縮すると土台が崩れます。

14日プランが向いているのは、AZ-104などAzureの基礎資格をすでに持っている人、または業務でAzureポータルを日常的に使っている人です。リソースの操作自体は分かっているので、セキュリティに特化した機能（Microsoft Defender for Cloud、Azure Sentinel、Key Vaultのアクセスポリシーなど）に学習を集中できます。

7日プランが向いているのは、すでにセキュリティエンジニアとして働いていて、Azure特有の実装差分だけを埋めればいい人です。つまり「セキュリティの考え方」は分かっているが「Azureでの実現方法」が曖昧な人向けで、それ以外の人が7日で狙うのは無理があります。

ドメインの配点と自分の弱点で優先順位を決める方法

AZ-500の出題領域は次の4つです。

• Manage security operations（32.5%）
• Secure compute, storage, and databases（22.5%）
• Secure networking（22.5%）
• Manage identity and access（17.5%）

配点だけを見るとManage security operationsを最優先にしがちですが、それは半分正解です。正しい優先順位の決め方は「配点 × 自分の弱さ」で並べ替えることです。具体的には、まず無料の診断的な模擬問題（各ドメイン10問程度）を解き、ドメインごとの正答率を出します。次に、配点が高いのに正答率が低いドメインを最優先、配点が低くても正答率が著しく低いドメイン（多くの場合Manage identity and access、特にB2BとB2Cの区別やConditional Accessの適用順序）を次点に置きます。配点が高くても既に得意なドメインは、復習の頻度を下げて構いません。

30日プラン：週ごとの内訳

1週目（1〜7日目）はManage identity and accessとSecure networkingの基礎固めに使います。Azure AD、RBAC、VNet、NSG、Azure Firewallの役割分担を、まず公式ドキュメントの図で理解し、次にポータル上で実際に条件付きアクセスポリシーを1つ作ってみます。

2週目（8〜14日目）はSecure compute, storage, and databasesとManage security operationsの中でも難しいトピック（Key Vaultのアクセスポリシー vs RBAC、Defender for Cloudの推奨事項の優先度づけ、暗号化オプションの使い分け）を深掘りします。

3週目（15〜21日目）はシナリオ問題の演習に切り替えます。ドメインごとの模擬試験を解き、間違えた問題はその場で解説を読むのではなく、公式ドキュメントに戻って自分の言葉で説明できるかを確認します。

4週目（22〜30日目）は弱点ドメインの再演習と、本番同様の制限時間での通しの模擬試験を2回行い、最終週の見直しに備えます。

14日プランに圧縮する場合

14日プランは30日プランの「知らないことを知る」時間を削るのではなく、「すでに知っていることの確認」を削って作ります。1週目（1〜7日目）は診断問題で弱点ドメインを特定した後、そのドメインだけを集中的にインプットし、得意なドメインは公式ドキュメントの見出しをざっと読む程度に留めます。2週目（8〜14日目）はほぼ全日を演習と復習に使い、8〜10日目に通し模擬試験を1回、11〜13日目に弱点の再演習、14日目を最終確認に充てます。30日プランのように新しいトピックにじっくり時間を使う余裕はないため、初見のサービス名が多いと感じた時点で30日プランへの切り替えを検討すべきです。

7日プランで削るべきもの

7日プランで最初にやるべきなのは、削るものを決めることです。具体的には、すでに得意なドメイン（例えばSecure networkingに強い人ならそのドメインの復習）はほぼゼロにします。次に、実機を使ったハンズオン環境の構築は最小限にし、サービス間の連携パターンを図で理解することに置き換えます。実際のAzureサブスクリプションでリソースを1つずつ作るのは学習効果が高い反面、時間対効果が悪いため、7日プランでは「作る」より「読んで説明できる」を優先します。最後に、4つのドメインを均等に復習しようとせず、Manage security operationsと自分の最弱ドメインの2つだけに時間の大半を割り当てます。

試験直前の1週間にやること

残り7日目は通しの模擬試験を1回解き、ドメインごとの正答率を洗い出します。6日目はその結果から最も弱いドメインだけを狙い撃ちで復習します。5日目はシナリオ問題の解き方（設問の制約条件——RTOやRPO、最小権限の原則、コンプライアンス要件——を先に整理してから選択肢を見る）を見直します。4日目は2回目の通し模擬試験を解き、間違えた問題だけをリスト化します。3日目はそのリストに出てきたサービスのドキュメントを読み込み、知識の穴を埋めます。2日目はAzure CLIとPowerShellでの操作コマンド、サービス間の連携パターン（例えばKey VaultとApp Serviceのマネージドアイデンティティ連携）を確認します。1日目は新しい学習をせず、受験会場や試験環境の確認、持ち物、当日のスケジュールといった実務的な準備に充てます。

前日と試験当日の過ごし方

前日は新しい範囲の学習をしないことが最大のポイントです。すでに間違えた問題のリストを軽く見返す程度に留め、睡眠時間を優先します。オンライン受験の場合は受験環境（部屋の片付け、身分証明書、カメラの角度）を前日のうちに一度テストしておくと当日の焦りが減ります。当日は開始直前の詰め込みをせず、自分がまとめたドメインごとの要点メモだけを見返します。試験中は配点の高いドメインの問題に時間をかけすぎず、迷った問題はフラグを立てて後回しにする方式が有効です。合格に必要な基準については合格基準のページで事前に確認しておくと、本番中に何割の手応えが必要かを冷静に判断できます。

フルタイムで働きながら学習時間を確保する方法

現実的に時間が取れるのは、通勤時間（ドキュメントを読む、音声解説を聞く）、昼休み（10〜15分の短い演習問題）、始業前の時間（集中力が高いのでハンズオン作業に向く）、そして週末のまとまった時間（模擬試験や弱点の深掘り）の4つです。逆に、仕事終わりの時間は疲労で定着率が落ちるため、新しい範囲のインプットではなく、その日読んだ内容の軽い復習に限定するのが得策です。週末のうち1日は「模擬試験デー」として丸ごと確保し、平日には手をつけない通し演習をこの日にまとめて行うと、平日の負荷が下がります。

問題集の正しい使い方（暗記にしないコツ）

問題集で答えのパターンを覚えても、AZ-500のシナリオ問題はリソース名や制約条件を変えて出題されるため、丸暗記は本番でほぼ機能しません。正しい使い方は、選択肢を見る前にシナリオの制約条件（コンプライアンス要件、RTO/RPO、最小権限の原則など）を自分の言葉で整理し、先に自分なりの答えを出してから選択肢と照合することです。間違えた問題は答えを覚え直すのではなく、関連する公式ドキュメントに戻って「なぜその設定が正解なのか」を説明できるようにします。同じ問題集を2周する場合も、1周目とは異なる制約条件を自分で作って解き直すと、暗記ではなく理解の確認になります。

復習のタイミングと頻度

30日プランでは、弱点ドメインを学習した日から3日後、7日後、そして最終週の見直しの計3回、間隔を空けて復習すると定着しやすくなります。14日プランではこの間隔を圧縮し、翌日・7日目・14日目の3回に集約します。7日プランでは間隔を空ける余裕がないため、間違えた問題はその日の夜にもう一度、そして最終日にもう一度の2回転が現実的な上限です。いずれのプランでも、間違えた問題のリストは学習セッションの最後ではなく最初に見返す方が、長期的な記憶への定着効果が高くなります。

プランが崩れたときのサイン and 変更方法

同じドメインで同じ種類の間違いを繰り返し、模擬試験のスコアが2回連続で伸びない場合は、プランそのものに無理がある可能性が高いサインです。この場合、まず疑うべきは学習時間の不足ではなく、インプットの順番です。基礎（Manage identity and accessやSecure networkingの前提知識）を飛ばして演習に進んでいないかを確認します。改善策としては、7日プランなら14日プランへ、14日プランなら30日プランへと期間を延ばすか、期間を延ばせない場合は対象ドメインを2つまで絞り込み、残りのドメインは合格ラインぎりぎりの理解で妥協するという判断も現実的です。

受験日を予約するタイミング

受験日は「最初の通し模擬試験で全ドメインが安定して合格圏に入った」時点で予約するのが基本です。1回だけ高得点が出た直後に予約すると、たまたま得意な問題が多かっただけの可能性があるため、最低でも2回連続で同じ傾向のスコアが出てから予約します。また、最終学習日の翌日ではなく数日の余裕を空けて予約すると、詰め込みによる疲労を避けられます。万が一不合格だった場合の再受験には待機期間が設けられていますが、正確な日数は変更されることがあるため、予約前にMicrosoft公式の案内を確認しておくと安心です。

FAQ

Q. Azureの実務経験なしでAZ-500に合格できますか。 30日プランであれば可能ですが、7日や14日のプランを実務経験なしで実行するのは推奨しません。基礎概念のインプットに必要な時間が単純に足りないためです。

Q. ハンズオンと問題演習、どちらを優先すべきですか。 学習の前半はハンズオン（実際にAzure ADや条件付きアクセスを設定する）を優先し、後半はシナリオ問題の演習に比重を移すのが効率的です。ハンズオンだけでは出題形式に慣れず、問題演習だけでは実装の勘所が身につきません。

Q. PowerShellやAzure CLIはどこまで覚える必要がありますか。 コマンドを一字一句暗記する必要はありません。どの操作がポータルではなくCLIでしか行えないか、そしてコマンドの大まかな構造（対象リソースとパラメータの関係）を理解していれば十分です。

Q. 週3で模擬試験のスコアが伸び悩んでいます。予定通り受験すべきですか。 伸び悩みの原因が特定のドメインに偏っているなら、そのドメインだけを追加で復習してから予約日を数日ずらす方が安全です。全ドメインで満遍なく伸び悩んでいるなら、学習方法自体（暗記寄りになっていないか）を見直すべきサインです。

最後に：正直なアドバイス

どのプランを選ぶにしても、最初の診断問題でドメインごとの弱点を数値として把握することが、時間配分のすべての判断の起点になります。診断を飛ばして「とりあえず30日」で始めると、得意なドメインに無駄な時間を使い、本当に必要な復習の回数が足りなくなります。逆に言えば、弱点さえ正確に把握できていれば、7日プランでも十分に通用する準備は可能です。