AZ-500（Azure Security Engineer Associate）とは？試験内容・難易度・勉強法・キャリアへの活かし方を徹底解説

Azureを導入した会社でセキュリティ担当を任されたものの、「どの資格から手をつければいい？」「AZ-500って実際どのくらい難しいの？」と迷っていませんか。

クラウド移行が加速するなか、Azure環境を安全に保つ実務スキルの需要は急速に高まっています。そのスキルを対外的に証明できるMicrosoft公式資格が、AZ-500（Microsoft Certified: Azure Security Engineer Associate）です。

この記事では、AZ-500の試験範囲・難易度・効率的な勉強法と、取得後のキャリアへの活かし方を現場目線で解説します。インフラエンジニア・社内SE・中小企業情シス担当者の方に特に参考にしていただける内容です。

AZ-500とは？Azure特化のセキュリティ資格

AZ-500（試験名：Microsoft Azure Security Technologies）は、Microsoftが提供するクラウドセキュリティ認定資格です。合格すると「Microsoft Certified: Azure Security Engineer Associate」の称号が得られます。

ひとことで言えば、「AzureのIAM（アイデンティティ・アクセス管理）・ネットワーク保護・データ暗号化・セキュリティ監視を正しく実装・運用できる」ことを証明する資格です。Azureを扱っている企業で、インフラ管理からクラウドセキュリティの担当へとステップアップしたい人に向いています。

AZ-500の立ち位置を把握しておきましょう。Microsoftのセキュリティ関連資格の中では、次のような関係になります。

・AZ-900（Fundamentals）: Azureの基礎知識。資格学習の出発点
・AZ-104（Administrator）: Azure管理者全般のスキル証明
・AZ-500（Security Engineer）: セキュリティ設計・実装に特化（本記事の対象）
・SC-200（Security Operations Analyst）: インシデント対応・SIEM運用に特化

AZ-500とSC-200は補完関係にあります。AZ-500が「守る環境を正しく設計・構築する」役割だとすれば、SC-200は「設計された環境で日常的に監視・対応する」役割です。両方を組み合わせるとMicrosoftクラウドセキュリティの設計から運用まで一貫した専門家として評価されます。

試験の概要

試験の4ドメイン構成

AZ-500は4つの出題領域（ドメイン）で構成されています。

・IDとアクセスの管理（約25～30%）: Microsoft Entra ID（旧Azure AD）のユーザー・グループ・ロール管理、条件付きアクセス、Privileged Identity Management（PIM）、外部コラボレーション設定など
・プラットフォームの保護（約15～20%）: 仮想ネットワーク・NSG・Azure Firewall・Bastionホストの設計、Microsoft Defender for Cloud の設定、コンテナセキュリティなど
・セキュリティ運用の管理（約25～30%）: Microsoft Sentinel（SIEM/SOAR）、Defender for Endpoint・Defender for Servers、Log Analytics、セキュリティアラートの調査対応など
・データとアプリケーションのセキュリティ保護（約20～25%）: Azure Key Vault・ストレージ暗号化・ACR脆弱性スキャン・App ServiceのTLS設定・SQLデータベースの監査設定など

実務でAzureを触っている方なら馴染みのある概念が多い構成です。逆に言えば、「設定したことはあるが、なぜそうするのか」を説明できないと合格は難しい試験でもあります。

AZ-500の難易度

率直に言うと、AZ-500は「そこそこ手ごたえがある」資格です。難しさには3つの理由があります。

1. 出題範囲が広い
IDまわりからネットワーク保護、SIEM運用、データ暗号化まで、Azureセキュリティのほぼ全域が対象になります。浅く広くではなく、各領域で実装レベルの理解が問われます。

2. ラボ問題が出ることがある
選択問題だけでなく、実際にAzureポータルやAzure CLIを操作してタスクを完了させる「ラボ問題」が含まれる場合があります。ラボ問題は時間を大きく消費するため、事前のハンズオン練習が必須です。

3. サービス名の変更が激しい
Microsoftはサービス名を頻繁に変更します（例：Azure Active Directory → Microsoft Entra ID）。古い教材では試験と噛み合わない箇所が出るため、最新の公式ドキュメントを確認する習慣が必要です。

目安の学習時間：Azure管理の実務経験がある方で100～150時間、Azureをほとんど触ったことがない方は200時間以上を見ておくと安心です。

効率的な勉強法

1. Microsoft Learnの公式ラーニングパスから始める

まず取りかかるべきは、Microsoftが無料で提供している「Microsoft Learn」のAZ-500向けラーニングパスです。試験ガイドと連動して設計されており、概念の学習からサンドボックス環境でのハンズオンまで一通り体験できます。費用ゼロ・ブラウザだけで完結するため、まずここを全部やり切るのが最短ルートです。

2. Azure無料アカウントで手を動かす

AZ-500の合否を分けるのは、ポータル操作の習熟度です。Microsoft Learnのサンドボックスだけでは足りないと感じたら、Azureの無料アカウント（最初の30日間に約200ドル分のクレジット付き）を使って、実際に次の操作を試してみてください。

・Entra ID で条件付きアクセスポリシーを設定する
・PIM（Privileged Identity Management）でロールの時間限定付与を試す
・NSG（ネットワークセキュリティグループ）でインバウンドルールを制御する
・Key Vaultにシークレットを格納し、マネージドIDで取得する
・Microsoft Sentinelでログを収集してアラートルールを作成する

この「自分で手を動かした」経験が、試験本番での確実な回答につながります。

3. 模擬試験で弱点を特定する

学習の後半では、MeasureUpやUdemyで提供されている模擬問題集を活用してください。1回解くだけでなく、「なぜその選択肢が正解なのか」を公式ドキュメントで確認しながら解き直すと知識が定着します。模擬試験で安定して750点以上取れるようになったら本番に臨むタイミングです。

4. 試験直前に確認したい高頻出トピック

直前に特に押さえておきたいポイントを挙げておきます。

・条件付きアクセスポリシーの「条件」「付与コントロール」「セッションコントロール」の違い
・Azure DDoS Protection のBasicとStandardの違いと適用シナリオ
・Key Vault のアクセスポリシーとAzure RBACの使い分け
・Defender for Cloud のセキュアスコアと推奨事項の仕組み
・Microsoft Sentinel のデータコネクタ・分析ルール・インシデントの関係
・ストレージアカウントの暗号化オプション（CMK vs PMK）

AZ-500取得後のキャリアへの活かし方

AZ-500を持っていると、次のようなロールへの道が開けます。

クラウドセキュリティエンジニア
Azure環境のセキュリティ設計・実装を専門とするポジションです。企業のクラウド移行プロジェクトでセキュリティ要件を担う人材として、市場での引き合いが増えています。

情報システム部門のクラウド担当
中小企業や中堅企業の情シスで、社内のAzure環境をひとりで管理するケースが増えています。AZ-500の知識があると、外部ベンダーの提案内容の妥当性を自分で判断できます。

セキュリティコンサルタント
顧客企業のAzure環境を診断・改善提案するロールです。AZ-500に加えてCISSPや上位資格を組み合わせることで、市場価値がさらに高まります。

他資格との相性

・AZ-500 ＋ SC-200: セキュリティの設計から運用監視まで、Microsoftクラウドセキュリティの一貫した専門家として評価される
・AZ-500 ＋ AWS認定セキュリティスペシャリスト: マルチクラウド対応として引き合いが増えている（AWS認定セキュリティスペシャリストについてはこちらで解説しています）

Azureのクラウドサービス全般をより深く学びたい場合は、姉妹サイトCloudMasters.TOKYOもあわせてご参照ください。

よくある誤解と注意点

「AZ-104を先に取らないと受験できない？」
必須の前提資格はありません。ただしAZ-104（Azure Administrator）相当の知識がないと試験内容が理解しにくい箇所があります。Azureをほとんど触ったことがない方は、AZ-900 → AZ-104の順で学習してからAZ-500に挑戦するのが現実的です。

「日本語試験なら楽では？」
日本語版は選択できますが、翻訳の精度にばらつきがあり、英語版のほうが問題の意図を正確に読み取れるケースもあります。英語に抵抗がなければ英語受験も選択肢のひとつです。

「一度取れば永久に有効？」
AZ-500の有効期限は取得日から1年です。ただし、Microsoft Learnでの更新評価（オンラインの確認テスト）を完了することで、試験を受け直さずに無料で更新できます。他社の資格と比べて更新コストが低い点は大きなメリットです。

「Azureをほとんど触ったことがないが取れる？」
暗記だけで合格できるほど甘くはありません。ラボ問題が出た場合、ポータル操作に慣れていないと時間内に完了できないリスクがあります。最低でも30時間以上の実機ハンズオンを積んでから受験することをおすすめします。

本記事のまとめ

AZ-500は「Azureを使っている会社でセキュリティを本気でやりたい人」に最適な資格です。取得後は設計・実装・評価の場面で自信を持って動けるようになります。まずはMicrosoft Learnの無料コースから始めて、手を動かしながら確実に知識を積み上げていきましょう。