AZ-104 無料WEB問題集＆徹底解説｜Microsoft Azure Administrator

正解 C問題

分野1：Azure ID とガバナンスの管理タスクステートメント1.2：Azure リソースへのアクセスの管理

1 2 3 4

次の問題

問題文と選択肢

精密測定機器メーカーの「東海メジャーズ」は、リソースグループ rg-manufacturing の運用を新任の IT リーダーに任せることになりました。
このリーダーには、rg-manufacturing 内で仮想マシンやストレージアカウントなどのリソースを自由にデプロイ・変更・削除させるとともに、プロジェクトに参加するメンバーへ rg-manufacturing のアクセス権を自分で付与させたいと考えています。
カスタムロールの作成や複数ロールの併用は行わず、単一の組み込みロールを rg-manufacturing スコープで割り当てるだけで目的を達成するには、どのロールを選ぶべきですか。

Contributor（共同作成者）
User Access Administrator（ユーザーアクセス管理者）
Owner（所有者）
Role Based Access Control Administrator（ロールベースのアクセス制御管理者）

解説頻出度★★★★★

この問題は、「リソースのデプロイ・変更・削除 × メンバーへのアクセス権付与 × 単一の組み込みロール」の要件を、リソース操作の権限とロール割り当ての権限の 2 軸に読み替え、両方を 1 つで持つのは所有者 (Owner) だけだと判断できるかがポイント

A. Contributor（共同作成者）

Contributor（共同作成者）は、リソースの作成・変更・削除を行える強力なロールですが、Azure RBAC でのロール割り当て（Microsoft.Authorization/*/Write）が NotActions で明示的に除外されています。

リーダーは rg-manufacturing 内のリソース運用はできても、プロジェクトのメンバーにアクセス権を付与できないため、「アクセス権を自分で付与させたい」という要件を満たしません。単一ロールの条件がなければ「Contributor ＋アクセス権付与用のロール」の併用になる、という組み合わせ問題の片割れです。

B. User Access Administrator（ユーザーアクセス管理者）

User Access Administrator（ユーザーアクセス管理者）は、Azure リソースへのアクセス（ロール割り当て）を管理する専用ロールで、メンバーへのアクセス権付与はできます。

しかしリソースに対しては読み取り（*/read）しか持たず、仮想マシンやストレージアカウントのデプロイ・変更・削除はできません。「リソースを自由に運用させる」要件を満たさないため誤りです。

正解

C. Owner（所有者）

Owner（所有者）は、すべてのリソースを管理する権限（Actions が「*」）に加えて、Azure RBAC でロールを割り当てる権限を持つ組み込みロールです。

rg-manufacturing スコープで割り当てれば、リーダーはそのリソースグループ内で仮想マシンやストレージアカウントを自由にデプロイ・変更・削除でき、さらに参加メンバーに rg-manufacturing へのロールを割り当てられます。リソース操作とアクセス権付与の両方を単一の組み込みロールで満たせるのは Owner だけなので、これが正解です。権限はスコープ内に閉じるため、サブスクリプションの他のリソースグループには及びません。

D. Role Based Access Control Administrator（ロールベースのアクセス制御管理者）

Role Based Access Control Administrator（ロールベースのアクセス制御管理者）は、ロール割り当ての作成・削除だけを担うロールです（読み取りとサポートチケットの権限は持つ）。条件 (Condition) を付けて「割り当ててよいロールの種類」を絞れるため、アクセス権付与を最小権限で委任したいときに使います。

リソースの作成・変更・削除の権限は含まれないため、リーダーに rg-manufacturing の運用を任せる要件を満たしません。名前に「管理者」と付いていてもリソースの管理者ではなくアクセス権の管理者です。

これだけ覚える（記憶フック）
作るだけなら共同作成者、配るだけなら UAA／RBAC 管理者、作る＋配るなら所有者。

記憶フックを一覧で見る ❯

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
rg-manufacturing 内でリソースを自由にデプロイ・変更・削除させたい	リソースの書き込み・削除の権限が必要。UAA と RBAC 管理者はリソースを読み取りしかできない →選択肢（B・D）を消す
プロジェクトのメンバーへ rg-manufacturing のアクセス権を自分で付与させたい	ロール割り当て（roleAssignments/write）の権限が必要。Contributor はロール割り当てが除外されている →選択肢（A）を消す
カスタムロールも複数ロールの併用もしない（単一の組み込みロール）	「Contributor ＋ RBAC 管理者」のような組み合わせは禁止。リソース操作とロール割り当てを 1 つで持つ組み込みロールを探す →選択肢（C）が正解
rg-manufacturing スコープで割り当てる	Owner でも権限は割り当てたスコープ（とその配下）に限定されるため、他のリソースグループへの影響はない →選択肢（C）が正解

ひっかけポイント

Contributor は「すべてのリソースを管理できる」と説明されるため万能に見えるが、ロール割り当てだけはできない。この 1 点の差が Owner との違いで、AZ-104 で最も問われる対比
User Access Administrator と RBAC 管理者は、名前の「管理者 (Administrator)」から運用まで任せられると誤解しやすい。どちらもアクセス権の管理者であり、リソースは読み取りしかできない
実務の最小権限の観点では「Contributor ＋ RBAC 管理者（条件付き）」の併用が望ましい場面もある。本問は「単一の組み込みロール」という条件が付いているから Owner が正解になる点を読み落とさない
要件が「完全な操作権限」「ロールの委任」のような RBAC 用語ではなく業務の言葉（デプロイ・変更・削除／アクセス権を付与）で書かれている。権限の 2 軸に読み替えてから選択肢を見る

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「アクセス権の付与は不要で、リソースの運用だけを任せたい」	Contributor（共同作成者）が最小権限の正解になる。Owner は過剰。
「リソースは操作させず、メンバーへのアクセス権付与だけを任せたい」	RBAC 管理者（または User Access Administrator）が正解。割り当てられるロールを条件で絞りたいなら RBAC 管理者。
「複数ロールの併用を許可し、最小権限で運用とアクセス権付与を任せたい」	Contributor ＋ RBAC 管理者の組み合わせが正解軸に（付与できるロールを条件で制限できる）。
「仮想マシンの運用だけを任せたい」	仮想マシン共同作成者 (Virtual Machine Contributor) など、リソース種類別の組み込みロールが正解になる。
「Microsoft Entra ID のユーザーやグループの作成を任せたい」	Azure RBAC ではなくMicrosoft Entra のロール（ユーザー管理者など）の問題になる。Owner をリソースグループに割り当てても Entra のユーザーは作れない。

Azure認定資格 WEB問題集＆徹底解説
会員登録/ログイン

A. Contributor（共同作成者）

B. User Access Administrator（ユーザーアクセス管理者）

C. Owner（所有者）

D. Role Based Access Control Administrator（ロールベースのアクセス制御管理者）

次の問題

会員機能

お役立ち情報

姉妹サイト

AWS

Microsoft Azure

アンケート

サイト情報