Azure認定資格 WEB問題集＆徹底解説

会員登録/ログイン

A. 管理グループ下の各サブスクリプションに対して個別にアクセス許可が割り当てられる。

Azure RBAC の割り当ては、親スコープから子スコープへ自動的に継承される。
管理グループに一度ロールを割り当てれば、配下の各サブスクリプションへ個別に割り当て直す必要はない。
むしろ「上位でまとめて割り当てれば下位に効く」ことこそ管理グループを使う最大の利点であり、個別割り当てが必要という記述は誤り。

B. アクセス許可は管理グループ内のリソースにのみ適用される。

管理グループ自体はサブスクリプションを束ねるコンテナーであり、その中に仮想マシンやストレージなどのリソースが直接置かれるわけではない。
「管理グループ内のリソースにのみ適用」という表現は、継承範囲を実際より狭く述べており誤り。
実際には配下のサブスクリプションが持つすべてのリソースにまで効果が及ぶ。

正解

C. アクセス許可は、管理グループ下のすべてのサブ管理グループ、サブスクリプション、リソースグループ、およびリソースに継承される。

Azure のスコープは管理グループ → サブスクリプション → リソースグループ → リソースという階層構造になっており、RBAC のロール割り当ては下位スコープへ継承される。
したがって管理グループレベルで割り当てたアクセス許可は、配下のサブ管理グループ・サブスクリプション・リソースグループ・個々のリソースのすべてに適用される。
組織全体に共通する権限（例：全社の閲覧者権限）を最上位で一括付与できるのがこのモデルの狙いであり、これが正解。

D. アクセス許可は管理グループレベルのみに制限される。

ロール割り当てのスコープは「そのスコープ以下」に効くのが原則で、管理グループレベルだけに閉じることはない。
「そのレベルのみに制限される」という記述は継承の仕組みを否定しており誤り。
逆に、権限を絞りたい場合はより下位のスコープ（リソースグループやリソース）で割り当てるのが正しい設計となる。

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
割り当てスコープは「管理グループ」	Azure のスコープ階層は管理グループ → サブスクリプション → リソースグループ → リソースの 4 段 →選択肢（A・B・C・D）を階層の理解で切り分ける
RBAC の割り当ては継承されるか	親スコープの割り当ては配下のすべての子スコープに自動継承される →選択肢（C）が正解
下位に個別割り当てが要るか	継承されるためサブスクリプションごとの割り当ては不要 →選択肢（A）を消す
効果の及ぶ範囲はどこまでか	「管理グループ内のみ」「管理グループレベルのみ」と範囲を狭く限定する記述はすべて誤り →選択肢（B・D）を消す

ひっかけポイント

• 選択肢 A の「個別に割り当てられる」は結果として同等の権限が及ぶため一見正しそうに読めるが、実際は割り当てが複製されるのではなく継承される。運用上「サブスクリプションごとの作業が不要」という点が本質
• 管理グループはリソースを直接入れる箱ではない（入るのはサブスクリプションと子の管理グループ）。「管理グループ内のリソース」という言い回し自体が引っかけ
• Azure Policy も同じスコープ階層で継承される。RBAC＝「誰が何をできるか」、Policy＝「どんなリソースを作ってよいか」と役割を区別して覚える
• 継承は上から下への一方向。リソースグループに割り当てた権限が、その親のサブスクリプション全体に及ぶことはない

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「特定のリソースグループ内だけに権限を限定したい」	リソースグループスコープでロールを割り当てるのが正解に変わる（最小権限の原則）。
「作成できるリソースのリージョンや SKU を組織全体で強制したい」	Azure Policy を管理グループに割り当てるのが正解軸に。
「すべてのサブスクリプションの請求をまとめて把握したい」	管理グループ＋Microsoft Cost Management によるコスト集計が正解軸に。
「特定ユーザーの権限を一時的・期間限定で昇格させたい」	Microsoft Entra Privileged Identity Management (PIM) が正解に変わる。
「リソースの誤削除・誤変更を防ぎたい」	リソースロック（CanNotDelete / ReadOnly）が正解に変わる。ロックは RBAC とは別軸の制御。

関連サービスの解説

Azure Policy