SC-300のサンプル問題（本番形式・解説付き）

解説

Microsoft Entra roles は Microsoft Graph API 経由で扱う Microsoft Entra ID のリソース(users、groups、applications)を対象とし、仮想マシンやストレージ アカウントなどの Azure リソースは Azure roles(Azure RBAC)が Azure Resource Manager 経由で制御します。したがって User Administrator で仮想マシンを作成できないのは仕様どおりです。administrative unit のスコープの問題ではありません ── テナント スコープで割り当てても Azure リソースには及びません。Microsoft Entra ロールのアクセス許可を Azure カスタムロールに入れることはできず、逆も同じなので、流用の反映待ちという状態は存在しません。P1 ライセンスの追加でも系統の違いは解消せず、Azure リソースの管理には Azure roles の割り当てが要ります。

解説

custom roles は、割り当てを受けるユーザーごとに Microsoft Entra ID P1 ライセンスが必要です。この場面では administrative unit を使っていないため、AU のメンバーを数えるライセンスの考え方は当てはまりません。P2 が要るのは Privileged Identity Management (PIM) による eligible 割り当てなどで、カスタムロールの定義作成が P2 の対象になるわけではありません。built-in roles の使用は無料ですが、カスタムロールは同じ扱いにならず、Microsoft Entra ID Governance はこの章では cross-tenant synchronization のグループ同期や access reviews などが対象で、カスタムロールの前提ではありません。

解説

ロールの割り当て・削除、カスタムロールの作成、administrative unit の管理、PIM の設定を行えるのは Privileged Role Administrator で、Global Administrator を渡さずにこの委任を実現できます。User Administrator はユーザーとグループの全般管理までで、ロールの割り当ては範囲外です。Privileged Authentication Administrator は管理者を含む全ユーザーの認証方法の参照・設定・リセットを行うロールで、ロール割り当ての権限ではありません。Attribute Definition Administrator は custom security attributes の attribute set と属性定義を管理するロールです。

解説

Privileged Authentication Administrator は、管理者を含む全ユーザーの認証方法の参照・設定・リセットができるロールで、Global Administrator の MFA をリセットしたい場面の正解です。Authentication Administrator は administrative unit スコープにも割り当てられますが、対象は非管理者に限られ、管理者ロールを持つユーザーの認証方法は扱えません。Helpdesk Administrator も対象は非管理者のパスワード リセットまでです。User Administrator はユーザーとグループの全般管理と限定管理者のパスワード リセットまでで、Global Administrator の認証方法には届きません。

解説

role-assignable group は作成時に「Microsoft Entra ロールにこのグループを割り当てることができる」を有効にする必要があり、後から変更できません。既存のセキュリティ グループが一覧に出てこないのは仕様で、新規に作り直すのが正解です。動的メンバーシップは role-assignable group では使えない設計なので、動的ユーザーへ変更しても割り当て先にはなりません。作成後にプロパティで切り替えることはできず、所有者を変えてもグループの種別は変わりません。