SC-500のサンプル問題（本番形式・解説付き）

解説

eligible と active の違いは「常時は要らない」という一点だけで、アクティブ化した後の権限は permanent active とまったく同じです。activated のユーザーはあらかじめ構成された期間だけロールを使え、その後は再アクティブ化が必要になります。承認は Require approval to activate で挟めますが、承認者が操作を個別に選ぶ仕組みではありません。読み取りだけに縮む仕組みもなく、eligible にしたことで権限そのものが弱くなることもありません。期間についても、アクティブ化の時間はユーザーが管理者の構成した最大時間の範囲内で選びます。

解説

Azure リソース ロールの PIM 割り当てを管理できるのは、サブスクリプション管理者、リソースの Owner、または User Access Administrator です。Privileged Role Administrator と Global Administrator が管理できるのは Microsoft Entra roles の割り当てで、Azure リソース ロールとは別の権限体系です。Security Administrator と Security Reader は既定では Azure リソース ロールの割り当てを参照することもできません。Conditional Access Administrator と Global Reader も、Azure リソース ロールの PIM 割り当てを構成する権限を持ちません。

解説

PIM のロール設定はロールごと・リソースごとに定義され、上位レベルで構成した設定は下位レベルに継承されません。したがってリソース グループ側でも個別に Require approval to activate を構成する必要があります（構成には Owner または User Access Administrator が必要です）。継承されるという説明は本文の記述と反対です。割り当てを上位に統合する対応は、リソース グループ スコープに絞った割り当てを捨てることになり、承認を挟む要件も満たしません。Conditional Access authentication context は昇格時の再認証を求める設定で、承認者による承認の代わりにはなりません。

解説

Activation maximum duration は 1〜24 時間の範囲で指定します。30 分から 8 時間、1 時間から 72 時間、12 時間から 90 日は、いずれも本文が示す範囲と異なります。なお 7〜90 日という範囲は Key Vault の soft-delete の保持期間の値であって、PIM のアクティブ化の最大時間ではありません。

解説

承認者は対象のロールを持っている必要がありません。最低1名の指定が必須で、2名以上が推奨されます。既定の承認者は存在しないため、指定しなければ Global Administrator が承認する、あるいは自動的に承認されるという動作にはなりません。承認者にロールの保有を求める記述も、承認者はロールを持っている必要はないという本文の記述と食い違います。