Microsoft SC-900 の頻出用語をフラッシュ暗記で。概念・Entra ID・Defender/Sentinel・Purviewまで横断。
SC-900 用語ドリルに収録している語をレベル別に掲載します。ドリルでは以下の語を4択形式で出題し、正解後に意味・補足を表示します。全64語のうち代表的なものを抜粋しました。
セキュリティ/コンプライアンス/IDの概念・Microsoft Entra ID・セキュリティ製品・PurviewのSC-900頻出用語。 ※ 収録38語のうち24語を抜粋して掲載しています。
| QUESTION | 意味 | ポイント |
|---|---|---|
| 責任共有モデル（SC）Shared ResponsibilityCONCEPT | 事業者と利用者でセキュリティ責任を分ける考え方 | クラウド事業者と利用者でセキュリティ責任を分ける。SaaS/PaaS/IaaSで利用者責任の範囲が変わる。 |
| 多層防御Defense in DepthCONCEPT | 防御を何層も重ねる | 単一対策に頼らず物理〜データの各層で守る。一つ破られても他層で食い止める考え方。 |
| CIAトライアドCIA TriadCONCEPT | 機密性・完全性・可用性 | 情報セキュリティの3要素。守るべき性質の基本枠組みとして問われる。 |
| 暗号化EncryptionCONCEPT | データを読めなくする | 保存時・通信時のデータを鍵で保護する。対称鍵と公開鍵の違いも押さえる。 |
| 認証（AuthN）AuthenticationIDENTITY | （本人かどうかの確認）名乗った利用者が本人であることを検証する処理 | 「誰であるか」を確認する。パスワードやMFAで本人性を検証する。 |
| 認可（AuthZ）AuthorizationIDENTITY | 権限付与 | 「何ができるか」を決める。認証の後に行われ、両者を区別するのが頻出論点。 |
| シングルサインオン（SSO）Single Sign-OnIDENTITY | 一度の認証で複数利用 | 1回のログインで複数アプリを使える仕組み。利便性と管理性を高める。 |
| 条件付きアクセス（SC）Conditional AccessIDENTITY | 文脈で動的に制御 | 場所・デバイス・リスクに応じアクセス可否を判断する。ゼロトラストの要素。 |
| パスワードレス認証PasswordlessIDENTITY | パスワードを使わない認証 | 生体やセキュリティキーで認証する。フィッシング耐性が高い。 |
| Microsoft SentinelMicrosoft SentinelSECURITY | クラウドネイティブSIEM/SOAR | ログを集約し脅威を検知・自動対応する。SIEMとSOARを兼ねる。 |
| SIEMSIEMSECURITY | ログ集約と相関分析 | 各所のログを集め脅威の兆候を相関分析する。検知の中核。 |
| Microsoft Defender XDRDefender XDRSECURITY | 横断的な脅威防御 | 端末・メール・ID・アプリを横断して検知・対応する統合防御。 |
| Microsoft PurviewMicrosoft PurviewCOMPLIANCE | データガバナンス基盤 | データの分類・保護・統制を担う。コンプライアンス機能の中核。 |
| 機密ラベルSensitivity LabelCOMPLIANCE | 文書に機密度を付与 | 社外秘等のラベルで暗号化や閲覧制限を適用する。情報保護の基本。 |
| 保持ポリシーRetention PolicyCOMPLIANCE | （個別ルールとして）保持期間と期限後の削除を定める設定 | データを一定期間保持し、期限後に削除する。法令対応に使う。 |
| データ分類Data ClassificationCOMPLIANCE | データを種類で分ける | 機密度に応じデータを分類し保護方針を決める。ラベル付けの前提。 |
| 鍵管理Key ManagementCONCEPT | 暗号鍵を安全に扱う | 鍵の生成・保管・ローテーションを管理する。暗号化の前提となる考え方。 |
| データ保護の原則Data ProtectionCONCEPT | 保存時・通信時・使用時の各段階で守る原則 | 保存時・通信時・使用時の各段階で保護する。多層での保護が基本。 |
| トークンTokenIDENTITY | 認証・認可の証明 | 認証後に発行され、アクセス時に本人性や権限を示す。セッションの基礎になる。 |
| OpenID ConnectOIDCIDENTITY | OAuth上の認証層 | OAuth 2.0に認証を加えた仕組み。サインインで広く使われる。 |
| アイデンティティガバナンスIdentity GovernanceIDENTITY | IDのライフサイクルを統制 | 付与・棚卸・失効を管理し過剰な権限を防ぐ。最小権限を保つ。 |
| Defender for Office 365Defender for Office 365SECURITY | メール/共同作業の防御 | フィッシングや悪性添付からメール等を守る。攻撃の入口を塞ぐ。 |
| Defender for Cloud AppsDefender for Cloud AppsSECURITY | SaaS利用の可視化と制御 | クラウドアプリの利用を監視し制御するCASB。シャドーITを抑える。 |
| 情報バリアInformation BarriersCOMPLIANCE | 部門間の情報遮断 | 利益相反の部門間で通信や共有を制限する。コンプラ要件に対応する。 |
セキュリティ・コンプライアンスの発展用語。 ※ 収録26語のうち24語を抜粋して掲載しています。
| QUESTION | 意味 | ポイント |
|---|---|---|
| コンプライアンスの概念ComplianceCONCEPT | 規制・基準への準拠 | GDPR等の法規制や業界基準に従うこと。データ保護の前提になる。 |
| データレジデンシーData ResidencyCONCEPT | データの保存地 | データを保管する国・地域。法令や契約で所在が制約される。 |
| データ主権Data SovereigntyCONCEPT | データに及ぶ法管轄 | 保存先の国の法律がデータに適用される考え方。越境移転で論点になる。 |
| フェデレーション（SC）FederationIDENTITY | 外部IDと信頼連携 | 別組織やIdPと信頼関係を結び認証を委ねる。外部IDでのログインに使う。 |
| Entra ID ProtectionIdentity ProtectionIDENTITY | IDリスクを検知・対処 | サインインリスクを検知し自動対処する。不正アクセスを抑える。 |
| 特権ID管理（PIM）Privileged Identity MgmtIDENTITY | 特権を必要時のみ付与 | 管理者権限を期限付き・承認制で与える。常時特権のリスクを減らす。 |
| セルフサービスパスワードリセットSSPRIDENTITY | 利用者自身で再設定 | ユーザーが自分でパスワードを再設定できる。管理負担を減らす。 |
| 外部ID（B2B/B2C）External IdentitiesIDENTITY | 社外ユーザーの管理 | 取引先との協業(B2B)や顧客(CIAM)のIDを管理する仕組み。現行名はMicrosoft Entra External ID（旧Azure AD B2Cは新規提供終了）。 |
| Microsoft Defender for EndpointDefender for EndpointSECURITY | 端末の脅威対策（EDR） | 端末の不審な挙動を検知・対応する。XDRの端末部分を担う。 |
| Azure DDoS ProtectionDDoS ProtectionSECURITY | DDoS攻撃から守る | 大量トラフィック攻撃を緩和する。可用性を守る。 |
| Azure Firewall（SC）Azure FirewallSECURITY | ネットワーク境界防御 | マネージドなファイアウォールで通信を制御する。境界を守る。 |
| インサイダーリスク管理Insider Risk MgmtCOMPLIANCE | 内部不正を検知 | 社内ユーザーの不審な操作を検知し対応する。情報持ち出しを抑える。 |
| コンプライアンスマネージャーCompliance ManagerCOMPLIANCE | 準拠状況を管理 | 規制への準拠度を評価し改善アクションを示す。コンプライアンススコアで可視化する。 |
| 監査（Audit）AuditCOMPLIANCE | 操作を記録・追跡 | 誰が何をしたかを記録し調査に使う。コンプラと不正検知の基盤。 |
| サービストラストポータルService Trust PortalCOMPLIANCE | Microsoftの準拠情報 | Microsoftの監査報告や準拠証明を提供する場。顧客の確認に使う。 |
| GDPRGDPRCONCEPT | EUの個人データ保護規則 | 個人データの取扱いを厳格に定める。コンプライアンスの代表例として問われる。 |
| リスクの低減Risk MitigationCONCEPT | 脅威の影響を下げる | 対策により被害の可能性や規模を減らす。ゼロにはできない前提で考える。 |
| SAMLSAMLIDENTITY | SSOの認証標準 | XMLベースで認証情報を連携する。企業のSSOで使われる。 |
| アクセスレビューAccess ReviewIDENTITY | 権限を定期点検する | 付与済みアクセスを定期的に見直し不要分を除く。過剰権限を抑える。 |
| 認証方法Authentication MethodsIDENTITY | 本人確認の手段 | パスワード・生体・トークンなど。MFAでは複数を組み合わせる。 |
| Entra ID プランEntra ID PlansIDENTITY | 無料/P1/P2の機能差 | 上位プランで条件付きアクセスやPIM等が使える。機能と価格の対応が問われる。 |
| 攻撃シミュレーション訓練Attack SimulationSECURITY | 疑似攻撃で訓練する | 模擬フィッシングで従業員の耐性を測り教育する。人的対策に使う。 |
| セキュリティアラートSecurity AlertSECURITY | 脅威の通知 | 検知された脅威を通知し対応を促す。Defender/Sentinelが発する。 |
| 顧客ロックボックスCustomer LockboxCOMPLIANCE | MS技術者のアクセス承認 | サポート時のMicrosoftによるデータアクセスを顧客が承認制にする。 |
上記は収録内容の抜粋です。全64語はドリルを開始すると順に出題されます。
Microsoft の入門資格 SC-900（Security, Compliance, and Identity Fundamentals） で問われる頻出用語を、セキュリティ/コンプライアンス/IDの概念・Microsoft Entra ID・Microsoftセキュリティソリューション・Microsoft Purview の分野からまとめています。試験勉強の用語基盤づくりと、公式ラーニングの合間の復習補助を想定しています。
ゼロトラストやクラウドセキュリティの需要増で、SC-900は非エンジニアにも人気の入門資格です。用語を押さえれば短期間で合格圏に届きます。
SC-900はファンダメンタルズ（入門）レベルです。セキュリティ・コンプライアンス・IDの基本概念、Microsoft Entra IDによるID管理、Microsoft DefenderやSentinelによる脅威対策、Microsoft Purviewによるデータガバナンスを、広く浅く問います。用語の即答化が学習効率を大きく左右します。
本ドリルでゼロトラスト・多層防御・認証/認可を地固めし、Microsoft Entra IDの役割を押さえます。
Defender・Sentinel・Purviewの守備範囲を区別し、Microsoft Learnの無料ラーニングで補強します。
模擬問題で出題形式に慣れ、苦手な用語を周回して受験します。
用語の土台ができたら、SC-900は模試形式で短期に仕上げる段階です。
SC-900は広く浅い出題のため、動画で全体像を通し、模試で製品の守備範囲の取り違えを潰す流れが最短です。非エンジニアでも数週間で合格圏に届きます。Udemyは年に何度もセールを開催しており、セール中は多くの講座が数千円台になります。
Udemyで講座・模試を見る →Security, Compliance, and Identity Fundamentals（SC-900）は、セキュリティとIDの基礎概念とMicrosoftの製品群を問う入門資格です。製品名より先に、認証と認可・ゼロトラストといった概念の正確な区別が問われます。セキュリティの会話に入る前の共通語彙です。
認証（Authentication）と認可（Authorization）、Entra IDとAD DS、DefenderとSentinelとPurview、多要素認証と条件付きアクセス、暗号化（保存時と転送時）。
同じFundamentalsでも守備範囲は別物です。AZ-900がAzureというクラウド基盤の全体像を扱うのに対し、SC-900はセキュリティ・コンプライアンス・ID管理という「守り」の概念に特化しています。インフラに進むならAZ-900から、セキュリティ職や情シスの管理業務に進むならSC-900からで構いません。両方とも受験前提資格は無く、順番は自由です。
2枚とも取ると、AzureのリソースをEntra IDでどう守るかという実務の全体像が見え、上位資格（SC-200など）への接続が滑らかになります。
SC-900の出題を貫く思想はゼロトラスト（「決して信頼せず、常に検証する」）です。多要素認証、条件付きアクセス、最小特権、といった原則の用語群と、それを実装するEntra ID（旧Azure AD）の機能名がセットで問われます。旧名称Azure ADとの読み替えも頻出のひっかけどころなので、新旧両方の名前で想起できるようにしておくと安全です。
コンプライアンス側ではMicrosoft Purviewの情報保護・データガバナンス系の用語が中心。製品名と役割の対応を4択で反復するこのドリルの形式が、そのまま本番の問われ方に一致します。
SC-900は操作手順や設定値を問わない概念中心の試験のため、営業・企画・監査など非エンジニア職の受験者も多い資格です。カタカナと英略語の壁さえ越えれば、実装経験ゼロでも合格ラインに届きます。その壁を越える最短手段が用語の反復です。1セット20問を毎日回し、忘却曲線に合わせて間違えた語だけ翌日再挑戦する使い方が効率的です。