AZ-305：Designing Microsoft Azure Infrastructure Solutions ID・ガバナンス・監視ソリューションの設計 問17
ID・ガバナンス・監視ソリューションの設計／ガバナンスの設計ある企業は、多数のサブスクリプションにわたり、恒常的に高い特権（所有者など）を持つアカウントを減らしたい。管理者が必要なときだけ、承認と時間制限付きで特権ロールを有効化できるようにしたい。最も適した設計はどれか。
当サイトのオリジナル問題（AZ-305：Designing Microsoft Azure Infrastructure Solutionsの出題範囲「ID・ガバナンス・監視ソリューションの設計」に対応。実際の試験問題ではありません）
- A最小権限のロール割り当てを基本とし、特権ロールは Privileged Identity Management（PIM）で必要時のみ時間制限・承認付きで有効化する
- B全管理者に所有者ロールを恒久的に割り当てる
- C管理者アカウントを共有して使い回す
- DMicrosoft Entra のアクセスレビューで定期的に棚卸しする
正解：A
解説
Privileged Identity Management（PIM）は、特権ロールを恒久付与せず、必要なときだけ承認・時間制限・MFA付きで有効化（Just-In-Time）でき、常時特権（standing access）を削減できます。最小権限の割り当てと組み合わせるのがAZ-305の推奨設計です。恒久付与・アカウント共有・リソースロックは要件を満たしません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。常時特権を減らし必要時のみ昇格するにはPIMが適します。
- B誤り。恒久的な所有者割り当ては常時特権を増やし、要件に反します。
- C誤り。アカウント共有は監査性・セキュリティを損ないます。
- D誤り。アクセスレビューは不要なアクセスの棚卸しに役立ちますが、必要時のみ時間制限付きで特権を有効化するJITの仕組みではありません。