AZ-500の難易度｜Azureのセキュリティの認定に必要な知識と準備

AZ-500の難易度を調べている人は、Azureのセキュリティの認定を取りたい、あるいは今の仕事でセキュリティの担当を任されて、知識を体系的に身につけたいと考えているはずです。ただ、最初に必ず知っておいてほしい事実があります。Microsoftの公式の認定のページによると、AZ-500の試験と、その試験で取れる「Microsoft 認定: Azure セキュリティ エンジニア アソシエイト」は、2026年8月31日に廃止されました。この日以降、この認定を新しく取ることも、更新することもできません。後継として、Microsoftは「Microsoft 認定: クラウドおよび AI セキュリティ エンジニア アソシエイト」（試験SC-500）を用意しています。この記事では、AZ-500が難しいとされてきた理由、後継のSC-500の出題範囲と合格点、必要な前提の知識、勉強の進め方までを、Microsoftの公式の案内をもとに整理します。

AZ-500の現状を正しく知る

AZ-500について調べると、勉強法や合格の体験談がたくさん見つかります。その多くは、廃止の前に書かれたものです。まずは、今の状況を公式の情報で確かめておきます。

認定と試験は2026年8月31日に廃止された

Microsoft Learnの認定のページには、次の警告が表示されています。

この認定、関連試験、更新の評価は、2026 年 8 月 31 日に廃止されました。 この日以降、この認定資格を取得または更新することはできません。 出典: learn.microsoft.com

つまり、2026年10月の今からAZ-500を受けることはできません。AZ-500の勉強の計画を立てていた人は、後継の試験に切り替える必要があります。

すでに持っている人の認定はどうなるか

Microsoftの公式のブログでは、廃止される認定をすでに取っている人について、認定は有効期限まで有効で、記録にも残ると説明されています。廃止によって、取得済みの認定が取り消されたり無効になったりすることはありません。ただし、廃止の日を過ぎると更新の評価も受けられなくなるため、有効期限が来れば認定は失効します。

後継はSC-500

同じブログでは、2026年に廃止される認定と、その後継の認定が一覧で示されています。AZ-500の後継は、クラウドおよび AI セキュリティ エンジニア アソシエイト（試験SC-500）です。ブログには、廃止される試験の受験の予約をまだしていない人は、新しい試験の準備をして受けるよう強く勧めると書かれています。

同じ時期に入れ替わった主な認定

2026年は、Microsoftの認定が大きく入れ替わった年です。公式のブログに載っている主な入れ替わりを整理します。

廃止された認定（試験）	廃止日	後継の認定（試験）
Azure Data Scientist Associate（DP-100）	2026年6月1日	Machine Learning Operations Engineer Associate（AI-300）
Azure AI Fundamentals（AI-900）	2026年6月30日	Azure AI Fundamentals（AI-901）
Azure AI Engineer Associate（AI-102）	2026年6月30日	Azure AI Apps and Agents Developer Associate（AI-103）
Azure Developer Associate（AZ-204）	2026年7月31日	Azure AI Cloud Developer Associate（AI-200）
Azure Security Engineer Associate（AZ-500）	2026年8月31日	Cloud and AI Security Engineer Associate（SC-500）

AIを組み込んだシステムが広がる流れに合わせて、セキュリティの認定にもAIのシステムの保護が加わったことが、今回の入れ替わりの大きな特徴です。

AZ-500が難しいとされてきた理由

AZ-500はもう受けられませんが、なぜ難しいとされてきたのかを知っておくことは、後継のSC-500の準備にも役立ちます。範囲の考え方の多くが引き継がれているからです。

中級の試験の中でも範囲が広い

AZ-500は、Microsoftの認定の段階でいえば中級（アソシエイト）の試験でした。それでも難しいと感じる人が多かったのは、範囲の広さが理由です。プログラミングスクールを運営する会社のブログでは、次のように書かれています。

AZ500試験は、AZの試験の中でも中級レベルに位置する難易度です。試験範囲が広く、出題される内容も難しいため、準備不足だと合格は難しいでしょう。 出典: raretech.site

公式のページによると、AZ-500で評価されていたのは、IDとアクセスの保護、ネットワークの保護、コンピューティングとストレージとデータベースの保護、Microsoft Defender for CloudとMicrosoft Sentinelを使ったAzureの保護の4つの分野でした。どれか1つの分野に詳しいだけでは足りず、Azureの全体を横断する知識が求められました。

セキュリティ以外の前提の知識が必要

公式のページでは、受験者が持っているべきものとして、Azureとハイブリッドの環境の管理の実務の経験と、Microsoft Entra IDに加え、Azureのコンピューティング、ネットワーク、ストレージに関する深い知識が挙げられていました。Microsoft Entra IDとは、利用者のアカウントとサインインを管理するMicrosoftの仕組みのことで、以前はAzure Active Directoryと呼ばれていました。

セキュリティの設定は、守る対象の仕組みを理解していないと正しく行えません。ネットワークの通信を制限するには、ネットワークの構成を知っている必要があります。データベースを暗号化するには、データベースの仕組みを知っている必要があります。この前提の広さが、AZ-500を難しく感じさせる大きな理由でした。

製品の名前と画面がよく変わる

Microsoftのセキュリティの製品は、名前や画面がたびたび変わってきました。Azure Active DirectoryがMicrosoft Entra IDに、Azure Security CenterがMicrosoft Defender for Cloudに、といった具合です。古い教材と新しい画面の違いに戸惑うことも、勉強を難しくする要因になっていました。

経験者は短い時間で合格することもあった

一方で、Azureの経験が豊富な人にとっては、それほど長い勉強の時間が必要ない試験でもありました。Azureの複数の認定を持つ人のブログでは、勉強時間は40時間で、前提の知識として、AI-900、AZ-900、AZ-104、AZ-305、AZ-204、AZ-400を取得済みだったと書かれています。難易度の感じ方は、それまでにどれだけAzureに触れてきたかで大きく変わります。

後継のSC-500はどんな試験か

ここからは、これから受ける人の対象になるSC-500について、公式の案内をもとに整理します。

認定の目的

Microsoft Learnの認定のページでは、クラウドおよび AI セキュリティ エンジニア アソシエイトは、ID、データ、アプリケーション、インフラストラクチャを保護し、規制のコンプライアンスを維持するために、Azure、ハイブリッド、AIに対応した環境の全体で、セキュリティの制御を設計、実装、管理する能力を検証する認定だと説明されています。コンプライアンスとは、法律や業界の基準、組織の決まりを守ることです。

試験の基本の情報

公式のページと学習ガイドに載っている情報を表にします。

項目	内容
認定の名前	Microsoft 認定: クラウドおよび AI セキュリティ エンジニア アソシエイト
試験	SC-500
レベル	中級
試験時間	120分
合格点	700以上
言語	英語、日本語、簡体中国語、繁体中国語、韓国語、ドイツ語、フランス語、イタリア語、ポルトガル語（ブラジル）、スペイン語
受験	Pearson VUEで予約。監督官のいる試験

試験時間は 120分 で、日本語でも受けられます。公式のページには、試験の一部として対話型の課題を完了しなければならない場合があるとも書かれています。受験料は国や地域によって変わるため、予約の画面で確かめてください。

出題の4つの分野

SC-500の学習ガイドでは、出題のスキルが4つの分野に分けられています。

分野	配分
ID、アクセス、ガバナンスの管理	20から25%
ストレージ、データベース、ネットワークのセキュリティ	25から30%
コンピューティングのセキュリティ	20から25%
セキュリティ体制の管理と監視	20から25%

AZ-500の4つの分野と見比べると、ID、ネットワーク、コンピューティング、データ、監視という大きな柱は引き継がれています。そのうえで、SC-500では「AIのセキュリティを実装する」ことがコンピューティングの分野に加わり、SharePointの中のデータの過剰な露出を見つけるといった、AIのシステムが使うデータの保護まで範囲が広がっています。ガバナンスとは、組織の中で決まりを定め、それが守られているかを確かめる仕組みのことです。

受験者に求められる経験

公式のページには、この試験では、コンピューティング、ネットワーク、ストレージなど、Azureとハイブリッドの環境の管理に関する実践的な経験が必要で、Microsoft Entra IDに関する深い知識と、Microsoft 365の管理に関する知識が必要だと書かれています。AZ-500と比べて、Microsoft 365の知識が明記されている点が目を引きます。

練習の評価はまだ用意されていない

公式のページには、2026年10月の時点で、この試験の練習の評価（無料の模擬問題）はまだ利用できないと書かれています。練習の評価は通常、試験がベータ版を終えて一般公開となってから8週間後までに用意されると案内されています。そのかわり、試験の画面を体験できる試験サンドボックスは用意されています。

AZ-500の勉強を進めていた人の切り替え方

廃止の前からAZ-500の勉強を進めていた人は、それまでの勉強が無駄になったと感じるかもしれません。実際には、学んだことの多くはSC-500でもそのまま使えます。切り替えるときの進め方を整理します。

重なる範囲を確かめる

まず、AZ-500で学んだ分野と、SC-500の学習ガイドのスキルを並べて、重なる部分に印を付けます。IDの管理、ネットワークの保護、ストレージとデータベースの保護、Defender for Cloudでの体制の管理は、どちらにも含まれています。この部分は、復習しながら今の製品の名前と画面を確かめ直すだけで足ります。

新しく加わった範囲に時間を使う

次に、SC-500で新しく加わった範囲、特にAIのセキュリティと、Microsoft 365の管理に関わる部分に時間を使います。AIのシステムが使うデータが、本来見せるべきでない人に見えていないかを確かめる、といった考え方は、AZ-500にはなかった視点です。

使っていた問題集の扱い

AZ-500のための問題集や、自分で作った問題の一覧は、重なる範囲の復習には使えます。ただし、古い製品の名前や設定の画面が前提になっている問題もあるので、答えをそのまま覚えるのではなく、今の公式のドキュメントで確かめ直しながら使います。

SC-500の難易度をどう見るか

SC-500は新しい試験なので、合格率などの公式の数字は公開されていません。難易度は、試験の範囲と、求められる前提の知識から考えるのが現実的です。

AZ-500より範囲は広い

SC-500は、AZ-500の範囲を引き継いだうえで、AIのシステムの保護とMicrosoft 365の知識が加わっています。範囲の広さという点では、AZ-500よりも難しく感じる人が多いはずです。

新しい試験ならではの難しさ

試験が新しいうちは、市販の問題集や、合格者の体験談がまだ少ない状態です。勉強の材料は、Microsoft Learnの公式のコースと学習ガイドが中心になります。公式の材料だけで勉強を進める力が求められる点も、新しい試験ならではの難しさです。

経験の有無で難しさが大きく変わる

AzureやMicrosoft 365を日常的に管理している人にとっては、範囲の多くが普段の仕事の延長になります。一方、Azureに触れた経験が少ない人にとっては、セキュリティの知識以前に、守る対象の仕組みから学ぶ必要があり、勉強の時間は大きく増えます。

立場別の難しさの目安

立場	難しさの目安
Azureの管理を日常的に担い、AZ-104などを持っている人	範囲の多くが仕事の延長。AIのセキュリティを中心に補えば届きやすい
AzureではなくAWSなどのクラウドの経験がある人	考え方は共通する部分が多いが、Microsoftの製品の名前と画面を一から覚える必要がある
クラウドの経験がほとんどない人	前提の知識から学ぶ必要があり、基礎の試験から段階を踏むほうが近道

前提の知識を身につける順番

SC-500に向けて、どの順番で知識を積み上げるとよいかを整理します。

段階1：クラウドとAzureの基礎

Azureに触れた経験が少ない人は、まずAzureの基礎を学びます。Microsoftには、Azureの基礎を問うAZ-900（Azure Fundamentals）があります。基礎の認定は期限切れにならないと、Microsoftの更新のページに書かれています。受けるかどうかは別にして、AZ-900の範囲を学ぶと、クラウドの基本の用語とAzureの全体像がつかめます。

段階2：Azureの管理の実務

次に、Azureの仮想マシン、ネットワーク、ストレージを実際に作り、管理する経験を積みます。Azureの管理者を対象にしたAZ-104（Azure Administrator）の範囲は、SC-500で守る対象のほとんどを含んでいます。AZ-104の受験の可否と範囲は、受ける前にMicrosoft Learnのページで最新の状態を確かめてください。

段階3：IDの管理

SC-500では、Microsoft Entra IDに関する深い知識が求められます。利用者とグループの管理、条件付きのアクセス、多要素認証、特権のある役割を必要なときだけ与える仕組み（Privileged Identity Management）などを、実際に設定しながら学びます。多要素認証とは、パスワードに加えて、スマートフォンへの通知などもう1つの方法で本人を確かめる仕組みのことです。

段階4：セキュリティの製品

最後に、Microsoft Defender for Cloud、Microsoft Sentinel、Azure Key Vaultなどのセキュリティの製品と、AIのシステムの保護を学びます。Azure Key Vaultとは、パスワードや暗号化の鍵、証明書を安全に保管する仕組みのことです。

試験の土台になるセキュリティの考え方

SC-500の範囲は広いですが、その根っこにはいくつかの共通の考え方があります。個々の製品の設定を覚える前に、この考え方を押さえておくと、初めて見る問題でも答えの方向が見えやすくなります。

最小権限

最小権限とは、利用者やプログラムに、仕事に必要な最小の権限だけを与える考え方です。管理者の権限を常に持たせておくと、そのアカウントが乗っ取られたときの被害が大きくなります。必要なときだけ権限を与え、使い終えたら外す仕組みは、この考え方を形にしたものです。

多層防御

多層防御とは、1つの守りが破られても次の守りで止められるよう、いくつもの層で守る考え方です。IDの保護、ネットワークの制限、データの暗号化、監視をそれぞれ用意しておくと、どこか1か所に穴があっても被害を小さくできます。SC-500のコースの名前にも、多層防御という言葉が使われています。

ゼロトラスト

ゼロトラストとは、社内のネットワークの中にいるから安全、とは考えず、すべてのアクセスを毎回確かめる考え方です。在宅で働く人や、外出先から仕事をする人が増えた今、会社のネットワークの内と外で守りを分ける考え方だけでは足りなくなっています。誰が、どの端末から、どんな条件でアクセスしているかを確かめたうえで許可する仕組みは、この考え方に基づいています。

秘密の情報を分けて保管する

パスワードや接続の文字列、暗号化の鍵を、プログラムのコードや設定のファイルに直接書かないことも、基本の考え方の1つです。専用の保管庫に分けて保管し、必要なプログラムだけが読めるようにしておくと、コードが外に漏れても秘密の情報までは漏れにくくなります。

勉強でつまずきやすい点

Azureのセキュリティの勉強では、多くの人が同じような場所でつまずきます。あらかじめ知っておくと、時間の無駄を減らせます。

似た名前の製品の違い

Microsoftのセキュリティの製品には、Defenderという名前の付くものが多くあります。どの製品が何を守るのかを表にして、守る対象（ID、端末、クラウド、メール、データなど）と結びつけて覚えると混乱が減ります。

古い教材の画面

インターネット上の解説やAZ-500の時代の教材には、古い製品の名前や画面が残っていることがあります。勉強のときは、Microsoft Learnの公式のドキュメントで、今の名前と画面を確かめる習慣をつけておきます。

権限の範囲の考え方

Azureでは、権限をどの範囲（管理グループ、サブスクリプション、リソースグループ、個々の資源）に与えるかで、効き方が変わります。上の範囲で与えた権限は下の範囲にも引き継がれます。図に描いて確かめると、問題文の条件を読み取りやすくなります。

SC-500の勉強の進め方

ここからは、SC-500に向けた具体的な勉強の進め方を、手順で整理します。

手順1：学習ガイドを読む

最初に、SC-500の学習ガイドを読み、4つの分野のスキルを1つずつ確かめます。学習ガイドは、どんな知識が問われるかの地図です。自分が実務で触れたことのあるスキルと、触れたことのないスキルに印を付けておくと、勉強の重点が見えてきます。

手順2：Microsoft Learnのコースを進める

公式の認定のページには、試験の準備のためのコースが用意されています。2026年10月の時点では、Microsoft Entraを使ったアクセスの保護、Azure Key Vaultの保護、セキュリティのガバナンスと規制のコンプライアンス、Azure Storageのセキュリティ、Azure SQL データベースのセキュリティ、Azureのネットワークのセキュリティ、AIのセキュリティといったラーニングパスが並んでいます。AIのセキュリティのラーニングパスは、表示の上で 3時間59分 と、最も長いものの1つです。新しく加わった分野なので、時間をかけて学ぶ価値があります。

手順3：実際の環境で手を動かす

セキュリティの設定は、読むだけでは身につきません。Azureの試用の環境や、勤め先が用意した検証用の環境で、実際に設定を試します。たとえば、次のような流れで1つの小さな環境を守る練習をすると、4つの分野にまんべんなく触れられます。

• 仮想マシンとストレージとデータベースを1つずつ作る
• Microsoft Entra IDで、管理者と一般の利用者の権限を分ける
• ネットワークの通信を、必要なものだけに制限する
• データベースの接続の文字列や鍵を、Azure Key Vaultに保管する
• Microsoft Defender for Cloudで、推奨される設定を確かめて対応する

検証の環境を作るときは、料金がかかる資源を使い終えたら削除し、本番の環境では試さないようにします。

手順4：試験サンドボックスで画面に慣れる

公式の試験サンドボックスでは、本番と同じ画面で、さまざまな種類の問題の操作を体験できます。試験の一部に対話型の課題が含まれる場合があるので、画面の操作に事前に慣れておくと、本番で落ち着いて取り組めます。

手順5：練習の評価が出たら仕上がりを確かめる

練習の評価が公開されたら、本番の前に必ず解いて、仕上がりを確かめます。間違えた問題は、Microsoft Learnのドキュメントで、なぜその答えになるのかを確かめ直します。

勉強の時間の目安

SC-500は新しい試験で、公式に勉強の時間の目安は示されていません。参考になるのは、AZ-500の経験者の声です。Azureの複数の認定を持つ人は、AZ-500の勉強時間を40時間と書いていました。SC-500は範囲が広がっているので、Azureの経験が豊富な人でも、それ以上の時間を見ておくのが無難です。Azureの経験が少ない人は、前提の知識の勉強も含めて、数か月の計画を立てておくと無理がありません。

受験の手続きと、不合格だったとき

勉強の中身とは別に、受験の手続きで知っておきたい点を整理します。

個人のアカウントで登録する

公式のページでは、試験の登録には個人のMicrosoftアカウントを使うことが強く勧められています。勤め先や学校のアカウントで登録すると、その組織を離れたときに試験の記録が失われ、取り戻せないと書かれています。転職や独立を考えている人は、特に注意が必要です。

再受験のルール

公式のページによると、1回目の試験に合格できなかった場合、24時間後に再受験できます。2回目以降の再受験までの間隔は変わるので、詳しくは試験の再受験のポリシーで確かめてください。

合格したあとの更新

Microsoftの役割ベースの認定は、毎年の更新が必要です。更新のページによると、有効期限の前の6か月の間に、Microsoft Learnで無料のオンラインの評価を受けて合格すると、有効期限が1年延びます。評価は元の試験より短く、資料を見ながら受けられる形です。セキュリティの製品は更新が早いので、毎年の更新は、新しい機能を学び直す機会にもなります。

資格を仕事にどう生かすか

資格を取ったあと、それを仕事にどう結びつけるかを考えておくと、勉強の目的がはっきりします。

セキュリティの仕事の広がり

クラウドとAIのシステムが広がるにつれ、それを安全に使うための仕事も増えています。クラウドの設定の見直し、アクセスの権限の整理、ログの監視の仕組みづくりなど、仕事の種類はさまざまです。AI・マーケティング・セキュリティのお仕事 では、セキュリティの診断やAIの活用などの仕事の種類と、求められる経験がまとめられています。

開発の仕事と組み合わせる

アプリケーションを作る人がセキュリティの知識を持っていると、作る段階から安全な設計を組み込めます。アプリケーション開発のお仕事 では、業務のアプリやWebのサービスの開発の仕事の種類が紹介されていて、セキュリティの知識をどの場面で生かせるかを考える材料になります。

ネットワークの知識を補う

クラウドのセキュリティは、ネットワークの知識が土台になります。ネットワークの基礎を体系的に学びたい人には、CCNA（シスコ技術者認定） が選択肢になります。ネットワークの仕組みと設定の基本を問う認定で、クラウドのネットワークのセキュリティを理解する助けになります。

国家資格と組み合わせる

ベンダーの認定は、特定の製品の知識を示すものです。セキュリティの考え方を製品に依存しない形で示したい人は、国家資格の情報処理安全確保支援士と組み合わせる道もあります。情報処理安全確保支援士のメリットと難易度｜セキュリティのプロへの最短ルート【2026年版】 では、この国家資格の役割と難しさ、取るメリットが整理されています。IT資格の全体の中での位置づけを見たい人には、IT資格難易度ランキング2026｜年収アップに直結する資格トップ20 が参考になります。

セキュリティの仕事を長く見てきて分かること

在宅ワークとフリーランスの仲介を2004年から続けてきた運営者の立場から見ると、セキュリティの分野で長く信頼されている人には共通点があります。資格の名前より、変化に追いつき続ける習慣を持っていることです。AZ-500の廃止のように、認定そのものが数年で入れ替わることは珍しくありません。製品の名前も画面も変わります。その中で、公式の情報を自分で確かめ、学び直すことを苦にしない人ほど、依頼する側から長く頼りにされています。

また、セキュリティの仕事は、依頼する側に「何が危なくて、何をすれば防げるのか」を分かる言葉で伝えられるかどうかで評価が変わります。専門の用語を並べるより、具体的な危険と対策を順番に説明できる人ほど、次の相談を任されます。仲介の手数料がかからない直接の取引なら、依頼する側は同じ予算でより多くの対策を頼め、受ける側の手取りも厚くなります。分かりやすく説明する力は、その関係を長く続けるための土台になります。

AZ-500は2026年8月31日に廃止され、今から受けることはできません。Azureのセキュリティの認定を目指すなら、後継のSC-500の学習ガイドに沿って準備を進めてください。試験の内容や受験料、練習の評価の公開の時期は変わることがあるので、申し込みの前にMicrosoft Learnの公式のページで最新の案内を確かめてから進めてください。

よくある質問

Q. AZ-500は今から受験できますか？

受験できません。Microsoft Learnの認定のページによると、AZ-500の試験と Azure セキュリティ エンジニア アソシエイトの認定、更新の評価は、2026年8月31日に廃止されました。この日以降は、認定を新しく取ることも更新することもできません。後継の認定は、クラウドおよび AI セキュリティ エンジニア アソシエイト（試験SC-500）です。

Q. すでに取ったAZ-500の認定は無効になりますか？

Microsoftの公式のブログでは、廃止される認定をすでに取っている人の認定は、有効期限まで有効で、記録にも残ると説明されています。廃止によって取り消されたり無効になったりすることはありません。ただし、廃止の日を過ぎると更新の評価も受けられなくなるため、有効期限が来ると失効します。引き続き認定を持ちたい場合は、後継の試験を検討してください。

Q. SC-500の合格点と試験時間を教えてください？

SC-500の学習ガイドでは、合格するには700以上のスコアが必要とされています。Microsoft Learnの認定のページでは、試験時間は120分で、日本語を含む複数の言語で受けられると案内されています。試験の一部として対話型の課題を完了する場合があるとも書かれています。受験料は国や地域で変わるので、予約の画面で確かめてください。

Q. Azureの経験がなくてもSC-500に挑戦できますか？

受験の条件はありませんが、公式のページでは、Azureとハイブリッドの環境の管理に関する実践的な経験、Microsoft Entra IDの深い知識、Microsoft 365の管理の知識が必要とされています。経験が少ない人は、Azureの基礎と管理の範囲を先に学び、実際の環境で設定を試しながら段階を踏むと、無理なく準備を進められます。