はじめに
AZ-104（Microsoft Azure Administrator）の学習を始めると、VM や Storage などのサービスより先に、意外と引っかかるのが Azure のリソース管理の階層 です。
Tenant、Management Group、Subscription、Resource Group……。用語だけ見ると似ていますが、それぞれ役割が違います。
特に問題演習では、次のような点で迷いやすいです。
- Resource Group と VM は同じリージョンである必要があるのか
- Management Group に何を設定すると、どこまで適用されるのか
- Resource Group と Subscription のどちらをデプロイ先に指定すべきか
- Azure RBAC の権限はどの範囲まで引き継がれるのか
今回はシリーズの Day 1 として、試験の全体像と、以降の学習で土台になる Azure の管理構造 を整理します。
細かいサービスの暗記に入る前に、まずここを押さえておくと後が楽になります。
🎯 対象読者
- AZ-104 の受験を考えている方
- Azure を触り始めたばかりの方
- Tenant / Subscription / Resource Group の違いが曖昧な方
- AWS など別のクラウド経験はあるが、Azure の管理体系を整理したい方
- 試験対策だけでなく、実際の Azure 運用にも役立つ知識を身につけたい方
📝 AZ-104 はどんな試験？
AZ-104 は、Azure 環境を構築・管理・監視する管理者向けの認定試験です。
正式には、合格することで Microsoft Certified: Azure Administrator Associate の認定取得につながります。
| 項目 | 内容 |
|---|---|
| 試験コード | AZ-104 |
| 資格名 | Microsoft Certified: Azure Administrator Associate |
| レベル | 中級（Intermediate） |
| 試験時間 | 100 分（解答に割り当てられる時間） |
| 合格基準 | 700 点以上（1,000 点満点のスケール） |
| 日本語受験 | 対応 |
| 受験料 | 国・地域により異なるため、予約画面で確認 |
| 認定の更新 | 原則 12 か月ごと。対象期間内に Microsoft Learn で無料更新可能 |
出題数は試験の構成によって変わるため、固定の問題数を前提に時間配分を決めない方がよいです。
また、用語を知っているだけでなく、「この要件ならどう設定するか」 を考える問題が重要です。
試験範囲と配点比率
2026 年 4 月 17 日版の Microsoft 公式試験ガイドでは、次の 5 分野に分かれています。
| 分野 | 比率 | 主な内容 |
|---|---|---|
| Azure ID とガバナンスの管理 | 20～25% | Entra ID、RBAC、Policy、Resource Group |
| ストレージの実装と管理 | 15～20% | Blob、Files、SAS、冗長性、ライフサイクル |
| コンピューティング リソースのデプロイと管理 | 20～25% | VM、VMSS、App Service、Container、ARM / Bicep |
| 仮想ネットワークの実装と管理 | 15～20% | VNet、NSG、Peering、DNS、Load Balancer |
| Azure リソースの監視と管理 | 10～15% | Azure Monitor、Log Analytics、Backup、Site Recovery |
こうして見ると、特定のサービスだけを集中して覚えるのではなく、Azure 全体を横断して管理できるか が問われる試験だと分かります。
個人的には、学習の最初に「サービス名」と「実際に何を管理するのか」を対応させておくのがおすすめです。
🧩 Azure の管理階層を理解する
まずは、今回いちばん重要な部分です。
Microsoft Entra Tenant（ID の管理境界）
│
└── Root Management Group
│
├── Management Group：Production
│ │
│ └── Subscription A
│ │
│ ├── Resource Group：rg-web-prod
│ │ ├── Virtual Machine
│ │ └── Storage Account
│ │
│ └── Resource Group：rg-network-prod
│ └── Virtual Network
│
└── Management Group：Development
│
└── Subscription B
│
└── Resource Group：rg-web-dev
└── App Service
Tenant は ID 管理の境界、その配下に Azure の管理スコープとして Management Group → Subscription → Resource Group → Resource が並ぶ、と考えると整理しやすいです。
① Microsoft Entra Tenant
Tenant は、ユーザー・グループ・アプリケーションなどの ID を管理する単位です。
例えば、社内のユーザーが Azure Portal にサインインする際、どの組織の ID で認証するかという話に関わります。
Tenant = ID と組織の管理基盤
ただし、Tenant の管理者だからといって、すべての Azure リソースを自動的に操作できるわけではありません。
この違いは Day 2 の Azure RBAC と Microsoft Entra ロールで詳しく整理します。
② Management Group
Management Group は、複数の Subscription をまとめて管理するための階層です。
例えば、会社に本番用と開発用の Subscription が複数ある場合、Management Group を使えば管理方針をまとめやすくなります。
- 複数 Subscription に共通の Azure Policy を適用する
- 組織単位で Azure RBAC の管理スコープを設定する
- Production / Development などの管理階層を整理する
Management Group = 複数 Subscription をまとめて統制する
③ Subscription
Subscription は、Azure リソースを利用するための管理・課金上の単位です。
たとえば、本番環境と検証環境を Subscription 単位で分ければ、課金や権限、クォータなどを分離して管理しやすくなります。
Subscription = リソース利用・課金・管理の単位
Management Group の配下には Subscription が入り、Resource Group はその Subscription の中に作成します。
④ Resource Group
Resource Group（RG）は、関連する Azure リソースを管理するための入れ物です。
例えば、1 つのシステムで使う VM、Storage、Network などをまとめて管理することができます。
Resource Group = 関連するリソースをまとめる管理単位
基本的には、ライフサイクルが近いリソースを同じ Resource Group にまとめると管理しやすいです。
たとえば、アプリケーションの検証環境をまとめて削除したいケースなどです。
ただし、Resource Group を削除すると、その中のリソースも削除対象になるため、本番運用では十分に注意が必要です。ロックやバックアップなどの条件により削除が止まることもあります。
⑤ Resource
実際に利用するサービスそのものです。
- Virtual Machine
- Storage Account
- Virtual Network
- App Service
- Azure Key Vault
などが該当します。
📍 最重要：Azure の「Location」は全部同じ意味ではない
ここは AZ-104 の学習で、ぜひ区別して覚えておきたいところです。
Azure では location という言葉がいくつかの場面で登場しますが、何の location なのかによって意味が変わります。
| 項目 | Location の意味 |
|---|---|
| Resource Group Location | Resource Group のメタデータが保存される場所 |
| Resource Location | VM や Storage など、実際のリソースを配置するリージョン |
| Subscription Deployment の Location | デプロイ履歴などのメタデータを保存する場所 |
例：Resource Group は Japan East、VM は Japan West
Resource Group: rg-demo
Location: japaneast
│
└── Virtual Machine: vm-demo
Location: japanwest
この構成は、Resource Group と VM のリージョンが違うという理由だけでは問題になりません。
ただし、サービス固有の制約や Azure Policy で許可リージョンが制限されている場合は別です。
つまり、次のように覚えます。
RG の Location ≠ 中にある Resource の Location
Deployment の Location も別物
Subscription スコープで ARM テンプレートや Bicep をデプロイするときの --location は、デプロイ処理のメタデータを置く場所です。
それを指定しただけで、作成される Resource Group や VM のリージョンが決まるわけではありません。
この違いは、コマンドを見ると分かりやすいです。
az deployment sub create \
--name create-rg-demo \
--location japaneast \
--template-file main.bicep \
--parameters rgName=rg-demo rgLocation=japanwest
この場合、考え方は次の通りです。
--location japaneast
→ Subscription Deployment のメタデータ保存場所
rgLocation=japanwest
→ Bicep ファイルで作成する Resource Group の Location
※ 上のコマンドは rgName と rgLocation を受け取る Bicep ファイルが用意されている前提の例です。
なお、Subscription スコープで Resource Group を作る場合は az deployment sub create や New-AzSubscriptionDeployment を使います。New-AzResourceGroupDeployment は既存の Resource Group を対象にするデプロイであり、ここを混同しないようにしたいところです。
🛠 Azure CLI で実際に確認する
ここからは、簡単な操作で管理階層を確認します。
Azure Cloud Shell または Azure CLI を利用できる環境を想定しています。
1. Subscription を確認する
az account list --output table
現在選択されている Subscription を確認します。
az account show --output table
複数の Subscription がある場合は、作業対象を明示的に切り替えます。
az account set --subscription "<subscription-id>"
実務では、最初に Subscription を確認する習慣がかなり重要です。
検証環境のつもりで本番 Subscription に作成してしまう、といったミスを避けるためです。
2. Resource Group を作成する
az group create \
--name rg-az104-day01 \
--location japaneast \
--tags Environment=Lab Project=AZ104
3. Resource Group の情報を確認する
az group show \
--name rg-az104-day01 \
--query "{Name:name, Location:location, Id:id}" \
--output table
4. Resource Group 内のリソースを一覧表示する
az resource list \
--resource-group rg-az104-day01 \
--output table
Resource Group を作成しただけであれば、通常はまだリソース一覧は空です。
5. 検証後の後片付け
az group delete \
--name rg-az104-day01 \
--yes
⚠️ 削除前に、対象 Subscription と Resource Group 名を必ず確認してください。
Resource Group の削除は、配下のリソースに影響します。上記は検証用 RG のみを対象とした例です。
🔐 Scope と権限の関係を先に押さえる
管理階層は、RBAC や Policy と深く関係しています。
Management Group
↓
Subscription
↓
Resource Group
↓
Resource
原則として、Azure RBAC のロール割り当ては上位スコープから下位スコープへ継承されます。
例えば、ある Subscription に Reader を割り当てると、その配下の Resource Group や Resource にも読み取り権限が及びます。
一方、Resource Group 単位でロールを割り当てた場合、別の Resource Group には自動で適用されません。
ここでひとつ注意したいのが Tag です。
Tag は RBAC と違い、Subscription や Resource Group に設定しただけでは、その下のリソースへ自動継承されません。
必要に応じて Azure Policy などを使います。
RBAC：上位スコープの権限を下位に継承
Tag：標準では自動継承しない
この「何が継承され、何が自動では継承されないか」は、試験でも実務でも混乱しやすいポイントです。
🚨 よくある勘違い
| 勘違い | 正しい考え方 |
|---|---|
| Resource Group と VM は同じリージョンにする必要がある | RG の Location はメタデータ用。Resource は別リージョンにも配置可能 |
| Subscription の直下に VM が並ぶ | VM などの通常のリソースは Resource Group に属する |
| Management Group は VM をまとめるための入れ物 | 複数 Subscription をまとめて統制する階層 |
| Resource Group を移動すれば VM のリージョンも変わる | RG 間の移動は原則、物理リージョンの変更ではない |
| Resource Group に Tag を付ければ VM にも自動で付く | Tag は標準では自動継承されない |
Deployment -Location は Resource の配置リージョン |
Deployment のメタデータ保存場所を指定する |
特に Location の違い と Scope の継承 は、ここで整理しておくと後の章でも役立ちます。
☁️ AZ-104 試験での見られ方
以下は考え方を確認するためのオリジナル練習問題です。実際の試験問題を再現したものではありません。
問題 1：Resource Group とリージョン
ある Resource Group は Japan East に作成されています。ここに Japan West の VM を作成できますか？
答え：基本的には作成できます。
Resource Group とリソースの Location は一致必須ではありません。ただし、Azure Policy や VM・ネットワーク等の個別要件は別途確認します。
問題 2：権限の適用範囲
Subscription A に Reader ロールを割り当てたユーザーは、Subscription A に属する複数の Resource Group のリソース構成を閲覧できますか？
答え：基本的には閲覧できます。
Subscription のスコープでのロール割り当ては、配下の Resource Group とリソースにも適用されます。
問題 3：Resource Group の作成
Bicep を使って新しい Resource Group を作成したい場合、デプロイ スコープとして適切なのはどれでしょうか？
- A. Resource Group スコープ
- B. Subscription スコープ
答え：B. Subscription スコープ
Resource Group そのものを作成するので、既存 Resource Group を対象とするデプロイではなく、Subscription スコープのデプロイを使います。
👨💻 実務目線で見ると
Azure 環境を運用するとき、最初に決めておきたいのはサービスの種類だけではありません。
- 本番と検証で Subscription を分けるか
- Resource Group をシステム単位にするか、運用単位にするか
- 誰がどのスコープを管理するか
- リージョンをどこにするか
- Tag や Policy をどの範囲に適用するか
この設計が曖昧なままリソースを作り始めると、後で権限管理やコスト集計、削除時の影響確認が面倒になります。
Azure では 「どのリソースを作るか」だけでなく、「どの管理スコープに置くか」 も大事です。
🧠 ここは特に覚えたいポイント
Tenant = ID 管理の境界
Management Group = 複数 Subscription の統制
Subscription = リソース利用・課金・管理の単位
Resource Group = 関連リソースの管理単位
Resource = VM / Storage / VNet など
Resource Group Location = RG メタデータの場所
Resource Location = 実際の配置リージョン
Deployment Location = デプロイ メタデータの場所
この 2 つを自分の言葉で説明できれば、Day 1 の内容はひとまず十分です。
✅ まとめ
今回は AZ-104 の試験概要と、Azure のリソース管理の基本を整理しました。
- AZ-104 は Azure 環境の構築・管理・監視を問う中級試験
- 基本階層は Management Group → Subscription → Resource Group → Resource
- Tenant は ID 管理の境界として理解する
- Resource Group の Location と、実際の Resource の Location は別
- Subscription Deployment の Location はデプロイ メタデータの保存場所
- Azure RBAC は上位スコープから下位へ継承される
- Tag は標準では自動継承されない
最初は地味なテーマに見えますが、後で RBAC、Policy、VM、Storage を学ぶときの前提になります。
📌 次回予告
Day 2 は Microsoft Entra ID・Azure RBAC・Azure Policy を整理します。
特に、Azure RBAC と Microsoft Entra ロールの違い、Owner / Contributor / Reader の使い分け、権限のスコープについて、試験で迷いやすいポイントをまとめる予定です。
📚 参考資料（Microsoft 公式）
- 試験 AZ-104 の学習ガイド（2026 年 4 月 17 日版の出題範囲）
- Microsoft Certified: Azure Administrator Associate
- Azure Resource Manager の概要
- 管理グループによるリソースの整理
- リソース グループの管理
- サブスクリプション スコープへの Bicep デプロイ
- Azure リソースへのタグ付け
※ 試験範囲やサービス仕様は更新されるため、受験前には最新の Microsoft Learn を確認してください。