Azure認定資格 WEB問題集＆徹底解説

AZ-104：Microsoft Azure Administrator

正解 D問題
分野1：Azure ID とガバナンスの管理 タスクステートメント1.2：Azure リソースへのアクセスの管理
要復習（もう一度解きたい問題） 1 2 3 4
次の問題前の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAzureサービス解説を、1 時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
菓子製造業のサンライズ製菓株式会社は、サブスクリプション sub-confect 配下に次のリソースグループを運用しています。
・rg-factory（工場の生産管理システム）
・rg-logistics（物流システム）
・rg-sandbox（検証用）
ガバナンス強化のため、次の役割分担で Azure Policy を運用する方針を決めました。
・情報システム部の田中: 許可するリソースの場所とタグ付けルールをまとめたカスタムのイニシアティブ定義を、sub-confect のスコープで新規作成・編集できること。ただし他ユーザーへのロールの割り当てなど、アクセス管理の操作は不要。
・工場システム担当の木村: 田中が作成したイニシアティブを rg-factory にのみ割り当てられること。rg-factory 以外のリソースグループへ割り当てられてはならず、リソースの作成・削除やロールの割り当てなど、ポリシー管理以外の操作は不要。
最小特権の原則に従い、木村に割り当てるべきロールとスコープの組み合わせはどれですか。
  • sub-confect のスコープで リソース ポリシー共同作成者 (Resource Policy Contributor)
  • rg-factory のスコープで 共同作成者 (Contributor)
  • sub-confect のスコープで 共同作成者 (Contributor)
  • rg-factory のスコープで リソース ポリシー共同作成者 (Resource Policy Contributor)
解説 頻出度★★★★★
この問題は、「ポリシーの割り当てだけを許す × rg-factory に限定 × 最小特権」の要件で、ロールの種類（リソース ポリシー共同作成者）とスコープ（rg-factory）を同時に正しく選ぶことができるかがポイント

A. sub-confect のスコープで リソース ポリシー共同作成者 (Resource Policy Contributor)

ロールの種類は正しいものの、スコープが sub-confect（サブスクリプション）では広すぎます。
ポリシーの割り当ては割り当てたスコープ配下のすべてに継承されるため、木村は rg-logistics や rg-sandbox にもイニシアティブを割り当てられてしまい、「rg-factory 以外へ割り当ててはならない」という条件に違反します。
最小特権の原則では、必要な最小のスコープに絞るのが鉄則です。

B. rg-factory のスコープで 共同作成者 (Contributor)

スコープは rg-factory で正しいものの、共同作成者ロールでは Azure Policy の定義や割り当てを作成・更新できません。公式ドキュメントでも、共同作成者と閲覧者はポリシーの「読み取り」操作にしかアクセスできないと明記されています。
さらに共同作成者は rg-factory 配下のリソースを自由に作成・削除できてしまうため、「ポリシー管理以外の操作は不要」という条件に対して権限過剰です。
要件を満たさないうえに最小特権にも反する二重の誤りです。

C. sub-confect のスコープで 共同作成者 (Contributor)

ロールの種類とスコープの両方が誤っています。
共同作成者ではポリシーの割り当てを作成できず、さらにサブスクリプションスコープではサブスクリプション配下のすべてのリソースを操作できてしまいます。
4 つの選択肢の中で最も過剰かつ要件を満たさない組み合わせです。

正解

D. rg-factory のスコープで リソース ポリシー共同作成者 (Resource Policy Contributor)

リソース ポリシー共同作成者（Resource Policy Contributor）は Azure Policy のほとんどの操作（ポリシー／イニシアティブ定義の作成・更新、割り当ての作成・更新）を含む一方で、ロールの割り当てなどアクセス管理の権限は持たないロールです。
これを rg-factory スコープに割り当てることで、木村はそのリソースグループにのみイニシアティブを割り当てられ、他のリソースグループには手が届きません。
田中がサブスクリプションスコープで作成したイニシアティブ定義は、その配下であるリソースグループへ割り当てられるため、この構成で運用が成立します。要件をちょうど満たす最小特権の組み合わせであり、正解です。

これだけ覚える（記憶フック）
ロールで「何を」、スコープで「どこまで」。ポリシー操作は共同作成者では読み取りのみ。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
木村に必要な操作は「イニシアティブの割り当て」だけ 割り当ての作成には Microsoft.Authorization/policyassignments/write が必要。共同作成者はポリシーの読み取りしかできない
→選択肢（B・C）を消す
rg-factory 以外のリソースグループへは割り当てられてはならない 割り当て可能な範囲はロールを割り当てたスコープとその配下。サブスクリプションスコープでは全 RG に及ぶ
→選択肢（A・C）を消す
リソースの作成・削除やロールの割り当ては不要 リソース ポリシー共同作成者はポリシー操作に限定され、アクセス管理の権限も持たない
→選択肢（D）が正解
定義はサブスクリプション（田中）、割り当ては rg-factory（木村）と分離 上位スコープで作成した定義は下位スコープへ割り当て可能。定義の作成権限まで木村に渡す必要はない
→選択肢（D）が正解
ひっかけポイント
  • 4 つの選択肢は「ロール × スコープ」の 2 × 2 のマトリクスになっている。どちらか一方だけを見て選ぶと必ず外す。ロールで「何ができるか」、スコープで「どこまで及ぶか」を必ず両方確認する
  • 「共同作成者は所有者に次ぐ強い権限だからポリシーも扱えるはず」と考えるのが最大の罠。共同作成者はポリシー定義・割り当てを作成／更新できない（読み取りのみ）
  • 選択肢 A はロール名が正しいので選びたくなるが、スコープがサブスクリプションのため rg-logistics・rg-sandbox にも割り当て可能になり、明示された禁止条件を破る
  • 本問のイニシアティブは「場所の制限とタグ付け」で deployIfNotExists / modify のようなマネージド ID を伴う効果ではないため、ユーザーアクセス管理者などの追加ロールは不要
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「田中に必要なロールは何か」（定義の新規作成・編集のみ、アクセス管理は不要） sub-confect スコープでリソース ポリシー共同作成者が正解に。
「割り当てるイニシアティブに deployIfNotExists や modify の効果が含まれる」 マネージド ID への権限付与が必要になり、ユーザー アクセス管理者相当の権限が追加で要る。
「木村にはコンプライアンス状況の確認だけさせたい」 割り当て権限は不要になり、閲覧者（＋ポリシー分析系の読み取り）で足りる。
「複数サブスクリプションへまとめてガバナンスを効かせたい」 定義・割り当てとも管理グループスコープが正解軸に変わる。
関連サービスの解説 Azure Policy
Azure RBAC
リファレンス この問題を解くために必要な知識を扱う公式ドキュメントです。
知識項目 公式ドキュメント
Azure Policy における RBAC アクセス許可（リソース ポリシー共同作成者と共同作成者の違い） Azure Policy の概要 - Azure Policy
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 50%
No.1 解説
菓子製造業のサンライズ製菓株式会社は、サブスクリプション sub-confect 配下に次のリソースグループを運用しています。
・rg-factory（工場の生産管理システム）
・rg-logistics（物流システム）
・rg-sandbox（検証用）
ガバナンス強化のため、次の役割分担で Azure Policy を運用する方針を決めました。
・情報システム部の田中: 許可するリソースの場所とタグ付けルールをまとめたカスタムのイニシアティブ定義を、sub-confect のスコープで新規作成・編集できること。ただし他ユーザーへのロールの割り当てなど、アクセス管理の操作は不要。
・工場システム担当の木村: 田中が作成したイニシアティブを rg-factory にのみ割り当てられること。rg-factory 以外のリソースグループへ割り当てられてはならず、リソースの作成・削除やロールの割り当てなど、ポリシー管理以外の操作は不要。
最小特権の原則に従い、木村に割り当てるべきロールとスコープの組み合わせはどれですか。
  • sub-confect のスコープで リソース ポリシー共同作成者 (Resource Policy Contributor)
  • rg-factory のスコープで 共同作成者 (Contributor)
  • sub-confect のスコープで 共同作成者 (Contributor)
  • rg-factory のスコープで リソース ポリシー共同作成者 (Resource Policy Contributor)

次の問題前の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

AWS

Microsoft Azure

アンケート

サイト情報