Azure認定資格 WEB問題集＆徹底解説

AZ-104：Microsoft Azure Administrator

正解 C問題
分野2：ストレージの実装と管理 分野1：Azure ID とガバナンスの管理 タスクステートメント2.1：ストレージへのアクセスの構成 タスクステートメント1.2：Azure リソースへのアクセスの管理
要復習（もう一度解きたい問題） 1 2 3 4
次の問題前の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAzureサービス解説を、1 時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
老舗印刷会社の竜田印刷は、ストレージアカウント st-tatsuta に SMB ファイル共有 share-invoice を含む複数のファイル共有を保有しています。
st-tatsuta では、SMB アクセス用の ID ベース認証として Microsoft Entra Kerberos を有効化済みです。現在、ユーザーの田中はどのファイル共有にもアクセスできません。
田中はオンプレミスの Active Directory から Microsoft Entra ID へ同期されたハイブリッドユーザーです。
田中が自分の ID で share-invoice をマウントし、ファイルの読み取り・書き込み・削除を行えるようにする必要があります。ほかのファイル共有へのアクセス権は与えてはなりません。
この要件を満たすために行うべき操作はどれですか。
  • st-tatsuta の既定の共有レベルのアクセス許可を Storage File Data SMB Share Contributor に設定する
  • st-tatsuta のアクセス制御 (IAM) から田中に Storage File Data SMB Share Contributor ロールを割り当てる
  • share-invoice のアクセス制御 (IAM) から田中に Storage File Data SMB Share Contributor ロールを割り当てる
  • share-invoice のルートディレクトリの Windows ACL (NTFS アクセス許可) で、田中に「変更」のアクセス許可を付与する
解説 頻出度★★★★★
この問題は、Azure Files の ID ベースのアクセスでは共有レベルのアクセス許可（Azure RBAC）とディレクトリ／ファイルレベルの Windows ACL の 2 層を通る必要があることを押さえたうえで、「1 つの共有だけ」という範囲をロール割り当てのスコープで絞れるかがポイントです。

A. st-tatsuta の既定の共有レベルのアクセス許可を Storage File Data SMB Share Contributor に設定する

既定の共有レベルのアクセス許可は、ストレージアカウントに設定するとアカウント内のすべてのファイル共有に適用され、認証済みのすべてのユーザーとグループに同じ許可を与えます。
田中は share-invoice を使えるようになりますが、ほかの共有にも、田中以外のユーザーにも読み取り・書き込み・削除を許してしまいます。「ほかのファイル共有へのアクセス権は与えてはならない」に反するため誤りです（既定値は「なし」で、だれもアクセスできない状態です）。

B. st-tatsuta のアクセス制御 (IAM) から田中に Storage File Data SMB Share Contributor ロールを割り当てる

Storage File Data SMB Share Contributor は読み取り・書き込み・削除を許可するロールなので、ロールの選択自体は合っています。
しかし、ストレージアカウント st-tatsuta のスコープで割り当てると、その許可は配下のすべてのファイル共有に継承されます。田中がほかの共有にもアクセスできてしまうため、スコープが広すぎて誤りです。

正解

C. share-invoice のアクセス制御 (IAM) から田中に Storage File Data SMB Share Contributor ロールを割り当てる

Azure portal で share-invoice を開き、アクセス制御 (IAM) → ロールの割り当ての追加から田中に Storage File Data SMB Share Contributor を割り当てます。スコープがそのファイル共有だけになるため、ほかの共有には影響しません。
このロールは Azure Files のファイルとディレクトリの読み取り・書き込み・削除を許可し、要件の操作と一致します。田中はハイブリッドユーザーなので、Microsoft Entra ID に同期された田中の ID に割り当てれば、Microsoft Entra Kerberos による SMB マウントで使えます（割り当ての反映は通常 30 分以内です）。この選択肢が正解です。

D. share-invoice のルートディレクトリの Windows ACL (NTFS アクセス許可) で、田中に「変更」のアクセス許可を付与する

ID ベースのアクセスでは、まず共有レベルのアクセス許可で共有への入口を通る必要があります。現在の田中は「どの共有にもアクセスできない」状態で、共有レベルの許可を持っていません。この状態で Windows ACL に「変更」を付けても、入口で拒否されてマウントできません。
なお、ACL の編集そのものは、管理者がストレージアカウントキーで共有をマウントするなどの方法で行えます。ただしそれは ACL を設定する手段であって、田中が自分の ID でアクセスするための共有レベルの許可の代わりにはなりません。

これだけ覚える（記憶フック）
共有 1 つだけなら、その共有の IAM で割り当てる。アカウントの IAM や既定の許可は全共有に効く。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
田中は現在どの共有にもアクセスできない 共有レベルのアクセス許可（RBAC）が無い状態。ACL だけ足しても入口で止まる
→選択肢（D）を消す
ファイルの読み取り・書き込み・削除を行えるようにする Storage File Data SMB Share Contributor が該当するロール
→選択肢（A・B・C）は候補
ほかのファイル共有へのアクセス権は与えない（既定の共有レベルのアクセス許可） 既定の共有レベルの許可はアカウント内の全共有・認証済みの全員に効く
→選択肢（A）を消す
ほかのファイル共有へのアクセス権は与えない（ストレージアカウントのスコープ） アカウントのスコープでの割り当ては配下の全共有に継承される
→選択肢（B）を消す
share-invoice のスコープでのロール割り当て 許可の範囲をその共有だけに限定できる
→選択肢（C）が正解
ひっかけポイント
  • A・B・C は同じロール名で、違いは「どこに設定するか」だけです。ロール名が合っていることに安心せず、スコープ（アカウント全体か、共有 1 つか）を見ます
  • 「既定の共有レベルのアクセス許可」は田中個人ではなく認証済みの全ユーザー・グループに、アカウント内の全共有で効く設定です。名前に「既定」と付くので無難に見えますが、最小権限とは逆方向です
  • D は「オンプレミスのファイルサーバーと同じく NTFS で権限を付ければよい」と思わせる罠です。Azure Files の ID ベースのアクセスは共有レベル（RBAC）→ ディレクトリ／ファイルレベル（ACL）の両方を通過して初めて操作できます
  • 逆に、共有レベルで Contributor を持っていても、ディレクトリやファイルのACL で書き込みが許されていなければ書き込めません。ACL を厳しく絞った共有では、共有レベルの割り当てと合わせて ACL も確認します
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「アカウント内のすべての共有で、認証された全ユーザーに読み取りだけを許可したい」 既定の共有レベルのアクセス許可を Storage File Data SMB Share Reader に設定するのが最も手軽。
「田中に、ファイルとフォルダーのACL（NTFS アクセス許可）の変更もさせたい」 share-invoice のスコープで Storage File Data SMB Share Elevated Contributor を割り当てる。
「田中には読み取りだけを許可する」 share-invoice のスコープで Storage File Data SMB Share Reader を割り当てる。
「経理部のメンバー全員に同じ権限を与えたい」 個人ではなく、Microsoft Entra ID に同期したグループに share-invoice のスコープでロールを割り当てる。
「Microsoft Entra ID に同期されていない AD DS のアカウントやコンピューター アカウントにアクセスさせたい」 Microsoft Entra ID 上に ID が無く RBAC を個別に割り当てられないため、既定の共有レベルのアクセス許可と ACL で制御する。
関連サービスの解説 Azure Files
Microsoft Entra ID
Azure RBAC
リファレンス この問題を解くために必要な知識を扱う公式ドキュメントです。
知識項目 公式ドキュメント
共有レベルのアクセス許可（共有スコープの割り当て・既定の共有レベルのアクセス許可・Azure Files 用の組み込みロール） Azure Files Share-Level アクセス許可を割り当てる
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 67%
No.20 解説
老舗印刷会社の竜田印刷は、ストレージアカウント st-tatsuta に SMB ファイル共有 share-invoice を含む複数のファイル共有を保有しています。
st-tatsuta では、SMB アクセス用の ID ベース認証として Microsoft Entra Kerberos を有効化済みです。現在、ユーザーの田中はどのファイル共有にもアクセスできません。
田中はオンプレミスの Active Directory から Microsoft Entra ID へ同期されたハイブリッドユーザーです。
田中が自分の ID で share-invoice をマウントし、ファイルの読み取り・書き込み・削除を行えるようにする必要があります。ほかのファイル共有へのアクセス権は与えてはなりません。
この要件を満たすために行うべき操作はどれですか。
  • st-tatsuta の既定の共有レベルのアクセス許可を Storage File Data SMB Share Contributor に設定する
  • st-tatsuta のアクセス制御 (IAM) から田中に Storage File Data SMB Share Contributor ロールを割り当てる
  • share-invoice のアクセス制御 (IAM) から田中に Storage File Data SMB Share Contributor ロールを割り当てる
  • share-invoice のルートディレクトリの Windows ACL (NTFS アクセス許可) で、田中に「変更」のアクセス許可を付与する

次の問題前の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

AWS

Microsoft Azure

アンケート

サイト情報