Azure Fundamentals (AZ-900)ガバナンス・費用・監視の使い分けオリジナル・公式資料照合難易度★★★☆☆
StorageアカウントにCanNotDeleteロックを設定した。管理画面からのアカウント誤削除を防ぎたいが、中のBlobのデータ削除もすべて同じロックで禁止できると考えている。適切な説明はどれか。
A
ロックがあれば認証・認可は不要になる
ロックは認証やRBACの代替ではない。
B
ロックは管理プレーンの削除を制限する。Blobのデータ操作は別に権限・データ保護機能等を設計する★ 正解
管理ロックの対象範囲とデータプレーンの操作を区別する必要がある。
C
CanNotDeleteはすべての読取りも拒否する
CanNotDeleteは権限のある読取り・更新を基本的に許し、削除を制限する。
D
ロックはサブスクリプション内の全APIを常に停止する
対象スコープやロックの種類があり、すべてのAPIを停止する仕組みではない。
解説
Azureの管理ロックはcontrol planeへ適用され、Blobの削除等のdata planeを一律に防がない。権限のある人がロック自体を外せる点も含めて保護を設計する。
根拠資料・確認情報
対応範囲：AZ-900（2026-07-20版）
資料確認日：2026-10-28
同じレッスンの問題
問題 1
会社には複数のAzureサブスクリプションがあり、その配下に複数リソースグループとVMがある。共通のガバナンスを上位から適用する基本階層として正しいのはどれか。
問題 2
利用者にサブスクリプションのContributorを割り当てた。特定リソースグループでは読取りだけにしたくて、そのグループにReaderも追加した。他の制限はない。結果として適切な理解はどれか。
問題 3
開発者には必要なリソース作成権限を与えつつ、会社が承認したリージョン以外への新規作成を防ぎたい。設定標準を評価・強制するために適するのはどれか。
問題 5
オンプレミスと別クラウドにあるサーバーを、実行場所を移さずAzureの管理機能と連携して一元的に把握・統制したい。適切なサービスはどれか。