Azure Fundamentals (AZ-900)ガバナンス・費用・監視の使い分けオリジナル・公式資料照合難易度★★★☆☆
利用者にサブスクリプションのContributorを割り当てた。特定リソースグループでは読取りだけにしたくて、そのグループにReaderも追加した。他の制限はない。結果として適切な理解はどれか。
A
下位へReaderを追加するだけでは、上位から継承したContributorの許可を取り消せない★ 正解
ロールの許可は基本的に加算され、上位の広い割当てを見直して必要な範囲へ付け直す等の設計が必要。
B
Readerを後から付けたので、そのグループでは必ず全書込みが拒否される
Readerの追加は明示的なDenyではなく、継承済み許可を消すものではない。
C
Contributorはどのスコープでも読取りしかできない
Contributorはリソース管理の広い操作を許可する組込みロール。
D
RBACはネットワーク経路だけを管理するため関係しない
RBACはリソース操作の認可を管理する。ルーティングの設定とは異なる。
解説
RBACでは誰にどのロールをどのスコープで割り当てたかを確認する。下位で小さなロールを追加すれば上位権限が減る、という後勝ちのモデルではない。
根拠資料・確認情報
対応範囲：AZ-900（2026-07-20版）
資料確認日：2026-10-28
同じレッスンの問題
問題 1
会社には複数のAzureサブスクリプションがあり、その配下に複数リソースグループとVMがある。共通のガバナンスを上位から適用する基本階層として正しいのはどれか。
問題 3
開発者には必要なリソース作成権限を与えつつ、会社が承認したリージョン以外への新規作成を防ぎたい。設定標準を評価・強制するために適するのはどれか。
問題 4
StorageアカウントにCanNotDeleteロックを設定した。管理画面からのアカウント誤削除を防ぎたいが、中のBlobのデータ削除もすべて同じロックで禁止できると考えている。適切な説明はどれか。
問題 5
オンプレミスと別クラウドにあるサーバーを、実行場所を移さずAzureの管理機能と連携して一元的に把握・統制したい。適切なサービスはどれか。