Azure Administrator Associate（AZ-104） 無料問題 2 / 10 ・ 分野1: Azure ID とガバナンスを管理する
管理グループに、作ってよいリソースの種類を絞る許可リストのポリシーを割り当てた。配下の1つのサブスクリプションだけは、使えるリソースの種類を増やしたい。Azure Policy の概要のページの説明に合う方法はどれか。
- 管理グループの割り当てからそのサブスクリプションを除外し、広い許可の割り当てを置く
- サブスクリプションに広い許可のポリシーを割り当て、管理グループの割り当てより先に評価させる
- サブスクリプションに広い許可のポリシーを割り当てれば、範囲の狭いほうが優先されて増える
- サブスクリプションの所有者に Resource Policy Contributor を与え、管理グループの割り当てを書き換えさせる
正解と解説を見る
正解: A
正解の理由
概要のページは、この例を挙げて、子の管理グループやサブスクリプションに許可を広げるポリシーを割り当てても、うまくいかないと書く。Azure Policy は明示的な拒否のシステムだからである。代わりに、子の管理グループやサブスクリプションを管理グループの範囲の割り当てから除外し、子の側に広い許可の割り当てを置く必要がある。
違う選択肢
「サブスクリプションに広い許可のポリシーを割り当てれば、範囲の狭いほうが優先されて増える」… ページは、子の範囲に許可を広げる割り当てを置く方法はうまくいかないと書く。Azure Policy は明示的な拒否のシステムで、範囲の狭い割り当てが広い範囲の拒否を打ち消すことはない。
「サブスクリプションに広い許可のポリシーを割り当て、管理グループの割り当てより先に評価させる」… ページは、子の範囲に許可を広げる割り当てを置いてもうまくいかないと書く。割り当ての評価の順を利用者が指定して上位の割り当てを避ける方法は示されていない。
「サブスクリプションの所有者に Resource Policy Contributor を与え、管理グループの割り当てを書き換えさせる」… Resource Policy Contributor は Azure Policy の多くの操作を許すロールだが、ページが示す方法は除外である。管理グループの割り当てを書き換えると、ほかの配下のサブスクリプションにも影響する。
押さえどころ
許可を広げたい例外は、上位の割り当ての除外で作る、と覚える。割り当ての除外は、ネットワーク用のリソース グループだけにネットワークのリソースの作成を許す例でも同じように使われる。