AI-200：Developing AI Cloud Solutions on Azure Azure ソリューションのセキュリティ保護・監視・トラブルシューティング 問3
Azure ソリューションのセキュリティ保護・監視・トラブルシューティング／Azure ソリューションのセキュリティ保護（Key Vault・App Configuration）アプリの設定を Azure App Configuration で一元管理し、そのうちデータベースのパスワードは Azure Key Vault 参照として登録しました。アプリは自身のマネージド ID で App Configuration から設定を読み込みます。パスワードを正しく取得させるために必要な構成はどれですか。
当サイトのオリジナル問題（AI-200：Developing AI Cloud Solutions on Azureの出題範囲「Azure ソリューションのセキュリティ保護・監視・トラブルシューティング」に対応。実際の試験問題ではありません）
- AApp Configuration のマネージド ID に、Key Vault のシークレットを読み取る権限を付与する
- BApp Configuration に、Key Vault のシークレットの値をコピーして保存させる設定を有効にする
- CKey Vault 参照を使う場合は App Configuration への認証が不要になるため、App Configuration への権限は削除する
- Dアプリのマネージド ID に、App Configuration のデータを読み取る権限に加えて、Key Vault のシークレットを読み取る権限も付与する
正解：D
解説
App Configuration の Key Vault 参照に保存されるのは、シークレットの値ではなく、Key Vault 内のシークレットを指す URI です。アプリ（App Configuration のクライアント プロバイダー）は、その URI を使って Key Vault から値を直接取得します。App Configuration と Key Vault は互いに直接通信しないため、アプリ自身が両方に認証できる必要があります。つまり、アプリのマネージド ID に App Configuration の読み取り権限と Key Vault のシークレット読み取り権限の両方を付与します。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。App Configuration が Key Vault にアクセスすることはありません。シークレットを取得するのはアプリなので、権限が必要なのはアプリの ID です。
- B誤り。Key Vault 参照は、値をコピーせずに URI だけを保存する仕組みです。値をコピーすると、シークレットを Key Vault で一元管理する意味がなくなります。
- C誤り。Key Vault 参照そのものは App Configuration に保存されているため、App Configuration から設定を読む権限は引き続き必要です。
- D正しい。アプリの ID が App Configuration と Key Vault の両方に認証できることが、Key Vault 参照を解決する条件です。