AZ-104：Microsoft Azure Administrator ストレージの実装と管理 問17
ストレージの実装と管理／ストレージへのアクセス制御外部委託先へ発行した複数の Shared Access Signature（SAS）を、必要に応じてサーバー側から一括で失効・期限変更できるようにしておきたい。アクセスキーを再生成せずに制御したい。あらかじめ利用しておくべき仕組みはどれか。
当サイトのオリジナル問題（AZ-104：Microsoft Azure Administratorの出題範囲「ストレージの実装と管理」に対応。実際の試験問題ではありません）
- Aアカウントのアクセスキー再生成のみ
- Bリソースロック
- Cタグ
- D格納されたアクセスポリシー（stored access policy。SASをサーバー側で一元管理し、失効や期限変更を行える）
正解：D
解説
格納されたアクセスポリシー（stored access policy）をコンテナーに定義し、それに紐づけてSASを発行しておくと、サーバー側でSASの開始／失効時刻や権限を後から変更・失効できます。アクセスキーの再生成はそのキーで署名した全SASを一括無効化するため個別制御に不向きで、リソースロックやタグはSASの制御手段ではありません。
選択肢ごとの解説
- A誤り。キー再生成はそのキーの全SASを一括無効化してしまい、個別制御には不向きです。
- B誤り。リソースロックはSASの制御手段ではありません。
- C誤り。タグはメタデータです。
- D正しい。SASをサーバー側で制御・失効できるのが格納されたアクセスポリシーです。