AZ-305：Designing Microsoft Azure Infrastructure Solutions ID・ガバナンス・監視ソリューションの設計 問11
ID・ガバナンス・監視ソリューションの設計／ガバナンスの設計ある企業は、コスト配賦のため、すべてのリソースに、所属するリソース グループと同じ値の CostCenter タグを付けたいと考えています。60 個のサブスクリプションに一元的に適用します。開発チームのデプロイを、タグの不足を理由に失敗させてはいけません。すでに作成済みでタグがないリソースも、手作業なしで是正する必要があります。Azure Policy の設計として最適なものはどれですか。
当サイトのオリジナル問題（AZ-305：Designing Microsoft Azure Infrastructure Solutionsの出題範囲「ID・ガバナンス・監視ソリューションの設計」に対応。実際の試験問題ではありません）
- ACostCenter タグがないリソースの作成を拒否する Deny 効果のポリシーを管理グループに割り当て、開発チームにはタグを必ず指定させる
- Bリソース グループからタグを継承する Modify 効果のポリシーを管理グループに割り当て、ポリシーのマネージド ID に必要なロールを付与し、既存のリソースは修復タスクで是正する
- CCostCenter タグがないリソースを検出する Audit 効果のポリシーを管理グループに割り当て、非準拠のリソースを月次で担当者が確認して手動でタグを付与する
- Dリソース グループのタグ値をリソースに追加する Append 効果のポリシーを管理グループに割り当て、既存のリソースにも同じポリシーで一括して反映させる
正解：B
解説
タグの付与や継承のように、リソースの作成・更新時に内容を書き換えて準拠させる用途には Modify 効果を使います。リソース グループからタグを継承する組み込みの Modify ポリシーを管理グループに割り当てれば、デプロイは失敗せず、新規のリソースにタグが自動で付きます。Modify はポリシー割り当てのマネージド ID を使って変更するため、タグの共同作成者のような必要なロールを付与します。既存の非準拠リソースには、修復タスクを作成して是正します。Deny はデプロイを失敗させ、Audit は検出のみです。Append は既存リソースの修復に対応せず、タグにはおもに Modify が使われます。
選択肢ごとの解説
- A誤り。Deny 効果はタグ不足のデプロイを失敗させるため、デプロイを失敗させてはいけないという要件に反します。既存のリソースの是正にもなりません。
- B正しい。Modify 効果でデプロイを失敗させずにタグを継承させられ、マネージド ID の権限と修復タスクで既存のリソースも自動で是正できます。管理グループへの割り当てで 60 サブスクリプションに継承されます。
- C誤り。Audit 効果は非準拠の検出だけで、是正は手作業になります。手作業なしで是正するという要件に反し、60 サブスクリプションでは運用負荷も大きくなります。
- D誤り。Append 効果は作成・更新の評価時に項目を追加するもので、修復タスクによる既存リソースの一括是正には対応しません。タグの追加・継承にはおもに Modify 効果を使います。