正解: 新規の Azure ストレージ アカウントへのすべてのトラフィックが暗号化されることを保証する。
解説: このポリシーは「リソース種別が Microsoft.Storage/storageAccounts であり、かつ supportsHttpsTrafficOnly が true でない」ストレージ アカウントの作成や更新を
deny します。supportsHttpsTrafficOnly を true に設定することは「Secure transfer required（安全な転送が必要）」を有効にすることと同じで、HTTPS 以外の接続（HTTP）を拒否する設定です。Azure Policy の deny 効果は新しくデプロイされる/更新されるリソースの作成時に評価されるため、結果として「新規ストレージ アカウントは暗号化された (HTTPS) トラフィックでのみアクセス可能」になります。
各選択肢の検討:
- Policy の deny 効果は既存リソースを直接ブロックしませんし、既存トラフィックを動的に止める仕組みでもないため、既存ストレージへの HTTP 遮断は本ポリシーの直接効果ではありません。
- 新規ストレージ アカウントの supportsHttpsTrafficOnly を実質的に true 強制するため、すべてのトラフィックが HTTPS (暗号化) となります。
- HTTPS は許可される側であり禁止対象ではありません。
- このポリシーは転送時 (HTTPS) の暗号化を強制するもので、保存時暗号化 (encryption at rest) を制御するものではありません。
参考: Microsoft Learn:
Azure Storage で安全な転送を必須にする