AZ-700 練習問題 9

あなたは次のリソースとユーザー User1 を含む Azure サブスクリプションを所有しています。 [リソース一覧] | 名前 | 説明 | | Policy1 | Azure Firewall ポリシー | | RG1 | 複数のリソースを含むリソース グループ | | RG2 | 複数のリソースを含むリソース グループ | | FW1 | RG1 にある Azure Firewall インスタンスで、RG2 および RG3 のリソースを保護する | Policy1 は RG2 に配置されています。 Azure Firewall Manager を使用して User1 が Policy1 を FW1 に関連付けられるようにする必要があります。最小特権の原則に従う必要があります。 各リソース グループにおいて User1 に割り当てるロールはどれですか? 解答するには、解答エリアで適切なオプションを選択してください。 注: 各正答に 1 ポイントが与えられます。 [回答エリア (リソース グループごとに次の中から 1 つを選択)] RG1: Contributor / Network Contributor / Owner / Reader RG2: Contributor / Network Contributor / Owner / Reader 次の選択肢の中から正しい組み合わせを 1 つ選んでください。

正解: RG1: Network Contributor、RG2: Network Contributor
Azure Firewall Manager でファイアウォールにポリシーを関連付けるには、ファイアウォール側 (FW1 → RG1) と適用するポリシー側 (Policy1 → RG2) の双方で書き込み権限が必要で、最小特権を満たすのは Network Contributor です。
解説: Azure Firewall とそのファイアウォール ポリシーは Microsoft.Network プロバイダーのリソースであり、ポリシーの関連付けには Microsoft.Network/azureFirewalls/write と Microsoft.Network/firewallPolicies/join/action (および read) のアクションが必要です。これらのアクションは組み込みロール Network Contributor に含まれており、ストレージや RBAC 権限を含む Contributor/Owner より権限スコープが狭く最小特権の原則に合致します。FW1 が配置された RG1 ではファイアウォールへの書き込み、Policy1 が配置された RG2 ではポリシーの読み取りおよび結合操作が必要となるため、両方のリソース グループに Network Contributor を割り当てるのが最小構成です。Reader はオブジェクトの読み取りしか許可せず、ポリシーの関連付け書き込みができないため不適切です。
各選択肢の検討:

• RG1: Network Contributor、RG2: Network Contributor: ファイアウォール側のポリシー関連付け書き込みと、ポリシー側の join 権限の両方を満たし、最小特権の原則を遵守する正しい組合せ。
• RG1: Network Contributor、RG2: Reader: RG2 が Reader のみではポリシーの join/関連付け操作が許可されず、Firewall Manager からの関連付けに失敗する。
• RG1: Reader、RG2: Network Contributor: RG1 で FW1 への書き込み権限がないため、ポリシーをファイアウォールに割り当てる操作自体が拒否される。
• RG1: Contributor、RG2: Reader: Contributor は最小特権を超えるうえ、RG2 が Reader のままでは関連付け不可。
• RG1: Owner、RG2: Network Contributor: Owner は権限が広すぎ最小特権に反するため不適切。

参考: Microsoft Learn
Azure Firewall Manager の概要
Network Contributor ロール