SC500-IAM#1
Azure サブスクリプション Sub1 に、キー コンテナー KV1 と仮想ネットワーク VNet1 があります。VNet1 のサブネット Subnet1 には、Web アプリ App1 をホストする環境が接続されています。KV1 に対する各要件を、構成すべき機能にマッチングしてください。
項目（ドラッグしてください）
- 資格情報を保存しない認証
- パブリック経路の遮断
- 信頼された Microsoft サービスの到達
- 送信元サブネットの限定
プライベート エンドポイント
マネージド ID と RBAC ロール割り当て
ファイアウォールのバイパスの例外
仮想ネットワーク規則とサービス エンドポイント
解説
【正解マッチング】
| 要件 | 構成すべき機能 |
|---|---|
| 資格情報を保存しない認証 | マネージド ID と RBAC ロール割り当て |
| 送信元サブネットの限定 | 仮想ネットワーク規則とサービス エンドポイント |
| パブリック経路の遮断 | プライベート エンドポイント |
| 信頼された Microsoft サービスの到達 | ファイアウォールのバイパスの例外 |
【ポイント】
Key Vault の保護は、誰に許すかを決める認証と承認の層と、どこから届くかを決めるネットワークの層に分かれます。資格情報を保存しないという要件は認証の話で、App1 にマネージド ID を構成し、その ID に KV1 のデータ プレーンのRBAC ロールを割り当てます。送信元を Subnet1 に限定する構成とプライベート IP だけに限定する構成はどちらもネットワーク制御ですが経路が異なり、前者はパブリック エンドポイントを残したまま仮想ネットワーク規則で絞り、後者はプライベート エンドポイントを作成してパブリック ネットワーク アクセス自体を無効にします。Azure Backup のようなサービスは固定の IP を持たないため、信頼された Microsoft サービスのバイパスという例外で通します。ただしこの例外はネットワーク層だけの許可で、データ プレーンの承認は別途必要です。
コメント