Azure Policy

解決する課題

• 許可リージョンや許可 SKU を全サブスクリプションで強制したい
• 必須タグの付与やリソース命名の規約を作成時点で守らせたい
• パブリック公開ストレージや暗号化なしリソースなど危険な構成を未然に防ぎたい
• 既存リソースの準拠状況を一覧で可視化し、逸脱を継続的に評価したい
• 設定漏れ（診断ログ未設定など）を自動で修復したい

主要概念と用語

Azure Policy は「ポリシー定義」「割り当て」「準拠評価」の3層で理解すると整理しやすいです。

• ポリシー定義（Policy Definition）: 評価ルールと効果を JSON で記述したもの。条件（どのリソースに当てはまるか）と effect（当てはまったらどうするか）で構成される
• イニシアチブ（Initiative / ポリシーセット）: 複数のポリシー定義をまとめた束。規制コンプライアンス（CIS / NIST など）の管理セットとして配布される
• 割り当て（Assignment）: 定義またはイニシアチブを、管理グループ・サブスクリプション・リソースグループなどのスコープに適用する操作。除外（exclusion）も指定できる
• 効果（Effect）: 主なものは Audit（準拠状況を記録するだけ）、Deny（非準拠な作成・更新を拒否）、Append / Modify（プロパティを付加・変更）、DeployIfNotExists（不足リソースを自動デプロイ）、AuditIfNotExists、Disabled、Manual など
• 準拠状態（Compliance State）: リソースが準拠か非準拠かの評価結果。ダッシュボードで集計表示される
• 修復（Remediation）と修復タスク: Modify / DeployIfNotExists の効果で、既存の非準拠リソースを後から直す仕組み。実行にはマネージド ID を使う
• パラメーター: 定義を再利用可能にするための変数（許可リージョンの一覧などを割り当て時に与える）

仕様・制限・クォータ

• 評価は作成・更新時（ゲート）と定期評価の両方で走る。新規作成時は Deny がリアルタイムに効き、既存リソースは定期的なスキャンと、割り当て直後のオンデマンド評価で準拠状態が更新される
• 定期評価には反映までの遅延があるため、割り当て直後に準拠ダッシュボードへ即時反映されるとは限らない
• スコープは管理グループからリソースまで階層的に効き、上位スコープの割り当ては下位へ継承される
• 定義・割り当て・パラメーターには数量上限がある（スコープあたりの割り当て数、イニシアチブに含められる定義数など）。具体値は公式ドキュメントを確認すること
• Deny は新規・変更操作を止めるが、既存の非準拠リソースを自動削除はしない（可視化と修復は別の効果で行う）
• 対応プロパティはリソースプロバイダーが公開するものに限られ、エイリアス（alias）として参照できる範囲で条件を書く

内部の仕組み

Azure Policy は Azure Resource Manager（ARM）の制御パスに組み込まれた評価エンジンとして動作します。リソースの作成・更新要求が ARM を通過する際に、スコープに割り当てられたポリシー定義の条件と effect が評価されます。

• ゲート評価: 作成・更新要求が ARM に届いた時点で条件を評価し、Deny なら要求を拒否、Append / Modify ならプロパティを書き換えてから処理を続行する
• 定期評価: バックグラウンドで既存リソースを走査し、準拠・非準拠を判定して準拠状態を更新する。割り当て直後はオンデマンド評価もトリガーされる
• 修復: DeployIfNotExists / Modify は割り当てに紐づくマネージド ID を使い、不足している設定やリソース（診断設定など）を自動で展開・修正する
• 集約: 評価結果は準拠ダッシュボードに集約され、Azure Monitor や Resource Graph から横断的に照会できる

定義は JSON で書かれ、if（条件）と then（効果）を持ちます。条件ではリソースのプロパティをエイリアスで参照し、field や allOf / anyOf などの論理演算子で組み立てます。

設計パターン / ベストプラクティス

• 管理グループ階層に割り当てて継承を活かす。全社共通ルールは上位の管理グループ、例外はリソースグループの除外で表現する
• 規制要件はイニシアチブにまとめる。個別定義をバラバラに割り当てず、CIS / NIST などの組み込みイニシアチブや自作のセットで一括管理する
• パラメーターで定義を再利用可能にする。許可リージョンや許可 SKU の一覧は割り当て時に渡し、定義本体は使い回す
• 段階的ロールアウト。Audit でベースラインを測り、合意後に Deny へ昇格、設定不足は DeployIfNotExists で自動修復する
• 必須タグはガバナンスの基盤。Modify でタグを付加し、コスト配分やオーナー特定を自動化する
• Infrastructure as Code で管理。定義・イニシアチブ・割り当てを Bicep / Terraform で版管理し、レビューと再現性を確保する

運用・監視

• 準拠ダッシュボードで全体の準拠率を定点観測し、非準拠が増えたら原因スコープを掘り下げる
• Azure Resource Graph で非準拠リソースをクエリし、レポートやアラートの材料にする
• 修復タスクの成否を監視する。マネージド ID の権限不足やデプロイ失敗で修復が滞ることがある
• 割り当て直後は評価遅延を考慮し、即時反映を期待せずオンデマンド評価を回す
• アクティビティログで Deny による拒否を確認し、正当な操作がブロックされていないかを点検する
• 関係者には非準拠の通知を仕組み化（Azure Monitor アラートやワークブック）しておく

コスト

Azure Policy 自体の準拠評価・割り当ては基本的に追加料金のかからないガバナンス機能です。ただし、DeployIfNotExists などの修復で実際にデプロイされるリソース（診断設定の送信先となる Log Analytics の取り込みなど）には、それぞれのサービス料金が発生します。コストはポリシー機能そのものより、修復によって作られる下流リソースで決まると考えるとよいでしょう。

セキュリティ

• 危険な構成を作成時点で拒否する。パブリック公開や暗号化なしを Deny で止め、攻撃面を縮小する
• セキュリティベースラインをイニシアチブで強制し、規制コンプライアンスの準拠状況を継続評価する
• 最小権限の修復 ID。DeployIfNotExists / Modify のマネージド ID には、修復に必要な範囲だけのロールを割り当てる
• 管理グループでガードレールを統一し、サブスクリプション間の設定ドリフトを防ぐ
• 例外は除外で明示し、なぜ外したかを版管理の履歴で追えるようにする

Well-Architected の観点

• セキュリティ: Deny とセキュリティ系イニシアチブで危険な構成を未然に防ぎ、準拠状況を継続評価する。設定ドリフトを抑えるガードレールの中核
• オペレーショナルエクセレンス: 定義・割り当てを Infrastructure as Code で版管理し、Audit から Deny への段階適用と自動修復で運用負荷を下げる。準拠ダッシュボードで状態を可視化し、改善を継続する

試験で問われるポイント

関連サービス・比較

Azure Policy は「リソース構成のルール化」を担い、操作権限を司る RBAC や、環境を払い出す Blueprints / Landing Zone と組み合わせて使います。AWS では複数サービスにまたがる役割を1つでカバーします。

ハンズオン / CLI例

# 組み込みポリシー定義（許可リージョンを制限）を確認する
az policy definition list \
  --query "[?displayName=='Allowed locations'].{name:name, id:id}" -o table

# サブスクリプション スコープに割り当て、許可リージョンを japaneast に限定
az policy assignment create \
  --name allowed-locations \
  --display-name "許可リージョンを japaneast に限定" \
  --policy "e56962a6-4747-49cd-b67b-bf8b01975c4c" \
  --params '{"listOfAllowedLocations":{"value":["japaneast"]}}' \
  --scope "/subscriptions/<SUBSCRIPTION_ID>"

# 割り当てたスコープの準拠状況を集計表示
az policy state summarize \
  --subscription "<SUBSCRIPTION_ID>"

# 非準拠リソースの一覧を確認
az policy state list \
  --filter "complianceState eq 'NonCompliant'" \
  --query "[].{resource:resourceId, policy:policyDefinitionName}" -o table