ある企業が Azure Policy で「許可されているリソースの種類（Allowed resource types）」ポリシーをサブスクリプションに割り当てた。しかし、既存のリソースグループに配置済みの仮想マシンにはポリシーが適用されない設定にする必要がある。最も適切な方法はどれか。
- A. 仮想マシンリソースに「PolicyExempt: true」というタグを付けると自動的にポリシー評価から除外される
- B. ポリシーの割り当てを一時的に無効化し、新規リソース作成後に再有効化する
- C. ポリシーの効果（effect）を「Audit」に変更すると既存リソースへの影響がなくなる
- D. ポリシー割り当て時に除外（exclusion）として該当リソースグループのスコープを指定する
解答と解説を見る
正解: D
Azure Policy 割り当てには「除外（Exclusions）」機能があり、ポリシーを適用するスコープの中で特定のサブスコープ（管理グループ・サブスクリプション・リソースグループ・リソース）を評価対象から除外できる。これにより既存の仮想マシンが含まれるリソースグループをまるごと除外し、他のリソースグループには引き続きポリシーを適用できる。選択肢Cの Audit 効果は拒否せず監査するだけで、既存・新規両方を評価しログに記録する。除外ではないためポリシー評価自体は行われる。選択肢Aはポリシー除外を設定するための公式の「PolicyExempt」タグという機能は存在しない（Exempt は Exemption リソースを使う別機能）。選択肢Bはポリシーを無効化すると全体に適用されなくなり、要件の「一部のみ除外」を満たさない。