ある企業のセキュリティチームが、ストレージアカウントへのアクセスに SAS トークンを使用しているが、SAS が漏洩した場合に即座に無効化できる仕組みを導入したいと考えている。SAS トークンの有効期限を変更せずに一括で失効させる最も効果的な方法はどれか。
- A. ストレージドアクセスポリシーを削除または変更する
- B. ストレージアカウントの SAS 設定で署名キーを更新する
- C. 各 BLOB の SAS を個別に再生成する
- D. ストレージアカウントのアクセスキーをローテーションする
解答と解説を見る
正解: A
ストアドアクセスポリシー（Stored Access Policy）に紐づいた SAS は、ポリシーを削除または変更することで即座に一括失効できる。これが SAS の集中管理に最も効果的なアプローチである。アカウントキーの SAS（ad hoc SAS）の場合はキーローテーションで失効できるが、ストアドアクセスポリシーを使っている場合はキーローテーションは必要なく、ポリシー変更の方が影響範囲が限定的で適切である。アクセスキーのローテーションはアカウント全体の接続文字列に影響を与えるため、他サービスへの影響が大きい。各 BLOB の SAS 個別再生成は規模が大きい場合に現実的でなく、かつ既存のトークンは引き続き有効になる。