ある企業が Azure ストレージアカウントへのアクセスをセキュアにしたい。アプリケーションは Azure VM 上で動作しており、ストレージアカウントのアクセスキーや接続文字列をコード・設定ファイルに保存せずに、最もセキュアな方法でストレージにアクセスさせたい場合に最も適切なアプローチはどれか。

正解: B

マネージド ID を使うと、VM はシークレットや認証情報を一切管理せずに Azure Entra ID（旧 Azure AD）トークンを自動取得してストレージにアクセスできる。ストレージ BLOB データ閲覧者（Storage Blob Data Reader）などのデータプレーンロールを割り当てることで、最小権限の原則に従った RBAC 制御も実現できる。Key Vault 参照はシークレット管理の改善としては有効だが、依然としてシークレット（アクセスキー）が存在するためマネージド ID ほどセキュアではない。SAS トークンを環境変数に保存する方法はシークレットの漏洩リスクが残る。アクセスキーの自動ローテーションは漏洩リスクの軽減策にはなるが、シークレットが存在することには変わりない。