ある企業が規制要件として、特定の Azure BLOB ストレージコンテナに保存したデータを保存後 3 年間は変更も削除もできないようにしたい。この要件をストレージサービスのネイティブ機能で実現する最も適切な方法はどれか。
- A. Azure Policy を使ってコンテナへの書き込み・削除操作を Deny する
- B. コンテナに RBAC ロールを設定して削除権限を全ユーザーから剥奪する
- C. ストレージアカウントのロック（Delete ロック）を設定する
- D. コンテナに時間ベースの保持ポリシーを設定した不変ストレージ（WORM）を有効にする
解答と解説を見る
正解: D
不変ストレージ（Immutable Storage / WORM: Write Once, Read Many）の時間ベース保持ポリシーを設定すると、指定期間（3 年）はデータの変更・削除が物理的に不可能になる。ポリシーをロック状態にすると管理者でも変更できず、金融・医療・法令対応のコンプライアンス要件を満たせる。RBAC ロールによる削除権限の剥奪は管理者がロールを再割り当てすれば回避可能であり、強制力が弱い。Azure Policy の Deny 設定は運用ポリシーレベルの制御であり、緊急時やポリシー変更で回避できる。ストレージアカウントのロックはアカウント自体の削除・変更を防ぐリソースロックであり、アカウント内のデータの変更・削除を防ぐものではない。