この単元は項目こそ3つですが、RBACを含めた4つが試験で混ぜて出されます。役割がはっきり分かれているので、「誰が・何を・どう止めるか」で覚えてしまうのが近道です。
- RBAC＝触らせない／Azure Policy＝作らせない／リソースロック＝消させない。この3語で整理できます。
- ロックは権限とは別のしくみ。所有者であってもロックを外さないと削除できません。
- Azure Policy はリソースの「構成」、Microsoft Purview はデータの「中身」を対象にしています。
Azure Policy：作らせない・直す
Azure Policyは、「Azureのリソースはこうあるべき」というルールを定義し、それを守らせるしくみです。
できることは大きく2つあります。
| できること | 例 |
|---|---|
| 作成を拒否する | 指定したリージョン以外にリソースを作らせない／許可していないVMサイズを使わせない |
| 既存の状態を評価する | いまあるリソースのうち、ルールに合っていないものを一覧で示す |
複数のポリシーをまとめたものをイニシアティブと呼びます。「この一式をまとめて適用する」という使い方ができます。
RBACは「誰が操作できるか」、Azure Policyは「どんなものを作ってよいか」です。権限を持っている人でも、Policyのルールに反するリソースは作れません。逆に言えば、RBACだけでは、権限のある人の誤った操作は防げません。
リソースロック：消させない
リソースロックは、うっかり削除・変更してしまうのを防ぐためのしくみです。種類は2つあります。
| ロックの種類 | できなくなること |
|---|---|
| 削除ロック | 削除はできない。変更はできる |
| 読み取り専用ロック | 変更も削除もできない（より強い制限） |
- ロックは権限とは別のしくみです。所有者ロールを持っていても、ロックを外さない限り削除できません。
- ロックは上位のスコープから継承されます。サブスクリプションに付ければ、配下のリソースグループとリソースすべてに効きます。
- 読み取り専用ロックは削除も止めます。「読み取り専用だから削除はできるのでは」と考えないでください。
なぜこんなしくみが要るのか。強い権限を持つ人ほど、誤って消せてしまうからです。権限を制限すると仕事にならないので、権限は与えたうえで、危険な操作にだけ歯止めをかける——これがロックの発想です。
Microsoft Purview：データの中身を把握する
Microsoft Purviewは、組織が持っているデータを見える化し、分類・管理するためのサービスです。
大きな組織では「どこに、どんなデータがあるのか」を誰も把握できていない、ということが起こります。個人情報がどのストレージに入っているか分からなければ、守りようがありません。Purviewはその出発点を作ります。
Azure Policy はリソースの「構成」を見ます（どのリージョンに作られたか、どのサイズか）。Microsoft Purview はデータの「中身」を見ます（どんな種類のデータか、どこにあるか）。対象が違います。
【比較】4つの役割分担
| しくみ | ひとことで | 答えている問い |
|---|---|---|
| RBAC | 触らせない | 誰がどこまで操作してよいか |
| Azure Policy | 作らせない | どんなリソースを作ってよいか |
| リソースロック | 消させない | 削除・変更を止めるか |
| Microsoft Purview | 把握する | どんなデータがどこにあるか |
試験ではこう問われる
| 問われ方 | 判断のしかた |
|---|---|
| 「特定のリージョン以外に作らせたくない」 | Azure Policy |
| 「本番リソースを誤って消させたくない」 | リソースロック |
| 「利用者ごとに権限を分けたい」 | RBAC |
| 「どこにどんなデータがあるか把握したい」 | Microsoft Purview |
| 所有者ならロックを無視して削除できるか | できない |
| ロックは継承されるか | される |
| 読み取り専用ロックで削除はできるか | できない |
確認クイズ
読んだ直後に3問だけ。
「決められたリージョン以外にはリソースを作成させない」という社内ルールを、システム的に強制したい。使うべきしくみはどれですか。
1つ選んでください
リソースロックについて、次の各文が正しいかどうかを判定してください。
各文について「はい」か「いいえ」を選んでください（文ごとに1点）
1. 読み取り専用のロックがかかっているリソースは、削除することができない。
2. 上位のスコープに設定したロックは、その配下のリソースにも適用される。
3. 所有者（Owner）ロールを持っていれば、ロックがかかったままリソースを削除できる。
組織が持っているデータがどこに、どんな種類で存在しているかを把握し、分類やガバナンスを行いたい。適したサービスはどれですか。
1つ選んでください
まとめ
- RBAC＝触らせない／Azure Policy＝作らせない／リソースロック＝消させない
- ロックは権限とは別の歯止め。所有者でも外さなければ削除できず、上位から継承される
- 読み取り専用ロックは変更も削除も止める
- Purview はデータの中身、Policy はリソースの構成を対象にしている
※本記事は、Microsoft公式のAZ-900学習ガイド（2026年7月20日現在のスキル）および Microsoft Learn の各サービス公式ドキュメントの記載（2026年8月6日確認）にもとづき、エンジニアKが作成しています。引用は公式の日本語表記のままです。仕様は変更されることがあります。最新情報は必ずMicrosoft公式サイトでご確認ください。本サイトはMicrosoft Corporationの公式サイトではありません。Microsoft、Azure、Microsoft Entra ID等は同社の商標です。
