SC-500のサンプル問題（本番形式・解説付き）

解説

Azure Storage はアカウント暗号化キーを CMK でラップし、読み書きのたびに Key Vault にアンラップを依頼するため、マネージド ID には最低限 wrapkey・unwrapkey・get の3つが必要です。get・list・create は鍵の作成と列挙の許可で、ラップとアンラップができません。delete は鍵の削除であり、CMK の動作に必要な許可ではありません。encrypt・decrypt・sign はデータそのものへの暗号操作で、CMK はデータを直接暗号化しません。

解説

Azure Arc-enabled servers は Azure の外側、すなわち社内ネットワークや他のクラウド プロバイダーでホストされている Windows と Linux の物理サーバーおよび仮想マシンを管理するためのもので、Azure 上で動く仮想マシンの管理を目的として設計されておらず、サポートもされていません。接続されたマシンが Azure リソースとなり他のネイティブ Azure リソースと同じリソース グループに入れられるのは、Azure の外側のマシンについての話です。Azure Lighthouse はサービス プロバイダーによる委任管理の仕組み、machine enrollment はプレビューの自動構成機能で、いずれも Azure VM を対象にできる根拠にはなりません。

解説

security standards は Security benchmarks（Microsoft Cloud Security Benchmark をはじめとする組み込みのベースライン）、Regulatory compliance standards（Defender for Cloud のプランを有効にすると利用できる業界およびコンプライアンス プログラムのフレームワーク）、Custom standards（組織が定義する標準）の3種類です。Secure score standards、Attack path standards、Workload protection standards という種類は該当しません。

解説

自動化ルールには有効期限を付けられ、その日を過ぎるとルールは無効になります（侵入テストのような期間限定の雑音を閉じる時に使う）。アラート作成のトリガーで設定できる条件は、対象の分析ルールの指定だけです。インシデント トリガーの自動化ルールから実行できるのはインシデント トリガーのプレイブックだけで、アラート トリガーのプレイブックは実行できません。後から実行される自動化ルールは、前のルールが変更した後のインシデントの状態で条件を評価します。順序の番号が自動で入るのは Azure portal で作った時だけで、API やコマンド ラインで作る時は手で指定します。

解説

マルウェア スキャンの課金はスキャンしたデータの GB 単位で、月次の上限をストレージ アカウントごとのアップロード スキャン データ量に設定できます。アカウント数による課金ではないため、大きなファイルを扱うアカウントほど費用が増えます。検出件数による課金でもありません。サブスクリプション数による課金でもなく、有効化のスコープと課金の単位は別の話です。