変更要約: AZ-104 第2章を Associate 級に深掘り（比較表・シナリオ・FAQ・ひっかけ＋深掘り段落、図を日本語化）
2.3ストレージのアクセスと Azure Files
ストレージへのアクセス手段（アクセスキー・SAS・Entra ID + RBAC）の違いと、Azure Files による SMB/NFS 共有を理解します。
保存したデータには安全にアクセスする必要があります。Azure ストレージには アクセスキー・SAS・Entra ID + RBAC という主に3つのアクセス手段があります。
2.3.1アクセス手段
- アクセスキー：アカウント全体へのフルアクセス。漏えい時の影響が大きいので厳重に管理・定期ローテーション。
- SAS（共有アクセス署名）：範囲（対象・操作）と有効期限を限定した委任アクセス。第三者への一時的な共有に最適。
- Entra ID + RBAC：ID ベースでキー不要。最も推奨される方式。
2.3.2Azure Files
- Azure Files：SMB/NFS プロトコルでマウントできるマネージドなファイル共有。複数の VM やオンプレから同時利用できる。
- オンプレのファイルサーバーをクラウドへ置き換える「リフト＆シフト」に適する。
「期限付き・範囲限定の一時アクセス＝SAS」「キー不要の推奨方式＝Entra ID + RBAC」「SMB 共有＝Azure Files」 は AZ-104 で頻出です。アカウントキーは最後の手段と考えましょう。
ストレージのアクセスは「ID ベースを優先し、委任は範囲と期限を絞り、キーは最後の手段」が原則です。アクセスキー はアカウント全体へのフルアクセスで漏えい時の影響が大きく、定期 ローテーション（2本のキーで無停止更新）必須。SAS（共有アクセス署名） は対象・操作・期限を限定した委任で、より安全な ユーザー委任 SAS（Entra ID の資格情報で署名）、アカウント全体の アカウント SAS、特定リソースに限定した サービス SAS があります（サービス SAS は ストアドアクセスポリシー に紐付けると、有効期限や権限を後から変更・一括失効できる。ストアドアクセスポリシー自体は SAS とは別概念のサーバー側ポリシー）。最推奨は Entra ID + RBAC（ストレージ BLOB データ共同作成者 などのデータプレーンロール・キー不要）。境界制御として、公開を防ぐ パブリックアクセスの無効化、特定 VNet からのみ許可する ファイアウォール/サービスエンドポイント/プライベートエンドポイント、転送時の HTTPS 強制 があります。Azure Files は SMB/NFS のマネージド共有で、認証は Entra Kerberos/AD DS、オンプレ同期は Azure File Sync。判断軸は「一時委任＝SAS」「恒久・キーレス＝Entra ID + RBAC」「SMB 共有＝Azure Files」「VNet 限定＝プライベートエンドポイント」。
| 要件 | 使うもの |
|---|---|
| 恒久・キー不要のアクセス | Entra ID + RBAC |
| 期限/範囲限定の一時委任 | SAS（推奨はユーザー委任SAS） |
| 特定VNetからのみ許可 | プライベートエンドポイント/FW |
| SMB/NFS の共有ファイル | Azure Files（+File Sync） |
シナリオ：外部業者に特定コンテナを30分だけ読み取り許可、社内アプリは恒久アクセス、社外公開は禁止。 外部は ユーザー委任 SAS（読み取り・30分・対象コンテナ限定）。社内アプリは Entra ID + RBAC（ストレージ BLOB データ閲覧者、キーレス）。公開防止に パブリックアクセス無効化＋プライベートエンドポイントで VNet 限定、HTTPS 強制。アカウントキーは使わず、使う場合も定期ローテーション。
Q. 一時的に範囲限定で渡す？ SAS（ユーザー委任SASが安全）。Q. 恒久・キーレス？ Entra ID + RBAC。Q. SMB 共有は？ Azure Files。Q. VNet からのみ許可？ プライベートエンドポイント/FW。Q. SAS を一括失効？ ストアドアクセスポリシー。Q. オンプレ同期？ Azure File Sync。
混同に注意：
①アカウントキーはフルアクセスで blast radius が大——配布せず Entra ID/SAS を使う。
②SAS は発行後個別失効が難しい（ストアドアクセスポリシーやキー再生成で無効化）。
③RBAC のデータプレーンロール（ストレージ BLOB データ◯◯）と管理プレーン（共同作成者等）は別——データ読み書きには前者が必要。
④Azure Files の SMB はポート445が要る（オンプレ FW で塞がれがち）。
SAS は対象（コンテナ/BLOB）、許可する操作（読み取り/書き込み等）、有効期限を細かく指定できます。漏えいリスクを抑えつつ必要最小限の共有が可能です。
2.3.3この節のまとめ
- アクセスはEntra ID + RBAC を推奨、一時共有はSAS、キーは厳重管理
- Azure Files＝SMB/NFS の共有ファイル（複数 VM/オンプレで利用）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 第三者に、特定の BLOB へ期限付き・範囲限定でアクセスさせたい。最も適した方法はどれですか？
Q2. 複数の VM から SMB プロトコルで同時にマウントできるマネージドなファイル共有はどれですか？
Q3. ストレージへのアクセス方法として最も推奨される（キー不要の）方式はどれですか？