変更要約: AZ-400 第4章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
4.3コンプライアンスとガバナンス
統制と証跡——承認/監査ログ、Azure Policy、環境の保護（チェック）、ライセンス/コンプライアンス管理、職務分離——を理解します。規制要件を満たしつつ高速に届けます。
規制環境では統制と証跡が必須です。承認・ポリシー・監査ログで、誰が何を承認/変更したかを追跡可能にします。
4.3.1ガバナンスの仕組み
- 承認/環境チェック：本番前に人手の承認や条件（ブランチ/時間帯/テンプレート）を強制。
- Azure Policy：組織のガードレールを強制（許可リソース/暗号化必須等）。
- 監査ログ：承認・変更・デプロイを記録し、追跡可能性を確保する。
- 職務分離：作る人と承認/デプロイする人を分け、内部統制を担保する。
「本番前の人手関門＝承認」「環境の条件強制＝チェック（ブランチ/時間/テンプレート）」「組織ガードレール＝Azure Policy」「操作の記録＝監査ログ」「作る人≠承認する人＝職務分離」 は AZ-400 で頻出です。規制対応でも自動化を捨てず、ゲート/承認で統制とスピードを両立します。
AZ-400 のガバナンスは「規制要件をパイプラインに組み込みつつ、自動化のスピードを失わない」設計を問います。環境（Environments）のチェックには、承認（責任者の手動サインオフ）、ブランチ制御（保護ブランチからのみデプロイ）、ビジネスアワー（営業時間外のデプロイ禁止）、必須テンプレート（承認済みテンプレートからのみ実行）、Azure Monitor/外部 API のクエリなどを組み合わせ、本番リソースへのデプロイを統制します。組織全体のガードレールは Azure Policy（許可リソース/リージョン、暗号化必須、タグ必須等を Deny/Audit/修復で強制）が担い、AZ-305 と同じ管理グループ継承で全社適用します。監査ログは「誰が・いつ・何を承認/変更/デプロイしたか」を記録し、インシデント分析・コンプライアンス監査・SIEM 連携に使います。職務分離（SoD）は、コードを書く人と本番を承認/デプロイする人を分けることで、単独での不正/誤操作を防ぎます（承認ポリシーで自己承認を禁止）。ライセンスコンプライアンスは依存スキャン（SCA）の結果から OSS ライセンスを管理します。重要なのは、これら統制をゲート/承認として自動化に組み込むことで、手作業に戻さずに監査可能性とスピードを両立できる点です。設計の要は、環境チェック＋Azure Policy＋監査ログ＋職務分離で、規制を満たしながら DevOps を速く回すことです。
| 統制目的 | 手段 | 要点 |
|---|---|---|
| 本番デプロイの人手承認 | 環境の承認 | 責任者のサインオフ・自己承認禁止 |
| デプロイ条件の強制 | 環境のチェック | ブランチ/時間帯/テンプレート/クエリ |
| 組織ガードレール | Azure Policy | 許可リソース/暗号化必須を Deny/Audit |
| 追跡可能性/内部統制 | 監査ログ＋職務分離 | 操作記録・作る人≠承認する人 |
シナリオ：金融系で「本番デプロイは保護ブランチからのみ・営業時間内・開発者本人以外の承認が必須・全操作を監査可能に」が要件。自動化は維持したい。→ 本番環境に承認（開発者以外）＋ブランチ制御＋ビジネスアワーのチェックを設定（職務分離は承認ポリシーで自己承認禁止）。組織は Azure Policy で許可リソース/暗号化必須を強制。すべての承認/変更/デプロイは監査ログで追跡。これでパイプライン自動化を保ったまま規制を満たします。
FAQ：承認とゲート（チェック）はガバナンスでどう使い分ける？ 承認は「人の最終判断」が要る統制（本番リリースの可否、変更管理委員会の承認）。ゲート/チェックは「機械的に判定できる条件」（保護ブランチか、営業時間内か、監視が健全か、必須テンプレートか）。規制要件は両方を組み合わせ、人手の承認＋自動チェックで多層に統制しつつ、判定可能なものは自動化してスピードを保ちます。
ひっかけ：規制対応のために自動化（パイプライン）をやめて手作業に戻すのは誤り——AZ-400 は統制をゲート/承認としてパイプラインに組み込み、自動化と監査可能性を両立させます。また「作った本人が本番を承認」できる構成は職務分離違反。承認ポリシーで自己承認を禁止し、開発者以外の承認を必須にします。
4.3.2この節のまとめ
- 統制＝承認/環境チェック＋Azure Policy
- 証跡＝監査ログ／内部統制＝職務分離
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 本番環境へのデプロイを、特定のブランチからのみ・営業時間内のみに限定したい。何を使いますか？
Q2. 規制対応として、コードを書いた人とは別の人が本番デプロイを承認する体制にしたい。何と呼ばれますか？
Q3. 誰がいつ何を承認・変更・デプロイしたかを後から追跡できるようにしたい。何を使いますか？