変更要約: AZ-900 第5章を新基準で全面拡充（コスト要因/見積り・追跡ツール/節約・Policy/ロック/RBAC/Purview/ランディングゾーン）
5.2ガバナンスとコンプライアンス
Azure Policy・リソースロック・RBAC でルール順守と安全な運用を実現し、Microsoft Purview や Service Trust Portal でデータガバナンスとコンプライアンスを扱う方法を理解します。
組織でクラウドを使うと、「ルールを守らせる」「誤操作を防ぐ」「適切な人だけに権限を与える」「法令に準拠する」といった統制（ガバナンス）が欠かせません。Azure はこれらを別々の仕組みで支えます。混同しやすいので、何を制御するのかで整理して覚えるのがコツです。
5.2.1ルールを強制する：Azure Policy
Azure Policy は、「リソースが満たすべき条件」をルールとして定義し強制します（例：許可するリージョンを限定、必須タグを要求、許可する VM サイズを制限）。違反する作成を拒否（deny）したり、既存リソースの準拠状況を評価したり、自動修復したりできます。複数のポリシーを束ねた イニシアティブ（policy initiative） で、規制対応のような一群のルールをまとめて適用することもできます。
5.2.2誤操作を防ぎ、権限を管理する
- リソースロック（resource lock）：削除や変更を防ぐ安全網（CanNotDelete / ReadOnly）。権限があっても誤操作を止める。
- RBAC（ロールベースアクセス制御）：誰が何をできるかをロールの割り当てで管理する（最小権限・スコープ継承。前章参照）。
| 仕組み | 制御するもの | 例 |
|---|---|---|
| Azure Policy | リソースが満たすべき条件（ルール） | 許可リージョン・必須タグ |
| RBAC | 人が何をできるか（権限） | 閲覧者/共同作成者/所有者 |
| リソースロック | 削除/変更の可否（安全網） | CanNotDelete / ReadOnly |
Policy・RBAC・ロックは役割が別です。Policy は「リソースが満たす条件」、RBAC は「誰が操作できるか」、ロックは「削除/変更を止める安全網」。例えば「所有者権限を持つ人でも、ロックがあれば削除できない」「RBAC で許可されていても、Policy 違反なら作成は拒否される」——重なり合って効きます。
5.2.3コンプライアンスと信頼
- Microsoft Purview：データのガバナンス・分類・コンプライアンスを一元的に扱う（データのカタログ化・機密ラベル付けなど）。
- Service Trust Portal：Microsoft の監査報告書やコンプライアンス情報（ISO・SOC など）を入手できる場所。
5.2.4周辺知識：大規模なガバナンス
大きな組織では、これらを一つずつ手で設定するのではなく、管理グループ（前章）にポリシーや RBAC を当てて継承で全体に効かせ、あらかじめ統制を組み込んだ環境の雛形＝ランディングゾーンを用意するのが定石です。こうした設計指針をまとめたのが クラウド導入フレームワーク（Cloud Adoption Framework, CAF） です。AZ-900 では「管理グループ＋ポリシーで一括統制」「ランディングゾーン＝統制済みの初期環境」という考え方を押さえれば十分です。
混同に注意：
①Azure Policy（リソースの条件）とRBAC（人の権限）——「何を満たすか」か「誰ができるか」。
②リソースロックは権限とは独立した削除/変更の安全網。
③Purview（自分のデータ統制）とService Trust Portal（Microsoft 側の監査文書）は向きが逆。
Q. Policy で「必須タグ」を強制できるなら、タグはガバナンスの道具でもある？ はい。タグはコスト整理（前節）だけでなく、Azure Policy と組み合わせて「全リソースに owner タグを必須」のように統制にも使えます。コストと統制の両面でタグは効きます。
Azure Policy＝ルール強制・準拠評価（イニシアティブで束ねる）／リソースロック＝誤削除防止／RBAC＝人の権限／Purview＝データガバナンス／Service Trust Portal＝Microsoftのコンプライアンス文書、そしてPolicy と RBAC の違い、管理グループ＋継承で大規模統制 は頻出です。
5.2.5この節のまとめ
- Azure Policy＝ルール強制・準拠評価（イニシアティブで束ねる）、リソースロック＝誤削除/変更防止、RBAC＝人の権限
- Policy（リソースの条件）≠ RBAC（人の権限）≠ ロック（安全網） の役割を区別
- Purview＝データガバナンス、Service Trust Portal＝Microsoft のコンプライアンス情報
- 大規模統制は管理グループ＋継承とランディングゾーン（CAF）で実現
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 権限を持つ人による操作も含め、リソースの誤削除や変更を防ぐ仕組みはどれですか？
Q2. 許可するリージョンや必須タグなどのルールを定義・強制し、準拠状況を評価するサービスはどれですか？
Q3. Microsoft の監査報告書やコンプライアンス情報を入手できる場所はどれですか？
Q4. Azure Policy と RBAC の違いとして正しいものはどれですか？
Q5. データのガバナンス・分類・コンプライアンスを一元的に扱う Azure のサービスはどれですか？