変更要約: DP-420 第5章を新規作成し参考書を完結（ドメイン5: 監視(Normalized RU Consumption ホットパーティション検出/ステータスコード 429-449-503-408/サーバー側遅延/Azure Monitor アラート/リソースログ 診断設定→Log Analytics/パーティション間監視)、バックアップと復元(定期 vs 継続/PITR/復元ポイント/新アカウントへ復元)、セキュリティ・データ移動・DevOps(サービス管理 vs CMK Key Vault/Private Endpoint・IP・VNet/コントロールプレーン Azure RBAC・データプレーン Entra ID RBAC/Always Encrypted/CORS/データ移動 ADF・Spark・Kafka・Stream Analytics・IoT Hub/DevOps 宣言的 ARM・命令的 PowerShell-CLI 標準⇔オートスケール・フェイルオーバー)）。
5.3セキュリティ・データ移動・DevOps
サービス管理 vs カスタマー管理キー（CMK）、ネットワークアクセス制御、コントロールプレーン RBAC とデータプレーン Entra ID、Key Vault、Always Encrypted、データ移動（ADF/Spark/Kafka/Stream Analytics）、ARM テンプレートと PowerShell/CLI による DevOps を理解します。
本番運用では、暗号化・ネットワーク・アクセス制御のセキュリティ、データの出し入れ、そして再現可能なデプロイ（DevOps）を設計します。
5.3.1暗号化・ネットワーク・アクセス制御
保存データは既定で サービス管理キー で暗号化されるが、鍵を自分で管理したい要件では カスタマー管理キー（CMK） を Azure Key Vault で構成する。ネットワークは Private Endpoint・IP ファイアウォール・VNet サービスエンドポイント でアクセスを限定する。アクセス制御は 2 面＝コントロールプレーン（アカウント/構成の管理）は Azure RBAC、データプレーン（項目の読み書き）は Microsoft Entra ID ベースの RBAC で、できればアカウントキーよりトークン認証を使う。アカウントキーは Key Vault で安全に管理し、機微な特定フィールドは Always Encrypted でクライアント側暗号化する。CORS でブラウザからのアクセス元を制御する。
5.3.2データ移動と DevOps
データ移動は用途で選ぶ＝大量移行は SDK のバルク操作 や Azure Data Factory/Synapse パイプライン、ストリーミング取り込みは Apache Kafka コネクタ や Azure Stream Analytics、Spark 分析は Cosmos DB Spark コネクタ、IoT は Azure IoT Hub のカスタムエンドポイント。DevOps では 宣言的（ARM テンプレート／Bicep） でリソースとインデックスポリシーを再現可能にプロビジョニング/維持し、命令的（PowerShell／Azure CLI） で 標準⇔オートスケールの移行 や リージョンフェイルオーバーの起動 など運用操作を行う。本番のインデックスポリシーは ARM テンプレートで管理しドリフトを防ぐ。
決め手：「自分で鍵管理」＝CMK(Key Vault)。「アカウント/構成の管理権限」＝コントロールプレーン Azure RBAC、「項目の読み書き権限」＝データプレーン Entra ID RBAC。「プライベート接続」＝Private Endpoint。「特定フィールドをクライアント暗号化」＝Always Encrypted。「再現可能なプロビジョニング/インデックスポリシー維持」＝ARM テンプレート(宣言的)、「標準⇔オートスケール移行/フェイルオーバー起動」＝PowerShell/CLI(命令的)。
混同に注意：
①コントロールプレーン RBAC(管理操作)とデータプレーン Entra ID RBAC(データ読み書き)を取り違えない。
②CMK は Key Vault の鍵ローテーション/アクセスに依存＝鍵を消すとデータ復号不可。
③Always Encrypted(特定フィールドのクライアント側暗号化)と保存時暗号化(CMK)は別レイヤ。
④宣言的(ARM)と命令的(CLI)を用途で使い分ける。
5.3.3この節のまとめ
- 暗号化＝既定サービス管理キー/要件で CMK(Key Vault)、機微フィールドは Always Encrypted、ネットワークは Private Endpoint
- アクセス制御＝コントロールプレーン Azure RBAC(管理) / データプレーン Entra ID RBAC(読み書き)
- データ移動＝ADF/Spark/Kafka/Stream Analytics、DevOps＝宣言的 ARM(再現/インデックス維持)＋命令的 CLI(移行/フェイルオーバー)
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 保存データの暗号化キーを自分で管理し、ローテーションや取り消しを制御したい。最適なのはどれですか？
Q2. アプリが Cosmos DB の項目を読み書きする権限を、アカウントキーではなく ID ベースで付与したい。最適なのはどれですか？
Q3. Cosmos DB アカウントへのネットワークアクセスをプライベートに限定したい。最適なのはどれですか？
Q4. 本番のリソースとインデックスポリシーを宣言的に再現可能にプロビジョニング/維持したい。最適なのはどれですか？
Q5. 標準スループットとオートスケールの間を移行したり、リージョンフェイルオーバーを起動したい（命令的な運用操作）。最適なのはどれですか？