Azure Policy は「作ってよいものの決まり」

Azure Policy は、リソースの設定にルールをかけるサービスです。ルールの中身を「ポリシー定義」、いくつかをまとめたものを「イニシアティブ」と呼び、スコープを決めて割り当てます。

• Deny … ルールに合わない作成や変更を止める
• Audit … 止めずに「準拠していない」と記録する
• Modify / Append … タグなどを足したり直したりする
• DeployIfNotExists … 足りない設定を後から入れる

RBAC と Policy の違い

RBAC は「誰が操作できるか」、Policy は「どんな設定なら作ってよいか」です。所有者でも、Deny のポリシーに合わないリソースは作れません。

タグは整理の札

タグは「名前と値」の組で、部署や環境（本番・開発）を書いておき、コストの集計などに使います。リソースグループに付けたタグは、中のリソースに自動では引き継がれません。引き継がせたいときは、Azure Policy の Modify などを使います。

ロックは消し間違いを防ぐ

• 削除（CanNotDelete） … 読み書きはできるが、消せない
• 読み取り専用（ReadOnly） … 読むだけ。変更も削除もできない
• ロックは所有者を含むすべての人に効き、下のスコープに引き継がれる
• ロックは管理の操作だけに効く。ストレージの中のデータの削除は防げない
• ReadOnly は思わぬ操作も止める（ストレージのアカウントキーの一覧、VM の起動など）

• Azure Policy の定義・イニシアティブ・割り当てと、主な効果
• RBAC と Policy の役割の違い
• タグの付け方と、引き継がれないことへの対処
• 削除ロックと読み取り専用ロックの違いと注意点