Azure Policy 完全ガイド｜Effect・Built-in/Custom・Initiative・Remediation・コンプライアンス

Azure Policy は、組織の Azure リソースに対するルールを定義・適用・監査する Microsoft マネージドのガバナンスサービスです。 Management Group / Subscription / Resource Group の階層に適用し、組織全体の Azure 統制を自動化する基幹サービスで、エンタープライズ Azure 環境のガバナンスの中核を担います。 本記事では、Azure Policy の Effect・Built-in/Custom・Initiative・Assignment Scope・Remediation・コンプライアンス活用を網羅的に整理します。

7 つの Effect

本番では Audit で導入 → 安定後に Deny に切り替えるのが標準パターンで、いきなり Deny で本番影響を出さないことが重要です。

Built-in Policy vs Custom Policy

新規プロジェクトでは Built-in を最大限活用し、不足分のみ Custom 化が現実的。Azure Policy GitHub リポジトリで業界標準の Custom Policy サンプル多数公開、参考実装として活用可能。

Initiative (Policy Set)

Initiative は、複数の Policy を 1 つのグループとしてまとめた論理単位。

Microsoft 提供 Initiative 例

• Microsoft Cloud Security Benchmark (MCSB): Microsoft 推奨セキュリティベースライン (Azure Security Benchmark 後継)
• PCI DSS v3.2.1: 決済カード業界セキュリティ標準
• ISO 27001:2013: 国際情報セキュリティマネジメント
• NIST SP 800-53: 米国政府向けセキュリティ統制
• HIPAA HITRUST: 医療情報保護
• Australian Government ISM: 豪州政府情報セキュリティ

Initiative 適用 + Compliance ダッシュボードで組織の規制対応状況を可視化可能。本番では『MCSB Initiative + 組織カスタム Initiative』の組み合わせで階層的なガバナンス構成が標準。

Assignment Scope の階層

Policy または Initiative を Management Group / Subscription / Resource Group のいずれかに割り当てる操作が Assignment、その対象範囲が Scope。

階層構造

• Tenant Root Management Group: 組織最上位
• Management Group: Subscription をグループ化 (環境別・部門別)
• Subscription: 課金単位
• Resource Group: リソースの論理グループ
• Resource: 個別 Azure リソース

Assignment は Scope より下位に継承される (Management Group に Assign すれば配下全 Subscription に適用)。

エンタープライズパターン

1. ルート Management Group に『MCSB Initiative』Audit モードで全社適用
2. 本番 Subscription に『Allowed Locations (東日本のみ)』Deny モードで強制
3. 開発 Resource Group に『Maximum VM SKU (D8s_v5 まで)』Deny モードでコスト制御

Exclusion 機能で特定 RG / リソースを除外可能、例外管理も柔軟。

Remediation

Remediation は、既存の Policy 違反リソースを自動修正する機能。Effect が Modify または DeployIfNotExists の Policy で利用可能。

代表的なユースケース

1. 既存全 VM に Diagnostic Settings 未構成 → Remediation Task で一括自動構成
2. 既存全 Storage Account に Encryption 未設定 → Remediation で一括 Customer-Managed Key 適用
3. 既存全リソースに CostCenter Tag 未付与 → Remediation で Management Group の Tag 値を継承自動付与

Remediation は Managed Identity 経由で実行 (System-assigned MI を Policy Assignment 作成時に自動付与)、必要な Contributor 権限を Scope に対して持つ。 大規模環境では数千リソースの一括修正に数時間かかる場合あり、計画的な実行が必要。

本番標準 Policy セット

セキュリティ系

• Storage Account Public Access Disable (Deny)
• Storage Account Minimum TLS 1.2 (Deny)
• VM Disk 暗号化必須 (Audit → Deny)
• SQL Database Auditing 有効化 (DeployIfNotExists)
• NSG Flow Logs 有効化 (DeployIfNotExists)
• Key Vault Soft Delete + Purge Protection (Audit)

コスト・命名規則

• 許可リージョン制限 (Deny)
• 許可 VM SKU 制限 (Deny)
• CostCenter / Owner / Project Tag 必須 (Modify で自動付与)
• Resource 命名規則 (Deny、Custom Policy)

運用

• Diagnostic Settings 自動構成 (DeployIfNotExists)
• Azure Defender 自動有効化 (DeployIfNotExists)
• Microsoft Defender for Endpoint 拡張機能自動インストール (DeployIfNotExists)

コンプライアンス活用

Azure Policy のコンプライアンスダッシュボードで、組織の規制対応状況を可視化。

• MCSB・PCI DSS・HIPAA・ISO 27001・NIST 等の Built-in Initiative を Assign
• 各コントロール項目への準拠率が % 表示
• 準拠していないリソース一覧・修正手順も提示
• コンプライアンス監査 (SOC2 Type II・ISO 27001 認証取得) で証跡として活用
• 監査人への報告コスト削減効果が大きい

Microsoft Sentinel / Defender for Cloud との統合で、Policy 違反イベントを SOC に通知・自動対応も可能。

IaC との統合

Bicep / Terraform で Policy・Initiative・Assignment をコード化して管理。

Bicep 例

resource policyDef 'Microsoft.Authorization/policyDefinitions@2023-04-01' = {
  name: 'require-tag-CostCenter'
  properties: {
    displayName: 'Require CostCenter tag'
    policyType: 'Custom'
    mode: 'Indexed'
    policyRule: {
      if: {
        field: 'tags.CostCenter'
        exists: 'false'
      }
      then: {
        effect: 'deny'
      }
    }
  }
}

resource policyAssignment 'Microsoft.Authorization/policyAssignments@2024-04-01' = {
  name: 'require-costcenter-tag-assignment'
  properties: {
    policyDefinitionId: policyDef.id
    displayName: 'Require CostCenter tag on all resources'
  }
}

運用ベストプラクティス

1. 新規 Policy は Audit モードで導入 → 安定後 Deny へ切り替え
2. Management Group 階層でガバナンス階層化
3. Microsoft Cloud Security Benchmark (MCSB) Initiative を全社適用
4. 業界別 Initiative (PCI DSS・HIPAA など) で規制対応
5. 命名規則・タグ強制を Custom Policy で実装
6. Remediation で既存環境の段階的修正
7. Exclusion で例外管理 (緊急対応・PoC など)
8. Bicep / Terraform で Policy as Code 化
9. Microsoft Sentinel に Policy 違反イベント送信
10. 月次コンプライアンスレポートを経営層に提出

関連認定試験

• AZ-104 (Administrator): ドメイン 1 で深く問われる本領域の主要認定
• AZ-305 (Solutions Architect Expert): ドメイン 1 で全体ガバナンス設計
• SC-100 (Cybersecurity Architect Expert): ゼロトラスト戦略の Policy 統制
• AZ-400 (DevOps Engineer Expert): IaC + Policy の組み合わせ

よくある質問

本記事の技術情報は Azure Policy Documentation に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Azure は Microsoft group of companies の商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。