Azure運用最適化・コンプライアンス支援サービス

— 15カテゴリ×パラメータで作る“実装可能な”運用標準 —

著者：山崎行政書士事務所 クラウド法務・アーキテクチャ支援チーム

発行日：2025-09-11

要旨（Abstract）

Microsoft Azure の運用は、ガバナンス／セキュリティ／コスト／コンプライアンスの四輪で回す総合設計である。本稿では、NIST・ISO 等の国際フレームワークと国内外規制（個人情報保護法・金融関連規制 等）を踏まえ、Azure 運用を15 のカテゴリに分解。各カテゴリごとに設計パラメータ、KPI、チェックリスト、テンプレート（Policy/Bicep/KQL/Automation）を提示する。あわせて、法務×技術を一気通貫で支援する山崎行政書士事務所の実務支援メニュー（PR）と、ご相談の流れを掲載する。

キーワード：Azure Policy, Management Group, RBAC, PIM, Cost Management, Entra ID, NSG, Azure Firewall, WAF, Defender for Cloud, Sentinel, Automation, IaC, ASR, GRS, SLA/SLO, Evidence Pack

TL;DR（冒頭要約）

• 運用標準＝ルール（Policy）×実装（IaC）×監査（Evidence）で回す。

• 15カテゴリでパラメータ化し、90日で“最低限動く”運用標準を構築。

• コンプライアンスは設計時に織り込む（Data Residency／越境移転／ログ保全／責任分界）。

• 山崎行政書士事務所が法務と技術を同じ言語で成果物化し、運用まで伴走。

0. アーキテクチャ原則（共通前提）

• ゼロトラスト：境界依存を排し、ID・デバイス・ネットワーク・アプリの各層で最小権限。

• Policy-as-Guardrail：設計ルールは Azure Policy/Template Specs で強制。

• Configuration-as-Evidence：設定値＝証跡。Evidence Pack（後述）に継続保管。

• Runbook First：運用手順は自動化（Runbook/Playbook）を前提に作成。

• 法務×技術の合流：DPA/SCC・APPI の条項と、リージョン／DR／ログの設計を一つの表で管理。

1. ガバナンス（Governance）

1-1. 管理階層とサブスクリプション

Tenant
 └─ Management Groups (Root → Corp → {Prod,NonProd})
     ├─ Sub: corp-prod-01
     └─ Sub: corp-dev-01

• 命名規則：{org}-{env}-{region}-{svc}（例：contoso-prod-jpe-sql）

• 分割戦略：課金分離/責任分界/法域差異に応じて Sub を分割、タグで補完。

1-2. Azure Policy / Template Specs

• 禁止/強制：リージョン制限、Public Network Access=Disabled、タグ必須。

• 補足：Azure Blueprints は非推奨。Template Specs＋Policy で置換。

（例）許可リージョンを強制

{
  "properties": {
    "displayName": "Allowed locations (JP/EU only)",
    "policyRule": {
      "if": { "field": "location", "notIn": ["japaneast","japanwest","westeurope","northeurope"] },
      "then": { "effect": "deny" }
    }
  }
}

1-3. 命名・タグ

• 必須タグ：Dept, Project, Owner, CostCenter, DataClass(PII/PHI/CARD/Int), Residency(JP/EU/…)

• KPI：タグ充足率 100%、未タグリソース 0 件。

2. コスト管理（Cost Management）

• 予算とアラート：Sub/RG 単位で Budget を設定、超過予兆も通知。

• 最適化：Savings Plan/RI、停止スケジュール、未使用ディスク/PIP の棚卸し。

• タグ別配賦：タグ別コスト配賦を月次で確定。

（最小チェック）

•  Budget を全 Sub で設定

•  “停止可能”リストに自動登録（夜間/休日）

•  Savings Plan 適用率 > X%

3. ID / アクセス（Entra ID, RBAC, PIM）

• MFA＋条件付きアクセス：国/端末準拠/リスクで制御。

• RBAC：個人付与禁止、グループ付与＋最小権限。

• PIM：特権は JIT 付与＋承認＋理由必須。

• KPI：常設特権 0、アクセスレビュー四半期実施 100%。

（KQL）特権ロールの直近アクティベーション

AuditLogs
| where OperationName startswith "Add eligible role assignment" or OperationName contains "Activate"
| summarize count() by bin(TimeGenerated,1d), InitiatedBy

4. ネットワーク設計・運用（VNet/NSG/Firewall/WAF/ER・VPN）

• アドレス計画：重複禁止、将来拡張余地を確保。

• ハブ＆スポーク：ハブに Azure Firewall（Premium 可）、スポークは UDR で集約。

• AppGW（WAF）：専用サブネット＋必要 NSG（GatewayManager/ALB 許可、80/443 許可）。

• 対向接続：ER/VPN は冗長構成・GW Transit、BGP/UDR 整合を検証。

5. セキュリティ運用（Defender / キー管理 / DDoS / 脆弱性）

• Defender for Cloud：Secure score 改善、プラン選択（Servers/Storage 等）。

• Key Vault：CMK/BYOK、Private Link、ローテ自動化。

• DDoS/Mitigation：Public IP を持つ VNet は DDoS Network/IP Protection。

• 脆弱性：ACR 画像スキャン、VM スキャン、基盤パッチ計画。

6. ログ管理・監視（Monitor/Diagnostics/Sentinel）

• 収集設計：診断設定で Log Analytics/Event Hubs/Storage へ送出。

• 保持：ワークスペース保持＋アーカイブ／WORM（重要ログ）。

• Sentinel：相関ルール（国外イグレス、特権操作）、SOAR（Playbook）で初動自動化。

（KQL）国外イグレスの検出（例）

AzureNetworkAnalytics_CL
| where FlowDirection_s == "Outbound"
| where DstCountry_s !in ("Japan","EU Member States")
| summarize hits=count() by bin(TimeGenerated, 1h), SrcSubnet_s, DstPublicIPs_s, DstCountry_s

7. 運用自動化（Automation/Logic Apps/Functions）

• Runbook：停止/起動、バックアップ整備、棚卸し自動化。

• イベント駆動：アラート→チケット/通知/是正の自動実行。

• KPI：手動オペ比率 < X%、自動是正率 > Y%。

8. バックアップと DR（Backup/ASR/Storage 冗長）

• Backup：対象/頻度/保持年限、復旧訓練。

• ASR：RPO/RTO 目標、計画/非計画 FO、テスト FO を四半期。

• Storage：LRS/ZRS/GZRS/GRS をデータ分類別に選択。越境複製は方針と同意を整備。

9. リソース・ライフサイクル（Dev/QA/Prod／変更管理）

• 分離：DEV/TEST/STG/PROD の論理/物理分離。

• 変更管理：申請→影響評価→承認→実施→AAR。

• 定期棚卸し：オーナー不明/未使用リソースの削除。

10. SLA / SLO 管理（可用性の“見える化”）

• SLA：サービス個別と複合の稼働率合成。

• SLO：応答時間/可用性のユーザー指標。

• Error Budget：逸脱時はリリース凍結＋是正優先。

11. パフォーマンス（App Insights/DB/キャッシュ/配信）

• ボトルネック解析：App Insights で依存関係を可視化。

• DB：Azure SQL/Cosmos のスケールとインデックス最適化。

• キャッシュ/CDN：Redis/Front Door/Traffic Manager でレイテンシ低減。

• 負荷試験：JMeter 等でピーク検証、Autoscale 閾値調整。

12. コンプライアンス / 監査（Policy/証跡/法務整合）

• 規制テンプレ：ISO/PCI/HIPAA 等の評価メトリクス。

• Policy 強制：逸脱の自動是正（タグ付与、設定変更）。

• 証跡：設計書・運用手順・変更履歴・ログ保持・監査回答テンプレ。

13. インシデント管理（通知／切分け／初動／エスカレーション）

• 通知系の冗長：Mail/Teams/SMS/Pager。

• 切分け：自社 or Azure 側（Service Health 確認）。

• 初動 Runbook：再起動/隔離/スケール/FO の標準化。

• ポストモーテム：原因/再発防止/教訓のナレッジ化。

14. 運用ドキュメント / 体制（責任分掌／教育）

• 設計書/手順書：Portal/CLI/IaC で手順差異ゼロ。

• RACI：Sec/Infra/Dev の責任分界。

• 教育：アップデート情報の定期共有、資格支援。

15. 継続的改善（DevOps / SRE）

• IaC：ARM/Bicep/Terraform で再現性。

• CI/CD：アプリ＋インフラの一体パイプライン。

• SRE：SLO 管理、エラーバジェット運用、PoC→本番の評価基準。

付録A：最小テンプレ（抜粋）

（Policy）タグ必須化

{
  "properties": {
    "displayName": "Require tags: Dept,Project,Owner,CostCenter,DataClass,Residency",
    "policyRule": {
      "if": { "anyOf": [
        { "field": "tags['Dept']", "exists": false },
        { "field": "tags['Project']", "exists": false },
        { "field": "tags['Owner']", "exists": false },
        { "field": "tags['CostCenter']", "exists": false },
        { "field": "tags['DataClass']", "exists": false },
        { "field": "tags['Residency']", "exists": false }
      ]},
      "then": { "effect": "deny" }
    }
  }
}

（KQL）管理者ロール追加の検出

AuditLogs
| where OperationName contains "Add member to role"
| project TimeGenerated, InitiatedBy, TargetResources, Result

（GitHub Actions）IaC 配布の雛形（概念）

name: deploy-bicep
on: [push]
jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: azure/login@v2
        with: { creds: ${{ secrets.AZURE_CREDENTIALS }} }
      - uses: azure/cli@v2
        with:
          inlineScript: az deployment sub create \
            --location japaneast --template-file main.bicep \
            --parameters @params.json

付録B：Evidence Pack（監査提出パッケージ）の構成

1. アーキ図（VNet/ゾーン/リージョン/鍵の位置/データ流）

2. Policy & Template Specs（JSON 一式＋割当）

3. RBAC/PIM 台帳（誰に何がいつ、JIT 履歴）

4. ログ保持・WORM 設定（保持方針・改ざん耐性）

5. DR 手順/演習結果（RTO/RPO 実測と是正計画）

6. コンプライアンス対照表（ISO/NIST/法令条項 × 実装マッピング）

山崎行政書士事務所が選ばれる理由（PR）

1) Azure に精通した実務支援

セキュリティとコスト最適化の両立を前提に、設計→実装→運用まで現実的な着地を作ります。Savings Plan/RBAC/診断設定/Defender/Sentinel/ASR など実務の手数で差を出します。

2) ワンストップのコンサルティング

改善提案から実装、運用ドキュメント整備、教育まで、同じチームが継続伴走。**法務（DPA/SCC/プライバシー）と技術（Policy/IaC/Playbook）**を一体で成果物化します。

3) エンタープライズ規模の実績

金融・医療・製造など厳格なコンプライアンスが求められる領域での導入／運用支援の経験をEvidence Packとともに提供します。

ご相談の流れ

1. お問い合わせ・初回ヒアリング現在の Azure、運用課題、規制要件（個人情報保護法/NIST/ISO 等）を整理。

2. 課題分析・改善計画立案本稿の 15 カテゴリで現状診断し、優先度順ロードマップを提示。

3. 実装・運用サポートAzure Policy/RBAC 見直し、IaC 導入、監視・SOAR 構築、DR 演習などを実施。

4. 定期レビュー・アップデートAzure の新機能・法改正を踏まえ、SLO/コスト/セキュリティを継続的に最適化。

まとめ

運用は設計原則と強制手段（Policy/IaC）、検証（演習/監査）の三点セットで“回し続ける”ことが肝要である。法務×技術の視点でEvidence を伴う運用標準を整え、SLO とコストを同時に達成する仕組みを作ろう。

参照リンク集（べた貼り・本文にはリンクを置かない運用）

ガバナンス / Policy / Template

https://learn.microsoft.com/en-us/azure/governance/policy/https://learn.microsoft.com/en-us/azure/azure-resource-manager/templates/template-specshttps://learn.microsoft.com/en-us/azure/governance/management-groups/overview

コスト管理

https://learn.microsoft.com/en-us/azure/cost-management-billing/https://learn.microsoft.com/en-us/azure/cost-management-billing/costs/quick-acm-cost-analysis

ID / アクセス（Entra ID / RBAC / PIM / Conditional Access）

https://learn.microsoft.com/en-us/entra/https://learn.microsoft.com/en-us/azure/role-based-access-control/https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configurehttps://learn.microsoft.com/en-us/entra/identity/conditional-access/overview

ネットワーク / Firewall / WAF / Front Door / DNS

https://learn.microsoft.com/en-us/azure/virtual-network/virtual-networks-overviewhttps://learn.microsoft.com/en-us/azure/firewall/overviewhttps://learn.microsoft.com/en-us/azure/application-gateway/overviewhttps://learn.microsoft.com/en-us/azure/frontdoor/standard-premium/overviewhttps://learn.microsoft.com/en-us/azure/dns/dns-overview

セキュリティ（Defender / キー管理 / DDoS）

https://learn.microsoft.com/en-us/azure/defender-for-cloud/https://learn.microsoft.com/en-us/azure/key-vault/general/https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview

監視・ログ（Monitor / Sentinel / Diagnostics）

https://learn.microsoft.com/en-us/azure/azure-monitor/overviewhttps://learn.microsoft.com/en-us/azure/sentinel/https://learn.microsoft.com/en-us/azure/azure-monitor/essentials/diagnostic-settings

自動化 / DevOps / IaC

https://learn.microsoft.com/en-us/azure/automation/automation-introhttps://learn.microsoft.com/en-us/azure/azure-resource-manager/bicep/overviewhttps://learn.microsoft.com/en-us/azure/devops/pipelines/?view=azure-devopshttps://docs.github.com/actions

バックアップ / DR

https://learn.microsoft.com/en-us/azure/backup/backup-overviewhttps://learn.microsoft.com/en-us/azure/site-recovery/site-recovery-overviewhttps://learn.microsoft.com/en-us/azure/storage/common/storage-redundancy

コンプライアンス / 法務

https://learn.microsoft.com/en-us/azure/compliance/https://www.microsoft.com/licensing/docs/view/microsoft-products-and-services-data-protection-addendum-dpahttps://eur-lex.europa.eu/eli/dec_impl/2021/914/oj