Microsoft AZ-204: Azure Storage と Blob Storage — 学習ガイド
こちらの一部です： Microsoft Azure Developer Associate AZ-204 — 学習ガイド. 検証済みの解答で練習： Microsoft試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.
概要
Azure Storageは、非構造化データおよび構造化データ向けに、持続性が高く、大規模にスケーラブルなクラウドストレージを提供します。アプリケーション開発では、適切なストレージアカウントタイプの選択、RTO/RPO目標を達成するための冗長性の構成、コスト/パフォーマンスに応じた正しいBLOBタイプとアクセス層の選択、そしてAzure ADとSASによるアクセスのセキュリティ保護に重点を置きます。ライフサイクルポリシーを使用して階層間のデータ移動を自動化し、必要に応じてBlobストレージから直接静的Webサイトを配信し、ファイルセマンティクスやメッセージベースの分離が必要な場合にはAzure FilesやQueue Storageを適用します。
ストレージアカウントのタイプと冗長性の基礎
汎用v2 (GPv2)は、ほとんどのワークロードにおける標準のアカウントタイプです。BLOB、ファイル、キュー、テーブル、すべてのアクセス層、ライフサイクル管理、そして最新の機能をサポートしています。レガシーなBlobStorageアカウントはBlobサービスと階層化のみを公開しますが、GPv2に見られるような幅広い機能やコスト最適化が欠けています。新規のデプロイではGPv2を優先すべきです。FileStorageアカウントは、Azure Files専用のプレミアムなSSDベースのアカウントであり、エンタープライズファイルワークロード（例：プロファイル共有、基幹業務アプリ）に対して、一貫した低レイテンシのIOPSとスループットを提供します。SMB/NFS共有にプレミアムなパフォーマンスが必要な場合はFileStorageを選択し、それ以外の場合はGPv2がデフォルトです。
冗長性の選択は、障害ドメインをまたいだデータの持続性と可用性を決定します。
- LRS (ローカル冗長ストレージ) は、単一のデータセンター内に3つのコピーを同期的に保存します。コストは最も低いですが、ゾーンやリージョンの保護はありません。開発/テスト、一時的なワークロード、または上位レイヤーでレプリケーションを行っている場合に使用します。
- ZRS (ゾーン冗長ストレージ) は、リージョン内のアベイラビリティゾーン間で同期的にレプリケートし、ゾーン障害から保護します。高い可用性を持ち、RPOはありません。リージョン内の回復性が必要なゾーン対応リージョンでの本番環境に選択します。
- GRS (地理冗長ストレージ) は、プライマリリージョンに3つの同期コピーを保存し（LRSと同様）、ペアのセカンダリリージョンに非同期でレプリケートします（そこではLRS）。一般的なRPOは15分未満です。セカンダリはデフォルトでは読み取り可能ではありません。読み取りアクセスが不要な場合のディザスタリカバリに選択します。
- RA-GRS (読み取りアクセス地理冗長ストレージ) は、-secondaryエンドポイントを介してセカンダリへの読み取りアクセスを追加します。リージョン間の障害耐性が必要な場合や、プライマリでのインシデント中に読み取り中心のワークロードがある場合、または結果整合性が許容される地理的に近い場所からの読み取りに使用します。
ゾーン障害からの保護とリージョン間のDRの両方が必要な場合は、ソリューションレベルでローカルのZRSを追加の地理レプリケーションアカウントパターンと組み合わせることを検討してください。アカウントのフェイルオーバーテストを計画し、DNSエンドポイントの切り替えを理解し、地理的なイベント中の結果整合性やクロックスキューを処理するためのアプリケーションの再試行ポリシーを検証してください。
BLOBのデータモデル、階層、ライフサイクル管理
BLOBには、それぞれ異なるセマンティクスを持つ3つのタイプがあります。ブロックBLOBは、画像、動画、バックアップなどの大きなオブジェクトのストリーミングやランダム読み取りに最適化されています。アップロードはブロックに分割されてコミットされるため、並列アップロードや効率的な再試行が可能です。追加BLOBは、テレメトリやログキャプチャなどの追記専用ワークロードに最適化されています。追記操作のみが許可されるため、同時実行性が簡素化されます。ページBLOBは、ランダムな読み取り/書き込みI/Oのために512バイトでアライメントされたページを公開し、Azure VMディスクで使用されるAzure仮想ハードディスク (VHD) の基盤となります。これらはIaaSディスクや大規模なランダムI/Oワークロードでサポートされる唯一のBLOBタイプです。
BLOBのアクセス層は、コストとパフォーマンスを制御します。ホット層は、頻繁なアクセスに最適化されており、読み取り/書き込みのレイテンシが最も低く、ストレージコストが最も高くなります。クール層は、少なくとも30日間保持される、アクセス頻度の低いデータを対象としており、ストレージコストは低いですが、トランザクション/読み取りコストと最低保持料金が高くなります。アーカイブ層は、長期保存向けの最も低コストな階層です。オブジェクトはオフラインであり、読み取る前にホット層またはクール層にリハイドレートする必要があります。リハイドレーションは標準または高優先度で要求でき、コストと速度をトレードオフします。アカウントレベルでデフォルトのアクセス層（ホットまたはクール）を設定し、BLOBごとに上書きできます。アーカイブ層はBLOBごとのみ設定可能です。
ライフサイクル管理ポリシーは、データの移動と保持を自動化して、コストを管理し、ガバナンス要件を満たします。アカウントレベルで、次のようなルールを定義します。
- 最終更新日からN日後に、BLOBまたはBLOBのバージョン/スナップショットをクール層またはアーカイブ層に移行する
- 経過期間のしきい値を超えたBLOB、スナップショット、またはバージョンを削除する
- コンテナーのプレフィックスやBLOBインデックスタグでフィルタリングして、特定のデータセットを対象にする（例：タグ env=prod および policy=retention-7y） ライフサイクルルールをバージョニングや論理削除と組み合わせて、保持期間を強制しつつ、偶発的な削除から保護します。アーカイブ層には最低保持期間と早期削除料金があることを忘れないでください。不要なリハイドレーションを最小限に抑えるようにポリシーを設計してください。
変更の追跡と下流の処理のために、ストレージアカウントの変更フィードを有効にして、BLOBの作成、更新、削除、コピー操作の順序付けられた不変のログを利用します。これは、コンプライアンスや、チェックポイント機能を持つexactly-onceまたはat-least-onceセマンティクスを必要とする非同期プロセッサをサポートします。
Blobストレージでの静的Webサイトのホスティングは、専用のWebエンドポイントを通じて提供される特別な$webコンテナーを公開します。インデックスドキュメントとエラードキュメントを設定し、静的アセットを直接発行します。静的Webサイトのエンドポイントは、BLOBのパブリックアクセス設定とは独立して、サイトコンテンツへの匿名読み取りアクセスを提供します。BLOBエンドポイント経由のアクセスは無効のままにできます。カスタムドメインとグローバルアクセラレーションのためには、エンドポイントの前にAzure Front DoorまたはAzure CDNを配置します。静的Webサイトのエンドポイントではプライベートエンドポイントはサポートされていません。プライベートアクセスが必要な場合は、エッジサービスを使用して配信を保護し、高速化します。
セキュリティ、ID、および制御されたデータアクセス
Azure Storage は、デフォルトで Microsoft マネージドキーを使用し、256 ビット AES で保存データを暗号化します。より厳格な制御が必要な場合は、Azure Key Vault または Managed HSM に保存されたカスタマーマネージドキー (CMK) を有効にして、キーのローテーションと職務の分離を管理します。ストレージアカウントのマネージド ID には、ラップ/アンラップ権限を付与します。規制の厳しいワークロードでは、インフラストラクチャ暗号化を有効にして、2つ目の独立した暗号化レイヤーを適用します。エンドツーエンドの暗号化制御が必要な場合は、サーバー側の暗号化とクライアント側の暗号化を組み合わせます。
Azure AD 認可は、Blob および Queue サービス、そして Files REST API のデータプレーンを RBAC と統合します。マネージド ID、ユーザー、またはグループには、Storage Blob データ閲覧者や Storage Blob データ共同作成者などの最小権限のロールを付与します。コードでは、DefaultAzureCredential を使用して OAuth 2.0 トークンを取得し、キーの埋め込みを避けます。Azure Files への SMB アクセスには、Active Directory を使用した ID ベースの認証を有効にします。ストレージアカウントをオンプレミスの AD DS (ハイブリッド ID の場合は Azure AD Kerberos 経由) または Azure AD DS に参加させ、共有レベルの認可には NTFS ACL と RBAC (例: Storage File Data SMB Share Contributor) を使用します。通信中の暗号化を伴う SMB 3.x を確保し、ポート 445 をブロックするネットワークを通過するために Private Endpoints、VPN、または ExpressRoute の使用を検討してください。
Shared Access Signature (SAS) は、アカウントキーを公開することなく、スコープと期限が限定されたアクセスを委任します。サービス SAS は、特定のサービスとリソース (例: 単一の BLOB やコンテナー) へのアクセスを、正確なアクセス許可と開始/有効期限付きで付与します。アカウント SAS はアカウントレベルで動作し、複数のサービス (BLOB、ファイル、キュー、テーブル) と、リストや作成などのサービス API にまたがります。ユーザー委任 SAS は Blob ストレージに固有で、適切な RBAC を持つプリンシパルに対して Azure AD 経由で取得したユーザー委任キーで署名されます。これにより、キーへの依存がなくなり、アクセス制御が Azure AD に一元化されます。IP 範囲、許可されるプロトコル (HTTPS のみ)、短い有効期間などの制約を適用します。保存されたアクセス ポリシーは、SAS の制約を一元化し、ポリシーを更新または削除することで失効を可能にします。これらはサービス SAS とアカウント SAS に適用されます。ユーザー委任 SAS は保存されたアクセス ポリシーを使用しません。失効させるには、ユーザー委任キーを期限切れにするか、Azure AD のロールの割り当てを削除します。常にアカウントキーよりも SAS を優先し、アプリが Azure AD トークンを取得できる場合はユーザー委任 SAS を優先してください。
Azure FilesとQueue Storageの要点
Azure Filesは、フルマネージドのSMB共有と、POSIXシナリオ向けのNFSオプションを提供します。SMB共有は、リフトアンドシフト移行やアプリケーションの互換性のために使用します。Premium FileStorageアカウントは予測可能な低レイテンシパフォーマンスを提供し、standard共有は汎用的なファイルデータに対して経済的です。共有とファイルは、SMBクライアントまたはREST API/SDK経由で管理します。Azure File Syncは、クラウド共有をWindows Server上にキャッシュすることでハイブリッドファイルサービスを可能にし、ローカルパフォーマンスの提供、コールドデータのクラウドへの階層化、マルチサイト同期、そして従来のNASリフレッシュサイクルなしでのバックアップ/オフサイトDRを実現します。Azure ADベースのIDとNTFS ACLを組み合わせて最小権限を強制し、Private Endpointsを使用してデータ漏洩リスクを封じ込めます。
Azure Queue Storageは、分離され、回復力のあるアプリケーションワークフローを可能にします。各メッセージは最大64 KBまでです（より大きなペイロードはBLOBのURIを参照すべきです）。メッセージのtime-to-live (TTL) は自動的な有効期限を決定します。秒単位から最大7日までの正の値を指定するか、有効期限なしの場合は-1を指定します。ワーカーがメッセージを取得すると、その可視性タイムアウトの間、メッセージは非表示になります。処理が失敗し、タイムアウト前にメッセージが削除されない場合、別のコンシューマーのために再表示されます。可視性タイムアウトは、最悪ケースの処理時間を超えるように調整し、べき等なハンドラーと指数関数的バックオフを使用して競合を減らします。デキューカウントを追跡して有害メッセージを検出し、しきい値を超えた場合、メッセージを隔離と分析のために専用の有害メッセージキューに移動します。Azure Functionsのキュートリガーは、-poisonキューを使用してこのパターンを自動的に実装します。より高いスループットや順序保証付きのFIFOが必要な場合は、Service Busキューを検討してください。そうでなければ、Azure Queue Storageは軽量でコスト効率に優れています。
実践的な問題シナリオ
National Geographicは、サーバーレスの画像処理、コスト最適化されたストレージ、そしてオンプレミスの編集ツール用のハイブリッドアクセスを備えた、トラフィックの多い写真マイクロサイトを公開する必要があります。また、パートナー代理店向けの安全で期限付きの共有リンクと、バックグラウンド処理のための堅牢なメッセージ処理も必要です。
- GPv2ストレージアカウントをRA-GRSで作成する
- 理由: GPv2は、ライフサイクル管理と階層化機能を備えたBlob、Files、Queueサービスを解放します。RA-GRSは、リージョン間の災害耐性とセカンダリエンドポイントへの読み取りアクセスを提供し、リージョン障害時に読み取り中心のアセットの継続性を確保します。
- 静的ウェブサイトホスティングを有効にし、サイトアセットを$webコンテナーにデプロイする
- 理由: Blobの静的ウェブサイトは、ウェブサーバーの管理を不要にし、Hot層からの低レイテンシの読み取りを提供し、グローバルにスケールします。後でAzure Front Doorと組み合わせて、カスタムドメイン、WAF、エッジキャッシュを実現します。
- オリジナルのRAW画像をブロックBLOBとして保存し、一度だけ書き込むテレメトリを追記BLOBとして保存する
- 理由: ブロックBLOBは、大規模な並列アップロードと、ウェブに最適化された派生データの効率的な配信をサポートします。追記BLOBは、処理パイプラインからの同時ログ書き込みを競合なく簡素化します。
- ライフサイクルポリシーを定義して、オリジナルを30日後にCool層へ、180日後にArchive層へ移動し、1年以上古いバージョンを削除する
- 理由: 自動階層化は、アクセスパターンに基づいてストレージコストを削減しつつ、コンプライアンス用のコピーを保持します。バージョンとスナップショットのクリーンアップは、手動介入なしで肥大化を抑制します。
- Azure ADとユーザー委任SASを使用してパートナー向けのデータアクセスを保護する
- 理由: 共有サービス内のマネージドIDにStorage Blob Data Readerロールを割り当て、ユーザー委任キーを取得し、IP制限付きの短命なHTTPS専用SASトークンを発行します。これにより、アカウントキーの配布を避け、認可をAzure ADに結びつけます。
- Key Vaultとインフラストラクチャ暗号化を使用してカスタマーマネージドキーを有効にする
- 理由: CMKはより厳格なコンプライアンスとローテーション要件を満たし、二重暗号化は機密性の高いメディアに対して多層防御を提供します。
- Azure Functionsのキュートリガーを使用してバックグラウンド画像処理のためにAzure Queue Storageを統合し、可視性タイムアウトを最大処理時間を超えるように設定し、有害メッセージ処理を構成する
- 理由: キューはアップロードパスをコンピューティングから分離します。可視性タイムアウトは重複作業を防ぎ、Functionsランタイムは失敗したアイテムを調査のために自動的に-poisonキューにルーティングします。
- premium FileStorageアカウントとAzure File Syncを使用して、Azure Files経由でオンプレミスのWindows Serverに編集ツールを公開する
- 理由: 編集者はADを介したIDベースの認証とNTFS ACLを備えた低レイテンシのSMBアクセスを得られ、一方Azure File Syncはローカルキャッシングとクラウド階層化を提供します。premium層は、インタラクティブなワークロードに対して一貫したパフォーマンスを保証します。
- Azure Front Doorで静的ウェブサイトをフロントに配置し、キャッシュとカスタムHTTPSを有効にする
- 理由: エッジのPOPがグローバルにレイテンシを削減し、カスタムドメインがブランディング要件を満たし、WAFがストレージバックエンドを変更することなくセキュリティを追加します。
- ストレージアカウントの変更フィードを有効にし、コンプライアンスストアにアーカイブする
- 理由: BLOB変更の不変で順序付けられたログは、下流の分析、監査、および再現可能なコンテンツパイプラインのためのリプレイをサポートします。
← Azure Functions とサーバーレスコンピューティング · すべてのドメイン · Azure Cosmos DB →
これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
試験に合格する →