Sub1 という名前の Azure サブスクリプションがあり、そこには次の表に示すリソースが含まれています。
名前
説明
RG2
リソースグループ
VNet2
RG2内の仮想ネットワークで、Subnet2という名前のサブネットが含まれています。
このサブスクリプションには、以下の表に示すユーザーが含まれています。
名前
役割
役割の範囲
管理者1
ネットワーク貢献者
サブ1
管理者2
寄稿者
RG2
管理者3
所有者
VNet2
VNet2は、以下のコマンドレットを使用して作成されました。
New-AzResourceGroupDeploymentStack -Name Deploy1 -ResourceGroupName RG2 -TemplateFile Deploy。
上腕二頭筋
-DenySettingsMode DenyDelete -ActionOnUnmanage DetachAll
以下の各記述について、正しい場合は「はい」を選択してください。そうでない場合は「いいえ」を選択してください。
注:正解ごとに1ポイントが加算されます。

展示する

展示する
Reveal Solution
Discussion
Correct Answer:

Explanation:
Detailed Explanation
DenySettingsMode DenyDelete only blocks Delete actions on stack-managed resources; it never blocks write
/update actions, so Admin1 ' s Network Contributor role (which grants Microsoft.Network/virtualNetworks
/write) can still modify VNet2 ' s address space. By default, deployment-stack deny assignments do not cascade to child resources unless the stack is created with -DenySettingsApplyToChildScopes, which this cmdlet omits; Subnet2 is therefore not protected, and Admin2 ' s ordinary Contributor role at RG2 permits deleting it. VNet2 itself, however, is the resource the deny assignment directly targets (Scope: This resource, Excluded principals: No), so a delete on VNet2 is blocked for every principal -- including Admin3, who holds Owner directly on VNet2 -- because Azure deny assignments always take precedence over RBAC role assignments; VNet2 can only be removed by updating or deleting the deployment stack itself.
Official Reference
Deny settings in Azure deployment stacks - https://learn.microsoft.com/en-us/azure/azure-resource-manager
/bicep/deployment-stacks