第1回 問題集（全般）
全120問 ／ すべての問題の解答・解説を無料で閲覧できます
📋 AZ-104 問題集 おすすめの使い方
目次
1. Microsoft Entra ID (旧Azure AD) において、複数サブスクリプションを1つの統合されたアクセス制御境界の下で管理するための構造はどれか。
解答・解説を見る
正解: A. 管理グループ (Management Groups)
📌 正解の根拠・詳細解説
管理グループ (Management Groups) は、複数のAzureサブスクリプションを階層化してポリシー(Azure Policy)やアクセス制御(RBAC)を上位から一括適用するための管理範囲です。
2. 異なる2つのAzure仮想ネットワーク(VNet)同士を暗号化トンネルやVPN機器なしで低遅延かつ高速に直接接続する技術はどれか。
解答・解説を見る
正解: A. VNet ピアリング (VNet Peering)
📌 正解の根拠・詳細解説
VNetピアリングは、Microsoftのバックボーンネットワークを通じて2つのVNetを直接低遅延で透過的に相互接続する技術です。ゲートウェイや公衆インターネットを経由しません。
3. Azure Blob Storageにおいて、たまにしかアクセスされないが即座の読み取りが必要なバックアップデータを最もコスト効率よく保存するアクセス層はどれか。
解答・解説を見る
正解: B. クール (Cool)
📌 正解の根拠・詳細解説
クール層 (Cool) は少なくとも30日間保存され、アクセスの頻度は低いものの即時アクセスが要求されるデータに最適化されたストレージ層です。アーカイブ層は読み取りまでに数時間の復元処理が必要となります。
4. 複数のAzure仮想マシン(VM)を同一ラックや異なる電源・ネットワークに分散配置し、ハードウェア障害による同時停止を防ぐ可用性構成はどれか。
解答・解説を見る
正解: A. 可用性セット (Availability Set)
📌 正解の根拠・詳細解説
可用性セット (Availability Set) は、VMを複数の障害ドメイン(Fault Domains)と更新ドメイン(Update Domains)に分散配置することで、単一障害点による全停止を防ぐ高可用性構成です。
5. Azure上の全リソースの設定変更、監査ログ、ユーザーの操作履歴を一元記録する監視サービスはどれか。
解答・解説を見る
正解: A. Azure Activity Log
📌 正解の根拠・詳細解説
Azure Activity Log（アクティビティログ）は、サブスクリプションレベルで発生したコントロールプレーンの操作（VMの作成・削除、アクセス権変更など）を自動記録する監査ログです。
6. あるチームリーダーに、サブスクリプション内のリソースへのアクセス権(ロール割り当て)を他のメンバーへ付与する権限だけを与えたい。リソース自体の作成や削除はさせたくない。割り当てるべき組み込みRBACロールはどれか。
解答・解説を見る
正解: D. ユーザー アクセス管理者 (User Access Administrator)
📌 正解の根拠・詳細解説
ユーザー アクセス管理者 (User Access Administrator) は、Azure リソースへのユーザーアクセスを管理する、つまりロール割り当てを行う権限に特化した組み込みロールです。共同作成者はリソースの作成・削除はできますがロール割り当てはできず、所有者は両方できてしまうため権限が過剰です。閲覧者は参照のみです。
7. 社内規定により、リソースは「Japan East」リージョンにのみ作成できるよう強制したい。それ以外のリージョンへのデプロイは失敗させる必要がある。最も適切な仕組みはどれか。
解答・解説を見る
正解: A. Azure Policy で許可されたリージョンの定義を Deny 効果で割り当てる
📌 正解の根拠・詳細解説
Azure Policy の「許可された場所 (Allowed locations)」組み込み定義を Deny 効果で割り当てると、指定リージョン以外へのデプロイ要求が Azure Resource Manager の段階で拒否されます。RBAC は「誰が操作できるか」を制御する仕組みで、「どんな構成を作ってよいか」の制御はできません。ロックは削除・変更の抑止、タグは分類のためのメタデータであり強制力はありません。
8. 監査担当者にサブスクリプションのスコープで「閲覧者」ロールを割り当てた。この担当者が参照できる範囲として正しいものはどれか。
解答・解説を見る
正解: C. そのサブスクリプション配下のすべてのリソースグループとリソース
📌 正解の根拠・詳細解説
Azure RBAC の権限は上位スコープから下位スコープへ継承されます。サブスクリプションで割り当てたロールは、その配下のすべてのリソースグループおよびリソースに自動的に適用されます。ただし継承されるのは下位方向のみで、他のサブスクリプションや管理グループには及びません。
9. 本番環境のリソースグループについて、運用担当者が設定変更を行うことは許可するが、誤操作によるリソースの削除だけは物理的に防ぎたい。設定すべきリソースロックの種類はどれか。
解答・解説を見る
正解: A. CanNotDelete ロック
📌 正解の根拠・詳細解説
CanNotDelete (削除不可) ロックは、読み取りと更新は許可したまま削除操作だけをブロックします。ReadOnly ロックは読み取り専用となり設定変更もできなくなるため要件に合いません。ロックはリソースグループに設定すると配下のリソースにも継承され、RBAC 権限より優先して働きます。
10. コスト按分のため、リソースグループに「CostCenter」タグを付与した。しかしコスト分析画面で、そのリソースグループ内の個々のリソースにタグが付いていないことに気づいた。原因として正しいものはどれか。
解答・解説を見る
正解: C. タグはリソースグループから配下のリソースへ自動継承されないため
📌 正解の根拠・詳細解説
Azure のタグはリソースグループやサブスクリプションから配下のリソースへ自動的には継承されません。個々のリソースにもタグを付けたい場合は、Azure Policy の Modify 効果を持つ「タグを継承する」組み込み定義を使い、修復タスクを実行するのが一般的です。
11. Microsoft Entra ID のセルフサービス パスワード リセット (SSPR) を導入し、リセットしたパスワードをオンプレミスの Active Directory にも反映させたい。この「パスワード ライトバック」に必要な構成要素はどれか。
解答・解説を見る
正解: D. Microsoft Entra Connect とパスワード ライトバックの有効化
📌 正解の根拠・詳細解説
パスワード ライトバックは Microsoft Entra Connect (旧 Azure AD Connect) の機能で、クラウドで変更されたパスワードをオンプレミス AD へ書き戻します。この機能はハイブリッド構成専用であり、有料ライセンス (Entra ID P1 以上) が必要です。Bastion や Firewall はネットワーク系サービスであり、ID 同期とは無関係です。
12. 人事システムから同期される属性 department が「Sales」であるユーザーを、手作業なしで自動的にグループへ追加・削除したい。作成すべきグループの種類はどれか。
解答・解説を見る
正解: D. 動的ユーザー メンバーシップのグループ (動的グループ)
📌 正解の根拠・詳細解説
動的グループは、ユーザー属性に基づくメンバーシップ規則 (例: user.department -eq "Sales") を評価し、条件に合致するユーザーを自動的に追加・削除します。割り当て済みグループは手動でメンバーを管理する必要があります。なお動的グループの利用には Entra ID P1 以上のライセンスが必要です。
13. オンプレミス AD のユーザーが、追加のサーバーやフェデレーション基盤を用意せずに、オンプレミスと同じパスワードで Microsoft 365 や Azure にサインインできるようにしたい。最もシンプルな Entra Connect のサインイン方式はどれか。
解答・解説を見る
正解: D. パスワード ハッシュ同期 (PHS)
📌 正解の根拠・詳細解説
パスワード ハッシュ同期 (PHS) は、オンプレミス AD のパスワードのハッシュを Entra ID へ同期し、クラウド側で認証を完結させる方式です。追加サーバーが不要で構成が最もシンプルなうえ、オンプレミスが停止していてもクラウド認証を継続できます。AD FS はサーバー群の構築と運用が必要で、PTA はエージェントとオンプレミスの稼働に依存します。
14. 取引先企業の担当者に、自社の Azure 上にあるアプリへ相手企業のアカウントのままアクセスしてもらいたい。自社テナントに新しいパスワードを作らせない方法はどれか。
解答・解説を見る
正解: A. Entra ID B2B でゲスト ユーザーとして招待する
📌 正解の根拠・詳細解説
Microsoft Entra ID の B2B コラボレーションでは、外部ユーザーをゲストとして招待し、相手が自社の組織アカウント (ホーム テナントの資格情報) のまま認証してアクセスできます。ゲストは招待メールのリンクから同意することで有効になります。ユーザーを新規作成してパスワードを共有する運用は、認証の追跡ができずセキュリティ上も不適切です。
15. 支社ごとのヘルプデスク担当者に、自分の支社に所属するユーザーのパスワード リセットだけを許可し、他支社のユーザーは操作できないようにしたい。Entra ID で使うべき機能はどれか。
解答・解説を見る
正解: A. 管理単位 (Administrative Units)
📌 正解の根拠・詳細解説
管理単位 (Administrative Units) は、ユーザーやグループ、デバイスの集合に対して管理者ロールのスコープを限定する Entra ID の機能です。ヘルプデスク管理者ロールを特定の管理単位に割り当てることで、その範囲のユーザーだけを操作できます。Azure Policy や リソースグループは Azure リソース側の概念で、ディレクトリ オブジェクトの管理範囲は制御できません。
16. 特権ロールを常時付与するのではなく、必要なときだけ申請・承認を経て一時的に有効化させたい。この「Just-In-Time」なロール管理を提供する機能はどれか。
解答・解説を見る
正解: B. Microsoft Entra Privileged Identity Management (PIM)
📌 正解の根拠・詳細解説
Privileged Identity Management (PIM) は、ロールを「対象 (Eligible)」として割り当て、利用時に承認や MFA、理由の入力を経て時間制限付きで有効化させる仕組みです。常時特権を持つアカウントを減らし、攻撃対象領域を縮小できます。利用には Microsoft Entra ID P2 ライセンスが必要です。
17. カスタム RBAC ロールの定義において、Actions に含めた操作の中から特定の操作だけを除外したい。使用するプロパティはどれか。
解答・解説を見る
正解: A. NotActions
📌 正解の根拠・詳細解説
カスタムロールの定義では、Actions で許可する操作を指定し、NotActions でその中から除外する操作を指定します。実効的な権限は「Actions から NotActions を差し引いたもの」です。AssignableScopes はそのロールを割り当て可能なスコープの一覧、DataActions はデータプレーン操作 (例: BLOB の読み取り) を指定するプロパティです。
18. あるユーザーがリソースグループで「共同作成者」、同じリソースグループのサブスクリプションで「閲覧者」を割り当てられている。このユーザーがリソースグループ内で行える操作はどれか。
解答・解説を見る
正解: B. リソースの作成・変更が可能 (権限は加算される)
📌 正解の根拠・詳細解説
Azure RBAC のロール割り当ては加算的 (additive) で、複数のロールを持つ場合はその和集合が実効権限になります。したがって共同作成者としてリソースを作成・変更できます。なお、明示的に拒否したい場合は「拒否割り当て (Deny assignment)」を使い、これはロール割り当てより優先されます。
19. Japan East にある仮想マシンを、West US にあるリソースグループへ移動した。この操作の結果として正しいものはどれか。
解答・解説を見る
正解: B. 仮想マシンは Japan East で稼働し続け、管理上の所属だけが変わる
📌 正解の根拠・詳細解説
リソースグループの場所は、そのグループのメタデータを格納する場所を示すに過ぎず、リソース自体の稼働リージョンとは独立しています。別リージョンのリソースグループへ移動しても、仮想マシンは元のリージョンで稼働し続けます。リージョンをまたぐ実際の移動には、Azure Resource Mover などの別の仕組みが必要です。
20. 診断設定が未構成のストレージ アカウントを検出するだけでなく、Azure Policy が自動的に診断設定を作成して修復するようにしたい。使用すべきポリシー効果はどれか。
解答・解説を見る
正解: D. DeployIfNotExists
📌 正解の根拠・詳細解説
DeployIfNotExists は、条件に合致するリソースで指定した関連リソースが存在しない場合に、ARM テンプレートをデプロイして自動修復する効果です。実行にはポリシー割り当てにマネージド ID を付与する必要があります。Audit は非準拠を記録するだけ、Deny は作成を拒否するだけ、Append はリクエストにフィールドを追加する効果です。
21. セキュリティ基準として定めた20個のポリシー定義を、複数のサブスクリプションへ1つのまとまりとして一括で割り当てて準拠状況を管理したい。使用するものはどれか。
解答・解説を見る
正解: C. イニシアティブ (ポリシー セット定義)
📌 正解の根拠・詳細解説
イニシアティブ (Initiative / ポリシー セット定義) は、複数のポリシー定義を1つにまとめて割り当てられる仕組みで、まとまり単位で準拠率を確認できます。管理グループに割り当てれば配下の全サブスクリプションへ一括適用できます。リソースグループやタグはグルーピングの概念ですが、ポリシーを束ねる機能ではありません。
22. 開発部門のサブスクリプションについて、月間の想定コストを超えそうな場合に管理者へメール通知したい。使用すべき機能はどれか。
解答・解説を見る
正解: D. Microsoft Cost Management の予算 (Budget) とアラート
📌 正解の根拠・詳細解説
Microsoft Cost Management の「予算」機能では、サブスクリプションやリソースグループ単位で金額のしきい値を設定し、実績や予測が一定割合に達した時点でアクション グループ経由の通知を送れます。予算はあくまで通知・自動化のトリガーであり、支出そのものを自動停止する機能ではない点に注意が必要です。
23. 追加ライセンスを購入せず、テナント内の全ユーザーに多要素認証 (MFA) の登録を求め、レガシー認証をブロックする最も手軽な方法はどれか。
解答・解説を見る
正解: D. セキュリティ既定値群 (Security Defaults) を有効にする
📌 正解の根拠・詳細解説
セキュリティ既定値群 (Security Defaults) は無償で利用できるテナント全体の基本保護設定で、全ユーザーへの MFA 登録要求、特権操作時の MFA 要求、レガシー認証のブロックなどをまとめて有効化します。細かい条件分岐が必要な場合は条件付きアクセスを使いますが、こちらは Entra ID P1 以上が必要で、両者は同時に有効化できません。
24. Entra ID のグローバル管理者としてサインインしたが、Azure ポータルで一部のサブスクリプションのリソースが表示されない。原因と対処として正しいものはどれか。
解答・解説を見る
正解: D. グローバル管理者は既定で Azure リソースの権限を持たないため、アクセス管理の昇格または RBAC 割り当てが必要
📌 正解の根拠・詳細解説
Entra ID のディレクトリ ロール (グローバル管理者など) と、Azure リソースを制御する Azure RBAC ロールは別系統の権限体系です。グローバル管理者でも既定では Azure リソースへのアクセス権を持ちません。必要な場合は「Azure リソースのアクセス管理」を昇格させて全サブスクリプションのユーザー アクセス管理者になるか、個別に RBAC ロールを割り当てます。
25. プロジェクト終了に伴い、検証用のリソースグループを削除しようとしている。この操作の影響として正しいものはどれか。
解答・解説を見る
正解: C. リソースグループ内のすべてのリソースが一緒に削除される
📌 正解の根拠・詳細解説
リソースグループを削除すると、その中に含まれるすべてのリソースが一括で削除されます。誤削除を防ぐには CanNotDelete ロックの設定が有効です。なお、削除ロックがかかったリソースが1つでも含まれていると、リソースグループの削除自体が失敗します。
26. ARM テンプレートを「完全 (Complete)」モードでデプロイした場合、対象リソースグループ内にありテンプレートに定義されていないリソースはどうなるか。
解答・解説を見る
正解: A. 削除される
📌 正解の根拠・詳細解説
完全 (Complete) モードのデプロイでは、テンプレートに記述されていないリソースはリソースグループから削除され、テンプレートが「あるべき状態」として厳密に適用されます。既定の増分 (Incremental) モードでは、テンプレートにないリソースはそのまま残ります。運用中の環境に完全モードを使う際は、意図しない削除に注意が必要です。
27. LDAP や Kerberos による従来型のドメイン参加を必要とするレガシー アプリを、ドメイン コントローラー用の仮想マシンを自前で構築せずに Azure 上で動かしたい。適切なサービスはどれか。
解答・解説を見る
正解: C. Microsoft Entra Domain Services
📌 正解の根拠・詳細解説
Microsoft Entra Domain Services (旧 Azure AD DS) は、ドメイン参加、グループ ポリシー、LDAP、Kerberos/NTLM 認証といった従来型のドメイン機能をマネージド サービスとして提供します。ドメイン コントローラーの構築やパッチ適用が不要です。Entra ID 単体はこれらのレガシー プロトコルをサポートしません。
28. 四半期ごとに、機密性の高いグループのメンバーやゲスト ユーザーが本当にアクセス権を必要としているかを、所有者自身に確認・承認させたい。使用する機能はどれか。
解答・解説を見る
正解: D. アクセス レビュー (Access Reviews)
📌 正解の根拠・詳細解説
アクセス レビューは、グループのメンバーシップやアプリケーションへの割り当て、ロール割り当てを定期的に見直すための Entra ID Governance の機能です。レビュー担当者 (所有者や本人) に確認を依頼し、応答がない場合は自動削除するといった処理も設定できます。利用には Microsoft Entra ID P2 (または Governance) ライセンスが必要です。
29. 同一リージョン内でデータセンター (可用性ゾーン) 単位の障害が起きてもデータを失わない構成にしたい。ただし別リージョンへの複製までは不要である。選択すべきレプリケーション オプションはどれか。
解答・解説を見る
正解: C. ZRS (ゾーン冗長ストレージ)
📌 正解の根拠・詳細解説
ZRS はプライマリ リージョン内の3つの可用性ゾーンにデータを同期的に複製するため、ゾーン単位の障害に耐えられます。LRS は単一データセンター内の3つのコピーのみで、ゾーン障害には耐えられません。GRS/RA-GRS は数百キロ離れたセカンダリ リージョンにも複製する構成で、今回の要件に対しては過剰かつ高コストです。
30. GRS 構成のストレージ アカウントで、平常時からセカンダリ リージョンのデータを読み取り専用で参照してレポート処理を行いたい。必要な設定はどれか。
解答・解説を見る
正解: D. RA-GRS へ変更し、セカンダリ エンドポイントを使用する
📌 正解の根拠・詳細解説
通常の GRS ではセカンダリ リージョンのデータはフェールオーバーするまで読み取れません。RA-GRS (読み取りアクセス geo 冗長ストレージ) にすると、-secondary が付いたエンドポイント経由で平常時からセカンダリを読み取り専用で参照できます。書き込みは常にプライマリに対してのみ行われます。
31. Blob、ファイル、キュー、テーブルのすべてを扱え、アクセス層 (ホット/クール/アーカイブ) も利用できる、現在の標準的なストレージ アカウントの種類はどれか。
解答・解説を見る
正解: D. 汎用 v2 (General Purpose v2)
📌 正解の根拠・詳細解説
汎用 v2 (StorageV2) は Blob、ファイル共有、キュー、テーブルのすべてのサービスに対応し、アクセス層やライフサイクル管理といった最新機能を利用できる標準的なアカウント種類です。汎用 v1 はレガシーでアクセス層に対応せず、Premium 系はワークロード特化型で利用できるサービスが限定されます。
32. 各拠点のファイル サーバーの容量が逼迫している。よく使うファイルはローカルに残しつつ、使用頻度の低いファイルは Azure ファイル共有へ自動的に階層化して容量を空けたい。使用すべき機能はどれか。
解答・解説を見る
正解: C. Azure File Sync のクラウドの階層化
📌 正解の根拠・詳細解説
Azure File Sync は Windows Server 上にエージェントを導入し、Azure ファイル共有と同期させるサービスです。クラウドの階層化 (Cloud Tiering) を有効にすると、使用頻度の低いファイルの実体はクラウドに置かれ、ローカルにはポインターだけが残るため、サーバーの空き容量を確保できます。AzCopy は単なるコピー ツールで階層化は行いません。
33. 外部の協力会社に、特定の BLOB に対して48時間だけ読み取り権限を与えたい。ストレージ アカウント キーは渡したくない。適切な方法はどれか。
解答・解説を見る
正解: B. Shared Access Signature (SAS) を発行する
📌 正解の根拠・詳細解説
SAS (Shared Access Signature) は、対象リソース、許可する操作、有効期限、接続元 IP 範囲などを限定した URL トークンを発行する仕組みです。アカウント キーを渡さずに一時的なアクセスを委任できます。パブリック アクセスを有効にすると URL を知る誰もが匿名で読めてしまうため、限定共有には不適切です。
34. すでに配布済みのサービス SAS を、有効期限を待たずにいつでも失効させられるようにしておきたい。事前に取るべき設計はどれか。
解答・解説を見る
正解: D. 格納されたアクセス ポリシー (Stored Access Policy) に紐づけて SAS を発行する
📌 正解の根拠・詳細解説
格納されたアクセス ポリシーはコンテナーなどに定義するサーバー側のルールで、そこに紐づけた SAS はポリシーを削除・変更するだけで即座に失効・変更できます。紐づいていないアドホックな SAS を失効させるにはアカウント キーの再生成が必要で、そのキーで発行した他の SAS もすべて無効になってしまいます。
35. ログ用 BLOB を「最終更新から30日でクール層、180日でアーカイブ層、365日で削除」と自動的に運用したい。設定すべきものはどれか。
解答・解説を見る
正解: B. ライフサイクル管理ポリシー
📌 正解の根拠・詳細解説
ライフサイクル管理ポリシーは、BLOB の最終更新日や最終アクセス日を条件に、アクセス層の変更や削除を自動実行するルールを JSON で定義する機能です。プレフィックスや BLOB インデックス タグでの絞り込みもできます。オブジェクト レプリケーションは別アカウントへの非同期コピー、ソフト削除は誤削除からの復旧のための機能です。
36. 法令対応のため、保存した監査データを一定期間、管理者であっても変更・削除できない状態にしたい。使用する機能はどれか。
解答・解説を見る
正解: B. 不変ストレージ (Immutable Storage) の時間ベースの保持ポリシー
📌 正解の根拠・詳細解説
BLOB の不変ストレージは WORM (Write Once, Read Many) を実現する機能で、時間ベースの保持ポリシーまたは法的保持を設定すると、期間中は上書きも削除もできなくなります。リソース ロックは Azure Resource Manager の管理操作を制限するもので、データプレーンの BLOB 個別の書き換えは防げません。
37. 運用担当者が誤って BLOB を削除してしまった。事前にどの機能を有効にしておけば、指定した保持期間内に自分で復元できたか。
解答・解説を見る
正解: A. BLOB のソフト削除 (論理的な削除)
📌 正解の根拠・詳細解説
BLOB のソフト削除を有効にしておくと、削除された BLOB やスナップショットは指定した保持日数のあいだ復元可能な状態で保持されます。レプリケーションは基盤障害に備える仕組みで、ユーザーが行った削除操作は全レプリカに反映されるため誤削除対策にはなりません。コンテナーのソフト削除も別途有効化できます。
38. アプリケーションのログを、既存データの末尾へ追記し続ける用途で保存したい。最も適した BLOB の種類はどれか。
解答・解説を見る
正解: B. 追加 BLOB (Append Blob)
📌 正解の根拠・詳細解説
追加 BLOB (Append Blob) は末尾への追記操作に最適化された BLOB で、ログの記録や監査証跡の用途に向いています。ブロック BLOB は一般的なファイル保存向け、ページ BLOB はランダムな読み書きに最適化されており仮想マシンの VHD (アンマネージド ディスク) に使われます。
39. オンプレミス サーバーから数十万個のファイルを Azure Blob Storage へ、スクリプトで自動化しながら高速に一括アップロードしたい。最も適したツールはどれか。
解答・解説を見る
正解: B. AzCopy
📌 正解の根拠・詳細解説
AzCopy は並列転送や再開機能を備えたコマンドライン ツールで、大量データの一括転送やスクリプトによる自動化に適しています。Storage Explorer は GUI 中心で対話的な操作向け (内部では AzCopy を利用)、ポータルからのアップロードは少数ファイルの手動操作向けです。
40. 回線帯域が細い拠点から 80TB のアーカイブ データを Azure へ移行したい。ネットワーク転送では数か月かかると試算された。適切な手段はどれか。
解答・解説を見る
正解: B. Azure Data Box で物理デバイスに書き出して発送する
📌 正解の根拠・詳細解説
Azure Data Box は、Microsoft から送付される物理ストレージ デバイスにデータを書き込み、返送してデータセンターで取り込むオフライン転送サービスです。帯域が不足する大容量移行に適しています。他の選択肢はいずれもネットワーク経由の転送であり、回線帯域という根本的な制約を解消できません。
41. ストレージ アカウントへのアクセスを、特定の VNet のサブネットからのみに限定し、インターネットからのアクセスを遮断したい。ファイアウォール設定と併用する仕組みはどれか。
解答・解説を見る
正解: D. サービス エンドポイント (Microsoft.Storage) をサブネットに有効化する
📌 正解の根拠・詳細解説
サブネットでサービス エンドポイントを有効化し、ストレージ アカウントのファイアウォールで「選択された仮想ネットワーク」からのみ許可すると、そのサブネットからのトラフィックだけがアクセスできます。通信は Azure バックボーンを経由し、ストレージのパブリック エンドポイントは他からの接続を拒否します。NSG は仮想ネットワーク側のトラフィック制御で、ストレージ側の許可リストにはなりません。
42. ストレージ アカウントに VNet 内のプライベート IP アドレスを割り当て、オンプレミスからも VPN 経由でプライベートに名前解決してアクセスさせたい。使用すべき機能はどれか。
解答・解説を見る
正解: C. プライベート エンドポイント (Private Link)
📌 正解の根拠・詳細解説
プライベート エンドポイントは、PaaS サービスに対して VNet 内のプライベート IP を持つ NIC を作成し、Private Link 経由で接続する機能です。プライベート DNS ゾーンと組み合わせることで、VPN や ExpressRoute で接続したオンプレミスからも同じ FQDN でプライベートに解決できます。サービス エンドポイントはパブリック エンドポイントのまま経路と許可元を制御する仕組みで、プライベート IP は付与されません。
43. アプリケーションからの BLOB アクセスで、アカウント キーや SAS を管理せず、Microsoft Entra ID の資格情報で認可したい。開発チームのマネージド ID に割り当てるべきロールはどれか。
解答・解説を見る
正解: B. ストレージ BLOB データ共同作成者 (Storage Blob Data Contributor)
📌 正解の根拠・詳細解説
BLOB の中身を読み書きするデータプレーン操作には、ストレージ BLOB データ共同作成者などの「データ」ロールが必要です。共同作成者やストレージ アカウント共同作成者は、アカウント自体の管理 (作成・設定変更・キー取得) を許可する管理プレーンのロールで、既定では BLOB データへの直接アクセス権を持ちません。
44. ストレージ アカウントのアクセス キーを、アプリケーションを停止させずに定期的にローテーションしたい。正しい手順はどれか。
解答・解説を見る
正解: D. アプリをキー2に切り替えてからキー1を再生成し、次回は逆を行う
📌 正解の根拠・詳細解説
ストレージ アカウントには key1 と key2 の2つのアクセス キーがあり、これは無停止でのローテーションを可能にするための設計です。アプリの接続文字列をもう一方のキーへ切り替えてから、使われなくなったキーを再生成します。両方を同時に再生成すると、切り替え前のキーを使っているアプリがすべて認証エラーになります。
45. Web フロントエンドとバックエンド処理を疎結合にするため、ストレージ アカウントの機能だけで簡易的なメッセージ キューを実装したい。使用するサービスはどれか。
解答・解説を見る
正解: B. Azure Queue Storage
📌 正解の根拠・詳細解説
Azure Queue Storage はストレージ アカウントに含まれるシンプルなメッセージ キューで、大量のメッセージを保管し、ワーカー側が取り出して非同期処理を行う構成に使えます。トランザクションやトピック/サブスクリプションなど高度な機能が必要な場合は Azure Service Bus を選択します。Table Storage は NoSQL のキー値ストアです。
46. 大量の構成情報を、パーティション キーと行キーで高速に検索できるスキーマレスな形式で、低コストに保存したい。適したサービスはどれか。
解答・解説を見る
正解: D. Azure Table Storage
📌 正解の根拠・詳細解説
Azure Table Storage は、パーティション キーと行キーの組み合わせでエンティティを一意に識別する NoSQL のキー値ストアで、スキーマレスかつ低コストに大量の構造化データを保存できます。Blob は非構造化データ (ファイル) 向け、Queue はメッセージング向けです。
47. アーカイブ層に保存した BLOB をダウンロードしようとしたところエラーになった。正しい対処はどれか。
解答・解説を見る
正解: D. ホット層またはクール層へリハイドレート (再水和) してから読み取る
📌 正解の根拠・詳細解説
アーカイブ層の BLOB はオフライン状態のため直接は読み取れず、ホットまたはクール層へのリハイドレート (層の変更、もしくは別 BLOB へのコピー) が必要です。標準優先度では最大15時間程度、高優先度でも数時間かかる場合があるため、即時性が必要なデータをアーカイブ層に置くべきではありません。
48. Japan East のストレージ アカウントにある特定コンテナーの BLOB を、West US の別のストレージ アカウントへ自動的に非同期コピーし続けたい。使用する機能はどれか。
解答・解説を見る
正解: D. オブジェクト レプリケーション
📌 正解の根拠・詳細解説
オブジェクト レプリケーションは、ソースとなるストレージ アカウントのコンテナーから、別アカウント (別リージョンでも可) のコンテナーへ BLOB を非同期にコピーするルールベースの機能です。利用には両アカウントで変更フィードとバージョン管理の有効化が必要です。GRS はアカウント全体を Microsoft が指定するペア リージョンへ複製する仕組みで、コピー先を任意に選べません。
49. 数ミリ秒台の低遅延と高い IOPS が求められるデータベースのファイル共有を Azure Files で構成したい。選択すべき構成はどれか。
解答・解説を見る
正解: B. FileStorage (Premium) アカウントのプロビジョニング済みファイル共有
📌 正解の根拠・詳細解説
Premium のファイル共有は FileStorage アカウント種類で作成し、SSD を基盤として低遅延・高 IOPS を提供します。容量をプロビジョニングして性能が決まる課金モデルです。汎用 v2 上の Standard ファイル共有 (トランザクション最適化/ホット/クール) は HDD ベースで、Premium ほどの性能は得られません。
50. ストレージ アカウント名を「Prod_Storage01」で作成しようとしたが、エラーになった。理由として正しいものはどれか。
解答・解説を見る
正解: D. ストレージ アカウント名は3〜24文字の小文字英字と数字のみで、グローバルに一意である必要があるため
📌 正解の根拠・詳細解説
ストレージ アカウント名は 3〜24 文字の小文字英字と数字のみで構成し、大文字やアンダースコア、ハイフンは使えません。また名前は https://<名前>.blob.core.windows.net という公開 DNS 名の一部になるため、Azure 全体でグローバルに一意である必要があります。
51. 保存データの暗号化について、自社で管理する暗号化キーを使用する要件がある。Azure Storage で取るべき構成はどれか。
解答・解説を見る
正解: B. Azure Key Vault に保管したカスタマー マネージド キー (CMK) を構成する
📌 正解の根拠・詳細解説
Azure Storage の保存データは既定で Microsoft 管理キーによって自動的に暗号化 (SSE) されており、暗号化を無効にすることはできません。キーを自社で管理したい場合は、Azure Key Vault (または Managed HSM) に格納したカスタマー マネージド キー (CMK) を指定します。キーのローテーションや失効を自社の裁量で制御できます。
52. 開発検証用の仮想マシンで、普段の CPU 使用率はごく低いが、ビルド実行時など短時間だけ高い性能が必要になる。コストを抑えつつこの用途に適した VM シリーズはどれか。
解答・解説を見る
正解: B. B シリーズ (バースト可能)
📌 正解の根拠・詳細解説
B シリーズはバースト可能な VM で、CPU 使用率が低い期間にクレジットを蓄積し、必要なときにそのクレジットを消費してベースライン以上の性能を発揮します。負荷が断続的な開発・検証環境や小規模 Web サーバーに向いています。M/N/H シリーズはそれぞれ大容量メモリ、GPU、HPC 用途向けの高価なシリーズです。
53. 稼働中の仮想マシンのサイズを、現在のハードウェア クラスターでは提供されていないサイズへ変更したい。必要な操作はどれか。
解答・解説を見る
正解: B. VM を停止 (割り当て解除) してからサイズを変更する
📌 正解の根拠・詳細解説
同じハードウェア クラスター内で提供されているサイズへの変更は稼働中でも可能ですが、クラスターがそのサイズに対応していない場合は VM を停止 (割り当て解除) する必要があります。割り当て解除により VM は別のクラスターへ再配置され、目的のサイズで起動できます。可用性セット内では、セット内の全 VM を停止しないと変更できない場合があります。
54. ミリ秒未満の低遅延と非常に高い IOPS が要求されるミッションクリティカルなデータベース用に、IOPS とスループットをサイズとは独立して構成できるディスクの種類はどれか。
解答・解説を見る
正解: A. Ultra ディスク
📌 正解の根拠・詳細解説
Ultra ディスクは Azure マネージド ディスクの最上位で、容量とは別に IOPS とスループットを個別に指定でき、稼働中に変更することも可能です。Premium SSD は高性能ですが性能はディスク サイズに応じて段階的に決まります。Standard SSD/HDD は低コストですが、性能要件の厳しい DB には不向きです。
55. Windows 仮想マシンの一時ディスク (通常は D: ドライブ) に保存したデータについて、正しい説明はどれか。
解答・解説を見る
正解: C. VM を割り当て解除したり別ホストへ移動すると失われる可能性がある
📌 正解の根拠・詳細解説
一時ディスクはホスト サーバーのローカル ストレージ上に作られる一時領域で、ページ ファイルやスクラッチ データ用です。VM の割り当て解除、ホストのメンテナンス、別ホストへの再配置などが起きると内容は失われます。永続化が必要なデータは必ずデータ ディスク (マネージド ディスク) に保存します。
56. デプロイ直後の Linux 仮想マシンに対して、Azure ポータルや CLI からスクリプトをダウンロードして実行し、ミドルウェアを自動インストールしたい。使用する仕組みはどれか。
解答・解説を見る
正解: A. カスタム スクリプト拡張機能 (Custom Script Extension)
📌 正解の根拠・詳細解説
カスタム スクリプト拡張機能は、VM エージェント経由でスクリプトをダウンロードして実行する VM 拡張機能です。デプロイ後の構成作業を自動化でき、ARM テンプレートや CLI から指定できます。Bastion はブラウザからの安全なリモート接続、Site Recovery は災害復旧のためのサービスです。
57. Linux 仮想マシンの初回起動時に、パッケージのインストールやユーザー作成といった初期設定を宣言的に行いたい。Azure がサポートする標準的な仕組みはどれか。
解答・解説を見る
正解: D. cloud-init をカスタム データとして渡す
📌 正解の根拠・詳細解説
cloud-init は Linux ディストリビューションで広く使われる初回起動時のプロビジョニング手段で、Azure では VM 作成時の「カスタム データ」として YAML を渡すことで利用します。sysprep は Windows の一般化 (イメージ化) 処理であり、初期設定を行う仕組みではありません。
58. 仮想マシンについて 99.99% の可用性 SLA を満たす構成にしたい。取るべき構成はどれか。
解答・解説を見る
正解: B. 2台以上の VM を異なる可用性ゾーンに配置する
📌 正解の根拠・詳細解説
2つ以上の可用性ゾーンにまたがって VM を配置すると、データセンター単位の障害に耐えられる 99.99% の SLA が適用されます。可用性セットでは同一データセンター内の障害ドメイン/更新ドメイン分散となり SLA は 99.95% です。単一 VM は Premium SSD 等の条件下でも 99.9% 台にとどまり、バックアップは可用性ではなくデータ保護の手段です。
59. 仮想マシン スケール セット (VMSS) で、平均 CPU 使用率が10分間 75% を超えたらインスタンスを1台追加したい。設定すべきものはどれか。
解答・解説を見る
正解: A. メトリックに基づく自動スケール規則 (スケールアウト規則)
📌 正解の根拠・詳細解説
VMSS の自動スケール設定では、メトリック (CPU 使用率など) のしきい値と期間、そして増減させるインスタンス数を定義したスケール規則を作成します。スケールアウトとスケールインの規則を対で定義し、クールダウン期間を設けて過剰な増減を防ぐのが一般的です。正常性プローブは負荷分散対象の死活監視であり、台数の増減は行いません。
60. 仮想マシン スケール セットのオーケストレーション モードのうち、異なる VM サイズを混在させたり、スケール セットへ個別に作成した VM を追加したりできる柔軟性の高いモードはどれか。
解答・解説を見る
正解: B. フレキシブル オーケストレーション
📌 正解の根拠・詳細解説
フレキシブル オーケストレーションは、スケール セット内の各インスタンスを通常の仮想マシン リソースとして扱うモードで、サイズの混在や個別 VM の追加、障害ドメインをまたぐ分散配置が可能です。均一 (Uniform) モードは同一構成のインスタンスを大量に管理することに最適化されており、大規模な同質ワークロード向けです。
61. 仮想マシンにパブリック IP を付けず、RDP/SSH ポートをインターネットへ公開せずに、ブラウザから安全にリモート接続したい。使用すべきサービスはどれか。
解答・解説を見る
正解: A. Azure Bastion
📌 正解の根拠・詳細解説
Azure Bastion は VNet 内の AzureBastionSubnet に配置されるマネージド サービスで、Azure ポータル上のブラウザから TLS 経由で VM へ RDP/SSH 接続できます。VM にパブリック IP は不要で、管理ポートをインターネットに晒す必要がありません。DNAT や受信 NAT はむしろポートを公開する構成になります。
62. 構成済みの Windows 仮想マシンから、他のサーバー展開に使い回せるカスタム イメージを作成したい。イメージ化の前に VM 上で実行すべき処理はどれか。
解答・解説を見る
正解: C. sysprep /generalize を実行し、Azure 側で VM を「一般化済み」としてマークする
📌 正解の根拠・詳細解説
Windows VM をイメージ化する前には sysprep /generalize /oobe /shutdown を実行して、コンピューター名や SID などの固有情報を削除する必要があります。その後 VM を停止 (割り当て解除) し「一般化」としてマークしてからイメージをキャプチャします。Linux では waagent -deprovision+user が同等の処理にあたります。
63. 作成したカスタム イメージを複数リージョンへ複製し、バージョン管理をしながら他のサブスクリプションのチームにも共有したい。適したサービスはどれか。
解答・解説を見る
正解: D. Azure Compute Gallery (旧 Shared Image Gallery)
📌 正解の根拠・詳細解説
Azure Compute Gallery は VM イメージを定義とバージョンで管理し、複数リージョンへのレプリケーションやレプリカ数の指定、RBAC による他サブスクリプションへの共有ができるサービスです。Container Registry はコンテナー イメージ用のレジストリで、VM イメージの管理には使いません。
64. 中断されても再実行できるバッチ処理を、可能な限り安価に大量の VM で実行したい。適したオプションはどれか。
解答・解説を見る
正解: C. スポット仮想マシン (Azure Spot VM)
📌 正解の根拠・詳細解説
スポット VM は Azure の余剰容量を大幅な割引価格で利用できる仕組みですが、容量が必要になったり価格上限を超えたりすると30秒の通知を経て強制的に退避 (Eviction) されます。中断に耐えられるバッチ処理や検証環境に適しています。リザーブド インスタンスは継続的に稼働させる用途の割引で、途中解約や柔軟な中断運用には向きません。
65. 3年間ずっと稼働させ続けることが確定している本番 VM のコストを削減したい。最も効果的な購入オプションはどれか。
解答・解説を見る
正解: A. Azure 予約 (Reserved VM Instances) を購入する
📌 正解の根拠・詳細解説
Azure 予約 (リザーブド インスタンス) は、1年または3年の利用を事前にコミットすることでコンピューティング料金を大幅に割引く購入オプションです。長期稼働が確実な本番ワークロードに最適で、Azure Hybrid Benefit と併用するとさらに削減できます。スポット VM は中断があるため本番の常時稼働には不向きです。
66. 稼働中の仮想マシンのマネージド ディスクについて、ある時点の状態を保存し、そこから同一構成のディスクを復元できるようにしたい。作成すべきものはどれか。
解答・解説を見る
正解: A. スナップショット
📌 正解の根拠・詳細解説
スナップショットはマネージド ディスクの特定時点の読み取り専用コピーで、そこから新しいマネージド ディスクを作成して VM に接続できます。一方イメージは sysprep 等で一般化した VM から作る「新規 VM の展開用テンプレート」であり、元の VM をそのまま復元する用途では特殊化された状態を保つスナップショットが適しています。
67. Azure の仮想マシンのマネージド ディスクにおける保存時の暗号化について、正しい説明はどれか。
解答・解説を見る
正解: C. 既定でプラットフォーム マネージド キーによるサーバー側暗号化 (SSE) が有効になっている
📌 正解の根拠・詳細解説
Azure マネージド ディスクは、すべての種類において既定でプラットフォーム マネージド キーによるサーバー側暗号化 (SSE) が有効です。追加でカスタマー マネージド キーを指定したり、OS 内部で BitLocker/dm-crypt を用いる Azure Disk Encryption を併用したりすることもできますが、暗号化されていない状態にすることはできません。
68. App Service で稼働中の Web アプリのインスタンス数を、負荷に応じて2台から10台へ増減させたい。この操作を表す用語と必要な条件の組み合わせとして正しいものはどれか。
解答・解説を見る
正解: D. スケール アウト。自動スケールは Standard 以上のプランが必要
📌 正解の根拠・詳細解説
インスタンス数を増減させるのがスケール アウト/イン、インスタンスの CPU やメモリなど性能を変えるのがスケール アップ/ダウンです。App Service で規則に基づく自動スケールを使うには Standard 以上の App Service プランが必要で、Free/Shared プランではスケール アウト自体ができません。
69. App Service で、新バージョンを本番と同じ環境で検証してからダウンタイムなしに切り替え、問題があればすぐ戻せるようにしたい。使用する機能はどれか。
解答・解説を見る
正解: A. デプロイ スロットとスワップ
📌 正解の根拠・詳細解説
デプロイ スロットはステージング用の独立したサイトを同じ App Service プラン上に作る機能で、検証後にスワップすると運用スロットと入れ替わります。スワップ時にウォームアップが行われるためダウンタイムがほぼ無く、問題があればスワップし直して即座に切り戻せます。デプロイ スロットは Standard 以上のプランで利用できます。
70. App Service の Web アプリが、一定時間アクセスがないと次回アクセス時の初回応答が非常に遅くなる。改善策として適切なものはどれか。
解答・解説を見る
正解: A. Always On を有効にする
📌 正解の根拠・詳細解説
App Service では既定で一定時間アイドルが続くとワーカー プロセスがアンロードされ、次のリクエストでコールド スタートが発生します。Always On を有効にすると定期的に自身へリクエストが送られてアプリが常駐し、初回応答の遅延を防げます。Always On は Basic 以上のプランで利用できます。
71. 単一のコンテナーを、オーケストレーターの構築なしに数秒で起動し、処理が終われば停止する使い捨ての実行環境として動かしたい。適したサービスはどれか。
解答・解説を見る
正解: D. Azure Container Instances (ACI)
📌 正解の根拠・詳細解説
Azure Container Instances (ACI) は、VM やクラスターの管理なしにコンテナーを直接実行できるサーバーレスなサービスで、起動が速く秒単位課金のため一時的なタスクやバッチに適しています。AKS は複数コンテナーのオーケストレーションが必要な本格運用向け、ACR はイメージの保管庫です。
72. 数十のマイクロサービスを、自動復旧・ローリング更新・サービス ディスカバリーを備えたオーケストレーション基盤で運用したい。適したサービスはどれか。
解答・解説を見る
正解: B. Azure Kubernetes Service (AKS)
📌 正解の根拠・詳細解説
Azure Kubernetes Service (AKS) は Kubernetes のマネージド サービスで、コントロール プレーンは Microsoft が管理し、ノード プールに配置したワーカー ノード上でコンテナーを運用します。自己修復、ローリング更新、水平スケール、サービス ディスカバリーといったオーケストレーション機能を利用できます。ACI は単発のコンテナー実行向けです。
73. AKS クラスターから、社内で作成したコンテナー イメージを Azure Container Registry (ACR) から取得させたい。推奨される認証方法はどれか。
解答・解説を見る
正解: A. AKS のマネージド ID に AcrPull ロールを割り当てる
📌 正解の根拠・詳細解説
AKS と ACR を統合する推奨方式は、AKS のマネージド ID (kubelet ID) に対して ACR スコープで AcrPull ロールを割り当てる方法です。パスワードの管理や更新が不要で安全です。ACR の管理者ユーザーは単一の共有資格情報であり、追跡性が低いため本番運用では推奨されません。
74. 既存の Docker コンテナー イメージを、サーバー管理なしで Web アプリとして公開し、カスタム ドメインと TLS 証明書も利用したい。適した構成はどれか。
解答・解説を見る
正解: D. App Service (Web App for Containers) にイメージをデプロイする
📌 正解の根拠・詳細解説
Web App for Containers は、コンテナー イメージを App Service 上で実行する形態で、OS やランタイムの管理をせずに Web アプリを公開できます。カスタム ドメイン、マネージド証明書、デプロイ スロット、自動スケールといった App Service の機能をそのまま利用できます。ACR はイメージの保管庫であり、実行環境ではありません。
75. App Service プランに複数の Web アプリを配置している。1つのアプリの負荷が高くなった場合の影響として正しいものはどれか。
解答・解説を見る
正解: A. 同じプラン上の他のアプリも同じコンピューティング リソースを共有するため影響を受ける
📌 正解の根拠・詳細解説
App Service プランは、その上に配置されたすべてのアプリが共有するコンピューティング リソース (インスタンス) を表します。1つのアプリが CPU やメモリを大量に消費すると、同じプラン上の他のアプリの性能にも影響します。重要なアプリはプランを分離するか、スケール アップ/アウトで対処します。
76. 仮想マシンで拡張機能を追加しようとしたところ、プロビジョニングが失敗し続ける。まず確認すべきものはどれか。
解答・解説を見る
正解: A. VM エージェント (Azure VM Agent) が稼働しているか
📌 正解の根拠・詳細解説
VM 拡張機能は、ゲスト OS 内で動作する Azure VM エージェント (Windows では WindowsAzureGuestAgent、Linux では waagent) を通じて配信・実行されます。エージェントが停止していたり、古い、あるいはアウトバウンド通信がブロックされていると拡張機能のプロビジョニングは失敗します。IP の種類やタグは拡張機能の動作に関係しません。
77. Windows 仮想マシンに新しいデータ ディスクを追加した。アタッチ後に OS 側で必要な作業はどれか。
解答・解説を見る
正解: C. ディスクの管理でディスクを初期化し、ボリュームを作成してドライブ文字を割り当てる
📌 正解の根拠・詳細解説
Azure 側でデータ ディスクをアタッチしただけでは未初期化の状態です。ゲスト OS 内で初期化 (GPT/MBR 選択)、パーティション作成、フォーマット、ドライブ文字の割り当てを行って初めて利用できます。Linux の場合は fdisk/parted、mkfs、マウントと /etc/fstab への登録が必要です。
78. ライセンス要件により、自社の VM を他のテナントと共有しない物理サーバー上で稼働させ、ホストのメンテナンス タイミングも自社で制御したい。適したサービスはどれか。
解答・解説を見る
正解: A. Azure 専用ホスト (Azure Dedicated Host)
📌 正解の根拠・詳細解説
Azure 専用ホストは、自社専用の物理サーバーを確保して、その上に VM を配置できるサービスです。ハードウェアを他の顧客と共有しないため、コンプライアンスや物理コア単位のライセンス要件に対応でき、メンテナンスの時間枠もある程度制御できます。可用性ゾーンや近接配置グループは配置場所を制御する機能ですが、物理サーバーの占有は行いません。
79. 同一リージョン内に配置したアプリケーション サーバーとデータベース サーバー間の通信で、ネットワーク遅延を可能な限り小さくしたい。使用すべき機能はどれか。
解答・解説を見る
正解: A. 近接配置グループ (Proximity Placement Group)
📌 正解の根拠・詳細解説
近接配置グループは、VM を物理的に近いデータセンター内の同じネットワーク領域に配置することで、VM 間の通信遅延を最小化する論理グループです。可用性ゾーンへの分散は可用性を高めますが、ゾーン間の距離により遅延はわずかに増えるため、低遅延と高可用性はトレードオフの関係にあります。
80. コスト削減のため夜間は仮想マシンを止めたい。ゲスト OS 内からシャットダウンしただけの状態 (停止) について正しい説明はどれか。
解答・解説を見る
正解: B. リソースが確保されたままのため、コンピューティング料金の課金が継続する
📌 正解の根拠・詳細解説
OS 内部からのシャットダウンでは VM が「停止 (Stopped)」状態になり、ホスト上のリソースは確保されたままなのでコンピューティング料金が発生し続けます。課金を止めるには Azure ポータルや CLI から「停止 (割り当て解除)」を行い、Deallocated 状態にする必要があります。なおディスクとその課金はどちらの状態でも継続します。
81. ネットワーク セキュリティ グループ (NSG) に、優先度100で TCP 3389 を拒否する規則と、優先度200で TCP 3389 を許可する規則を作成した。実際の動作はどれか。
解答・解説を見る
正解: B. 優先度の数値が小さい100の拒否規則が適用され、通信は拒否される
📌 正解の根拠・詳細解説
NSG の規則は優先度の数値が小さいものから順に評価され、最初に合致した規則が適用されてそれ以降の評価は行われます。したがって優先度100の拒否規則が先に一致し、通信は拒否されます。許可・拒否の種別による優先はなく、あくまで優先度の数値順です。
82. サブネットに関連付けた NSG と、そのサブネット内の VM の NIC に関連付けた NSG の両方がある。VM への受信トラフィックが許可される条件はどれか。
解答・解説を見る
正解: C. サブネットの NSG と NIC の NSG の両方で許可されている必要がある
📌 正解の根拠・詳細解説
受信トラフィックはまずサブネットの NSG が評価され、次に NIC の NSG が評価されます。両方を通過して初めて VM に到達するため、どちらかで拒否されれば通信は遮断されます。送信トラフィックは逆順 (NIC → サブネット) で評価されます。
83. 複数の Web サーバー VM に対して、IP アドレスを列挙せずに論理的なグループとして NSG 規則を適用したい。使用すべき機能はどれか。
解答・解説を見る
正解: D. アプリケーション セキュリティ グループ (ASG)
📌 正解の根拠・詳細解説
アプリケーション セキュリティ グループ (ASG) は VM の NIC をアプリケーションの役割ごとにグループ化する仕組みで、NSG 規則の送信元/宛先に ASG 名を指定できます。VM の追加・削除時に IP を書き換える必要がなくなります。リソースグループは管理上のまとまりであり、ネットワーク規則の対象には指定できません。
84. 複数の VNet からの送信トラフィックを一元的に検査し、宛先の FQDN (例: *.microsoft.com) に基づいて許可・拒否を制御したい。適したサービスはどれか。
解答・解説を見る
正解: B. Azure Firewall のアプリケーション規則
📌 正解の根拠・詳細解説
Azure Firewall はステートフルなマネージド ファイアウォールで、アプリケーション規則により FQDN や FQDN タグに基づく HTTP/HTTPS の制御ができ、ハブ VNet に配置して複数 VNet の通信を集約検査できます。NSG は IP アドレス、ポート、サービス タグによる制御のみで、任意の FQDN 指定はできません。
85. サブネットに 10.0.1.0/24 を割り当てた場合、VM に実際に割り当て可能な IP アドレスの数はどれか。
解答・解説を見る
正解: A. 251個 (Azure が5つのアドレスを予約するため)
📌 正解の根拠・詳細解説
Azure は各サブネットで先頭の4つ (ネットワーク アドレス、既定ゲートウェイ、DNS マッピング用の2つ) と末尾の1つ (ブロードキャスト) の計5アドレスを予約します。/24 の256アドレスから5つ引いた251個が実際に利用可能です。この予約はサブネット サイズを設計する際に必ず考慮する必要があります。
86. VNet 内に非常に小さなサブネットを作成したい。Azure がサポートする IPv4 サブネットの最小サイズはどれか。
解答・解説を見る
正解: C. /29
📌 正解の根拠・詳細解説
Azure の VNet でサポートされる最小の IPv4 サブネットは /29 で、8アドレスのうち5つが予約されるため実際に使えるのは3アドレスのみです。最大サイズは /2 です。運用上は将来の拡張を見越して /28 以上を割り当てることが推奨されます。
87. 可用性ゾーンに冗長化されたパブリック IP アドレスを、Standard Load Balancer のフロントエンドに使用したい。選択すべきパブリック IP の SKU と割り当て方法はどれか。
解答・解説を見る
正解: D. Standard SKU の静的割り当て
📌 正解の根拠・詳細解説
Standard SKU のパブリック IP は静的割り当てのみをサポートし、ゾーン冗長またはゾーン指定の構成が可能です。また Standard Load Balancer のフロントエンドには Standard SKU のパブリック IP を組み合わせる必要があり、SKU を混在させることはできません。Standard SKU は既定で受信が拒否されるため、NSG による明示的な許可が必要です。
88. VM の再起動や停止後もプライベート IP アドレスを変えたくない。行うべき設定はどれか。
解答・解説を見る
正解: B. NIC の IP 構成でプライベート IP の割り当てを静的にする
📌 正解の根拠・詳細解説
既定の動的割り当てでは、VM を停止 (割り当て解除) すると IP が解放され、起動時に別のアドレスになる可能性があります。NIC の IP 構成でプライベート IP を静的に設定すれば、割り当て解除後も同じアドレスが保持されます。ドメイン コントローラーや DNS サーバーなど、IP 固定が前提のサーバーで必要になります。
89. Azure Load Balancer が、バックエンド プール内の応答しなくなった VM へのトラフィック転送を停止する仕組みはどれか。
解答・解説を見る
正解: D. 正常性プローブ (Health Probe)
📌 正解の根拠・詳細解説
正常性プローブは、指定したプロトコル (TCP/HTTP/HTTPS) とポート、パスに対して定期的に応答を確認し、失敗が続いたインスタンスを負荷分散の対象から除外します。復旧して応答が返るようになれば自動的に対象へ戻ります。受信 NAT 規則は特定 VM へのポート転送、アウトバウンド規則は送信 SNAT の設定です。
90. VNet 内部からのみアクセスできる業務アプリのために、プライベート IP をフロントエンドとして持つ負荷分散を構成したい。適した構成はどれか。
解答・解説を見る
正解: B. 内部ロード バランサー (Internal Load Balancer)
📌 正解の根拠・詳細解説
内部 (Internal) ロード バランサーは VNet 内のプライベート IP をフロントエンドに持ち、インターネットからはアクセスできない形で内部トラフィックを分散します。3層構成のアプリで Web 層から業務ロジック層への分散などに使われます。Front Door や Traffic Manager はグローバル/DNS レベルの負荷分散でインターネット経由の利用が前提です。
91. URL のパス (/images/ と /api/) に応じて異なるバックエンド プールへ振り分け、さらに SSL 終端と WAF による保護も行いたい。適したサービスはどれか。
解答・解説を見る
正解: C. Application Gateway (WAF SKU)
📌 正解の根拠・詳細解説
Application Gateway は HTTP/HTTPS を扱うレイヤー7のロード バランサーで、URL パス ベースのルーティング、複数サイトのホスティング、SSL 終端、Cookie ベースのセッション維持に対応します。WAF SKU では OWASP ルールセットによる Web 攻撃の防御が加わります。Load Balancer はレイヤー4のため URL に基づく振り分けはできません。
92. 世界各国の利用者に対し、Microsoft のグローバル エッジ ネットワークで受け止めて最寄りのバックエンドへ転送し、静的コンテンツのキャッシュも行いたい。適したサービスはどれか。
解答・解説を見る
正解: A. Azure Front Door
📌 正解の根拠・詳細解説
Azure Front Door は世界中のエッジ POP でトラフィックを受け、最適なオリジンへルーティングするグローバルなレイヤー7サービスで、キャッシュ、SSL オフロード、WAF を備えます。Application Gateway はリージョン内のレイヤー7分散、Load Balancer はリージョン内のレイヤー4分散が対象です。
93. 通常は Japan East のシステムへ誘導し、そこが停止した場合のみ Southeast Asia の待機系へ切り替えたい。Traffic Manager で選択すべきルーティング方法はどれか。
解答・解説を見る
正解: A. 優先度 (Priority)
📌 正解の根拠・詳細解説
優先度ルーティングは、エンドポイントに順位を付けて最優先のものへすべてのトラフィックを送り、そのエンドポイントが正常性チェックで異常と判定された場合に次の順位へフェールオーバーします。重み付けは比率での分散、パフォーマンスは最も低遅延なリージョンへの誘導、地理的はアクセス元の地域による振り分けです。
94. 在宅勤務者が自分のノート PC から個別に Azure VNet へ VPN 接続できるようにしたい。拠点間の専用機器は用意しない。構成すべきものはどれか。
解答・解説を見る
正解: D. ポイント対サイト (P2S) VPN
📌 正解の根拠・詳細解説
ポイント対サイト (P2S) VPN は、個々のクライアント端末に VPN クライアントを導入して VNet へ接続する方式で、証明書認証や Entra ID 認証が使えます。サイト間 VPN は拠点のオンプレミス VPN デバイスと VNet を結ぶ構成、ExpressRoute は専用線による接続で、いずれも個人端末単位の接続用途ではありません。
95. VNet に VPN Gateway を作成しようとしたところエラーになった。必要な前提条件はどれか。
解答・解説を見る
正解: D. 「GatewaySubnet」という名前のサブネットが存在すること
📌 正解の根拠・詳細解説
VPN Gateway や ExpressRoute Gateway は、必ず「GatewaySubnet」という固定名のサブネットに配置されます。この名前でなければゲートウェイを作成できません。推奨サイズは /27 以上で、将来的な機能追加に備えて十分な IP を確保します。GatewaySubnet には通常の VM を配置しません。
96. ハブ VNet に VPN Gateway を配置し、ピアリングしたスポーク VNet の VM からもその VPN 経由でオンプレミスへ通信させたい。ピアリング設定で有効にすべき項目はどれか。
解答・解説を見る
正解: C. ハブ側で「ゲートウェイ転送を許可する」、スポーク側で「リモート ゲートウェイを使用する」
📌 正解の根拠・詳細解説
ハブ アンド スポーク構成では、ゲートウェイを持つハブ側のピアリングで「ゲートウェイ転送を許可する」を有効にし、スポーク側のピアリングで「リモート ゲートウェイを使用する」を有効にします。これによりスポークはゲートウェイを持たずにハブの VPN/ExpressRoute を共用できます。スポーク側に独自のゲートウェイがあるとこの設定は使えません。
97. VNet-A と VNet-B、VNet-B と VNet-C をそれぞれピアリングした。VNet-A の VM から VNet-C の VM へ直接通信できるか。
解答・解説を見る
正解: D. できない。ピアリングは推移的ではないため、A と C を直接ピアリングするか経路を用意する必要がある
📌 正解の根拠・詳細解説
VNet ピアリングは推移的 (transitive) ではないため、A-B と B-C のピアリングがあっても A と C は直接通信できません。解決するには A と C を直接ピアリングするか、B にネットワーク仮想アプライアンスや Azure Firewall を置き、ユーザー定義ルートで経由させるハブ アンド スポーク構成にします。なおピアリングはリージョンをまたぐグローバル ピアリングも可能です。
98. サブネット間の通信をすべてネットワーク仮想アプライアンス (NVA) 経由で検査させたい。構成すべきものはどれか。
解答・解説を見る
正解: D. ルート テーブルにユーザー定義ルート (UDR) を作成し、次ホップを仮想アプライアンスにしてサブネットに関連付ける
📌 正解の根拠・詳細解説
ユーザー定義ルート (UDR) をルート テーブルに定義し、宛先アドレス プレフィックスに対する次ホップの種類を「仮想アプライアンス」として NVA のプライベート IP を指定します。このルート テーブルをサブネットに関連付けると、Azure の既定システム ルートより優先されて NVA を経由します。NVA 側では IP 転送の有効化も必要です。
99. セキュリティ要件により、Azure VM からのインターネット向け通信をすべてオンプレミスのプロキシ経由に強制したい。構成する仕組みの呼び名はどれか。
解答・解説を見る
正解: C. 強制トンネリング (Forced Tunneling)
📌 正解の根拠・詳細解説
強制トンネリングは、既定ルート 0.0.0.0/0 の次ホップを VPN Gateway (仮想ネットワーク ゲートウェイ) に向けることで、インターネット向けトラフィックをオンプレミス経由に強制する構成です。オンプレミスの検査基盤やプロキシを通す監査要件に対応できます。
100. サービス エンドポイントとプライベート エンドポイントの違いとして正しいものはどれか。
解答・解説を見る
正解: C. サービス エンドポイントは PaaS のパブリック IP へ最適経路で接続し、プライベート エンドポイントは VNet 内のプライベート IP を PaaS に付与する
📌 正解の根拠・詳細解説
サービス エンドポイントはサブネットに設定する経路の最適化と発信元識別の仕組みで、接続先はあくまで PaaS のパブリック エンドポイントです。一方プライベート エンドポイントは VNet 内にプライベート IP を持つ NIC を作り、Private Link 経由で PaaS に接続するため、オンプレミスから VPN/ExpressRoute 経由でもプライベートに到達できます。
101. 取得済みの独自ドメイン contoso.jp の名前解決を Azure DNS で行いたい。レジストラー側で必要な作業はどれか。
解答・解説を見る
正解: B. Azure DNS ゾーン作成時に払い出された4つのネーム サーバー (NS) を登録機関に設定する
📌 正解の根拠・詳細解説
Azure DNS でパブリック DNS ゾーンを作成すると、そのゾーン専用の4つのネーム サーバーが割り当てられます。ドメインの登録機関 (レジストラー) 側でこれらを NS レコードとして設定し、権限を委任することで初めて Azure DNS が名前解決の権威となります。A や CNAME はゾーン内に作成するレコードであり、委任の設定ではありません。
102. 複数の VNet 内の VM が、内部専用のドメイン名 (例: db01.internal.contoso) で相互に名前解決できるようにしたい。DNS サーバー用の VM は立てたくない。適した構成はどれか。
解答・解説を見る
正解: D. Azure プライベート DNS ゾーンを作成し、各 VNet に仮想ネットワーク リンクを構成する
📌 正解の根拠・詳細解説
プライベート DNS ゾーンは VNet 内部からのみ参照できる DNS 名前空間で、リンクした VNet の VM から名前解決できます。リンク作成時に自動登録を有効にすると、その VNet 内の VM のレコードが自動的に登録・削除されます。DNS サーバー VM の構築や運用が不要です。
103. VNet でカスタム DNS サーバーを指定した際に、その DNS サーバー上で Azure 提供の名前解決へ転送するために使用する Azure の内部 IP アドレスはどれか。
解答・解説を見る
正解: D. 168.63.129.16
📌 正解の根拠・詳細解説
168.63.129.16 は Azure プラットフォームが提供する仮想パブリック IP で、DNS の再帰的解決やロード バランサーの正常性プローブ、VM エージェントとの通信に使われます。カスタム DNS サーバーを VNet 内に立てる場合、このアドレスへ条件付きフォワーダーを設定して Azure 提供の名前解決を利用します。169.254.169.254 はインスタンス メタデータ サービスのアドレスです。
104. VM に接続できない原因を切り分けるため、特定の送信元 IP とポートからの通信が NSG のどの規則で許可または拒否されているかを確認したい。使用する Network Watcher の機能はどれか。
解答・解説を見る
正解: A. IP フロー検証 (IP Flow Verify)
📌 正解の根拠・詳細解説
IP フロー検証は、送信元/宛先の IP とポート、プロトコル、方向を指定して、その通信が NSG で許可されるか拒否されるかを判定し、該当した規則名まで示してくれる診断機能です。次ホップはルーティングの確認、パケット キャプチャは実際の通信内容の記録に使います。
105. VM からの通信が意図しない経路へ流れている疑いがある。実際にどのルートが適用され、どこへ転送されるかを確認したい。使用する機能はどれか。
解答・解説を見る
正解: B. Network Watcher の次ホップ (Next Hop)
📌 正解の根拠・詳細解説
次ホップ機能は、指定した VM から特定の宛先 IP へ通信した場合の次の転送先 (インターネット、仮想アプライアンス、仮想ネットワーク ゲートウェイ、なし など) と、適用されたルート テーブルを表示します。UDR の設定ミスによるブラック ホール ルートの発見に有効です。
106. 多数の VM から外部 API へ大量の同時接続を行うため、SNAT ポートの枯渇が発生している。安定した送信接続を確保するための推奨構成はどれか。
解答・解説を見る
正解: C. サブネットに NAT ゲートウェイを関連付ける
📌 正解の根拠・詳細解説
Azure NAT ゲートウェイはサブネット単位で構成する送信専用サービスで、割り当てたパブリック IP の SNAT ポートを動的に共有するため、既定の送信アクセスやロード バランサーの SNAT より枯渇に強くなります。送信元 IP が固定されるため、外部 API 側の許可リスト運用にも適します。NSG の規則追加は SNAT ポート数を増やしません。
107. VNet-A (10.0.0.0/16) と VNet-B (10.0.0.0/16) をピアリングしようとしたが構成できない。原因はどれか。
解答・解説を見る
正解: A. アドレス空間が重複しているため
📌 正解の根拠・詳細解説
VNet ピアリングでは、接続する VNet 同士の IP アドレス空間が重複していてはいけません。重複していると経路が一意に定まらないためです。解決するにはどちらかのアドレス空間を変更する必要があり、複数 VNet を将来接続する前提であれば、設計段階で重複しない IP 計画を立てることが重要です。
108. ネットワーク負荷の高い VM で、遅延を下げジッターを減らすためにハードウェア支援による I/O 処理を有効にしたい。使用する機能はどれか。
解答・解説を見る
正解: A. 高速ネットワーク (Accelerated Networking)
📌 正解の根拠・詳細解説
高速ネットワーク (Accelerated Networking) は SR-IOV により仮想スイッチ処理をバイパスし、遅延・ジッター・CPU 使用率を低減する機能です。対応する VM サイズ (一般に2 vCPU 以上) と対応 OS が必要です。NIC を増やしても1接続あたりの遅延は改善しません。
109. インターネットに公開している Azure のアプリケーションを、大規模な容量枯渇型 DDoS 攻撃から保護し、攻撃時のコスト保証やレポートも受けたい。導入すべきものはどれか。
解答・解説を見る
正解: A. Azure DDoS Protection (ネットワーク保護プラン)
📌 正解の根拠・詳細解説
Azure のすべてのサービスはプラットフォーム レベルの基本的な DDoS インフラストラクチャ保護を受けていますが、アプリケーション固有のチューニング、攻撃時のメトリックとレポート、専門家によるサポート、コスト保証が必要な場合は有償の DDoS Protection プランを VNet に有効化します。NSG は L3/L4 のフィルタリングであり、大規模なボリューム攻撃の吸収はできません。
110. 収集したログに対して「過去1時間で失敗したサインインを国別に集計する」といった分析クエリを実行したい。使用するデータ ストアとクエリ言語の組み合わせはどれか。
解答・解説を見る
正解: D. Log Analytics ワークスペースと Kusto 照会言語 (KQL)
📌 正解の根拠・詳細解説
Azure Monitor のログ データは Log Analytics ワークスペースに保存され、Kusto 照会言語 (KQL) で検索・集計・可視化します。where や summarize といった演算子をパイプでつないで記述します。メトリックは数値の時系列データで、KQL によるログ分析とは別系統のデータです。
111. あるストレージ アカウントのプラットフォーム ログを Log Analytics ワークスペースへ送り、長期保管用にストレージ アカウントへもアーカイブしたい。設定すべきものはどれか。
解答・解説を見る
正解: A. リソースの診断設定 (Diagnostic Settings)
📌 正解の根拠・詳細解説
診断設定は、リソースのプラットフォーム ログやメトリックの送信先を指定する構成で、Log Analytics ワークスペース、ストレージ アカウント、Event Hub、パートナー ソリューションへ同時に送信できます。1つのリソースに複数の診断設定を作成できるため、分析用と長期保管用を並行して構成できます。
112. 仮想マシンの平均 CPU 使用率が5分間90%を超えたら運用チームに通知したい。作成すべきものはどれか。
解答・解説を見る
正解: D. メトリック アラート ルールを作成し、アクション グループを関連付ける
📌 正解の根拠・詳細解説
Azure Monitor のメトリック アラート ルールでは、対象リソース、シグナル (Percentage CPU など)、しきい値と評価の粒度・頻度を指定します。条件を満たすとアラートが発生し、関連付けたアクション グループを通じてメール、SMS、Webhook などの通知や自動化が実行されます。
113. 複数のアラート ルールで共通して「担当者へのメール送信」と「Logic App の起動」を行いたい。通知先の定義を1か所にまとめる仕組みはどれか。
解答・解説を見る
正解: D. アクション グループ
📌 正解の根拠・詳細解説
アクション グループは、メール、SMS、プッシュ通知、音声通話、Webhook、Logic App、Azure Function、Automation Runbook といった通知やアクションのまとまりを定義する再利用可能なリソースです。複数のアラート ルールから同じアクション グループを参照でき、通知先の変更も一括で行えます。
114. 仮想マシンのゲスト OS 内のパフォーマンス カウンターやイベント ログを Log Analytics ワークスペースへ収集したい。現在推奨される構成はどれか。
解答・解説を見る
正解: A. Azure Monitor エージェント (AMA) をインストールし、データ収集規則 (DCR) を関連付ける
📌 正解の根拠・詳細解説
ゲスト OS 内部のデータ (パフォーマンス カウンター、Windows イベント ログ、Syslog など) の収集には Azure Monitor エージェント (AMA) を使い、何をどこへ収集するかをデータ収集規則 (DCR) で定義して VM に関連付けます。リソースの診断設定はプラットフォーム レベルのログが対象で、OS 内部のログは含まれません。
115. Web アプリケーションの応答時間、依存関係の呼び出し、例外の発生状況をコード レベルで可視化したい。使用すべき Azure Monitor の機能はどれか。
解答・解説を見る
正解: A. Application Insights
📌 正解の根拠・詳細解説
Application Insights は APM (アプリケーション パフォーマンス管理) 機能で、要求数や応答時間、失敗率、依存関係マップ、例外の詳細、分散トレースなどをアプリケーション視点で可視化します。SDK の組み込みや自動インストルメンテーションで有効化します。Activity Log は Azure の管理操作の監査、Service Health は Azure 側障害情報の通知です。
116. 自社が利用しているリージョンで Azure 側の障害や計画メンテナンスが発生した際に、自動的に通知を受け取りたい。設定すべきものはどれか。
解答・解説を見る
正解: A. Azure Service Health のアラート
📌 正解の根拠・詳細解説
Azure Service Health は、利用中のサブスクリプションとリージョン、サービスに影響する障害、計画メンテナンス、正常性に関する勧告を通知するサービスです。アクティビティ ログ ベースのアラート ルールとアクション グループを組み合わせて自動通知を設定します。メトリック アラートは自社リソースの数値監視であり、Azure 基盤側の障害情報は扱いません。
117. Azure 仮想マシンを Azure Backup で保護したい。バックアップ データの保存先として作成する必要があるリソースはどれか。
解答・解説を見る
正解: C. Recovery Services コンテナー
📌 正解の根拠・詳細解説
Azure Backup による VM のバックアップ データは Recovery Services コンテナー (Vault) に保存されます。コンテナーはバックアップ ポリシー、復旧ポイント、アラートの管理単位でもあります。VM とコンテナーは同一リージョンに存在する必要があります。Azure Files や SQL などのワークロードは Backup コンテナーを使う場合もあります。
118. リージョン障害時にも別リージョンからバックアップを復元できるようにしたい。Recovery Services コンテナーの設定について正しいものはどれか。
解答・解説を見る
正解: B. コンテナーのストレージ レプリケーションを GRS にする。ただし最初のバックアップを構成した後は変更できない
📌 正解の根拠・詳細解説
Recovery Services コンテナーのストレージ レプリケーションの種類 (LRS/GRS/ZRS) は、コンテナーに最初の項目を保護した後は変更できません。地理冗長 (GRS) を選び、さらにクロス リージョン復元を有効にしておくと、セカンダリ リージョンからの復元が可能になります。設計時点で決めておくべき重要な設定です。
119. オンプレミスの Windows サーバー上にある特定のフォルダーとファイルだけを、サーバー全体のイメージではなく Azure へバックアップしたい。使用するコンポーネントはどれか。
解答・解説を見る
正解: C. Microsoft Azure Recovery Services (MARS) エージェント
📌 正解の根拠・詳細解説
MARS エージェント (Azure Backup エージェント) は Windows マシンに直接インストールし、ファイル/フォルダーやシステム状態を Recovery Services コンテナーへバックアップします。アプリケーション整合のあるサーバー全体の保護には MABS/DPM を併用します。Site Recovery はバックアップではなく、災害時のレプリケーションとフェールオーバーのためのサービスです。
120. Japan East で稼働中の業務システムについて、リージョン規模の災害時に Japan West へ切り替えられるよう継続的にレプリケーションし、計画的なテスト フェールオーバーも実施したい。適したサービスはどれか。
解答・解説を見る
正解: C. Azure Site Recovery (ASR)
📌 正解の根拠・詳細解説
Azure Site Recovery は VM を別リージョンへ継続的にレプリケートし、復旧計画に沿ったフェールオーバーとフェールバックを実現する災害復旧サービスです。本番に影響を与えないテスト フェールオーバーで手順を検証できます。Azure Backup は特定時点への復元が目的で、リージョン規模の即時切り替えには向きません。可用性セットは同一データセンター内の可用性向上機能です。
