第1回 問題集（全般）

正解: A. A. RDP Shortpath

正解の根拠・詳細解説

RDP Shortpathは、クライアントとセッションホストの間にUDPベースの直接トランスポートを確立し、リレーサーバーを経由する標準のリバースコネクトトランスポートと比べて遅延とパケットロスを低減します。マネージドネットワーク（プライベートエンドポイント経由）とパブリックネットワーク（STUN/TURN経由）の2方式があります。

正解: A. A. UDP 3390

正解の根拠・詳細解説

managed networks向けのRDP Shortpathは、既定でUDP 3390を使用します。クライアント側のネットワークセキュリティグループ（NSG）やファイアウォールでこのポートの通信を許可しておく必要があります。

正解: A. A. RDP Multipath

正解の根拠・詳細解説

RDP Multipathは複数のネットワークインターフェイスやパスを使い、帯域の集約とフェイルオーバーを実現する機能です。Windows 11の更新以降、AVDクライアントとセッションホストの両方でサポートされています。

正解: A. A. QoS（品質保証）マークとRDP帯域の優先度設定

正解の根拠・詳細解説

QoSポリシーをグループポリシーで構成し、RDPトラフィックにDSCPマーキングを付与することで、限られた帯域内でリアルタイム性が求められるRDPトラフィックを優先させることができます。

正解: A. A. セッションホストへの接続をパブリックインターネット経由ではなくプライベートエンドポイント経由に限定する

正解の根拠・詳細解説

AVDでPrivate Linkを構成すると、エージェントとブローカーサービス間、またはクライアントとホストプール間の通信をプライベートエンドポイント経由に限定でき、パブリックインターネットへの露出を減らしてセキュリティを強化できます。

正解: A. A. 想定同時接続ユーザー数あたりの帯域幅要件とラウンドトリップレイテンシ

正解の根拠・詳細解説

AVDのネットワーク容量計画では、ユーザーごとの想定帯域（一般的に作業内容により1.5Mbps〜数Mbps）と、クライアント・セッションホスト間のラウンドトリップタイム（RTT）が体感品質に直結するため、最優先で評価する指標です。

正解: A. A. Azure Network Watcherの接続モニターおよびAVDの診断（Diagnostics）機能

正解の根拠・詳細解説

Network Watcherの接続モニターでネットワークパスのパケットロスや遅延を分析し、AVD自体が提供する診断（ログ分析ワークブックやWindow Event Logのチェックリスト機能）を組み合わせることで、接続断の原因を切断元（クライアント/ネットワーク/ホスト）ごとに特定できます。

正解: A. A. AVDサービスタグ（WindowsVirtualDesktop）およびAzure管理サービスへのアウトバウンド許可

正解の根拠・詳細解説

AVDのセッションホストは、ブローカーやエージェントとの通信のために特定のURLおよびサービスタグ（WindowsVirtualDesktop、AzureFrontDoor.Backend等）へのアウトバウンド通信が必要です。NSGでこれらを許可しつつ不要な通信を絞ることが推奨構成です。

正解: A. A. ブラウザーでの動画再生をクライアント側でデコードさせ、セッションホストの負荷とネットワーク帯域を削減する

正解の根拠・詳細解説

マルチメディアリダイレクトは、対応するブラウザーでの動画再生処理をリモートのセッションホストではなくローカルクライアント側にリダイレクトし、サーバー負荷とネットワーク帯域消費を大幅に削減します。

正解: A. A. AVDのホストプールごとのワークスペース割り当てとAzure Front Doorによる最寄りリージョン判定

正解の根拠・詳細解説

AVDのサービスは内部的にAzure Front Doorのグローバルネットワークを利用してクライアントを最も低レイテンシのゲートウェイへ接続します。複数リージョンに分散したホストプールを構成し、適切なワークスペース割り当てを行うことで地理的に最適なルーティングが実現します。

正解: A. A. ExpressRoute

正解の根拠・詳細解説

ExpressRouteはオンプレミスとAzure間を専用線で接続するサービスで、パブリックインターネットを経由しない安定した帯域と低遅延の通信を提供します。AVDのトラフィックもExpressRoute経由でルーティングできます。

正解: A. A. RDP Shortpathが有効化され、必要なポートが許可されているか

正解の根拠・詳細解説

RDP ShortpathはUDPトランスポートを利用して低遅延通信を実現する機能です。有効化と、対応するファイアウォール/NSGでのポート許可（マネージドネットワークはUDP 3390、パブリックネットワークはSTUN/TURN関連ポート）が必要です。

正解: A. A. UDPトラフィックがネットワーク経路上でブロックされている

正解の根拠・詳細解説

RDP ShortpathはUDPを優先的に使用しますが、ネットワーク機器やファイアウォールでUDPがブロックされているとTCPへフォールバックします。この場合は遅延が増加するため、UDPの許可設定を見直す必要があります。

正解: A. A. Azure Virtual Desktop Experience Estimator

正解の根拠・詳細解説

Azure Virtual Desktop Experience Estimatorは、想定されるネットワーク条件（帯域・遅延・パケットロス）でのユーザー体験を事前にシミュレーションできる無償ツールで、容量計画の初期段階で活用されます。

正解: A. A. パブリックインターネットからの直接アクセスを無効化し、仮想ネットワーク内またはVPN/ExpressRoute経由のアクセスのみを許可できる

正解の根拠・詳細解説

AVD Private Linkを構成すると、グローバルエントリーポイントやホストプールへのアクセスをプライベートエンドポイント経由に制限し、パブリックなネットワークパスを無効化することで、よりセキュアな接続経路を実現できます。

正解: A. A. セッションホストとユーザーの物理的な地理的距離、および利用しているゲートウェイのリージョン

正解の根拠・詳細解説

地理的な距離はラウンドトリップタイムに直結します。AVDのゲートウェイは自動的に最寄りのリージョンを選択しますが、セッションホスト自体が遠隔地にある場合は根本的な遅延要因となるため、リージョン配置の見直しが必要になることがあります。

正解: A. A. ポリシーベースQoS（Policy-based QoS）

正解の根拠・詳細解説

Windowsのグループポリシーにある「ポリシーベースQoS」機能を使い、RDPの実行ファイルパスやポート番号に基づいてDSCPマーキングを設定し、ネットワーク機器側でその優先度に応じた帯域制御を行わせます。

正解: A. A. STUNサーバーを使用したNAT越えとUDPによる直接接続の確立

正解の根拠・詳細解説

public networks向けのRDP Shortpathは、STUN技術を使ってクライアントとセッションホストの間でNAT越えを行い、可能であれば直接UDP接続を確立します。直接接続が確立できない場合はTURNリレーにフォールバックします。

正解: A. A. Azure Files（Premiumファイル共有）

正解の根拠・詳細解説

FSLogixのプロファイルコンテナーはVHD/VHDXファイルとしてSMB共有上に格納されます。Azure Files（特にPremiumティアのファイル共有）は低レイテンシとSMBマルチチャネル対応により、AVDのFSLogix用ストレージとして広く推奨されています。

正解: A. A. Azure Files の AD DS認証（identity-based access）

正解の根拠・詳細解説

Azure FilesはAD DS（オンプレミスまたはMicrosoft Entra Domain Services経由）と統合した認証をサポートし、NTFS ACLに基づくユーザー単位のアクセス制御を実現できます。FSLogixのプロファイル共有でも一般的に利用される構成です。

正解: A. A. Azure NetApp Files

正解の根拠・詳細解説

Azure NetApp Filesは低レイテンシかつ高スループットのエンタープライズ向けファイルストレージで、大規模なFSLogix環境やマルチセッションホストプールにおいてAzure Filesよりも高いパフォーマンス要件に対応できます。

正解: A. A. 複数のネットワーク接続を使用してスループットと回復性を向上させる

正解の根拠・詳細解説

SMBマルチチャネルは複数のTCP接続（または複数NIC）を束ねてファイル共有へのアクセスを高速化・高可用化する機能で、Premiumファイル共有とプレミアムストレージ向けに有効化が推奨されています。

正解: A. A. プロファイル内容（メール、デスクトップファイル等）の利用実態に基づいて可変サイズ（動的VHDX）を採用する

正解の根拠・詳細解説

FSLogixは動的（拡張可能）VHDXをサポートしており、実際の使用量に応じてファイルサイズが拡張されます。固定サイズで過剰に確保するとストレージコストが無駄に増加するため、利用実態に基づいた計画が推奨されます。

正解: A. A. FSLogix Cloud Cache

正解の根拠・詳細解説

FSLogix Cloud Cacheは複数のストレージロケーションにプロファイルのコピーを保持し、ローカルキャッシュを使いながら書き込みを各ロケーションに非同期でレプリケートする機能で、複数リージョンや高可用性が求められるシナリオで使用されます。

正解: A. A. Outlookの検索インデックスやOneDriveの状態などOffice関連のユーザーデータを個別のコンテナーで管理する

正解の根拠・詳細解説

ODFC（Office Container、現在はFSLogix内のOffice Containerとも呼ばれる）は、Outlookのキャッシュやサーチインデックスなど、Office製品に関連するユーザーデータをプロファイルコンテナーとは別に管理し、サインイン時間の最適化やストレージの整理に役立ちます。

正解: A. A. 特定のユーザーやグループに対してインストール済みアプリケーションの表示・利用を制限する

正解の根拠・詳細解説

アプリケーションマスキング（App Masking）は、特定のユーザーやグループに対して、共有イメージ上にインストールされているがアクセス権を持たないアプリケーションを非表示にする機能です。ライセンス管理や権限分離に活用されます。

正解: A. A. Standard、Premium、Ultra

正解の根拠・詳細解説

Azure NetApp Filesでは容量プールごとにStandard、Premium、Ultraのパフォーマンスティアを選択でき、要求されるスループットとIOPSに応じて適切なティアを選定します。

正解: A. A. VHDXファイルへの排他ロック（1ユーザー1セッションの原則を保つ仕組み）

正解の根拠・詳細解説

FSLogixは1ユーザーにつき1つのVHDXファイルを排他的にマウントする設計になっており、同時に複数のセッションホストから同じプロファイルへ多重アクセスされないよう制御されています。

正解: A. A. geo冗長ストレージ（GRS）またはgeo-zone冗長ストレージ（GZRS）

正解の根拠・詳細解説

Azure FilesでDR要件を満たすには、GRSやGZRSなどgeo冗長を持つレプリケーション設定を選択します。ただし、FSLogixの同時アクセス制約から、フェイルオーバー時の整合性についても検討が必要です。

正解: A. A. プロビジョニングされた共有のサイズ（GiB）に比例してIOPS/スループットが決まる

正解の根拠・詳細解説

Premiumファイル共有はプロビジョニングされた容量（GiB）に応じてベースラインのIOPSとスループットが決まる課金モデルです。十分なパフォーマンスを得るには、必要なIOPSを満たすよう容量を計画する必要があります。

正解: A. A. ストレージとセッションホスト間のネットワークレイテンシおよびストレージのIOPS/スループット上限

正解の根拠・詳細解説

プロファイル読み込み遅延は多くの場合、ストレージへのネットワークレイテンシやIOPS/スループットの不足が原因です。ストレージのパフォーマンスメトリックとネットワークの近接性（同一リージョン配置など）を確認することが第一歩です。

正解: A. A. 複数ロケーションへの書き込みが非同期であるため、ネットワーク分断時にデータの整合性リスクが生じうる

正解の根拠・詳細解説

Cloud Cacheは複数のストレージロケーションに非同期でデータを書き込むため、ネットワーク分断や障害時にロケーション間でデータの不整合が生じるリスクがあります。導入前にこのトレードオフを理解しておく必要があります。

正解: A. A. 不要になった古いFSLogixコンテナーの削除・アーカイブ、適切なストレージティアの選定

正解の根拠・詳細解説

退職者や長期未使用ユーザーのプロファイルを定期的に棚卸し、削除またはアーカイブすることや、要件に応じた適切な冗長性・ティアの選定がコスト最適化につながります。

正解: A. A. SMB（Server Message Block）

正解の根拠・詳細解説

FSLogixのプロファイルコンテナーはWindowsのVHDX形式であり、Windowsクライアントからのアクセスを前提とするためSMBプロトコルが標準的に使用されます。Azure NetApp FilesではNFSも選択肢になりますが、FSLogix自体はSMB経由のアクセスを基本とします。

正解: A. A. プールド（Pooled）ホストプール

正解の根拠・詳細解説

プールドホストプールでは、複数のセッションホストが1つのプールを構成し、ユーザーはログイン時に負荷分散アルゴリズムに基づいて空いているホストへ自動的に割り当てられます。一方パーソナルホストプールはユーザー専用の固定セッションホストを割り当てる方式です。

正解: A. A. 直接割り当て（Direct Assignment）

正解の根拠・詳細解説

パーソナルホストプールでは直接割り当てと自動割り当てが選択できます。直接割り当てでは管理者が個々のユーザーと特定のセッションホストを明示的に紐づけます。自動割り当てでは初回ログイン時に空いているホストが自動的に割り当てられます。

正解: A. A. 幅優先（Breadth-first）

正解の根拠・詳細解説

幅優先（Breadth-first）アルゴリズムは新規ユーザーをセッション数が最も少ないホストへ割り当て、全体としてセッション数が均等になるよう分散します。深さ優先は1台のホストが満杯になるまで集中的に割り当てる方式です。

正解: A. A. AVDのサイジングガイドライン（Microsoft Learnのバーチャルマシンサイジングガイダンス）

正解の根拠・詳細解説

Microsoft LearnにはAVD向けの仮想マシンサイジングガイダンスが公開されており、軽量/中間/重い作業負荷ごとの推奨vCPU数・メモリ量・想定ユーザー数の目安が示されています。

正解: A. A. カスタムイメージのバージョン管理とリージョン間レプリケーションを一元管理できる

正解の根拠・詳細解説

Azure Compute Galleryでは、カスタムイメージをバージョン管理し、複数リージョンへレプリケートして配布を効率化できます。AVDのゴールデンイメージ管理において標準的に利用されます。

正解: A. A. Windows 11 Enterprise multi-session

正解の根拠・詳細解説

Windows 11/10 Enterprise multi-sessionは、複数ユーザーが同時に1台のVM上でセッションを共有できるよう設計されたAVD専用エディションで、プールドホストプールで広く利用されます。

正解: A. A. 業務開始前に必要なセッションホストの台数を事前に起動し、ピーク時の需要に備える

正解の根拠・詳細解説

スケーリングプランのランプアップフェーズは、業務開始時間の直前に段階的にセッションホストを起動し、ユーザーが業務を始める頃には十分な容量が確保されている状態を作るためのフェーズです。

正解: A. A. オフピーク（Off-peak）

正解の根拠・詳細解説

オフピークフェーズは、利用者が最も少ない時間帯（深夜など）にセッションホストの稼働台数を必要最小限に抑え、コストを最適化するためのフェーズです。ランプダウンはピークからオフピークへ徐々に台数を減らす移行フェーズです。

正解: A. A. ランサムウェアなどによる不正なファイル変更から保護対象フォルダーを守る

正解の根拠・詳細解説

コントロールフォルダーアクセスはMicrosoft Defenderウイルス対策の機能で、信頼されていないアプリケーションによる保護フォルダー内ファイルへの変更をブロックし、ランサムウェア対策として機能します。

正解: A. A. メモリ内のデータを含めてハードウェアベースの分離・暗号化により保護する

正解の根拠・詳細解説

Confidential VMは、AMD SEV-SNPなどのハードウェアベースの技術を使用して、実行中のメモリ内データを含めて暗号化・分離し、ホスト管理者やハイパーバイザーからもデータを保護することを目的としています。

正解: A. A. セキュアブート、vTPM、ブート整合性監視によるルートキット・ブートキット対策

正解の根拠・詳細解説

Trusted Launchは、セキュアブート、仮想化されたTPM（vTPM）、起動整合性監視（Boot Integrity Monitoring）を組み合わせて、ブートキットやルートキットなどの高度な脅威からVMを保護する機能です。

正解: A. A. 環境（本番/検証）やコスト管理単位に応じてリソースグループを分離し、RBACの境界として活用する

正解の根拠・詳細解説

リソースグループは管理・課金・アクセス制御の境界として機能するため、環境別やプロジェクト別に分離して設計することで、RBACの適用やコスト追跡がしやすくなります。

正解: A. A. Azure Compute GalleryまたはMarketplaceイメージをベースにカスタマイズしたイメージをテンプレートとして使用する

正解の根拠・詳細解説

ゴールデンイメージをAzure Compute Galleryで管理し、必要なアプリケーションや設定を組み込んだテンプレートとして展開することで、一貫性のある効率的なセッションホストのプロビジョニングが可能になります。

正解: A. A. ホストプール単位（スケジュールにより複数のホストプールに割り当て可能）

正解の根拠・詳細解説

スケーリングプランはホストプールに割り当てて使用します。1つのスケーリングプランを複数のホストプールに割り当てることもでき、スケジュール（営業日/週末など）に応じた自動スケーリングを実現します。

正解: A. A. 1台あたりのリソース（CPU・メモリ）を超えないようにユーザー体験を維持する

正解の根拠・詳細解説

最大セッション数の制限は、1台のセッションホストにログインできる同時ユーザー数の上限を定義するもので、CPU・メモリリソースの過負荷を防ぎ、一定水準のユーザー体験を維持するために設定します。

正解: A. A. 新規セッションの割り当てを停止し、既存セッションの完了後にメンテナンスや削除を行えるようにする

正解の根拠・詳細解説

ドレインモードを有効にすると、そのセッションホストへの新規セッション割り当てが停止されます。既存のセッションは継続されるため、ユーザーへの影響を最小限にしながらメンテナンスやスケールイン作業を行えます。

正解: A. A. ユーザーが専有のデスクトップ状態（カスタマイズ・永続化）を必要とするか、共有環境で十分かという業務要件

正解の根拠・詳細解説

パーソナル化された永続的なデスクトップ体験（個別インストールやカスタマイズの保持）が必要な場合はパーソナルホストプール、コストや管理効率を重視し共有で十分な場合はプールドホストプールが適しています。

正解: A. A. ホストプールの読み込み/負荷分散方式が適切に構成され、スケーリングプランが割り当てられていること

正解の根拠・詳細解説

オートスケール機能を使うには、ホストプール側で適切な負荷分散方式が構成され、スケーリングプランが正しく割り当てられている必要があります。これにより需要に応じた自動起動・停止が機能します。

正解: A. A. 新しいVMをプロビジョニングし、AVDエージェントとブートローダーを構成してホストプールに登録した後、検証してから本番トラフィックを受け入れさせる

正解の根拠・詳細解説

新規セッションホストの追加は、VMプロビジョニング後にAVDエージェントをインストールしてホストプールに登録し、正常性を確認した上で順次本番のセッション割り当てを受け付けるようにする無停止の運用が一般的です。

正解: A. A. 更新適用やリソースの定期的なリフレッシュ、コスト最適化のため

正解の根拠・詳細解説

AVDのセッションホストは常時稼働させる必要がなく、Azure仮想マシンの課金はコンピューティングが割り当てられている時間に対して発生します。そのため、利用者がいない夜間や休日にセッションホストを自動シャットダウンするスケジュールを構成すれば、コンピューティング料金を大幅に削減できます。またWindowsのセッションホストは長時間稼働を続けるとメモリの断片化やプロセスのリソースリークが蓄積し、ログオンの遅延やアプリケーションの応答低下を招くことがあります。定期的なリブートはこれらを解消するとともに、月例のセキュリティ更新プログラムやアプリケーション更新の適用完了に必要な再起動を計画的に行う役割も果たします。プールされたホストプールでは、リブート前にドレインモードへ切り替えて新規セッションの受け入れを止め、既存ユーザーのサインアウトを待つ運用が一般的です。なおパスワードの有効期限はEntra IDやAD DS側のポリシーで管理される項目であり、ストレージの冗長性レベルや条件付きアクセスの設定も、ホストの再起動スケジュールとは無関係です。

正解: A. A. FSLogixを使う場合はクラウドキャッシュ等の認証方式に配慮が必要で、一部のオンプレミスリソースアクセスに制限が生じうる

正解の根拠・詳細解説

Microsoft Entra ID参加のみのセッションホストは、従来のAD DSに依存するシナリオ（一部のオンプレミスリソースやKerberos認証）に制約が生じることがあり、FSLogixのストレージアクセス方式やSSO構成にも追加の検討が必要です。

正解: A. A. Active Directory Domain Services（AD DS）、Microsoft Entra ID、Microsoft Entra Domain Servicesのハイブリッドまたは単独構成

正解の根拠・詳細解説

AVDはAD DS、Microsoft Entra ID（Entra joined）、Microsoft Entra Domain Servicesを単独またはハイブリッドで組み合わせた複数のIDシナリオに対応しています。要件に応じて適切な構成を選定します。

正解: A. A. 既存のオンプレミスグループポリシーやKerberos認証を活用しつつ、クラウドの管理機能も併用できる

正解の根拠・詳細解説

ハイブリッドID構成では、既存のオンプレミスのグループポリシーやKerberos認証基盤を維持しながら、Microsoft Entra Connectなどで同期し、クラウド側の管理・セキュリティ機能（Conditional Access等）も併用できます。

正解: A. A. オンプレミスのドメインコントローラーを構築・管理せずにマネージドなドメインサービスを利用できる

正解の根拠・詳細解説

Microsoft Entra Domain Servicesは、従来のAD DS互換のマネージドドメインサービスをAzure上で提供し、自前でドメインコントローラーを構築・運用する必要がなくなる点が大きなメリットです。

正解: A. A. Azure RBAC（ロールベースアクセス制御）の組み込みロール（Desktop Virtualization User、Desktop Virtualization Contributor等）

正解の根拠・詳細解説

Azure RBACにはAVD専用の組み込みロール（Desktop Virtualization UserやDesktop Virtualization Contributorなど）が用意されており、リソースレベルでの権限分離（誰がアプリグループを割り当てられるか、誰が管理できるか等）を実現します。

正解: A. A. Conditional Access（条件付きアクセス）ポリシー

正解の根拠・詳細解説

Conditional Accessポリシーでは、デバイスの準拠状態、ユーザーのリスクレベル、場所、アプリケーションなどの条件に基づいてAVDへのアクセスを許可・拒否・多要素認証要求などに制御できます。

正解: A. A. 対象アプリとしてAzure Virtual Desktopおよびリモートデスクトップ用のWindowsクライアントアプリを正しく含める必要がある

正解の根拠・詳細解説

AVD向けのConditional Accessでは、Azure Virtual Desktopのクラウドアプリ、および必要に応じてWindows Cloud Login等の関連アプリをポリシーの対象アプリとして正しく指定することが、想定どおりのアクセス制御を実現するうえで重要です。

正解: A. A. Windows Hello for BusinessやFIDO2セキュリティキー

正解の根拠・詳細解説

Windows Hello for BusinessやFIDO2セキュリティキーを使うことで、パスワードを使わない強固な認証方式をAVD環境にも適用できます。これによりフィッシングなどのリスクを低減できます。

正解: A. A. AD DSまたはハイブリッド構成でスマートカードログオンに対応した証明書基盤（PKI）が整備されていること

正解の根拠・詳細解説

スマートカード認証には、AD DSとの統合および証明書を発行するPKI基盤が必要です。AVDではAD DSベースまたはハイブリッドのIDシナリオでこの認証方式を構成します。

正解: A. A. Conditional AccessポリシーでAVD関連アプリへのアクセス時にMFAを要求する

正解の根拠・詳細解説

MFAの強制は、Microsoft Entra Conditional AccessポリシーでAzure Virtual Desktop関連のクラウドアプリを対象にMFA要求の条件を設定することで実現するのが一般的な方法です。

正解: A. A. ローカルセキュリティポリシーまたはグループポリシーによる「リモートデスクトップユーザー」グループへの追加

正解の根拠・詳細解説

Azure RBACはAzureリソース（管理操作）に対する権限であり、セッションホストへのRDPログオン自体の許可は、OSレベルのローカルグループ（リモートデスクトップユーザーなど）やグループポリシーで制御します。

正解: A. A. ユーザーがRDP接続時に再度資格情報を入力する必要をなくし、スムーズなログインを実現する

正解の根拠・詳細解説

Microsoft Entra SSO（旧称: Azure AD SSO）を構成すると、ユーザーがMicrosoft Entra IDで認証済みであれば、AVDセッションホストへの接続時に再度パスワード入力を求められることなくシングルサインオンが実現します。

正解: A. A. Microsoft Defender for Cloud

正解の根拠・詳細解説

Microsoft Defender for Cloudは、セッションホストを含むAzureリソースのセキュリティ態勢を評価し、脆弱性や設定不備に対する推奨事項（セキュアスコア）を提示するクラウドセキュリティ態勢管理（CSPM）サービスです。

正解: A. A. 脆弱性評価、Just-In-Time VMアクセス、脅威検出などの高度なセキュリティ機能が利用可能になる

正解の根拠・詳細解説

Defender for Cloudのサーバー向けプラン（旧Defender for Servers）を有効化すると、脆弱性評価、Just-In-Timeアクセス制御、エンドポイント検出・対応（EDR）機能など、セッションホストの高度な保護機能が利用可能になります。

正解: A. A. Just-In-Time（JIT）VMアクセス

正解の根拠・詳細解説

Just-In-Time VMアクセスは、Defender for Cloudの機能で、必要な場合にのみ申請ベースで限定された時間・IPからのアクセスを許可し、常時開放されたポートによる攻撃面を減らします。

正解: A. A. Microsoft Defender ウイルス対策（Microsoft Defender Antivirus）またはMicrosoft Defender for Endpointの導入

正解の根拠・詳細解説

セッションホストのエンドポイント保護には、Windowsに組み込まれているMicrosoft Defenderウイルス対策、または高度な検出・対応機能を持つMicrosoft Defender for Endpointの導入が標準的な対策です。

正解: A. A. Azure Disk Encryption、またはプラットフォーム管理キーによる既定の保管時暗号化

正解の根拠・詳細解説

Azure管理ディスクは既定でプラットフォーム管理キーによる保管時暗号化が適用されますが、より高いセキュリティ要件にはBitLocker/DM-Cryptを利用するAzure Disk Encryptionや、カスタマー管理キー（CMK）を併用できます。

正解: A. A. Trusted Launchはブート時の整合性保護に重点を置き、Confidential VMは実行時のメモリ暗号化・分離まで保護範囲を広げている

正解の根拠・詳細解説

Trusted Launchはセキュアブート・vTPM・起動整合性監視によるブート時の保護が中心です。Confidential VMはハードウェアベースのTEE（信頼実行環境）を利用し、実行中のメモリ内データまで暗号化・分離する、より高度な保護を提供します。

正解: A. A. セキュリティ標準（regulatory compliance）ダッシュボードとセキュアスコア

正解の根拠・詳細解説

Defender for Cloudのコンプライアンスダッシュボードでは、CIS、Azure Security Benchmarkなどの標準に対する準拠状況を可視化し、セキュアスコアと組み合わせて継続的な改善状況を追跡できます。

正解: A. A. 管理タスクの種類に応じてDesktop Virtualization Contributor等の細分化された組み込みロールを必要な範囲（リソースグループやホストプール単位）に限定して割り当てる

正解の根拠・詳細解説

最小権限の原則に従い、必要な操作に応じた細分化されたロール（例: アプリグループの割り当てのみ可能なロール）を、必要なスコープ（特定のリソースグループやホストプール）に限定して付与することが推奨されます。

正解: A. A. Microsoft Entra Privileged Identity Management（PIM）

正解の根拠・詳細解説

Privileged Identity Management（PIM）は、管理者ロールへのアクセスを必要なときだけ時間制限付きで有効化（Just-In-Time昇格）する仕組みで、常時付与された特権アカウントのリスクを低減します。

正解: A. A. Microsoft Defender for Cloudの脆弱性評価（Vulnerability Assessment）

正解の根拠・詳細解説

Microsoft Defender for Cloudのサーバー向けプランを有効にすると、セッションホストとして動作するAzure仮想マシンに脆弱性評価が組み込まれ、Microsoft Defender脆弱性の管理によってOSやインストール済みソフトウェアのCVEが継続的にスキャンされます。検出結果はDefender for Cloudの推奨事項として一覧化され、影響を受けるホスト、深刻度、修復に必要な更新プログラムが提示されるため、パッチ適用状況の確認と是正を同じ画面で追跡できます。AVDのように1つのイメージから多数のセッションホストを展開する環境では、ゴールデンイメージ自体に古い脆弱性が残っていると全ホストにそのまま複製されてしまうため、評価結果をイメージの更新サイクルへ反映させることが重要です。Azure Policyのタグ強制はガバナンス、Cost Managementの予算超過アラートは費用管理、Network Watcherのコネクションモニターはネットワーク疎通の監視が目的であり、いずれもCVEの検出やパッチ状況の把握には使えません。

正解: A. A. Enabled設定とVHDLocations（プロファイルコンテナーの格納先パス）

正解の根拠・詳細解説

FSLogix Profile Containerを有効化するには、FSLogixのProfilesキー配下でEnabled=1と、VHDLocationsにプロファイルを格納するファイル共有のパスを指定することが必須の初期構成です。

正解: A. A. プロファイルサイズの上限（VHDXはより大きなサイズに対応しパフォーマンスも優れる）

正解の根拠・詳細解説

VHDXはVHDに比べて大容量に対応し、パフォーマンスや堅牢性（破損耐性）にも優れるため、現在のFSLogix構成では基本的にVHDXが推奨されます。

正解: A. A. プールドホストプールにおいて、ローカルプロファイルとリモートVHDXを使い分ける挙動を制御する

正解の根拠・詳細解説

ProfileType設定では、既存のローカルプロファイルがある場合の挙動や、複数セッションホストでの共有方法など、プロファイルコンテナーの動作モードを細かく制御できます。

正解: A. A. プロファイルコンテナー本体とOfficeデータを分割することで、サイズ管理やトラブルシューティングが容易になる

正解の根拠・詳細解説

ODFCを分離すると、Outlookの検索インデックスやOneDriveキャッシュなどの大きくなりやすいデータをプロファイル本体から切り離して管理でき、サイズの肥大化対策や問題発生時の切り分けがしやすくなります。

正解: A. A. プロファイルデータをキャッシュ・レプリケートする複数のストレージロケーションを順序付きで指定する

正解の根拠・詳細解説

CCDLocationsは、Cloud Cacheが使用する複数のストレージロケーション（プライマリ・セカンダリなど）を順序付きリストとして指定するパラメーターで、各ロケーションへの非同期レプリケーションの基盤となります。

正解: A. A. 特定のADグループメンバーシップやルールセットに基づき、表示するアプリケーションを切り分ける

正解の根拠・詳細解説

アプリケーションマスキングのルールセット（.fslファイル）では、ADセキュリティグループ等の条件に基づいて、特定のアプリケーションをユーザーごとに表示・非表示にする設定を行います。

正解: A. A. VHDXのプロファイルが正しく適用される場合に、競合するローカルプロファイルを自動的に削除する

正解の根拠・詳細解説

この設定を有効にすると、リモートのVHDXプロファイルが正しく読み込まれる際に、ローカルに残っている古いプロファイルとの競合を避けるため、ローカルプロファイルが自動的に削除されます。

正解: A. A. 1ユーザー1セッションを前提としたVHDXファイルの排他マウント

正解の根拠・詳細解説

FSLogixは基本的に1ユーザーが1つのセッションでのみVHDXファイルをマウントできる設計であり、これにより複数ホスト間でのプロファイル不整合を防いでいます（Cloud Cacheなど特殊構成は別途考慮が必要）。

正解: A. A. RedirXMLやExcludeのリスト構成によるフォルダーリダイレクトの除外設定

正解の根拠・詳細解説

FSLogixでは特定のフォルダーをプロファイルコンテナーの管理対象から除外したり、フォルダーリダイレクトと組み合わせて構成することができ、不要なデータの肥大化を防ぐのに役立ちます。

正解: A. A. FSLogixのイベントログ（Microsoft-FSLogix-Apps）およびセッションホスト上のローカルフォルダー状態

正解の根拠・詳細解説

FSLogixはWindowsイベントログ（Microsoft-FSLogix-Apps/Operational等）に詳細な動作ログを記録するため、マウントの成功・失敗やエラーコードを確認する際の主要な情報源になります。

正解: A. A. Azure Virtual Desktop Web client（Windows App for webを含む）

正解の根拠・詳細解説

Web clientを使用すると、対応ブラウザーから追加のソフトウェアインストールなしにAVDのデスクトップやアプリへ接続できます。組織のBYOD環境などで広く利用されています。

正解: A. A. Microsoft IntuneやグループポリシーによるWindowsアプリ（旧Remote Desktopクライアント）の自動展開

正解の根拠・詳細解説

大規模展開ではIntuneやSCCM、グループポリシーといった管理基盤を使用してクライアントを自動的に配布・更新することで、展開作業の効率化と一貫性の確保が可能になります。

正解: A. A. RDPプロパティのデバイスリダイレクト設定（ローカルドライブ、USB、クリップボード等の転送許可）

正解の根拠・詳細解説

RDPプロパティでは、ローカルドライブ、プリンター、USBデバイス、クリップボード、オーディオなど、各種リダイレクト機能の有効/無効をきめ細かく設定できます。

正解: A. A. Teamsのメディア最適化（AVD向けメディアオプティマイゼーション）

正解の根拠・詳細解説

Teamsのメディア最適化機能は、AVD環境でTeamsの音声・映像通話処理をリモートサーバーではなくローカルクライアント側で行うことで、サーバーのCPU負荷とネットワーク帯域消費を大幅に削減します。

正解: A. A. Universal Print

正解の根拠・詳細解説

Universal Printは、クラウドベースの印刷管理サービスで、従来のプリントサーバーやドライバー個別管理を不要にし、AVD環境からの印刷をシンプルかつスケーラブルに実現します。

正解: A. A. セッションホストがMicrosoft Entra IDに参加（またはハイブリッド参加）し、Intuneに登録されていること

正解の根拠・詳細解説

Intuneによるポリシー適用には、対象デバイスがMicrosoft Entra IDに参加（クラウドネイティブまたはハイブリッド参加）し、Intuneに登録されている必要があります。

正解: A. A. クリップボード転送、ドライブリダイレクト、画面の色深度、オーディオ入出力のリダイレクト設定など

正解の根拠・詳細解説

ホストプールのRDPプロパティでは、クリップボード、ドライブ、オーディオ、印刷などの各種リダイレクト機能や、画面の色深度、マルチモニター対応など、接続体験に関する多くの設定をカスタマイズできます。

正解: A. A. セッションタイムアウトプロパティ（アイドルタイムアウト・切断タイムアウト等）

正解の根拠・詳細解説

ホストプールのRDPプロパティには、アイドル状態のタイムアウト、切断後のログオフまでの待機時間などのセッションタイムアウト設定があり、リソースの解放やセキュリティ強化のために構成します。

正解: A. A. ユーザーが接続を試行した際に、停止中のセッションホスト（主にパーソナルホストプール）を自動的に起動する

正解の根拠・詳細解説

Start VM on Connectは、ユーザーが接続を試みた時点で対象のセッションホストが停止していた場合に自動的に起動させる機能で、主にパーソナルホストプールでのコスト最適化（不要時は停止しておく）と利便性を両立します。

正解: A. A. 退職や部署異動によりそのユーザーが当該デスクトップを使用しなくなった場合

正解の根拠・詳細解説

パーソナルホストプールでは1ユーザーに1台のセッションホストが固定的に割り当てられるため、退職や異動などでそのユーザーが不要になった場合は割り当てを解除し、別のユーザーへの再割り当てや削除を行います。

正解: A. A. MSIX app attach

正解の根拠・詳細解説

MSIX app attachは、MSIX形式でパッケージ化されたアプリケーションをセッションホストのOSイメージにインストールすることなく、動的にアタッチ（マウント）して配信する技術で、イメージ管理の効率化とアプリ競合の回避に役立ちます。

正解: A. A. Windows App（および各プラットフォーム向けリモートデスクトップクライアント）

正解の根拠・詳細解説

近年Microsoftは複数のリモートサービス（AVD、Windows 365等）への接続を統合したクライアントとして「Windows App」を提供しており、Windows、macOS、iOS、Android、Webの各プラットフォームに対応しています。

正解: A. A. オーディオキャプチャ/再生のRDPプロパティ設定とネットワーク帯域の十分な確保

正解の根拠・詳細解説

音声のリダイレクト品質は、RDPのオーディオ関連プロパティ設定（ビットレートやキャプチャの有効化）と、十分なネットワーク帯域・低遅延の確保によって大きく左右されます。

正解: A. A. クライアントの「複数モニターの使用」設定、およびホストプール側の最大モニター数制限の確認

正解の根拠・詳細解説

AVDクライアントには複数モニターをリモートセッションで使用するための設定があり、サーバー側でもサポートされる最大モニター数やセッションホストのGPU性能などを踏まえた構成が必要です。

正解: A. A. クライアントの画面サイズ自動調整（ダイナミックレゾリューションアップデート）機能

正解の根拠・詳細解説

AVDクライアントとRDPプロトコルは、クライアントウィンドウのリサイズに応じてリモートセッションの解像度を動的に調整する機能（Dynamic Resolution Update）をサポートしており、ウィンドウサイズ変更時に再接続不要でスムーズに追従します。

正解: A. A. その時点で未割り当てのセッションホストの中から自動的に1台が選ばれ、以降そのユーザー専用として固定される

正解の根拠・詳細解説

自動割り当て方式のパーソナルホストプールでは、初回ログイン時に未割り当てのセッションホストの中から1台が自動的に選択され、それ以降そのユーザーに固定的に割り当てられます。

正解: A. A. ユーザーに必要なアプリのみへのアクセスを限定し、UIの単純化と権限の最小化を実現できる

正解の根拠・詳細解説

RemoteAppとして特定のアプリケーションのみを公開すると、ユーザーは必要なアプリだけにアクセスでき、デスクトップ全体を公開する場合と比べてUIがシンプルになり、不要な機能へのアクセスも制限できます。

正解: A. A. ワークスペースのフィード集約機能（複数のApplication Groupをまとめて表示）

正解の根拠・詳細解説

AVDではアプリケーショングループをワークスペースに登録し、ユーザーやグループに対してアプリケーショングループを割り当てます。ユーザーがWindows Appなどのクライアントでサインインすると、クライアントはフィードの探索を行い、そのユーザーに割り当てられているすべてのアプリケーショングループを横断して、公開されているデスクトップとRemoteAppを1つのリソース一覧に集約して表示します。このため、デスクトップ用のホストプールとRemoteApp用のホストプールが分かれていても、ユーザーは接続先のホストプールを意識することなく、一覧から使いたいリソースを選ぶだけで済みます。フィードは定期的に更新されるため、管理者が新しいアプリを公開したり割り当てを変更したりすると、ユーザー側のリソース一覧にも反映されます。ワークスペースはあくまで公開と表示のための論理的な入れ物であり、セッションホストの配置やスケーリングを制御するものではありません。Network Watcherのトポロジー表示はネットワーク構成の可視化、ストレージアカウントのファイル共有一覧やCost Managementのダッシュボードはまったく別の管理目的の機能です。

正解: A. A. AVDの診断設定（Diagnostic settings）とAzure Monitorエージェント

正解の根拠・詳細解説

AVDでは、ホストプール・アプリケーショングループ・ワークスペースなどのリソースに対して診断設定を有効化し、各種ログ（チェックポイント、エラー、管理アクティビティ等）をLog Analyticsワークスペースへ送信できます。セッションホスト自体のパフォーマンスログはAzure Monitorエージェントで収集します。

正解: A. A. 事前構築されたワークブックでホストプールの稼働状況、接続品質、ユーザー体験を可視化する

正解の根拠・詳細解説

AVD Insightsは、Azure Monitorワークブックをベースにした事前構築済みのダッシュボードで、ホストプールの稼働状況、接続の成功率、応答時間、リソース使用率などを可視化し、運用監視を効率化します。

正解: A. A. Azure Monitorワークブックのカスタムクエリ（Kusto Query Language: KQL）

正解の根拠・詳細解説

Azure Monitorワークブックは、Kusto Query Language（KQL）を用いてLog Analyticsのデータをクエリし、カスタムの可視化（グラフ、テーブル、グリッド等）を組み込むことができ、自社の運用ニーズに応じたダッシュボードへ拡張できます。

正解: A. A. Azure Monitorエージェントによるパフォーマンスカウンターの収集とアラートルールの設定

正解の根拠・詳細解説

Azure Monitorエージェントを使ってセッションホストのCPU・メモリ・ディスクI/O等のパフォーマンスカウンターを収集し、しきい値に基づくアラートルールを設定することで、リソース不足やボトルネックを早期に検知できます。

正解: A. A. Azureポータルのホストプールの「セッション」ビュー

正解の根拠・詳細解説

Azureポータルのホストプール管理画面には、現在接続中のセッション一覧を表示し、特定セッションへのメッセージ送信、強制ログオフ、切断などの操作を行える管理ビューが用意されています。

正解: A. A. Log Analyticsに集約されたAVDの接続・使用状況ログ

正解の根拠・詳細解説

診断設定で収集されたAVDの接続・チェックポイント・エラーログをLog Analyticsに集約し、KQLクエリやAVD Insightsのワークブックを使って、アプリケーショングループ単位の利用状況を分析できます。

正解: A. A. 時間帯別のアクティブセッション数とセッションホストの起動・停止履歴

正解の根拠・詳細解説

オートスケールの効果測定には、時間帯別のアクティブセッション数の推移と、それに対応したセッションホストの起動・停止（スケールイン/アウト）の履歴を比較し、需要と供給のバランスが適切かを評価します。

正解: A. A. VM SKUのアップグレード、最大セッション数制限の見直し、またはホストプールへのホスト追加によるスケールアウト

正解の根拠・詳細解説

CPU使用率が継続的に高い場合は、VMサイズの見直し（スケールアップ）、1台あたりの最大セッション数制限の調整、あるいはホストプールへのセッションホスト追加（スケールアウト）によってリソース不足を解消します。

正解: A. A. Log Analyticsに蓄積したパフォーマンスログを使った長期トレンド分析

正解の根拠・詳細解説

Log Analyticsに継続的に蓄積されたパフォーマンスカウンターデータを時系列で分析することで、メモリリークなどの長期的なリソース消費トレンドを把握し、予防的な対応（定期再起動やアプリの見直し）につなげられます。

正解: A. A. ゴールデンイメージの定期更新と、メンテナンスウィンドウでの段階的な再展開・再起動

正解の根拠・詳細解説

推奨される更新戦略は、ゴールデンイメージ側で定期的にパッチを適用・検証し、メンテナンスウィンドウを設けてドレインモードなどを活用しながら段階的にセッションホストを更新・再展開する方法です。

正解: A. A. セカンダリリージョンへのホストプール・FSLogixストレージのレプリケーションとフェイルオーバー手順

正解の根拠・詳細解説

AVDのDR計画では、プライマリリージョン障害時にセカンダリリージョンでホストプールとFSLogixストレージ（プロファイルデータ）をどのように復旧・利用可能にするか、レプリケーション方式とフェイルオーバー手順を明確にしておく必要があります。

正解: A. A. 地理的に分散したユーザーへの低遅延アクセス提供と、リージョン障害時の事業継続性確保

正解の根拠・詳細解説

マルチリージョン展開は、ユーザーの地理的分散に応じた低遅延アクセスの実現と、特定リージョンで障害が発生した場合でも他リージョンでサービス継続を図るという、パフォーマンスと可用性の両方の目的で行われます。

正解: A. A. Azure Backup（Azure Files向けのバックアップ機能）またはストレージのスナップショット機能

正解の根拠・詳細解説

Azure FilesにはAzure Backupと統合したバックアップ機能や、ファイル共有スナップショットがあり、FSLogixのVHDXを含むユーザーデータの定期バックアップと復元（誤削除・破損対策）に活用できます。

正解: A. A. Azure Compute Galleryでのイメージバージョン管理と、必要に応じた以前のバージョンへのロールバック

正解の根拠・詳細解説

セッションホストのOS・アプリ構成自体は、Azure Compute Galleryでイメージのバージョンを管理し、問題が生じた場合に以前の安定バージョンのイメージへロールバックして再展開することで、迅速な復旧が可能になります。

正解: A. A. 障害発生時に許容できるデータ損失の最大時間幅

正解の根拠・詳細解説

RPO（Recovery Point Objective）は、障害発生時に許容できるデータ損失の時間幅を示す指標です。一方、復旧までの時間を示す指標はRTO（Recovery Time Objective）であり、両者を区別して計画する必要があります。

正解: A. A. AVDエージェントの稼働状況、ネットワーク接続、必要なエンドポイントへの到達性

正解の根拠・詳細解説

セッションホストの状態は、各仮想マシン上で動作する Azure Virtual Desktop エージェント（RDAgent）が定期的にサービスへハートビートを送ることで判定されます。Unavailable はそのハートビートが届いていない状態を指すため、まず VM が起動しているか、RDAgent と RDAgentBootLoader のサービスが実行中か、そしてエージェントがサービスの必須エンドポイントへ到達できるかを確認します。プロキシやファイアウォール、NSG、ユーザー定義ルートによって必要な FQDN がブロックされていると、VM 自体は正常に動作していてもホストプールから切り離されて Unavailable になります。到達性の確認にはエージェント用の URL チェックツールが利用でき、ドメイン参加が外れている場合やドメインコントローラーへ到達できない場合も同様の症状が出ます。一方、ストレージアカウント名や条件付きアクセスのポリシー数、予算設定はヘルスチェックの判定要素ではないため、切り分けの初手としては適切ではありません。