第1回 問題集（全般）

正解: A. A. Azure Storage（パブリックエンドポイント）

正解の根拠・詳細解説

Microsoftピアリングは、Microsoft 365やAzureパブリックサービス（StorageやSQL Databaseのパブリックエンドポイントなど）へのアクセスに使用します。仮想マシンのプライベートIPへのアクセスにはAzureプライベートピアリングを使用します。

正解: D. D. ErGw3AZ

正解の根拠・詳細解説

ErGw3AZ（ゾーン冗長、Availability Zones対応）が最大スループット（10Gbps）を提供します。UltraPerformanceは非推奨、Standardは1Gbps、HighPerformanceは2Gbpsです。

正解: D. D. スタティックルーティングの使用

正解の根拠・詳細解説

PolicyベースVPNはスタティックルーティングを使用し、IKEv1のみサポート、接続は1つのみです。RouteベースVPNはIKEv2、動的ルーティング、P2S、複数接続をサポートします。

正解: B. B. Microsoftのグローバルネットワークへの10Gbpsまたは100Gbpsの直接接続

正解の根拠・詳細解説

ExpressRoute Directは、Microsoftのグローバルネットワークのピアリング場所に10Gbpsまたは100Gbpsで直接接続する機能です。通信キャリアを介さず、Microsoftのネットワークへの物理的な直接接続を提供します。

正解: A. A. VPN（サイト間）

正解の根拠・詳細解説

Virtual WANのHubは、VPN（サイト間）接続でブランチオフィスをIPsecで接続し、ExpressRouteで専用線接続します。Azure BastionはVM管理用、VNet PeeringはVNet間接続、Application GatewayはWebトラフィック用です。

正解: A. A. Azure Active Directory認証

正解の根拠・詳細解説

P2S VPNはAzure AD（Entra ID）認証、RADIUSサーバー認証、Azure証明書認証をサポートします。SQLサーバー認証やSNMPはネットワークVPN認証には使用しません。

正解: B. B. VNet内の仮想マシンのAレコードが自動的に作成・削除される

正解の根拠・詳細解説

プライベートゾーンにVNetをリンクし自動登録を有効にすると、そのVNet内のVMのAレコードとPTRレコードが自動的に作成・削除されます。パブリックIPやインターネットアクセスとは無関係です。

正解: B. B. 2つの異なるオンプレミス拠点をExpressRoute経由でAzureを通して接続する

正解の根拠・詳細解説

ExpressRoute Global Reachは、異なるExpressRoute回線を持つ2つのオンプレミス拠点を、Microsoftのバックボーンネットワーク経由で相互接続する機能です。Azureのリソースへのアクセスではなく、拠点間通信に使用します。

正解: B. B. VpnGw2AZ

正解の根拠・詳細解説

VpnGw1AZ、VpnGw2AZ、VpnGw3AZ、VpnGw4AZ、VpnGw5AZがAvailability Zone対応のゾーン冗長SKUです。末尾に「AZ」が付きます。VpnGw1やVpnGw3、Basicはゾーン冗長ではありません。

正解: B. B. 静的ルートを追加することなく、ルート情報を動的に交換できる

正解の根拠・詳細解説

BGP（Border Gateway Protocol）を使用することで、ルートを動的に交換でき、ネットワーク変更時に手動でルートを追加する必要がなくなります。VpnGw1以上がBGP対応（BasicはBGP非対応）です。

正解: B. B. Standard HubのみAzure Firewallを展開できる

正解の根拠・詳細解説

Standard HubはAzure FirewallやNVA（ネットワーク仮想アプライアンス）の展開が可能で、セキュリティ保護付きVirtual Hubを構成できます。Basic HubはVPN接続のみで、FirewallやExpressRouteは非対応です。

正解: B. B. 接続プロバイダーにサービスキーを提供してプロビジョニングを依頼する

正解の根拠・詳細解説

「Not provisioned」はAzure側のリソースは作成済みだが、接続プロバイダー側でまだ回線がプロビジョニングされていない状態です。サービスキーをプロバイダーに提供し、プロビジョニング作業を依頼する必要があります。

正解: B. B. Azure Private DNS Resolver

正解の根拠・詳細解説

Azure Private DNS Resolverは、オンプレミスとAzureの間でDNSクエリを相互転送できるフルマネージドサービスです。インバウンドエンドポイント（オンプレミス→Azure）とアウトバウンドエンドポイント（Azure→オンプレミス）を提供します。

正解: B. B. 高可用性とネットワーク帯域幅の向上のため

正解の根拠・詳細解説

アクティブ/アクティブVPN構成では、両方のゲートウェイインスタンスがVPNトンネルを維持するため、1つのインスタンスが失敗しても接続が維持されます。また、複数のトンネルでトラフィックを分散でき、実効帯域幅が向上します。

正解: B. B. Microsoftピアリングで受信するルートをフィルタリングするため

正解の根拠・詳細解説

BGPコミュニティタグを使用することで、Microsoftピアリング経由で受信するBGPルートを地域や地理ごとにフィルタリングできます。例えば特定のAzureリージョンのルートのみを受け入れる設定が可能です。

正解: A. A. Standard HubのみVNet間のトランジットルーティングをサポートする

正解の根拠・詳細解説

Virtual WANのStandard Hubは、接続されているVNet間、ブランチ間のトランジットルーティングを自動的にサポートします。Basic Hubはこのトランジット機能を持ちません。

正解: A. A. アクティブ/アクティブは2つのパブリックIPを使用する

正解の根拠・詳細解説

アクティブ/アクティブ構成では各インスタンスが独自のパブリックIPを持ち、合計2つのパブリックIPアドレスが必要です。フェイルオーバーはどちらの構成でも自動ですが、アクティブ/アクティブはより高いSLAと帯域幅を提供します。

正解: B. B. Azure Private DNS Resolverのインバウンドエンドポイントへ条件付きフォワーダーを設定する

正解の根拠・詳細解説

オンプレミスからAzureプライベートDNSゾーンを解決するには、Azure Private DNS ResolverのインバウンドエンドポイントのIPを、オンプレミスDNSサーバーの条件付きフォワーダーに設定します。

正解: B. B. 仮想ネットワークゲートウェイをバイパスして、直接仮想マシンにトラフィックを届ける

正解の根拠・詳細解説

ExpressRoute FastPathはネットワークゲートウェイをデータパスからバイパスし、仮想ネットワーク内のVMやロードバランサーに直接トラフィックを転送します。レイテンシ削減とスループット向上が目的です（Ultra PerformanceまたはErGw3AZ以上が必要）。

正解: B. B. Azure FirewallまたはサードパーティのセキュリティサービスがデプロイされたVirtual WAN Hub

正解の根拠・詳細解説

Secured Virtual Hubは、Azure FirewallやサードパーティのSecurity as a Service（Zscaler、Checkpoint等）がデプロイされたVirtual WAN Hub（Standard Hubのみ）です。Azure Firewall Managerで一元管理できます。

正解: B. B. VPN GatewayとExpressRoute GatewayをVNet内に共存させ、ExpressRouteルートに低いBGPコスト（高い優先度）を設定する

正解の根拠・詳細解説

ExpressRouteとVPNを同一VNetで共存させ、ExpressRouteのBGPルートを優先させます。ExpressRoute失効時にBGPが自動的にVPN経由のルートへフェイルオーバーします。

正解: A. A. CNAMEはゾーンのapex（ルートドメイン）には設定できない

正解の根拠・詳細解説

DNS標準仕様（RFC 1034）により、ゾーンのapex（例：contoso.com）にはCNAMEレコードを設定できません。この制限を回避するためにAzure DNS Aliasレコードを使用できます（Traffic ManagerやFront Door、Azure CDNエンドポイントを直接参照可能）。

正解: A. A. BGPサポート

正解の根拠・詳細解説

VpnGw1以上ではBGPサポートとAzure AD（Entra ID）ベースのP2S認証が利用できます（Basic SKUは非対応）。IKEv2はBasic SKUでも一部サポートされ、サイト間接続とスタティックルーティングはBasicでも対応しています。

正解: B. B. いいえ、Azure VNetとExpressRouteを接続するには仮想ネットワークゲートウェイ（ExpressRouteゲートウェイ）が必要

正解の根拠・詳細解説

ExpressRoute回線をAzure VNetに接続するには、そのVNet内にExpressRoute用の仮想ネットワークゲートウェイ（GatewaySubnet上）が必要です。ゲートウェイなしではVNet内のリソースとExpressRoute経由で通信できません。 ドメイン2：コアネットワークインフラの設計・実装（問25〜48） 出題比率20〜25%。VNet・サブネット・NAT Gateway・Load Balancer・Application Gateway・Azure Front Door・Traffic Managerなど、Azureの基本ネットワーク構成要素が対象です。

正解: B. B. 仮想マシンを再起動するかDHCPリースを更新する

正解の根拠・詳細解説

VNetのDNS設定を変更しても、既存VMにはすぐに反映されません。VMを再起動するか、コマンドで`ipconfig /renew`（Windows）や`sudo dhclient`（Linux）を実行してDHCPリースを更新する必要があります。

正解: A. A. Availability Zones対応

正解の根拠・詳細解説

Standard Load BalancerはAvailability Zones対応のゾーン冗長/ゾーンピン設定、アウトバウンドルール（Outbound Rules）による明示的なアウトバウンド接続管理が可能です。Basic SKUはこれらに非対応です。

正解: A. A. SQLインジェクション

正解の根拠・詳細解説

Application GatewayのWAFはOWASP Core Rule Setに基づき、SQLインジェクションやXSSなどのWebアプリ攻撃を防御します。DDoSボリューメトリック攻撃はAzure DDoS Protection、BGPハイジャックとDNSポイズニングは別の対策が必要です。

正解: D. D. 「AzureBastionSubnet」、/26以上

正解の根拠・詳細解説

Azure Bastionを展開するサブネット名は必ず「AzureBastionSubnet」（完全一致）、最小サイズは/26（64アドレス）以上が必要です。Standard SKU等では/26以上が推奨されています。

正解: C. C. 64,512

正解の根拠・詳細解説

NAT Gatewayは1つのパブリックIPアドレスあたり最大64,512個のSNATポートを提供します。複数のパブリックIPを割り当てることでさらにスケールできます（最大16個のIPアドレス）。

正解: C. C. Performance（パフォーマンス）

正解の根拠・詳細解説

Performanceルーティングは、クライアントから測定されたレイテンシが最小のエンドポイントにDNSで解決します。Azureが公開するレイテンシテーブルを使用してルーティングを決定します。

正解: B. B. Application GatewayはL7（アプリケーション層）で動作し、URLパスやホストヘッダーベースのルーティングが可能

正解の根拠・詳細解説

Application GatewayはHTTP/HTTPS（L7）に特化し、URLパスベースルーティング、ホストヘッダーベースルーティング、SSLオフロード、WAFなどの機能を提供します。Load BalancerはL4（TCP/UDP）で動作します。

正解: B. B. Health Probesとフェイルオーバー設定

正解の根拠・詳細解説

Origin Group内でHealth Probesを設定することで、バックエンドの死活監視が行われます。応答がない場合、Front DoorはそのオリジンをUnhealthyとマークし、健全なオリジンへトラフィックをフェイルオーバーします。

正解: D. D. 198.18.0.0/15

正解の根拠・詳細解説

AzureのVNetではRFC 1918プライベートアドレス（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）が使用できます。198.18.0.0/15はRFC 2544ベンチマークテスト用アドレスでAzureは使用不可です。また100.64.0.0/10（Carrier-grade NAT）も使用不可です。

正解: C. C. VMのNICまたはVMSS（スケールセット）が同じVNet内にあればよい

正解の根拠・詳細解説

Standard Load BalancerのバックエンドプールにはVNet内の任意のVM（NICベース）やVMSS（Virtual Machine Scale Sets）を追加できます。パブリックIPは不要で、同じリソースグループやサブネットの制約もありません。

正解: C. C. Standard V2 / WAF V2

正解の根拠・詳細解説

自動スケーリング（Autoscaling）はStandard V2とWAF V2のみで利用可能です。V1（Standard V1、WAF V1）は自動スケーリングをサポートせず、手動でスケールユニットを設定する必要があります。

正解: B. B. はい、Azureのデフォルトアウトバウンドルールでインターネットへの通信が許可される

正解の根拠・詳細解説

NSGがない場合、Azureのデフォルトセキュリティルールにより、VNet内からインターネットへのアウトバウンドが許可されます（サービスタグ「Internet」宛て）。ただしNSGを適用してアウトバウンドを明示的に制限することが推奨されます。

正解: A. A. Traffic ManagerはDNSレベルの負荷分散、Front DoorはAnycasting + HTTP/HTTPSのプロキシ

正解の根拠・詳細解説

Traffic ManagerはDNSベースの負荷分散でIPアドレスを返し、クライアントは直接エンドポイントに接続します。Front DoorはAnycasting（エニーキャスト）を使用し、HTTP/HTTPSトラフィックをプロキシとして処理し、キャッシュ・WAF・URLルーティングも提供します。

正解: B. B. Azureが予約済み（ネットワークアドレス、デフォルトゲートウェイ、DNS×2、将来用）と最後のブロードキャスト

正解の根拠・詳細解説

Azureの各サブネットでは5つのIPアドレスが予約されます。.0（ネットワークアドレス）、.1（デフォルトゲートウェイ）、.2（DNS）、.3（DNS/将来用）、最後のアドレス（ブロードキャスト）です。例えば/24サブネットは256-5=251個が使用可能です。

正解: B. B. デュアルスタック（Dual-Stack）

正解の根拠・詳細解説

Azure Standard Load BalancerはIPv4とIPv6のデュアルスタック（Dual-Stack）をサポートしており、フロントエンドにIPv4とIPv6それぞれのIPを設定することで、両方のプロトコルでトラフィックを受け付けられます。

正解: C. C. *.contoso.com

正解の根拠・詳細解説

Application Gateway V2のMulti-siteリスナーでは、*.contoso.comのようなワイルドカードホスト名を指定できます。これにより、異なるサブドメインを1つのApplication Gatewayで処理できます。

正解: C. C. アドレス空間を直接追加できる（ピアリングのない場合は既存リソースへの影響なし）

正解の根拠・詳細解説

VNetのアドレス空間は後からAzure Portal、CLI、PowerShellで直接追加できます。ただしVNetピアリングが設定されている場合はピアリングを一旦削除してアドレス空間を更新し再ピアリングする必要があります（ピアリング中のアドレス変更は不可）。

正解: B. B. Azure AD認証なしでVMへのブラウザ接続リンクを共有できる

正解の根拠・詳細解説

Shareable Link機能（Standardティア）では、Azure AD認証なしでブラウザからVMに接続できるURLを生成・共有できます。一時的なアクセス許可（例えばサポートへの提供）に使用しますが、使用後は削除が推奨されます。

正解: B. B. 同じVMで複数のロードバランサー フロントエンドIPを使用するシナリオ（SQL Server Always On等）

正解の根拠・詳細解説

フローティングIPを有効にすると、バックエンドVMに到達するパケットの宛先IPがフロントエンドIPのままになります。SQL Server Always On可用性グループなど、リスナーがバックエンドVMの設定でフロントエンドIPをバインドする必要がある場合に使用します。

正解: A. A. プローブのパス（URLパス）

正解の根拠・詳細解説

Front DoorのHealth Probeでは、プローブパス（例：/health）とプロトコル（HTTPまたはHTTPS）、間隔（Interval）を設定できます。送信元IPアドレスの指定やSSL証明書の個別設定はできません。また1つのオリジンのみの場合はHealth Probeを無効化することも可能です。

正解: C. C. VNet Peeringは1対1の関係であり、ハブ経由のトランジットは追加設定が必要

正解の根拠・詳細解説

VNet Peeringはデフォルトでトランジットをサポートしません。ハブVNet経由でスポーク間の通信を行うには、ハブVNetにVPN GatewayまたはAzure Firewallを配置し「ゲートウェイトランジット（Use Remote Gateway）」を有効にするか、Route Serverを活用する必要があります。

正解: C. C. アウトバウンドルールはExternal（Public）Load BalancerのSKUのみで設定可能

正解の根拠・詳細解説

アウトバウンドルール（Outbound Rules）はパブリック（外部）Azure Standard Load Balancerでのみ設定できます。Internal Load Balancerはプライベートネットワーク向けで、アウトバウンドルールの概念はありません。バックエンドVMのアウトバウンド接続はNAT GatewayまたはExternal LBで別途管理します。

正解: B. B. NAT Gatewayが優先される

正解の根拠・詳細解説

NAT GatewayとLoad Balancerのアウトバウンドルールが同じサブネットに設定されている場合、NAT Gatewayのアウトバウンド接続が優先されます。NAT Gatewayが同じサブネットのすべてのVMのアウトバウンドSNATを管理します。

正解: B. B. そのバックエンドへのトラフィック送信を停止し、他の健全なバックエンドへルーティングする

正解の根拠・詳細解説

Application GatewayはヘルスプローブでUnhealthyと判定されたバックエンドをバックエンドプールから一時的に除外し、Healthyなバックエンドにのみトラフィックをルーティングします。バックエンドが正常に戻ると自動的に再追加されます。 ドメイン3：ルーティングの設計・実装（問49〜72） 出題比率25〜30%。UDR・BGP・Azure Route Server・VNet Peering・NVA（ネットワーク仮想アプライアンス）など、ルーティング設計が中心です。本ドメインは最も出題比率が高く、重点的に学習しましょう。

正解: B. B. NVAのプライベートIPアドレス

正解の根拠・詳細解説

ネクストホップタイプが「VirtualAppliance」の場合、ネクストホップIPアドレスにはNVAのプライベートIPアドレスを指定します。また、NVAのNICでIPフォワーディングを有効にする必要があります。

正解: A. A. デフォルトルート（0.0.0.0/0）のネクストホップをAzure FirewallのプライベートIPに設定

正解の根拠・詳細解説

Azure FirewallはプライベートIPアドレスを持ちます。スポークサブネットのルートテーブルで0.0.0.0/0のネクストホップタイプを「VirtualAppliance」、ネクストホップIPをAzure FirewallのプライベートIPに設定することで、すべてのトラフィックをAzure Firewall経由にできます。

正解: B. B. VNet内でBGPを使用してNVAとルートを自動的に交換する

正解の根拠・詳細解説

Azure Route Serverは、VNet内のNVAとBGPピアリングを確立し、NVAが学習したルートをVNet全体に自動伝播します。手動でUDRを更新することなく、NVAによる動的ルーティングが実現します。Route ServerのASNは65515です。

正解: B. B. ハブVNetのVPN GatewayをスポークVNetからも使用できるようにする

正解の根拠・詳細解説

ゲートウェイトランジットを有効にすると、スポークVNetがハブVNetのVPN GatewayやExpressRoute Gatewayを使用してオンプレミスと通信できます。スポーク側では「Use Remote Gateway（リモートゲートウェイを使用）」を有効にします。

正解: A. A. VMをNVAとして使用し、他のVMのトラフィックを転送する場合

正解の根拠・詳細解説

IPフォワーディングを有効にすると、そのNICに届いたパケットで宛先IPが自分のIPでないものも破棄せずに転送します。NVAとして機能するVMは必ずこれを有効にする必要があります。

正解: A. A. VNet Peeringは暗号化されないが、VPN Gatewayは暗号化される

正解の根拠・詳細解説

VNet PeeringはAzureのバックボーンネットワーク上でプライベートかつ高速に接続しますが暗号化はありません。VPN GatewayはIPsec暗号化を使用します。VNet Peeringは現在グローバルリージョン間（Global VNet Peering）もサポートします。

正解: B. B. トラフィックがドロップされる（Blackhole）

正解の根拠・詳細解説

ネクストホップタイプ「None」はBlackholeルートとして機能し、そのプレフィックスに一致するトラフィックを破棄します。特定の宛先へのトラフィックを意図的にブロックする場合に使用します。

正解: A. A. Route ServerのAllowBranchToBranchTrafficをtrueに設定する

正解の根拠・詳細解説

Route ServerのBranch-to-Branch設定を有効にすると、Route ServerはBGPピアのNVAから受信したルートを、VPN GatewayやExpressRoute Gatewayにも伝播し、ブランチ拠点間の通信を実現します。

正解: B. B. 各サブネットに個別にルートテーブルを関連付ける

正解の根拠・詳細解説

AzureのUDRはVNetではなく、個々のサブネットに関連付けます（一対一の関係）。同じルートテーブルを複数のサブネットに関連付けることは可能ですが、VNet自体への関連付けはできません。

正解: B. B. アクティブ/スタンバイ構成のNVA + 内部Load Balancerの組み合わせ

正解の根拠・詳細解説

NVAの高可用性の推奨パターンは、2台のNVA（アクティブ/スタンバイ）を内部Azure Standard Load Balancerの背後に配置する構成です。LBのヘルスプローブで生存確認を行い、フェイルオーバーを自動化します。

正解: A. A. ピアリングを削除せずにアドレス空間を直接追加できる

正解の根拠・詳細解説

現在のAzureでは、既存のVNetピアリングを削除せずにVNetのアドレス空間を追加・更新できます（以前は削除が必要でしたが機能改善されました）。ただし変更後にピアリングの同期が必要な場合があります。

正解: B. B. すべてのインターネット宛てトラフィックをAzure Firewallに強制的に転送する

正解の根拠・詳細解説

Virtual WAN HubでのRouting Intentポリシーを設定すると、すべてのインターネット宛てまたはプライベート宛てトラフィックをSecured HubのAzure Firewall（またはサードパーティNVA）経由に強制できます。

正解: B. B. 各スポークのルートテーブルに、他スポーク宛てのルートをネクストホップ=Firewall IPで設定

正解の根拠・詳細解説

ハブ＆スポーク構成でAzure Firewallによるスポーク間検査を行うには、スポークAのサブネットのルートテーブルにスポークBの宛先アドレスをネクストホップ=Azure FirewallのプライベートIPで設定し、逆向きも同様にします。

正解: B. B. 65515

正解の根拠・詳細解説

Azure Route Serverは固定のASN「65515」を使用します。NVAのBGP設定でピアASNとして65515を指定し、Route ServerのピアIPに接続します（Route Serverは各インスタンスに2つのIPアドレスを持ちます）。

正解: B. B. ピアリングされたVNetの外部から転送されたトラフィックをピアリング経由で受け入れる場合

正解の根拠・詳細解説

「転送されたトラフィックを許可」を有効にしないと、NVAまたはVPN Gateway経由で転送されてきたパケット（送信元がピアVNet以外）がブロックされます。ハブ＆スポーク構成でハブのNVA経由のスポーク間通信を実現するために必要です。

正解: C. C. 65515（AzureのRoute Server/VPN GW予約ASN）

正解の根拠・詳細解説

Azureが予約するASN（65515=Route Server/VPN GW、65519=ExpressRoute、65520=内部用など）はオンプレミス側に使用できません。オンプレミス側にはプライベートASN（64512-65534）または組織に割り当てられたパブリックASNを使用し、Azureの予約ASNは避けます。

正解: A. A. UDR（ユーザー定義ルート）が最優先、次にBGPルート、次にAzureシステムデフォルトルート

正解の根拠・詳細解説

Azureのルート選択優先順位は①UDR（ユーザー定義ルート）、②BGPルート（VPN GatewayまたはRoute Server経由）、③Azureシステムデフォルトルートの順番です。同一のプレフィックスで競合する場合、この優先順位が適用されます。

正解: B. B. 「AzureFirewallSubnet」、/26以上

正解の根拠・詳細解説

Azure Firewallのデプロイには「AzureFirewallSubnet」という名前の、/26以上のサブネット（64アドレス以上）が必要です。この名前は必須で変更できません。ゾーン冗長構成では/25以上が推奨されます。

正解: A. A. 「RouteServerSubnet」、/27以上

正解の根拠・詳細解説

Azure Route Serverは「RouteServerSubnet」という名前の/27以上（32アドレス）のサブネットに展開します。GatewaySubnetはVPN/ExpressRoute Gateway用で、Route Serverとは別のサブネットが必要です。

正解: B. B. Use Remote Gateway

正解の根拠・詳細解説

スポーク側のピアリング設定で「Use Remote Gateway（リモートゲートウェイを使用）」を有効にします。ハブ側では「Allow Gateway Transit（ゲートウェイトランジットを許可）」を有効にします（両方の設定が必要です）。

正解: B. B. ExpressRouteのBGPローカルプリファレンス値をVPNより高く設定する

正解の根拠・詳細解説

ExpressRouteを優先させるために、ExpressRouteのBGPローカルプリファレンス値をVPNより高く設定します（高い値が優先）。ExpressRoute失効時はそのルートが消え、VPN経由のルートに自動フェイルオーバーされます。

正解: B. B. Internet

正解の根拠・詳細解説

Azureシステムデフォルトルートでは0.0.0.0/0（デフォルトルート）のネクストホップは「Internet」です。VNet内のVMはデフォルトでインターネットへのアウトバウンドが許可されています。UDRでこのルートを上書きしてAzure Firewall等に転送できます。

正解: A. A. 同一ユーザーのリクエストを常に同じOriginにルーティングする

正解の根拠・詳細解説

セッションアフィニティを有効にすると、同一クライアントからのリクエストを同じOriginにルーティングするようCookieベースのスティッキーセッションが設定されます。ステートフルなWebアプリでセッションが失われないようにする際に使用します。

正解: B. B. オンプレミスネットワーク宛ての静的ルートをVPN GatewayまたはExpressRoute Gatewayに向ける

正解の根拠・詳細解説

ネクストホップタイプ「VirtualNetworkGateway」は、オンプレミスへの静的ルートを手動追加する場合に使用します。BGPを使用している場合はオンプレミスルートが動的に学習されるため手動設定は不要です。 ドメイン4：ネットワークのセキュリティ保護と監視（問73〜96） 出題比率15〜20%。Azure Firewall・NSG・ASG・DDoS Protection・Azure Network Watcherなど、ネットワークのセキュリティと可観測性が中心です。

正解: B. B. TLS検査（TLS Inspection）

正解の根拠・詳細解説

Azure Firewall PremiumはTLSインスペクション（暗号化されたトラフィックの検査）とIDPS（侵入検知・防止システム）をサポートします。ネットワークルール（FQDN）、FQDNタグ、DNSプロキシはStandardとPremiumの両方で利用可能です。

正解: B. B. 優先度番号が最も低い（例：100）ルールが最優先で評価される

正解の根拠・詳細解説

NSGルールは優先度番号（Priority）の低い順（100から始まり4096まで）に評価されます。最初に一致したルールが適用され、以降のルールは評価されません。デフォルトの「DenyAll」ルールは優先度65500として最後に評価されます。

正解: B. B. Infrastructure ProtectionはすべてのAzureリソースに自動適用され追加料金なし

正解の根拠・詳細解説

Azure DDoS Infrastructure Protection（以前のBasic）は追加料金なしですべてのAzureリソースに自動適用されます。Network Protection（有料）はSLA付き保護、詳細メトリクス、コスト保護、迅速なDRT（対応チーム）サポートなど高度な機能を提供します。

正解: A. A. NSGルールにマッチしたトラフィックの送信元・宛先IPとポート

正解の根拠・詳細解説

NSGフローログには送信元/宛先IP、ポート、プロトコル、方向（インバウンド/アウトバウンド）、および許可(A)/拒否(D)の情報が含まれます。ペイロード（パケット内容）やHTTPヘッダーなどの深いパケット検査情報は含まれません。

正解: B. B. VMに「AzureNetworkWatcherExtension」VMエクステンションがインストールされていること

正解の根拠・詳細解説

Network WatcherのPacket Capture機能を使用するには、対象VMに「AzureNetworkWatcherExtension」（Azure Network Watcher Agent）VMエクステンションがインストールされている必要があります。パブリックIPは不要で、NSGの変更も必要ありません。

正解: B. B. 複数のAzure FirewallポリシーをVNetとVirtual WANにわたって一元管理する

正解の根拠・詳細解説

Azure Firewall Managerは、複数のAzure Firewallデプロイにわたるファイアウォールポリシー（グローバルポリシー、ローカルポリシー）を階層的に管理します。Virtual WANのSecured Hubも含めて一元管理できます。

正解: B. B. VMをグループ化して、NSGルールでIP範囲の代わりにASGを参照できるようにする

正解の根拠・詳細解説

ASGはVMのNICをグループ化し、NSGのソース/宛先にIPアドレスではなくASG名を指定できます。これにより、IPが変わっても個別のNSGルール更新が不要になり、管理が容易になります。

正解: B. B. 特定のIP/ポートのトラフィックがNSGルールで許可または拒否されるか

正解の根拠・詳細解説

IP Flow Checkでは、送信元/宛先IP、ポート、プロトコルを指定してテストすると、そのVM上のNSGルールがトラフィックを許可するか拒否するかを即座に確認できます。実際にトラフィックを送信せず、NSGルールの評価結果を返します。

正解: B. B. FQDNベースのネットワークルールが正確に機能するようにDNSの一貫性を確保するため

正解の根拠・詳細解説

Azure FirewallのDNSプロキシを有効にすると、ファイアウォールがDNSリゾルバーとして機能し、FQDNベースのルールに使われるIPアドレスがDNSプロキシと同じサーバーで解決されます。これにより、FQDNルールのIP不一致を防げます。

正解: B. B. AzureおよびオンプレミスのエンドポイントからのE2E（エンドツーエンド）接続を継続的に監視する

正解の根拠・詳細解説

Connection Monitorは、Azure VM、オンプレミスサーバー、インターネットエンドポイントなどのソースから宛先への接続性（レイテンシ、パケットロス、到達可能性）を継続的に監視します。障害発生前後のトレンドも記録できます。

正解: B. B. そのVNet内のすべてのIPアドレスとピアリング済みVNetのIPを含む

正解の根拠・詳細解説

「VirtualNetwork」サービスタグは、そのVNetのアドレス空間、すべてのピアリングされたVNetのアドレス空間、接続されたオンプレミス拠点のアドレス空間、およびVPN Gateway/ExpressRoute Gatewayから学習したアドレスを含みます。

正解: A. A. VNet内のすべてのパブリックIPアドレス

正解の根拠・詳細解説

Azure DDoS Network Protectionプランを仮想ネットワーク（VNet）に関連付けると、そのVNet内でデプロイされているすべてのパブリックIPアドレスが保護対象になります。DDoS IP Protectionは個々のパブリックIPに適用するタイプです。

正解: A. A. パケットが次に転送される宛先のIPアドレスとルートの種類

正解の根拠・詳細解説

Next Hopは、指定した送信元VMから宛先IPへのパケットが次にどこに転送されるか（Next Hop Type：Internet、VirtualAppliance等）と、適用されているルート情報を表示します。ルーティングのデバッグに使用します。

正解: B. B. DNATルール → ネットワークルール → アプリケーションルール

正解の根拠・詳細解説

Azure Firewallのルール評価順序は①DNATルール（インバウンドNAT）→②ネットワークルール（L3/L4）→③アプリケーションルール（L7・FQDN）です。各カテゴリ内では優先度順に評価されます。

正解: A. A. AlertモードはMicrosoftの脅威インテリジェンスリストにマッチしたトラフィックをログに記録し、Denyモードはブロックする

正解の根拠・詳細解説

脅威インテリジェンスがAlertモードの場合、Microsoftの既知悪意あるIPリストへのトラフィックをログに記録しますがブロックしません。Denyモードではブロックと同時にアラートをログに記録します。StandardとPremiumの両方で使用できます。

正解: A. A. NSGフローログがバージョン2で有効化されていること

正解の根拠・詳細解説

Traffic Analyticsはバージョン2のNSGフローログが必要で、データはLog Analytics Workspaceに送信されます。SentinelやActionGroupは必須ではありません。

正解: B. B. Azure Load Balancerのヘルスプローブ（168.63.129.16からのプローブ）を許可するため

正解の根拠・詳細解説

Azure Load BalancerのヘルスプローブはIP 168.63.129.16（サービスタグ：AzureLoadBalancer）からVMへ送信されます。このトラフィックをNSGでブロックすると、VMがUnhealthyと判定されトラフィックが転送されなくなります。

正解: B. B. 親ポリシーと子ポリシー（継承）による階層的なルール管理ができる

正解の根拠・詳細解説

Azure Firewall Policyは親ポリシーを定義し、子ポリシーが親の設定を継承しながら追加ルールを定義する階層管理が可能です。中央のセキュリティチームが親ポリシーでベースラインを管理し、各チームが子ポリシーで追加設定できます。

正解: B. B. Network Watcher Connection Monitor

正解の根拠・詳細解説

Network Watcher Connection Monitorは、複数のソースから複数の宛先への接続性（RTT、パケットロス、ルートトレース）を定期的に監視します。障害のアラートもAzure Monitorに統合できます。

正解: B. B. インターネットからのインバウンドトラフィックの宛先IPをバックエンドVMのプライベートIPに変換する

正解の根拠・詳細解説

DNATルールはAzure FirewallのパブリックIPアドレスへの着信トラフィックを、バックエンドの仮想マシンのプライベートIPに変換（宛先変換）して転送します。インバウンドの公開サービス（SSH、RDPなど）に使用します。

正解: A. A. VNet Flow LogsはNSGに依存せず、VNet全体のフローを記録できる

正解の根拠・詳細解説

VNet Flow Logs（比較的新しい機能）はNSGに関係なくVNetレベルでフローを記録します。これによりNSGが設定されていないリソースのフローも監視でき、単一のフローログで仮想ネットワーク全体をカバーできます。

正解: D. D. Standard固有の機能はなく、PremiumはStandardのスーパーセット

正解の根拠・詳細解説

Azure Firewall Premiumは、StandardのすべてのL3-L7フィルタリング機能（FQDNフィルタリング、アプリルール、ネットワークルール、DNSプロキシ、SNAT/DNAT、Threat Intelligence等）に加えてTLS InspectionとIDPSを追加します。Standardのみの固有機能はありません。

正解: A. A. UDRは適用できるが、NSGは適用できない

正解の根拠・詳細解説

AzureFirewallSubnetにはUDR（ルートテーブル）を関連付けることが可能です（インターネットへのデフォルトルートの設定など）。ただしNSGはAzureFirewallSubnetに適用できません（Firewallが独自のステートフルフィルタリングを行うため）。

正解: B. B. 特定のVMのNICとサブネットに適用されているすべてのNSGルールの合計（効力のある）ルール

正解の根拠・詳細解説

Effective Security Rulesは、選択したVMのNICとサブネットの両方に関連付けられたNSGのルールを統合し、「実際に適用されているルール一覧」を表示します。NICのNSGとサブネットのNSGが両方ある場合、どちらの評価で許可/拒否されるかを確認できます。 ドメイン5：Azureサービスへのプライベートアクセスの設計・実装（問97〜120） 出題比率10〜15%。Private Link・Private Endpoint・Service Endpoint・App Service VNet統合・Private DNS Resolverなど、PaaSサービスへのセキュアなアクセス方法が中心です。

正解: A. A. AzureサービスへのアクセスにパブリックIPが不要になり、VNet内からプライベートIPで接続できる

正解の根拠・詳細解説

Private EndpointはAzure PaaSサービス（Storage、SQL等）にVNet内のプライベートIPアドレスを割り当て、インターネットを経由せずプライベートネットワーク経由でアクセスできるようにします。パブリックエンドポイントを無効化してセキュリティを強化できます。

正解: A. A. プライベートエンドポイント経由で自社のサービス（内部Load Balancer後段）を他のAzureテナントに安全に提供する

正解の根拠・詳細解説

Azure Private Linkサービスを使用すると、自社の内部Load Balancer（Standard SKU）の後ろにあるサービスを他のAzure顧客やテナントにPrivate Endpoint経由で安全に提供できます。SaaSプロバイダーが顧客にプライベート接続を提供するシナリオに使用します。

正解: B. B. Private EndpointのプライベートIPへのDNS名前解決をオンプレミスからも正しく行えるように設定する

正解の根拠・詳細解説

Private EndpointではストレージアカウントのFQDN（例：storageaccount.blob.core.windows.net）がPrivate EndpointのプライベートIPに解決される必要があります。オンプレミスのDNSサーバーからAzure Private DNS Resolverを経由してこのAレコードを解決できるように設定します。

正解: A. A. Service EndpointはVNetのIDをサービスに対して拡張しパブリックIPは変わらない。Private EndpointはサービスにVNet内のプライベートIPを割り当てる

正解の根拠・詳細解説

Service Endpointはサービスへのルートをバックボーン経由に最適化し、VNet IDを拡張します（サービスのパブリックIPへのアクセスは維持）。Private EndpointはサービスにVNet内プライベートIPを付与し、パブリックアクセスを完全に切り離せます。Private Endpointの方がよりセキュアです。

正解: B. B. SQLサーバーのFQDN（xxx.database.windows.net）がPrivate EndpointのプライベートIPに解決されるようにするため

正解の根拠・詳細解説

Private Endpointを作成すると、元のFQDN（xxx.database.windows.net）はCNAMEでprivatelink.database.windows.netゾーンのAレコードに解決されます。このプライベートDNSゾーンにAレコードを追加してPrivate EndpointのプライベートIPを返すようにします。

正解: A. A. リージョンVNet統合は同一リージョンのVNetのみ対応しVPN Gateway不要

正解の根拠・詳細解説

リージョンVNet統合は同一リージョンのVNetにVPN Gatewayなしで統合でき、アウトバウンド接続をVNet経由にします（インバウンドはPrivate Endpointが別途必要）。ゲートウェイ必須VNet統合は別リージョンのVNetやクラシックVNetに対応しますがVPN Gatewayが必要です。

正解: A. A. デフォルトではPrivate Endpointサブネットのネットワークポリシーが無効化されており、NSGがPrivate Endpointへのトラフィックに適用されない

正解の根拠・詳細解説

デフォルトでPrivate EndpointサブネットのPrivate Endpoint Network Policiesは無効（Disabled）で、NSGがPrivate Endpointトラフィックに適用されません。サブネットのPrivateEndpointNetworkPoliciesをEnabledに設定することでNSGを適用できます。

正解: B. B. 「選択されたネットワーク」に切り替え、Service Endpointを有効化したVNet/サブネットを追加する

正解の根拠・詳細解説

Service EndpointでストレージアカウントへのアクセスをVNetに制限するには、ストレージアカウントのファイアウォールを「選択されたネットワーク」に設定し、Service Endpointを有効化したVNet・サブネットを明示的に許可します。

正解: B. B. Azure VNetからオンプレミスや外部DNSサーバーへDNSクエリを転送する

正解の根拠・詳細解説

Azure Private DNS Resolverの「アウトバウンドエンドポイント」は、VNet内からオンプレミスや他の外部DNSサーバーへDNSクエリを転送するために使用します（Azure→外部）。「インバウンドエンドポイント」は外部からAzureへのクエリ受付に使用します（外部→Azure）。

正解: B. B. VNet → Azureバックボーンネットワーク（Microsoftのプライベートネットワーク）→ Storage

正解の根拠・詳細解説

Private Endpointを使用すると、トラフィックはインターネットを通過せず、AzureのバックボーンMicrosoftネットワーク内でVNetからストレージに到達します。セキュリティが強化され、レイテンシも改善されます。ExpressRouteは必須ではありません。

正解: B. B. KubernetesのAPIサーバーエンドポイントをVNet内プライベートIPのみで公開し、インターネットから非公開にする

正解の根拠・詳細解説

AKSのPrivate Clusterを有効にすると、Kubernetes APIサーバーはパブリックエンドポイントを持たず、VNet内のプライベートIPのみでアクセス可能になります。kubectl等の接続もVPN/ExpressRoute経由が必要になります。

正解: B. B. Front Doorからオリジンサーバーへのトラフィックをインターネット経由ではなくMicrosoftバックボーン経由にする

正解の根拠・詳細解説

Front DoorのPrivate Link（Private Origin）を使用することで、Front Doorからバックエンドオリジン（App Service、Internal Load Balancer等）へのトラフィックをMicrosoftのプライベートネットワーク経由で送り、パブリックインターネットを回避できます。

正解: B. B. ハブVNetに集中型プライベートDNSゾーン（privatelink.*.）を作成し、スポークVNetからクエリを転送する構成

正解の根拠・詳細解説

推奨アーキテクチャは、ハブVNetにすべてのPrivateLink用プライベートDNSゾーンを集中管理し、スポークVNetからDNSクエリをハブ経由で転送する「Centralized DNS」パターンです。これにより管理が一元化されゾーンの重複や設定ミスを防げます。

正解: B. B. Private Endpointが優先される（より具体的なルートのため）

正解の根拠・詳細解説

Private Endpointが設定されているStorageアカウントへVNet内から接続する場合、Private Endpointへのルート（/32プレフィックス）がService Endpointルートより具体的なため、Longest Prefix MatchによりPrivate Endpoint経由のアクセスが優先されます。

正解: C. C. 100

正解の根拠・詳細解説

自動登録（Auto Registration）は1つのプライベートDNSゾーンに最大100のVNetで有効にできます。自動登録なしのリンクは最大1,000VNetです。

正解: A. A. AKS VNetにSQL DatabaseのPrivate Endpointを作成する

正解の根拠・詳細解説

PodからPrivate Endpoint経由でSQL DBに接続するには、①AKSのVNetに対してSQL DBのPrivate Endpointを作成し、②privatelink.database.windows.netのプライベートDNSゾーンをAKS VNetにリンクしてDNS解決できるようにします。

正解: B. B. VNet統合でDNSはVNetのDNS設定（カスタムDNSまたはAzure提供のDNS）を使用するため、VNetのDNS設定を適切に構成する

正解の根拠・詳細解説

App ServiceのVNet統合では、アウトバウンド通信がVNet経由になり、DNS名前解決もVNetのDNS設定を使用します。Private DNS ZoneのVNetリンクがあれば、App ServiceはStorage BlobのプライベートIPをDNSで解決できます。

正解: A. A. プライベートリンク経由でサービスにアクセスするクライアントのIPを変換して、バックエンドのIPアドレス衝突を防ぐ

正解の根拠・詳細解説

Private Link ServiceのNATにより、異なるテナントの顧客VNetがオーバーラップするIPアドレス空間を持っていても、NAT IPによってバックエンドへのトラフィックのソースIPを変換（SNAT）してアドレス衝突を回避します。

正解: B. B. 接続できるが、Microsoftバックボーン経由ではなくインターネット経由になる可能性がある

正解の根拠・詳細解説

Internal Load BalancerはプライベートフロントエンドIPのみを持つため、通常インターネットから直接アクセスできません。Public IP（パブリックエンドポイント）を使用するか、Private Linkを設定してFront DoorからPrivate Endpoint経由で接続する必要があります。

正解: A. A. 特定のAzureストレージアカウントへのService Endpoint経由のアクセスのみを許可し、他のストレージアカウントへのトラフィックを制限する

正解の根拠・詳細解説

Service Endpoint Policyを使用すると、Service Endpoint経由でアクセスできるAzureリソース（例：特定のストレージアカウントのみ）を詳細に制限できます。これにより、承認されていないリソース（他テナントのストレージ等）へのデータ漏洩を防止できます。

正解: B. B. SQL MIはVNet内の専用サブネットに直接デプロイされ（VNet-native）、Private Endpointは不要

正解の根拠・詳細解説

Azure SQL Managed Instanceは、VNet内の専用サブネット（委任サブネット）に直接デプロイされ、プライベートIPが割り当てられます（VNet-native deployment）。Private EndpointやService Endpointは必要なく、デプロイ自体がVNetに統合されています。

正解: B. B. サービスのあるサブスクリプションとPrivate EndpointのVNetが異なる場合でも使用できるが、プライベートDNSゾーンは各VNetに設定が必要

正解の根拠・詳細解説

Private Endpointはデプロイ先のVNetがサービスと異なるサブスクリプション・テナントであっても作成できます（マニュアル承認が必要な場合も）。ただしプライベートDNS名前解決は各VNetごとに設定が必要です。

正解: B. B. AzureサービスへのトラフィックがMicrosoftバックボーン経由になり、送信元IPがVNetのプライベートIPに変わる

正解の根拠・詳細解説

Service Endpointを有効にすると、対象AzureサービスへのトラフィックはMicrosoftのバックボーンを通り、VMの送信元IPがプライベートIPアドレスに変わります（パブリックIP経由のインターネットルートではなくなる）。これによりAzureサービス側でVNetのプライベートIPによるアクセス制御が可能になります。

正解: B. B. 別のAzureテナントまたは別のサブスクリプションのリソースへのPrivate Endpoint接続（承認者がリソースのオーナー）

正解の根拠・詳細解説

Private Endpoint の承認方式は、接続を作成する側が対象リソースに対して接続を承認できる権限を持っているかどうかで決まります。同一テナント・同一サブスクリプションでリソースへの書き込み権限を併せ持つ場合は自動承認となり、作成と同時に接続が Approved 状態になります。一方、別テナントや別サブスクリプションにあるリソースへ接続する場合や、Private Link Service をエイリアス経由で他組織に公開している場合は、接続要求が Pending 状態で登録され、リソース側の所有者が Azure ポータルや CLI で明示的に承認するまでトラフィックは流れません。これは、リソース所有者の意図しない私設の接続経路が勝手に張られることを防ぐためのガードレールであり、承認・拒否・切断という状態遷移を所有者が管理できる仕組みになっています。なお選択肢Dの静的 IP の割り当ては承認方式とは無関係で、Private Endpoint のネットワークインターフェイスに対する IP 構成として別途設定する項目です。