第1回 問題集（全般）

正解: B. Azure App Service

📌 正解の根拠・詳細解説

Azure App Serviceは、OSやWebサーバーの管理をMicrosoftが自動で行い、ユーザーはアプリケーションのコードのみをデプロイする典型的な PaaS サービスです。Azure Virtual MachinesはIaaS、Office 365はSaaSに分類されます。

正解: B. 同じ地理的エリア内にある300マイル以上離れた2つのリージョンのペア

📌 正解の根拠・詳細解説

Azureのリージョンペアとは、災害復旧(DR)のために同じ地理的エリア内で通常300マイル以上離れた2つのリージョンがペア設定されている仕組みです。OS更新なども同時にダウンしないよう順次実行されます。

正解: A. Azure Functions

📌 正解の根拠・詳細解説

Azure Functions はAzureが提供するサーバーレスイベント駆動型コンピューティングサービスです。インフラを意識することなく、HTTPリクエストやタイマーなどのイベントに応じてコードを実行できます。

正解: A. データとアクセス権の管理

📌 正解の根拠・詳細解説

IaaS/PaaS/SaaSのどのクラウド利用モデルにおいても、「データとそのデータへのアクセス権管理（IAM）」は一貫してユーザー（カスタマー）側の責任範囲となります。

正解: A. Azure Total Cost of Ownership (TCO) Calculator

📌 正解の根拠・詳細解説

TCO (Total Cost of Ownership) Calculatorは、既存のオンプレミス環境のコストを入力することで、Azureに移行した場合の削減見込み額を比較・試算できるツールです。Pricing CalculatorはAzureサービス単体の見積もり用です。

正解: C. 利用した分だけを継続的な経費として都度支払うため

📌 正解の根拠・詳細解説

OpEx(Operational Expenditure/運用支出)は、電気代や家賃のように「使った分を都度経費として払う」支出です。クラウドの従量課金はまさにこれに該当し、初期投資なしで始められます。一方、サーバーを購入して減価償却したり、契約時に数年分を一括前払いしたりする形はCapEx(資本支出)寄りの考え方であり、従量課金の説明にはあてはまりません。

正解: A. エラスティシティ(弾力性)

📌 正解の根拠・詳細解説

エラスティシティ(弾力性)は、需要の増減に合わせてリソースを自動的に増減させる能力を指します。必要なときだけリソースを確保するため、無駄なコストを抑えられます。災害復旧は障害後の復旧、耐障害性は障害が起きても動き続ける能力、ガバナンスはルールによる統制を指し、いずれも需要変動への自動対応とは異なります。

正解: C. スケールアップ(垂直スケーリング)

📌 正解の根拠・詳細解説

1台のマシンそのものを強力なスペックに載せ替えるのがスケールアップ(垂直スケーリング)です。これに対し、同じスペックのマシンを台数を増やして処理を分担させるのがスケールアウト(水平スケーリング)です。ロードバランシングは複数台への振り分け、ジオレプリケーションは別リージョンへのデータ複製を指します。

正解: D. アプリケーションのダウンタイムを最小化し、継続的に利用できる状態を保つこと

📌 正解の根拠・詳細解説

高可用性とは、障害やメンテナンスが発生してもサービスが停止しないよう冗長化し、ダウンタイムを最小限に抑える設計思想です。Azureでは可用性ゾーンや可用性セットを使って実現します。暗号化はセキュリティ、料金の固定はコスト管理の話であり、可用性とは別の観点です。

正解: C. ディザスターリカバリー(災害復旧)

📌 正解の根拠・詳細解説

ディザスターリカバリー(DR)は、大規模障害や災害でシステムが失われた場合に、別の場所で業務を再開するための計画と仕組みです。Azureではリージョンペアへのレプリケーションや Azure Site Recovery が代表的な手段です。他の選択肢は性能拡張や実行基盤に関する用語で、災害からの復旧を指すものではありません。

正解: C. アジリティ(俊敏性)

📌 正解の根拠・詳細解説

アジリティ(俊敏性)とは、必要なリソースを短時間で用意・変更・破棄できる能力です。ハードウェアの調達に数週間かかるオンプレミスと違い、クラウドなら数分で環境が整うため、試行錯誤のスピードが上がります。コンプライアンスは法令順守、データ主権はデータの所在国に関する概念です。

正解: A. カスタマー(ユーザー)の責任

📌 正解の根拠・詳細解説

IaaSでは、Microsoftが責任を持つのは物理ホスト・ネットワーク・ハイパーバイザーまでです。仮想マシンの中のゲストOSやミドルウェア、アプリケーションの更新はカスタマーの責任範囲になります。PaaSやSaaSではOSの管理はMicrosoft側に移りますが、IaaSでは利用者が担当します。

正解: A. プライベートクラウド

📌 正解の根拠・詳細解説

プライベートクラウドは、単一の組織が専用で使用するクラウド環境で、ハードウェアの所有と運用責任は基本的に自社にあります。厳しい規制やデータ配置要件がある場合に選ばれます。パブリッククラウドは Microsoft などの事業者が所有する共有環境、ハイブリッドは両者の組み合わせ、マルチクラウドは複数事業者の併用です。

正解: D. ハイブリッドクラウド

📌 正解の根拠・詳細解説

オンプレミス(プライベート)とパブリッククラウドを組み合わせて1つのシステムとして運用する形態がハイブリッドクラウドです。規制対象データは手元に残しつつ、拡張性が必要な部分だけクラウドを使う典型例です。片方だけを使う構成ではこの要件を満たせません。

正解: B. マルチクラウド

📌 正解の根拠・詳細解説

マルチクラウドとは、複数のパブリッククラウド事業者を同時に利用する方式です。可用性の向上やロックイン回避が狙いですが、運用が複雑になるデメリットもあります。ハイブリッドクラウドは「オンプレミス+パブリッククラウド」の組み合わせを指す点が異なります。

正解: A. Azure Arc

📌 正解の根拠・詳細解説

Azure Arc は、Azure の外にあるサーバーやKubernetesクラスターを Azure のリソースとして登録し、Azure Policy やタグ、監視を横断的に適用できるハイブリッド管理サービスです。Azure Migrate は移行評価、Azure Bastion はブラウザ経由の安全なVM接続、Azure Batch は大規模バッチ処理のためのサービスです。

正解: D. Azure VMware Solution

📌 正解の根拠・詳細解説

Azure VMware Solution は、Azure のデータセンター内でVMware環境をそのまま動かせるサービスで、既存のvSphereベースのワークロードを変更なく移行(リフト&シフト)できます。AKSやACIはコンテナ実行基盤、Logic Apps はワークフロー自動化のサービスであり、VMware環境の移行先ではありません。

正解: C. 自社データセンター用のサーバー機器とストレージ装置の購入

📌 正解の根拠・詳細解説

CapEx(資本支出)は、サーバーや建物のように長期間使う資産を購入するための一時的な大きな支出です。購入後は減価償却の対象になります。他の選択肢はいずれも「使った分・契約している間だけ払う」形の支出であり、OpEx(運用支出)に分類されます。

正解: B. 利用量にかかわらず毎月必ず同じ金額が請求される

📌 正解の根拠・詳細解説

消費ベースモデルの本質は「使った分だけ払う」ことなので、利用量が変われば請求額も変動します。したがって「利用量にかかわらず毎月同額」という説明は誤りです。リソースを削除・停止解放すればその分の課金は止まり、無駄な支出を抑えられる点が大きな利点です。

正解: D. スケーラビリティはリソースを増減できる能力、エラスティシティは需要に応じて自動的に増減させる能力

📌 正解の根拠・詳細解説

スケーラビリティは「必要に応じてリソース量を増やしたり減らしたりできる」という能力そのものを指します。エラスティシティはさらに一歩進んで「需要の変動に合わせて自動的に、素早く増減する」性質を指します。両者は関連しますが同義ではなく、対象がストレージやネットワークに限定されることもありません。

正解: A. 複数のリージョンや可用性ゾーンに分散配置して冗長性を持たせる

📌 正解の根拠・詳細解説

信頼性は、障害が起きても復旧・継続できる能力を指し、リソースを地理的・物理的に分散させる冗長化が基本です。1台に集約すると単一障害点となり、その1台が壊れた瞬間に全体が停止します。HTTPS化はセキュリティ向上策であり、信頼性を直接高めるものではありません。

正解: A. パフォーマンスの予測可能性とコストの予測可能性

📌 正解の根拠・詳細解説

AZ-900の学習範囲では、予測可能性は「パフォーマンスの予測可能性(自動スケールや負荷分散で一定の応答性能を維持)」と「コストの予測可能性(Pricing Calculator や Cost Management で支出を見通す)」の2つに分けて説明されます。他の組み合わせはクラウド特性の分類として使われません。

正解: A. 組織の基準や法令に沿ってリソースの構成・利用ルールを定め、統制すること

📌 正解の根拠・詳細解説

ガバナンスとは、誰が何をしてよいか、どのような構成を許可するかといったルールを定めて統制する取り組みです。Azure では Azure Policy、RBAC、タグ、管理グループなどが具体的な実現手段になります。冷却や帯域拡張はインフラ運用の話であり、ガバナンスの定義には該当しません。

正解: C. サーバーレスであり、実行時間や実行回数に応じて課金される

📌 正解の根拠・詳細解説

サーバーレスとは「利用者がサーバーを意識・管理しなくてよい」という意味で、実際にはクラウド事業者が管理するサーバー上で動いています。課金は実行時間や実行回数などの消費量ベースになるのが一般的です。OSのパッチ適用は事業者側が行うため、利用者の作業は不要です。

正解: D. IaaS

📌 正解の根拠・詳細解説

IaaS は仮想マシンやネットワークなどの「土台」だけが提供されるため、OS・ミドルウェア・アプリ・データのすべてを利用者が管理します。PaaS では OS やランタイムの管理が事業者に移り、SaaS ではアプリケーションまで提供されるため利用者の管理範囲は最も狭くなります。

正解: B. Microsoft 365(Outlook on the Web などのアプリ利用)

📌 正解の根拠・詳細解説

SaaS は、完成したアプリケーションをインターネット経由でそのまま利用する形態で、Microsoft 365 はその代表例です。Azure Virtual Network や Managed Disks はインフラ部品(IaaS寄り)、Azure Kubernetes Service はコンテナ実行のためのプラットフォーム(PaaS寄り)に位置づけられます。

正解: B. データセンターの物理的セキュリティ

📌 正解の根拠・詳細解説

物理データセンター、物理ネットワーク、物理ホストのセキュリティは、どのサービスモデルでも常にクラウド事業者(Microsoft)の責任です。逆に、データそのもの、アカウント情報、アクセス権の管理は常にカスタマー側の責任として残ります。

正解: A. 利用者がデータセンターの物理サーバーを直接所有・改造できる

📌 正解の根拠・詳細解説

パブリッククラウドでは、物理ハードウェアはクラウド事業者が所有・管理しており、利用者が物理サーバーを所有したり改造したりすることはできません。それ以外の「ハードウェア保守が不要」「初期投資が小さい」「柔軟にスケールできる」はパブリッククラウドの代表的なメリットです。

正解: B. フォールトトレランス(耐障害性)

📌 正解の根拠・詳細解説

フォールトトレランスは、部分的な故障が起きても全体の機能を維持できる設計特性です。ディスクのミラーリングや複数インスタンス構成などで実現されます。スケールアップは性能向上、データ主権はデータの所在国に関する法的概念で、いずれも障害耐性を指す用語ではありません。

正解: B. クラウドバースティング

📌 正解の根拠・詳細解説

クラウドバースティングは、普段は自社設備を使い、ピーク時のあふれた分だけクラウドへ処理を逃がすハイブリッドの代表的パターンです。設備投資を抑えつつピークにも対応できます。ジオレプリケーションはデータの地理的複製、コールドスタートはサーバーレスの初回起動遅延、シャーディングはDB分割手法です。

正解: A. VMのコンピューティング(CPU/メモリ)課金は停止するが、接続されたディスクのストレージ料金は発生し続ける

📌 正解の根拠・詳細解説

VMを割り当て解除(停止)すると、コンピューティングリソースが解放されるためCPU/メモリ分の課金は止まります。ただしOSディスクやデータディスクは残り続けるため、ストレージ料金は引き続き発生します。完全に課金をなくすにはリソース自体を削除する必要があります。

正解: D. 障害発生時に許容できるデータ損失の量(どの時点まで戻せるか)

📌 正解の根拠・詳細解説

RPO(Recovery Point Objective)は「どの時点のデータまで復元できればよいか」、つまり許容できるデータ損失量を示します。これに対しRTO(Recovery Time Objective)は「復旧までに許容できる時間」です。両者を混同しないことがDR設計の基本になります。

正解: C. エッジコンピューティング

📌 正解の根拠・詳細解説

エッジコンピューティングは、クラウドへ送る前にデータ発生源の近くで処理を行い、遅延と通信コストを抑える手法です。Azure では Azure IoT Edge や Azure Stack Edge がこの用途に使われます。サーバーレスは実行基盤の抽象化、バッチは一括処理を指す別の概念です。

正解: D. クラウド「の」管理(自動スケールや自動修復など)と、クラウド「内での」管理(ポータル/CLI/APIによる操作)

📌 正解の根拠・詳細解説

マネージャビリティは、リソースが需要に応じて自動的にスケール・再デプロイ・修復される「クラウドの管理」と、Azure Portal、CLI、PowerShell、ARMテンプレートなどを通じて利用者が操作する「クラウド内での管理」の2側面で説明されます。他の選択肢はこの分類には該当しません。

正解: B. 同一リージョン内にある、電源・冷却・ネットワークが独立した物理的に分離されたデータセンター群

📌 正解の根拠・詳細解説

可用性ゾーンは、同じリージョン内で電源・冷却・ネットワークが独立した物理的に分離されたデータセンターです。1つのゾーンで障害が起きても他のゾーンは影響を受けないため、リージョン内での高可用性を実現できます。別大陸への分離はリージョンレベル、サブスクリプションの分割は管理階層の話です。

正解: D. 管理グループ → サブスクリプション → リソースグループ → リソース

📌 正解の根拠・詳細解説

Azure のスコープは上から順に、管理グループ、サブスクリプション、リソースグループ、リソースとなります。上位に適用したポリシーやアクセス権は下位へ継承されるため、この順序を理解しておくとガバナンス設計が理解しやすくなります。

正解: B. リソースグループを削除すると、その中に含まれるリソースもすべて削除される

📌 正解の根拠・詳細解説

リソースグループは削除するとその中のリソースがまとめて削除されるため、検証環境の一括破棄などに便利です。一方で、1つのリソースが所属できるリソースグループは常に1つだけで、入れ子にすることはできません。また、リソースグループ自体のリージョンとは別に、中のリソースは異なるリージョンに配置できます。

正解: A. Azure Resource Manager (ARM)

📌 正解の根拠・詳細解説

Azure Resource Manager(ARM)は、Azure Portal、Azure CLI、Azure PowerShell、REST APIのいずれから操作しても必ず経由する統一の管理レイヤーです。ここで認証・認可・ポリシー評価が行われます。Microsoft Entra ID はID管理、Azure Monitor は監視、Marketplace はソリューション購入の場です。

正解: B. データレジデンシー(データの保管場所)とコンプライアンス要件

📌 正解の根拠・詳細解説

リージョン選択で考慮すべき主な要素は、データレジデンシー・コンプライアンス(法令上どこにデータを置けるか)、利用者との距離による遅延、そのリージョンでのサービス提供状況、価格です。日本国内保管が求められるなら日本のリージョンを選ぶ必要があります。他の選択肢は判断材料になりません。

正解: C. 低遅延のネットワークで接続された1つ以上のデータセンターの集合

📌 正解の根拠・詳細解説

リージョンは、低遅延ネットワークで結ばれた1つ以上のデータセンターからなる地理的なまとまりです。リソースを作成するときは、どのリージョンに配置するかを指定します。課金単位はサブスクリプション、VMサイズはSKUで表され、いずれもリージョンとは別の概念です。

正解: C. 管理グループ(Management Group)を作成し、その配下にサブスクリプションを配置する

📌 正解の根拠・詳細解説

管理グループはサブスクリプションの上位に位置するコンテナーで、そこに割り当てたAzure PolicyやRBACは配下のすべてのサブスクリプションに継承されます。大規模組織で統制を一元化する定石です。リソースグループはサブスクリプションをまたいで共有することはできません。

正解: C. リソースに付与するタグの文字数制限を回避するため

📌 正解の根拠・詳細解説

サブスクリプションを分ける主な目的は、請求の分離、環境や部門ごとのアクセス管理、そしてサブスクリプションごとに設けられたクォータ(上限)への対応です。タグの文字数制限はサブスクリプションを分けても変わらないため、分割の理由にはなりません。

正解: B. サービスのインスタンスやデータが同一リージョン内の複数の可用性ゾーンに自動的に複製される

📌 正解の根拠・詳細解説

ゾーン冗長構成では、同一リージョン内の複数の可用性ゾーンにまたがってリソースやデータが配置されるため、1つのゾーンが停止してもサービスを継続できます。1ゾーンに固定するのは「ゾーン配置(zonal)」で、可用性は下がります。別大陸への保存はリージョン間のレプリケーションの話です。

正解: C. データレジデンシーやコンプライアンスの境界となる、2つ以上のリージョンを含む区分

📌 正解の根拠・詳細解説

地理(Geography)は、複数のリージョンをまとめた市場・法域の区分で、データレジデンシーやコンプライアンスの境界として機能します。原則として、ある地理内のデータはその地理を出ないよう設計されています。ラックやサブネットは物理・ネットワーク構成の単位で、地理とは無関係です。

正解: B. ARMテンプレートやBicepを使って構成をコード化(IaC)し、同じ定義を各環境へデプロイする

📌 正解の根拠・詳細解説

ARMテンプレート(JSON)やBicepは、Azureリソースの構成を宣言的に記述するInfrastructure as Codeの手段です。同じ定義ファイルを使い回すことで、環境差異や設定ミスを防ぎ、何度でも同じ構成を再現できます。手作業やスクリーンショットからの再現はミスが起こりやすく、再現性がありません。

正解: B. サブスクリプション、リソースグループ、リージョン、VMサイズ

📌 正解の根拠・詳細解説

VMを作成するには、課金先となるサブスクリプション、リソースをまとめるリソースグループ、配置先のリージョン、そしてスペックを決めるVMサイズの指定が必要です。管理グループやポリシーは組織のガバナンス設定であり、VM作成画面で必須入力する項目ではありません。

正解: C. 可用性セット(Availability Set)

📌 正解の根拠・詳細解説

可用性セットは、複数のVMを異なる障害ドメイン(電源・ネットワークの単位)と更新ドメイン(メンテナンスの単位)に自動的に分散配置する仕組みです。これにより、ラック障害や計画メンテナンスで全VMが同時に停止することを防げます。リソースグループなどは論理的な管理単位であり、物理的な分散は行いません。

正解: C. ユーザーに近いリージョンにも配置し、CDNなどで配信を最適化する

📌 正解の根拠・詳細解説

遅延(レイテンシ)はユーザーとデータセンターの物理的な距離に大きく左右されます。したがって、利用者に近いリージョンへの配置や、Azure Front Door / Azure CDN によるエッジ配信が有効です。ディスク種別の変更やリソース名の変更は、地理的な距離による遅延の解消にはつながりません。

正解: D. 各サブスクリプションは1つのMicrosoft Entra IDテナントに紐づき、認証はそのテナントで行われる

📌 正解の根拠・詳細解説

Azureサブスクリプションは、必ず1つのMicrosoft Entra ID(旧Azure AD)テナントに信頼関係を持ち、そのテナントがユーザーの認証を担当します。1つのテナントが複数のサブスクリプションを持つことはできますが、その逆(1サブスクリプションが複数テナントに同時所属)はできません。

正解: C. リージョンは複数のデータセンターで構成され、その物理設備はMicrosoftが所有・運用している

📌 正解の根拠・詳細解説

Azureのリージョンは複数のデータセンターから構成され、それらの建物・電源・サーバーはすべてMicrosoftが所有し運用しています。セキュリティ上、利用者が施設に立ち入って物理サーバーを操作することはできません。利用者は仮想化されたリソースをリモートから利用します。

正解: D. 多くのリソースは移動可能で、移動後は移動先スコープのアクセス制御やポリシーが適用される

📌 正解の根拠・詳細解説

Azureでは多くのリソースを別のリソースグループやサブスクリプションへ移動できます(一部、移動に対応していないリソースもあります)。移動後は移動先スコープのRBACやポリシーが適用されます。リソースグループの変更は論理的な所属の変更であり、リージョンの物理的な移動やデータ初期化は発生しません。

正解: D. すべてのAzureサービスやVMサイズが、すべてのリージョンで提供されているわけではない

📌 正解の根拠・詳細解説

Azureのサービスや特定のVMサイズは、リージョンごとに提供状況が異なります。新しい機能は特定リージョンから先行提供されることもあるため、設計時には対象リージョンでの提供可否を確認する必要があります。料金もリージョンによって異なり、サブスクリプションIDはリージョンとは無関係です。

正解: D. 本番用と開発用でサブスクリプションまたはリソースグループを分け、それぞれに異なるRBACロールを割り当てる

📌 正解の根拠・詳細解説

Azureのアクセス制御はスコープ(管理グループ/サブスクリプション/リソースグループ/リソース)単位で割り当てるため、環境ごとにスコープを分けて適切なロールを付与するのが基本設計です。全員に所有者を付けるのは最小権限の原則に反し、リソースの命名規則だけでは権限は制御されません。

正解: B. 複数のVMを異なる可用性ゾーンに配置することで、データセンター単位の障害に耐えられる

📌 正解の根拠・詳細解説

可用性ゾーンは物理的に分離されたデータセンターなので、VMを複数ゾーンに分散すればデータセンター単位の障害に耐えられます。ただし守れる範囲はリージョン内までで、リージョン全体の障害には別リージョンへのレプリケーションが必要です。また、可用性ゾーンは対応しているリージョンでのみ利用できます。

正解: D. Azure Virtual Machine Scale Sets

📌 正解の根拠・詳細解説

Azure Virtual Machine Scale Sets は、同じ構成のVM群をひとまとまりとして管理し、CPU使用率などの指標に応じてインスタンス数を自動で増減(オートスケール)できるサービスです。Azure Bastion は安全なリモート接続、Azure Backup はバックアップ、Azure Site Recovery は災害復旧のためのサービスです。

正解: A. Azure Kubernetes Service (AKS)

📌 正解の根拠・詳細解説

Azure Kubernetes Service(AKS)はマネージドなKubernetesで、コンテナーのスケーリングや自己修復、ローリング更新といったオーケストレーションを担います。Azure Container Instances(ACI)は単発・短時間のコンテナー実行に向いた軽量なサービスで、オーケストレーション機能は持ちません。

正解: B. Azure Virtual Desktop

📌 正解の根拠・詳細解説

Azure Virtual Desktop(AVD)は、Azure上で仮想デスクトップとアプリを配信するデスクトップ仮想化サービスです。端末にデータを残さず、どこからでも同じデスクトップ環境を利用できます。Azure Bastion は管理者がVMへ安全に接続するための踏み台機能で、日常的なデスクトップ配信を目的としたサービスではありません。

正解: D. VNetはAzure内のプライベートネットワークで、その中をサブネットに分割してリソースを配置できる

📌 正解の根拠・詳細解説

Azure Virtual Network は、Azure内に作るプライベートなネットワーク空間で、アドレス範囲をサブネットに分割して用途ごとにリソースを配置します。既定では外部からの受信は制限されており、自動的にインターネット公開されることはありません。DNSサービスは Azure DNS が担当します。

正解: B. Azure ExpressRoute

📌 正解の根拠・詳細解説

Azure ExpressRoute は、接続プロバイダー経由の専用線でオンプレミスとAzureをつなぐサービスで、インターネットを通らないため帯域と遅延が安定します。VPN Gateway はインターネット上に暗号化トンネルを張る方式で、手軽ですが品質はインターネット回線に依存します。Front Door と Traffic Manager は外部トラフィックの配信・振り分け用です。

正解: B. Azure Application Gateway

📌 正解の根拠・詳細解説

Azure Application Gateway はレイヤー7(HTTP/HTTPS)のロードバランサーで、URLパスやホスト名に基づくルーティング、SSL終端、WAFの利用が可能です。Azure Load Balancer はレイヤー4(TCP/UDP)で動作するため、URLの内容による振り分けはできません。

正解: B. 仮想ネットワークピアリング (VNet Peering)

📌 正解の根拠・詳細解説

VNetピアリングは、2つの仮想ネットワークをAzureのバックボーン経由で接続し、プライベートIPアドレスで通信できるようにする機能です。同一リージョン間でも別リージョン間(グローバルピアリング)でも構成できます。NSGは通信の許可・拒否を制御する仕組みで、ネットワーク同士を接続するものではありません。

正解: A. アーカイブ(Archive)層

📌 正解の根拠・詳細解説

アーカイブ層は最も保存単価が安い代わりに、データを読み出すには「リハイドレート」という復元処理が必要で時間がかかります。長期保管して滅多に読まない監査ログには最適です。ホット層は頻繁なアクセス向けで単価が高く、クール層はその中間、プレミアムは低遅延が必要な用途向けです。

正解: B. Azure Files

📌 正解の根拠・詳細解説

Azure Files は SMB や NFS でマウントできるクラウド上のファイル共有サービスで、オンプレミスのファイルサーバーの置き換えに使えます。Blob Storage はオブジェクトストレージでファイル共有としてマウントする用途とは異なり、Queue はメッセージのキュー、Table はキー/値形式のNoSQLストアです。

正解: A. Azure Managed Disks(マネージドディスク)

📌 正解の根拠・詳細解説

マネージドディスクは、ストレージアカウントの管理をAzureに任せてVMにアタッチできるブロックストレージです。SSD/HDDなど性能レベルを選べ、冗長化もAzure側で行われます。Cosmos DB はNoSQLデータベース、Queue Storage はメッセージング、Logic Apps はワークフロー自動化のサービスです。

正解: D. Azure Data Box を利用し、物理デバイスにデータを格納して輸送する

📌 正解の根拠・詳細解説

Azure Data Box は、Microsoftから貸し出される物理ストレージデバイスにデータを書き込み、輸送してAzureへ取り込むオフライン転送サービスです。回線が細い環境で大容量データを移す際に、ネットワーク転送より現実的な時間で完了できます。手動アップロードやメール添付は容量的に成立しません。

正解: A. Azure Migrate

📌 正解の根拠・詳細解説

Azure Migrate は、オンプレミスのサーバー・データベース・Webアプリを検出して依存関係や適合性を評価し、移行までを支援する統合ツールです。Azure Monitor は稼働監視、Azure Policy はガバナンス、Azure Key Vault は機密情報の保管を担当し、移行評価の用途とは異なります。

正解: A. Azure SQL Database

📌 正解の根拠・詳細解説

Azure SQL Database は、SQL Server エンジンをベースにしたフルマネージドのリレーショナルデータベース(PaaS)で、パッチ適用・バックアップ・高可用性の維持をMicrosoftが担当します。VMにSQL Serverを自分でインストールする構成はIaaSであり、OSやDBの保守は利用者の責任になります。

正解: C. Azure Cosmos DB

📌 正解の根拠・詳細解説

Azure Cosmos DB は、複数リージョンへのグローバル分散と低遅延アクセスを前提に設計されたマネージドNoSQLデータベースです。ドキュメントやキー/値など複数のAPIに対応します。SQL Managed Instance はリレーショナルDB、Azure Files はファイル共有で、グローバル分散NoSQLの用途とは異なります。

正解: B. Azure Database for PostgreSQL

📌 正解の根拠・詳細解説

Azure Database for PostgreSQL は、PostgreSQLエンジンをそのままマネージドで提供するサービスなので、既存アプリの接続設定を変更するだけで移行しやすいのが特長です。MySQL 用には Azure Database for MySQL があります。Synapse は分析基盤、Azure Cache for Redis はインメモリキャッシュで用途が異なります。

正解: C. Azure AI Speech の音声テキスト変換機能を利用する

📌 正解の根拠・詳細解説

Azure AI Speech(旧称 Cognitive Services の Speech)は、学習済みのモデルをAPI経由で呼び出すだけで音声認識(音声テキスト変換)や音声合成、翻訳を実現できるサービスです。自分でモデルを構築・学習する必要がありません。ストレージ暗号化や負荷分散は音声認識機能とは無関係です。

正解: B. Azure Machine Learning

📌 正解の根拠・詳細解説

Azure Machine Learning は、データの準備からモデルの学習、評価、デプロイ、運用監視までを一貫して行える機械学習プラットフォームです。学習済みAPIを呼ぶだけの Azure AI Services とは異なり、独自モデルを作りたい場合に使います。App Service はWebアプリのホスティング、Key Vault は機密情報管理です。

正解: A. Azure IoT Hub

📌 正解の根拠・詳細解説

Azure IoT Hub は、大量のIoTデバイスとクラウドの間で双方向通信を行い、デバイスごとのID管理・認証・状態管理を提供するサービスです。より手早く始めたい場合は、SaaS型の Azure IoT Central という選択肢もあります。Blob Storage は保存先、Front Door は Web 配信のためのサービスです。

正解: D. Azure Logic Apps

📌 正解の根拠・詳細解説

Azure Logic Apps は、豊富なコネクタを画面上でつなぐことでワークフローを組み立てられるローコードの統合サービスです。メール受信をトリガーに承認を回すといった業務自動化に向いています。Azure Batch は大規模な並列バッチ計算用、他の2つはストレージとネットワーク接続のサービスです。

正解: A. Azure DevOps

📌 正解の根拠・詳細解説

Azure DevOps は、Azure Repos(リポジトリ)、Azure Boards(作業項目管理)、Azure Pipelines(CI/CD)などを含む開発ライフサイクル支援サービスです。同様のことは GitHub と GitHub Actions でも実現できます。Azure Monitor は監視、Advisor は推奨事項、Cost Management はコスト管理のサービスです。

正解: D. Microsoft Entra ID(旧 Azure Active Directory)

📌 正解の根拠・詳細解説

Microsoft Entra ID は、ユーザーやグループ、アプリケーションのIDを管理し、サインイン(認証)を担うクラウドのIDサービスです。旧称は Azure Active Directory です。Key Vault は鍵や資格情報の保管、Monitor は監視、Policy は構成ルールの強制であり、認証基盤ではありません。

正解: A. 「知っているもの」「持っているもの」「本人自身の特徴」のうち2つ以上を組み合わせて確認するため

📌 正解の根拠・詳細解説

MFAは、パスワード(知っているもの)に加えて、スマートフォンのアプリやトークン(持っているもの)、指紋や顔(本人自身の特徴)など、異なる種類の要素を2つ以上組み合わせて本人確認します。パスワードが漏れても他の要素がなければサインインできないため、不正アクセスを大幅に防げます。

正解: A. 条件付きアクセス(Conditional Access)

📌 正解の根拠・詳細解説

条件付きアクセスは、サインイン時の場所・デバイスの状態・アプリ・リスクレベルなどのシグナルを評価し、アクセスの許可・ブロック・追加認証の要求といった制御を行う Entra ID の機能です。Azure Policy はリソース構成のルール、NSGはネットワーク通信の許可・拒否であり、サインイン制御には使いません。

正解: D. 1回の認証で複数のアプリを利用でき、管理すべきパスワードが減ることで安全性と利便性が向上する

📌 正解の根拠・詳細解説

SSOは、1度サインインすれば連携する複数のアプリに再認証なしでアクセスできる仕組みです。利用者が覚えるパスワードが1つで済むため、使い回しや付箋メモといったリスクが減り、管理者もアカウントの棚卸しが容易になります。暗号化や通信速度とは無関係です。

正解: A. Entra ID はHTTPベースのプロトコルを使うクラウドのIDサービスで、グループポリシーやOUによる管理は行わない

📌 正解の根拠・詳細解説

Entra ID はクラウド向けに設計されたIDサービスで、SAMLやOAuth/OpenID Connect などのHTTPベースのプロトコルを用い、SaaSアプリへのSSOを得意とします。一方、オンプレミスのAD DSはKerberos/LDAPを使い、グループポリシーやOU、ドメイン参加といった管理機能を提供します。両者は補完関係にあり、同一ではありません。

正解: C. Microsoft Entra External ID(B2B)のゲストユーザーとして招待する

📌 正解の根拠・詳細解説

Entra ID の B2B コラボレーション機能では、外部の担当者を「ゲストユーザー」として招待し、相手が普段使っているアカウントのままサインインさせられます。必要な範囲だけにRBACで権限を付与でき、不要になれば招待を取り消せます。管理者アカウントの共有や匿名公開は重大なセキュリティ違反です。

正解: B. 認証は本人であることの確認、認可は確認済みの相手に何を許可するかの決定

📌 正解の根拠・詳細解説

認証(AuthN)は「あなたが誰なのか」を確認する処理で、サインインやMFAが該当します。認可(AuthZ)は「その人に何をさせてよいか」を決める処理で、AzureではRBACのロール割り当てが担います。まず認証、その後に認可という順序で処理されます。

正解: D. 閲覧者(Reader)

📌 正解の根拠・詳細解説

閲覧者(Reader)ロールは、対象スコープのリソースを参照できるだけで、作成・変更・削除は行えません。共同作成者はリソースの管理はできますが権限付与はできず、所有者はすべての操作と権限付与が可能です。ユーザーアクセス管理者はアクセス権の管理に特化したロールです。

正解: A. 上位スコープ(管理グループやサブスクリプション)で割り当てたロールは、下位のリソースグループやリソースにも継承される

📌 正解の根拠・詳細解説

RBACのロールは管理グループ、サブスクリプション、リソースグループ、リソースのいずれのスコープにも割り当てでき、上位で割り当てた権限は下位へ継承されます。ユーザーだけでなくグループやサービスプリンシパル、マネージドIDにも割り当てられます。運用では必要最小限のスコープに絞ることが推奨されます。

正解: A. 社内ネットワークからのアクセスであっても信頼せず、常に検証し最小権限を適用する

📌 正解の根拠・詳細解説

ゼロトラストは「決して信頼せず、常に検証する(Never trust, always verify)」という原則に基づき、ネットワークの内外を問わず、その都度ID・デバイス・場所などを検証します。最小権限アクセスと侵害を前提とした設計も柱です。境界の内側を無条件に信頼する従来型の考え方とは対極にあります。

正解: B. 物理・ID・境界・ネットワーク・コンピューティング・アプリ・データと複数の層で防御を重ね、1つが突破されても他が守る

📌 正解の根拠・詳細解説

多層防御は、複数の防御層を重ねることで、ある層が突破されても次の層が攻撃を食い止める考え方です。中心にあるデータを守るために、物理セキュリティ、ID・アクセス、境界、ネットワーク、コンピューティング、アプリケーションの各層で対策を講じます。単一の対策に依存する構成は突破された時点で無防備になります。

正解: C. Microsoft Defender for Cloud

📌 正解の根拠・詳細解説

Microsoft Defender for Cloud は、クラウド環境の構成をセキュリティ基準に照らして評価し、セキュアスコアという指標と具体的な改善推奨を提示します。脅威検知の機能も備えます。Cost Management はコスト、Data Box はデータ移送、Traffic Manager はトラフィック振り分けのサービスです。

正解: D. Azure Key Vault

📌 正解の根拠・詳細解説

Azure Key Vault は、シークレット(パスワードや接続文字列)、証明書、暗号化キーを安全に保管し、アクセス制御と監査ログを備えたサービスです。アプリはマネージドIDなどを使って実行時に取得するため、ソースコードや設定ファイルに機密情報を残さずに済みます。他のストレージサービスは汎用のデータ保存用です。

正解: A. ネットワークセキュリティグループ(NSG)

📌 正解の根拠・詳細解説

NSGは、送信元/宛先のIPアドレス、ポート、プロトコルを条件にした許可・拒否ルールの一覧で、サブネットやNICに関連付けて通信をフィルタリングします。より高度な制御が必要な場合は Azure Firewall を併用します。Key Vault は機密情報の保管、Advisor は推奨事項の提示で、通信制御は行いません。

正解: C. Azure Firewall

📌 正解の根拠・詳細解説

Azure Firewall は、仮想ネットワーク単位で適用するステートフルなマネージドファイアウォールで、脅威インテリジェンスによる既知の悪意あるIP・ドメインの遮断や、FQDNベースの通信制御が可能です。NSGより高機能で、集中管理に向きます。Bastion はVMへの安全な接続、Front Door はグローバル配信のサービスです。

正解: C. Azure DDoS Protection

📌 正解の根拠・詳細解説

Azure DDoS Protection は、分散型サービス拒否(DDoS)攻撃のトラフィックを検知して緩和し、正規の通信を通し続ける保護サービスです。基本的な保護はプラットフォームに組み込まれており、より高度な保護とテレメトリを求める場合は上位プランを利用します。他の選択肢は機密情報管理、ガバナンス、コスト管理のサービスです。

正解: D. 保存データはStorage Service Encryptionにより既定で暗号化され、通信もHTTPS/TLSで保護できる

📌 正解の根拠・詳細解説

Azure Storage では、保存データ(データ保存時)の暗号化が既定で有効になっており、追加設定なしで暗号化されます。転送中のデータもHTTPS/TLSで保護でき、「セキュリティで保護された転送が必須」を有効にすればHTTPを拒否できます。必要に応じて Key Vault のカスタマー管理キーを使うこともできます。

正解: D. Azure Policy

📌 正解の根拠・詳細解説

Azure Policy は、リソースの構成が組織のルールに準拠しているかを評価し、違反する作成・変更を拒否(deny)したり、監査(audit)したりできるガバナンスサービスです。許可リージョンの制限やタグの必須化が代表的な用途です。Monitor は監視、Advisor は推奨事項の提示であり、作成そのものを止めることはできません。

正解: B. リソースロック(CanNotDelete / ReadOnly)を設定する

📌 正解の根拠・詳細解説

リソースロックは、リソース・リソースグループ・サブスクリプションに設定でき、CanNotDelete(削除禁止)や ReadOnly(読み取り専用)によって、権限のある管理者でも誤って削除・変更できないようにします。RBACの権限とは独立して働く点が特長です。タグは分類のためのメタデータで、保護機能はありません。

正解: A. RBACは「誰が操作できるか」を制御し、Azure Policyは「どのような構成のリソースを許すか」を制御する

📌 正解の根拠・詳細解説

RBACはユーザーやグループに対する操作権限(誰が何をできるか)を制御します。一方 Azure Policy は、操作を行う人が誰であってもリソースの構成内容(どのSKU、どのリージョン、どのタグか)が組織のルールに沿っているかを評価・強制します。両者は補完的に併用します。

正解: C. Microsoft Purview

📌 正解の根拠・詳細解説

Microsoft Purview は、オンプレミス・マルチクラウド・SaaS にまたがるデータを検出してカタログ化し、機密度に応じた分類やラベル付け、データ系列(リネージ)の可視化を行う統合データガバナンスサービスです。他の選択肢は接続、負荷分散、コンテナーイメージ管理のサービスです。

正解: A. Service Trust Portal

📌 正解の根拠・詳細解説

Service Trust Portal は、Microsoftのクラウドサービスに関する監査報告書、コンプライアンスガイド、セキュリティ関連ドキュメントを公開している窓口です。監査対応の資料収集に使います。Marketplace はソリューションの購入、Pricing Calculator は見積もり、Cloud Shell はブラウザ上のシェルで、目的が異なります。

正解: B. Microsoft プライバシーステートメント

📌 正解の根拠・詳細解説

Microsoft プライバシーステートメントは、Microsoftが個人データをどのように収集・処理・保護し、利用者がどのような選択肢を持つかを説明した公式文書です。GDPRなどの規制対応を理解するうえでも参照されます。SLAは可用性の保証、Pricing Calculator は見積もり、Advisor は改善提案であり、プライバシーの説明文書ではありません。

正解: C. Azure Pricing Calculator(料金計算ツール)

📌 正解の根拠・詳細解説

Azure Pricing Calculator は、これから使うサービスの構成(リージョン、SKU、稼働時間など)を選んで見積もりを作るツールです。TCO Calculator はオンプレミスとの比較試算、Cost Management のコスト分析は「すでに発生した実績コスト」の可視化に使うもので、未作成リソースの見積もりには向きません。

正解: B. Microsoft Cost Management のコスト分析

📌 正解の根拠・詳細解説

Microsoft Cost Management のコスト分析は、実際に発生した費用をサービス、リソースグループ、リージョン、タグなどの切り口で集計・グラフ化できる機能です。過去の傾向を把握して削減余地を見つけるのに使います。Pricing Calculator は将来の見積もり用であり、実績分析はできません。

正解: C. Cost Management で予算(Budget)を作成し、しきい値のアラートを設定する

📌 正解の根拠・詳細解説

Cost Management の予算(Budget)機能では、サブスクリプションやリソースグループ単位で金額のしきい値を設定し、実績や予測がその割合に達したときにメールやアクショングループで通知できます。ポリシーによる一律禁止やロックは費用超過の検知ではなく、目的が異なります。

正解: C. リソースに department などのタグを付与し、タグ別にコストを集計する

📌 正解の根拠・詳細解説

タグは「名前と値」のペアをリソースに付けるメタデータで、Cost Management のコスト分析や請求データでタグ別に費用を集計できます。部門やプロジェクトごとの按分の定番手法です。命名規則だけでは集計軸にならず、リージョン分割も費用の按分手段にはなりません。

正解: A. Azure Reservations(予約)で1年または3年分を前もってコミットする

📌 正解の根拠・詳細解説

Azure Reservations(予約)は、1年または3年の利用をコミットする代わりに従量課金より大幅な割引を受けられる仕組みで、稼働が読める本番ワークロードに最適です。Spot VM は割引率が高い一方、Azure側の都合でいつでも退去(強制停止)されるため、停止できない本番用途には不向きです。

正解: C. Azure Hybrid Benefit(ハイブリッド特典)

📌 正解の根拠・詳細解説

Azure Hybrid Benefit は、ソフトウェアアシュアランス付きの Windows Server や SQL Server のライセンスをAzureに持ち込み、VMのライセンス料金分を割り引く仕組みです。既存資産を活かせるため移行時のコスト削減効果が大きくなります。Spot VM は空き容量の割引利用で、ライセンス持ち込みとは別の仕組みです。

正解: B. Azure Spot Virtual Machines を利用する

📌 正解の根拠・詳細解説

Spot Virtual Machines は、Azureの空き容量を大幅な割引価格で利用できる代わりに、容量が必要になるとAzure側から強制的に退去(停止)させられる可能性があります。中断に耐えられるバッチ処理や検証環境に最適です。停止が許されないワークロードでは通常の従量課金や予約を選びます。

正解: A. Azure Advisor

📌 正解の根拠・詳細解説

Azure Advisor は、利用中のリソース構成を分析し、コスト、セキュリティ、信頼性、パフォーマンス、オペレーショナルエクセレンスの観点でパーソナライズされた推奨事項を提示します。低使用率VMのサイズ変更提案などが代表例です。他の選択肢は接続、データ移送、ワークフローのサービスです。

正解: D. Azure Portal にサインインした回数

📌 正解の根拠・詳細解説

コストは、リソースの種類とSKU、稼働時間、配置するリージョン(リージョンごとに単価が異なる)、データ転送量などによって決まります。Azure Portal へのサインイン回数は課金対象ではありません。管理操作そのものには通常料金がかかりません。

正解: B. Azureへの受信(インバウンド)は原則無料で、Azureから外部への送信(アウトバウンド)は料金が発生することが多い

📌 正解の根拠・詳細解説

一般に、Azureへ入ってくるデータ(インバウンド)は無料で、Azureから出ていくデータ(アウトバウンド/エグレス)には料金がかかります。リージョンをまたぐ転送も課金対象になることがあるため、設計時にデータの流れを意識するとコストを抑えられます。

正解: D. Microsoftが保証するサービスの稼働率などの水準と、未達時の対応を定めた正式な合意文書

📌 正解の根拠・詳細解説

SLAは、Microsoftが各サービスについて保証する稼働率(可用性)などの水準と、それを満たせなかった場合の措置を明記した公式の合意文書です。サービスごとに保証値が異なります。料金の固定やサポート回数、構成ルールとは別のものです。

正解: C. 99.9%より低くなる(概算で 99.9% × 99.9% = 約99.8%)

📌 正解の根拠・詳細解説

どちらか一方が停止するとアプリ全体が使えなくなる直列構成では、複合SLAは各サービスのSLAを掛け合わせた値になります。99.9% × 99.9% は約99.8%となり、サービスを増やすほど全体の保証値は下がります。可用性を保ちたい場合は冗長化や依存の削減を検討します。

正解: D. 2台以上のVMを異なる可用性ゾーンに配置する

📌 正解の根拠・詳細解説

Azure VMのSLAは構成によって変わり、複数のVMを異なる可用性ゾーンに分散した構成が最も高い保証値、可用性セットがその次、単一インスタンス(Premium SSD使用)が最も低い保証値となります。CPU増設やタグ付けは可用性の指標には影響しません。

正解: C. 申請に基づき、利用料金の一部が返金されるサービスクレジット

📌 正解の根拠・詳細解説

SLAが達成されなかった場合の措置は、原則として「サービスクレジット」という形で、該当月の利用料金の一定割合が返金または請求相殺されるものです。金額はSLA違反の程度に応じて段階的に決まります。自動的な損害賠償や無償提供が行われるわけではありません。

正解: B. プレビュー機能には原則としてSLAが適用されず、本番利用は推奨されない

📌 正解の根拠・詳細解説

プレビュー機能は評価・フィードバック収集を目的とした段階であり、通常はSLAの対象外で、仕様変更や提供中止の可能性もあります。そのため本番環境での利用は推奨されません。一般提供(GA)になって初めて、SLAと通常のサポートが適用されます。

正解: A. Azure Portal

📌 正解の根拠・詳細解説

Azure Portal は、Webブラウザから利用できるグラフィカルな統合管理コンソールで、リソースの作成・設定・監視やダッシュボードのカスタマイズが行えます。コマンドを覚えなくても操作できるため学習にも適しています。他の選択肢はガバナンス、監視、配信のサービスです。

正解: B. Azure Cloud Shell

📌 正解の根拠・詳細解説

Azure Cloud Shell は、ブラウザから使えるシェル環境で、Bash と PowerShell を選択でき、Azure CLI や Azure PowerShell モジュールがあらかじめ用意されています。ローカルへのインストールが不要で、どの端末からでも同じ環境を利用できます。Bastion はVMへの安全な接続機能で、シェル環境そのものではありません。

正解: D. どちらもコマンドラインからAzureリソースを管理でき、Windows/Linux/macOS で利用できる

📌 正解の根拠・詳細解説

Azure CLI(az コマンド)と Azure PowerShell(Az モジュール)は、いずれもクロスプラットフォームで動作し、Azureリソースの管理をスクリプト化して自動化できます。構文の好みや既存資産に応じて選べばよく、同じ端末に両方入れて併用しても問題ありません。

正解: A. Azure モバイルアプリを利用する

📌 正解の根拠・詳細解説

Azure モバイルアプリ(iOS/Android)を使うと、リソースの状態確認、アラートの受信、VMの起動・停止・再起動、Cloud Shell の実行といった基本的な運用操作をスマートフォンから行えます。他の選択肢はデータ移送、移行評価、コンテナー実行のサービスであり、モバイル運用の手段ではありません。

正解: D. Azure Monitor

📌 正解の根拠・詳細解説

Azure Monitor は、メトリック(数値の時系列データ)とログを収集し、可視化・分析・アラート発報を行う統合監視基盤です。Application Insights や Log Analytics も Azure Monitor の一部として位置づけられます。Policy はガバナンス、Key Vault は機密情報管理で、監視の役割は担いません。

正解: C. Application Insights

📌 正解の根拠・詳細解説

Application Insights は Azure Monitor に含まれるアプリケーションパフォーマンス監視(APM)機能で、応答時間、失敗率、例外、外部依存への呼び出しなどを可視化し、ボトルネックの特定に役立ちます。Service Health は Azure 側の障害情報、Advisor は構成の推奨事項を扱うもので、アプリ内部の追跡はできません。

正解: D. Azure Service Health

📌 正解の根拠・詳細解説

Azure Service Health は、利用中のサブスクリプションのサービスとリージョンに関係する障害、計画メンテナンス、正常性に関する勧告をパーソナライズして通知します。全体状況を広く見るには Azure Status、個々のリソースの状態には Resource Health を使います。他の選択肢はコスト、機密情報、イメージ管理のサービスです。

正解: C. Log Analytics ワークスペース

📌 正解の根拠・詳細解説

Log Analytics ワークスペースは、Azure Monitor が収集したログデータを蓄積する保存先で、Kusto Query Language(KQL)を使って複数リソースを横断した検索・集計・可視化が行えます。Blob Storage のアーカイブ層は安価な長期保管用でクエリ実行の基盤ではなく、他の選択肢は見積もりとネットワークのサービスです。