DISPLAY SETTINGS 各種設定
Q1.Application1（アプリケーション1）という名前のカスタム アプリケーションを含む Microsoft Azure サブスクリプションを運用しています。
Application1 は、Fabrikam, Ltd.（ファブリカム社）という外部企業によって開発されました。
Fabrikam の開発者には、Application1 の各コンポーネントに対するロールベースのアクセス制御（RBAC）権限が付与されています。
すべてのユーザーには Microsoft 365 E5 プランのライセンスが割り当てられています。
Fabrikam の開発者が引き続き Application1 へのアクセス許可を必要としているかどうかを確認するためのソリューションを提案する必要があります。
このソリューションは、次の要件を満たす必要があります。
各開発者のマネージャーに、Application1 へのアクセス権を一覧化した電子メールを毎月送信します。
マネージャーがアクセス権限を検証しなかった場合は、その権限を自動的に取り消します。
開発の労力を最小限に抑えます。
何を提案すべきでしょうか。
解答を見る
要件は、月次でマネージャーに確認依頼を送り、未確認であれば自動的に権限を剥奪することです。
Microsoft Entra ID（旧 Azure AD）のアクセス レビューであれば、エンタープライズ アプリやロール割り当てを対象に繰り返しレビューを設定でき、開始時に通知（メール）を送付し、結果の自動適用によって未承認者のアクセスを削除できます。
運用は設定中心で完結するため、開発者側の実装作業を最小化できます。
アクセス レビューとは
Microsoft Entra ID でグループとアプリケーションのアクセス レビューを作成する
Q2.オンプレミスの Active Directory ドメインと同期している Microsoft Entra ID テナントを運用しています。
オンプレミスには WebApp1 という名前の社内向け Web アプリがホストされており、WebApp1 は統合 Windows 認証を使用します。
従業員の一部は在宅勤務で、社内ネットワークへの VPN 接続手段を持っていません。
これらのリモート勤務者に対して、WebApp1 へのシングル サインオン（SSO）アクセスを用意する必要があります。
ソリューションに含めるべき 2 つの機能はどれですか。
解答を見る
VPN を用いずにオンプレミスの社内 Web アプリを安全に公開し、同時に SSO を実現するには、Microsoft Entra アプリケーション プロキシを使い、クラウド側サービスとオンプレミス側コネクタで通信を中継します。
さらに WebApp1 をエンタープライズ アプリケーションとして Entra ID に登録し、SSO（統合 Windows 認証の場合は必要に応じて Kerberos 制約付き委任など）を構成します。
PIM や Arc、Application Gateway だけでは「VPN なしで SSO を提供」という要件を満たせません。
Microsoft Entra アプリケーション プロキシ
Microsoft Entra ID にオンプレミス アプリケーションを追加する
Q3.ある Azure サブスクリプションについて、新規に作成されるすべての Azure Resource Manager（ARM）リソースのデプロイ状況を月次レポートとしてまとめるソリューションを提案する必要があります。
推奨案には何を含めるべきでしょうか。
解答を見る
サブスクリプション内で「いつ・誰が・何をデプロイ／作成したか」はアクティビティ ログ（プラットフォーム ログ）で把握できますが、保持期間が限られるため、月次レポート用途には十分ではありません。
そこで診断設定によりアクティビティ ログを Azure Monitor Logs（基盤は Log Analytics ワークスペース）へ送信して蓄積し、KQL でデプロイ（Microsoft.Resources/deployments/write）やリソース作成イベントを集計するのが適切です。
Application Insights はアプリの可観測性、Arc や Analysis Services は目的が異なります。
Azure Monitor のアクティビティ ログ
Azure Monitor の診断設定
Log Analytics ワークスペースの概要
Q4.contoso.com の Microsoft Entra ID（旧 Azure Active Directory：Azure AD）テナントに、Group1 というセキュリティ グループが存在します。
Group1 は割り当て済みメンバーシップで構成され、合計 50 人（そのうち 20 人は外部のゲスト ユーザー）が登録されています。
この Group1 のメンバー構成を定期的に見直すソリューションを提案する必要があります。
見直しは 3 か月ごとに自動で繰り返され、すべてのメンバーが在籍継続の要否を自己申告でき、不要と回答したユーザーおよび未回答のユーザーは自動的に Group1 から除外される必要があります。
推奨案には何を含めるべきでしょうか。
解答を見る
要件は「四半期ごとの定期評価」「ゲストを含む全メンバーによる自己申告」「不要または未回答は自動削除」です。
Microsoft Entra ID（旧 Azure AD）のアクセス レビューは、グループ メンバーシップを対象に 3 か月ごとの繰り返しレビューを設定でき、レビュー担当者にメンバー自身を指定できます。
さらに結果の自動適用により、拒否（不要）や応答なしのユーザーを自動的にグループから削除でき、運用負荷も最小化できます。
アクセス レビューとは
Microsoft Entra ID でグループとアプリケーションのアクセス レビューを作成する
Microsoft Entra アクセス レビューを使ってユーザー アクセスを管理する
Q5.複数の Azure リージョンにまたがって複数のインスタンスを配置する Azure App Service の Web アプリを展開する計画があります。
この配置に対して負荷分散サービスを提案する必要があります。
ソリューションは、あるリージョンで障害が発生してもアプリへの到達性を維持し、かつ Azure Web Application Firewall（WAF）、Cookie ベースのアフィニティ、URL ルーティングをサポートする必要があります。
推奨案に含めるべきものは何ですか。
解答を見る
要件は「グローバル（複数リージョン）でのフェールオーバー」「WAF」「Cookie ベースのセッション維持」「URL（パス）ベースのルーティング」を単一の入口で満たすことです。
Azure Front Door はグローバルな L7（HTTP/HTTPS）負荷分散として、WAF 統合、Cookie ベースのセッション アフィニティ、URL パス ベースのルーティングを提供できます。
Traffic Manager は DNS ベースで WAF や Cookie／URL ルーティング機能を持たないため、単体では設問の条件を満たせません。
Azure Front Door に関するよくあるご質問 (FAQ)
配信元へのトラフィック ルーティング方法
Azure Front Door 上の Web アプリケーション ファイアウォール (WAF)
Q6.ニューヨーク、シドニー、パリ、ヨハネスブルグの各拠点を持つ企業が、単一の Azure サブスクリプションを共同で利用しています。
この企業では、次の要件を満たす新しい Azure ネットワーク ソリューションの展開を計画しています。
米国東部の Azure リージョンにある ExpressRoute 回線へ接続します。
東南アジア、北ヨーロッパ、南アフリカの 3 地域での接続を提供し、遅延を最小限に抑えます。
サイト間 VPN 接続をサポートします。
コストを最小限に抑えます。
展開が必要な Azure Virtual WAN ハブの最小数と、採用する Virtual WAN SKU を特定する必要があります。
解答を見る
遅延を最小化するには、接続を提供したい 3 地域（東南アジア、北ヨーロッパ、南アフリカ）それぞれに仮想ハブを配置するのが最小構成であり、これがハブ 3 つになります。
また、Basic の Virtual WAN／ハブはサイト間 VPN 機能に限定され、ExpressRoute をサポートしません。
本要件には ExpressRoute とサイト間 VPN の両方が含まれるため、Standard SKU が必要です。
Virtual WAN を Basic から Standard にアップグレードする
チュートリアル: Virtual WAN への ExpressRoute の関連付けを作成する – Azure ポータル
仮想ハブの設定について
Q7.次のような構成を持つインフラストラクチャ ソリューションを展開する予定です。
外部ユーザーは Azure Front Door 経由でインフラストラクチャにアクセスします。
Azure Kubernetes Service（AKS）上でホストされるバックエンド API への外部ユーザーのアクセスは、Azure API Management によって制御されます。
外部ユーザーは、サードパーティの ID プロバイダーとの OpenID Connect ベースのフェデレーションを利用する Azure AD B2C テナントで認証されます。
各サービスはどの機能を担っていますか。
適切な機能を正しいサービスに割り当ててください。
選択肢を要件のドロップ欄へドラッグ、またはタップして配置。配置済みの欄をクリックで戻せます（同じ選択肢は複数回使用可）。
API ごと（API 単位）に IP フィルタリングを適用します。
Azure AD B2C が発行した JSON Web トークン（JWT）を検証します。
解答を見る
Azure Front Door は WAF と統合し、OWASP ルールセット（CRS）などに基づく一般的な攻撃・脆弱性への対策をエッジで提供できます。
一方、Azure AD B2C（現在は Microsoft Entra 外部 ID）が発行するトークンを API ゲートウェイ側で確実に判定するには、API Management の validate-jwt ポリシーで JWT を検証するのが適切です。
したがって Front Door には OWASP 保護、API Management には JWT 検証を割り当てます。
Azure Front Door 上の Web アプリケーション ファイアウォール (WAF)
JWT を検証する
Microsoft Entra 外部 ID の概要
Q8.次の表に示すオブジェクトを含む、RG1 という名前のリソース グループがあります。
App1 が KV1 内のすべてのシークレットを KV2 へコピーできるように、権限を構成する必要があります。
現時点で、App1 には KV1 のシークレットに対する Get 権限が付与されています。
App1 に追加で割り当てるべき権限はどれですか。
回答するには、回答領域で適切なオプションを選択してください。
解答を見る
KV1 では既に Get 権限があるため、すべてのシークレットを複製するにはどのシークレットが存在するかを列挙できる List 権限が追加で必要です。
KV2 側では取得したシークレットを新規に作成（設定）して格納する必要があるため、作成に相当する Create 権限を付与します。
これにより App1 は一覧取得→取得→作成の流れで KV1 から KV2 へコピーできます。
Key Vault のアクセス ポリシーを割り当てる (レガシー)
Azure Key Vault シークレットについて
Azure ロールベースのアクセス制御を使用して Key Vault のキー、証明書、シークレットへのアクセス権を付与する
Q9.利用者向けにコンテンツを集約して提供するアプリケーションを設計しています。
このアプリケーションに適したデータベース ソリューションを提案する必要があります。
ソリューションは、SQL コマンドをサポートし、マルチマスター書き込みに対応し、低レイテンシの読み取り操作を保証する必要があります。
推奨案には何を含めるべきでしょうか。
解答を見る
要件は「SQL でのクエリ」「複数リージョンでの同時書き込み（マルチマスター）」「低遅延読み取りの保証」です。
Azure Cosmos DB for NoSQL は、SQL 互換のクエリ言語を提供し、複数リージョン書き込みを有効化してアクティブ-アクティブ構成にできます。
さらに可用性や P99 待機時間などの SLA が明示され、グローバルに低遅延を狙えます。
Azure SQL のアクティブ geo レプリケーションは読み取り用セカンダリが中心で、マルチマスター要件を満たしません。
NoSQL 用 Azure Cosmos DB のドキュメント
Azure Cosmos DB での複数リージョンの書き込み
Azure Cosmos DB for NoSQL の高可用性 (信頼性)
Q10.宛先としてオンプレミスの SQL Server データベース 10 個を参照するように構成された、Microsoft SQL Server Integration Services（SSIS）パッケージが 100 個あります。
これら 10 個のオンプレミス データベースを Azure SQL Database へ移行する計画です。
Azure 上で SSIS パッケージをホストするためのソリューションを提案する必要があります。
ソリューションでは、各パッケージが宛先として SQL Database インスタンスを対象にできることを保証する必要があります。
推奨案に含めるべきものは何ですか。
解答を見る
Azure 上で SSIS パッケージを実行するには、Azure Data Factory の Azure-SSIS Integration Runtimeを使用するのが適切です。
Azure-SSIS Integration Runtime は、Azure 上で SSIS パッケージをそのまま実行できるマネージド実行環境です。
そのため既存の SSIS ワークロードを大きく作り直さずに移行しやすく、宛先を Azure SQL Database にしたパッケージもホストできます。
SSMA やデータ移行アシスタントは主にデータベース移行を支援するツールであり、SSIS パッケージのホスティング用途には適しません。
ADF またはシナプス パイプラインでオンプレミスの SSIS ワークロードを移行する
Azure Data Factory の統合ランタイム
Azure-SSIS 統合ランタイムをプロビジョニングする