DISPLAY SETTINGS 各種設定
Q1.ある組織で Azure 仮想ネットワークのサブネットに対する IP アドレス設計を進めています。
これらのサブネット内のプライベート IP アドレスを実際に消費するリソースの種類はどれですか。
解答を見る
Azure 仮想ネットワークでは、リソースの種類ごとにサブネット内の IP アドレスを消費するかどうかが異なります。
内部ロードバランサーはフロントエンド IP としてサブネット内のプライベート IP アドレスを割り当てるため、必ず IP を消費します。
一方、ストレージアカウントやサービスエンドポイントは PaaS リソースへ接続するための機能であり、サブネット内の IP を必要としません。
サービスエンドポイントポリシーもアクセス制御の仕組みであり IP を消費しません。
したがって、サブネット内の IP アドレスを必要とするのは内部ロードバランサーのみです。
Azure Load Balancer の概要
Q2.GW1 という名前の Azure VPN ゲートウェイを持つ Azure サブスクリプションを運用しています。
GW1 はポイント対サイト（P2S）VPN 接続を提供しており、利用者は SSTP 接続を用いて Windows 11 デバイスから GW1 へ接続します。
この P2S VPN 接続が Microsoft Entra 認証をサポートするように構成する必要があります。
順番に実行すべき 3 つのアクションはどれですか。
左の「選択肢」から必要な数を右の「回答エリア」へドラッグ（またはタップ）。回答エリア内でドラッグして順序を入れ替えられます。
- Microsoft.HybridNetwork リソースプロバイダーを登録する
- GW1 のポイント対サイト構成で認証タイプを Microsoft Entra に設定し、トンネルタイプを OpenVPN（SSL）に設定する
- Azure VPN アプリケーションに対して Microsoft Entra テナントの管理者同意を付与する
- GW1 のポイント対サイト構成で認証タイプを Microsoft Entra に設定し、トンネルタイプを IKEv2 および SSTP（SSL）に設定する
- Azure VPN クライアントプロファイル構成パッケージをダウンロードしてユーザーに配布する
- ここへドラッグ
解答を見る
本問では Microsoft Entra 認証に対応した P2S VPN を構成する正しい手順が問われています。
最初に Azure VPN アプリケーションへ管理者同意を付与し、Microsoft Entra による認証を有効化します。
次に GW1 のポイント対サイト構成で認証タイプを Microsoft Entra に設定し、IKEv2 および SSTP のトンネルを構成します。
OpenVPN の設定は今回の要件では不要です。
最後に VPN クライアント構成パッケージを配布し、ユーザーが接続できるようにします。
リソースプロバイダーの登録も本要件では必要ありません。
ポイント対サイト VPN について
Q3.Vnet1 と Vnet2 という 2 つの Azure 仮想ネットワークがあります。
Client1 という名前の Windows 10 デバイスは、ポイント対サイト（P2S）IKEv2 VPN を使用して Vnet1 に接続しています。
Vnet1 と Vnet2 の間に仮想ネットワークピアリングを構成し、Vnet1 側でゲートウェイトランジットを許可し、Vnet2 側でリモートゲートウェイの使用を有効にしています。
しかし Client1 が Vnet2 と通信できないことが判明しました。
Client1 が Vnet2 と通信できるようにする必要があります。
解決策：Vnet1 のゲートウェイで BGP を有効にします。
これは目標を達成していますか。
解答を見る
この解決策では目標を達成できないため、答えは「いいえ」です。
P2S の IKEv2 接続を行っているクライアントでは、ピアリングやネットワーク構成を変更した際に VPN クライアント構成パッケージを再ダウンロードして再適用することが必要です。
Vnet1 のゲートウェイで BGP を有効化しても、Client1 が Vnet2 への新しい経路を自動的に取得できるわけではありません。
クライアントに変更後のトポロジを反映させるには、更新した構成を再配布する必要があります。
したがって BGP の有効化は通信不可の直接的な解決策にはなりません。
ポイント対サイト VPN ルーティングについて – Azure
Q4.次の構成の Azure 仮想ネットワークがあります。
Vnet1 はサブネット Subnet1-1（10.1.1.0/24）を持ち、Vnet3 とピアリングしています。
Vnet2 はサブネット Subnet2-1（10.2.1.0/24）を持ち、Vnet3 とピアリングしています。
Vnet3 は AzureFirewallSubnet（10.3.1.0/24）を持ち、Vnet1 および Vnet2 とピアリングしています。
Azure Firewall を Vnet3 にデプロイします。
Subnet1-1 から Subnet2-1 へのトラフィックがファイアウォールを通過するようにする必要があります。
どのような設定が必要ですか。
| 名前 | サブネット | サブネット アドレス空間 | ピアリング先 |
|---|---|---|---|
| Vnet1 | Subnet1-1 | 10.1.1.0/24 | Vnet3 |
| Vnet2 | Subnet2-1 | 10.2.1.0/24 | Vnet3 |
| Vnet3 | AzureFirewallSubnet | 10.3.1.0/24 | Vnet1, Vnet2 |
解答を見る
Azure Firewall を経由してトラフィックを流すには、通信経路を明示的に制御する必要があります。
そのために ユーザー定義ルート（UDR）を用い、Subnet1-1 と Subnet2-1 にルートテーブルを関連付けて次ホップを Azure Firewall に向けます。
AzureFirewallSubnet 側にルートを設定しても、送信元サブネットからの経路は制御できません。
ピアリングや Azure プライベート DNS ゾーンはルーティングの制御には関与しません。
したがって、送信元サブネットへのルートテーブル関連付けが必須となります。
チュートリアル: Azure Portal を使用して Azure Firewall をデプロイして構成する
Q5.オンプレミスネットワークと、Vnet1 という名前の Azure 仮想ネットワークを運用しています。
Azure Extended Network を実装する必要があります。
ソリューションはコストを最小限に抑える必要があります。
Vnet1 にデプロイする仮想マシンの種類と、Azure 拡張ネットワークの構成に使用するツールはそれぞれどれですか。
解答を見る
Azure Extended Network を実装するには、拡張ネットワーク機能に対応した Windows Server 2022 Datacenter: Azure Edition を使用します。
このエディションは Azure 向けに最適化されており、追加コストを抑えつつ拡張ネットワークを実現できます。
構成ツールには Windows Admin Center を使用し、オンプレミスと Azure 間のサブネット拡張を簡単に設定できます。
他のエディションや Server Manager などのツールではこの機能はサポートされないか、複雑な構成やコスト増を招きます。
そのため最小コストという要件にも合致します。
Azure 用拡張ネットワークを使用して、オンプレミスのサブネットを Azure に拡張する | Microsoft Learn
Q6.すべてのイベントとメトリックがログとして記録されるように VNET1 を構成する必要があります。
ソリューションでは、KQL を用いて Azure ポータルから直接イベントとメトリックをクエリできるようにする必要があります。
どの構成を選択すべきですか。
解答を見る
要件では KQL を用いて Azure ポータルから直接イベントとメトリックをクエリできる必要があります。
これを満たすには、診断設定でログとすべてのメトリック（AllMetrics）を有効化し、送信先として Log Analytics ワークスペースを指定します。
Log Analytics に蓄積されたデータは KQL で直接分析できます。
Azure Storage は保管、Event Hub は転送を目的としており、いずれも直接 KQL クエリの対象にはできません。
メトリックアラートの構成は監視通知の仕組みであり、本要件には該当しません。
Azure Monitorの診断設定 – Azure Monitor | Microsoft Learn
Q7.Azure Application Gateway 上に AG1 という名前の Azure Web アプリケーションファイアウォール（WAF）v2 層があります。
AG1 には Policy1 という名前のポリシーが構成されています。
Policy1 にカスタムルールを追加する必要があります。
このルールでは、特定の IP アドレス範囲に属する IP アドレスからのすべての要求をブロックする必要があります。
順番に実行すべき 4 つの PowerShell コマンドレットはどれですか。
左の「選択肢」から必要な数を右の「回答エリア」へドラッグ（またはタップ）。回答エリア内でドラッグして順序を入れ替えられます。
- New-AzApplicationGatewayFirewallPolicyExclusion
- New-AzApplicationGatewayFirewallMatchVariable
- New-AzApplicationGatewayFirewallCondition
- New-AzApplicationGatewayFirewallCustomRule
- Set-AzApplicationGatewayFirewallPolicy
- ここへドラッグ
解答を見る
WAF のカスタムルールを作成する手順では、まず New-AzApplicationGatewayFirewallMatchVariable で評価対象（IP アドレスなど）を定義します。
次に New-AzApplicationGatewayFirewallCondition で、特定の IP 範囲に一致する条件を作成します。
その条件を基に New-AzApplicationGatewayFirewallCustomRule でカスタムルールを作成します。
最後に Set-AzApplicationGatewayFirewallPolicy でポリシーへ適用します。
Exclusion は例外設定のため、ブロック要件には使用しません。
Application Gateway 用 Web アプリケーション ファイアウォールでカスタム ルールを作成する
Q8.Azure サブスクリプションが 2 つあります。
それぞれのサブスクリプションの米国東部 Azure リージョンで、次のアクションを実行する必要があります。
可用性ゾーン 1 に 50 台の仮想マシンをデプロイします。
可用性ゾーン 2 に 50 台の仮想マシンをデプロイします。
可用性ゾーン 3 に 50 台の仮想マシンをデプロイします。
作成する必要がある仮想ネットワークと /25 サブネットの最小数はそれぞれいくつですか。
解答を見る
仮想ネットワークは 1 つのサブスクリプション内にのみ作成されるため、2 つのサブスクリプションにそれぞれ最低 1 つ、合計 2 つの仮想ネットワークが必要です。
可用性ゾーンごとに仮想ネットワークやサブネットを分ける必要はありません。
/25 サブネットは 128 個のアドレスを持ちますが、Azure では各サブネットで 5 個が予約されるため使用可能数は 123 個です。
各サブスクリプションで 150 台の VM が必要なため /25 サブネットは 2 個ずつ必要で、2 サブスクリプション分で合計 4 個になります。
Azure 仮想ネットワークの概要
Q9.Site1 という名前のオンプレミスネットワークがあります。
VNet1 という名前の仮想ネットワークと storage1 という名前のストレージアカウントを含む Azure サブスクリプションがあります。
Site1 と VNet1 はサイト間（S2S）VPN で接続されています。
この S2S VPN を使用して、Site1 内のサーバーが storage1 に接続できるようにする必要があります。
ソリューションでは、管理の労力を最小限に抑える必要があります。
VNet1 に何を作成する必要がありますか。
解答を見る
オンプレミスから S2S VPN 経由で Azure Storage に安全に接続するには、プライベートエンドポイントを作成します。
これによりストレージアカウントに VNet 内のプライベート IP が割り当てられ、VNet 経由でアクセスできるようになります。
S2S VPN で接続されたオンプレミスのサーバーからも、このプライベート IP へインターネットを経由せず到達できます。
サービスエンドポイントは VNet 内からのアクセスに限定され、オンプレミスからの接続には適しません。
したがって プライベートエンドポイントが最小の管理労力で実現できる最適解です。
Azure Private Endpoint とは
Q10.GW1 という名前のオンプレミス VPN アプライアンスがあります。
VPNGW1 という名前の Azure VPN ゲートウェイを含む Azure サブスクリプションがあり、VPNGW1 は GW1 に接続しています。
VPNGW1 と GW1 の間で使用される IKEv2 暗号化アルゴリズムを変更する必要があります。
どの PowerShell コマンドレットを実行する必要がありますか。
解答を見る
IKEv2 の暗号化アルゴリズムを変更するには、まず New-AzIpsecPolicy で IPsec/IKE ポリシーを定義し、暗号化や整合性アルゴリズムを指定します。
次に Set-AzVirtualNetworkGatewayConnection を使用して、その接続にポリシーを適用します。
設定はゲートウェイ自体ではなく接続単位で行う点が重要です。
New-AzIpsecTrafficSelectorPolicy や Set-AzFirewallPolicy は用途が異なるため、本要件には該当しません。
PowerShell を使用して VPN ゲートウェイの IPsec/IKE ポリシーを構成する