Azure認定資格 WEB問題集＆徹底解説

AZ-104：Microsoft Azure Administrator

正解 B問題
分野4：仮想ネットワークの実装と管理 分野5：Azure リソースの監視と保守 タスクステートメント4.2：仮想ネットワークへのセキュアなアクセスの構成 タスクステートメント5.1：Azure でのリソースの監視
要復習（もう一度解きたい問題） 1 2 3 4
次の問題
合格に向けて、もっと深く学習する
豊富な問題と詳細なAzureサービス解説を、1 時間無料でお試しいただけます
プレミアム会員機能を無料で試す ❯
問題文と選択肢
精密機器メーカーの甲斐精機は、Japan East リージョンの仮想ネットワーク VNet-Factory に複数の仮想マシンを展開しています。
今後、Azure Monitor を有効化し、VM Insights で仮想マシンの稼働状況を監視する計画です。
セキュリティ基準により、仮想マシンと Azure Monitor の間のすべての通信は VNet-Factory 経由に限定し、パブリックインターネットを経由させてはなりません。
この要件を満たすために、最初に作成すべきものはどれですか。
  • プライベートエンドポイント
  • Azure Monitor Private Link Scope (AMPLS)
  • データ収集ルール (DCR)
  • NSG のアウトバウンド規則で Log Analytics のパブリック FQDN 宛て通信のみを許可する
解説 頻出度★★★★★
この問題は、「Azure Monitor への通信を仮想ネットワーク内に閉じる」要件で、最初に Azure Monitor Private Link Scope (AMPLS) を作成するという手順の順序を答えられるかがポイントです。プライベートエンドポイントは AMPLS を作ってから接続します。

A. プライベートエンドポイント

プライベートエンドポイント自体は最終的に必要ですが、作成する順序が誤りです。
Azure Monitor のプライベートエンドポイントは、接続先リソースとして Microsoft.Insights/privateLinkScopes（＝AMPLS）を指定し、ターゲットサブリソースに azuremonitor を選ぶ形で作成します。つまり AMPLS が存在しなければ作成できません。
公式の構成手順も「①AMPLS を作成 → ②Azure Monitor リソースを AMPLS に追加 → ③AMPLS をプライベートエンドポイントに接続」の順です。

正解

B. Azure Monitor Private Link Scope (AMPLS)

正解です。Azure Monitor Private Link Scope (AMPLS) は、Log Analytics ワークスペースやデータ収集エンドポイント (DCE) といった Azure Monitor リソースをひとまとめにし、プライベートリンク経由でアクセスさせるための「入れ物」となるリソースです。
構成は AMPLS の作成から始まり、続けて監視対象のリソースを AMPLS に追加し、最後に VNet-Factory 内のサブネットへプライベートエンドポイントを作成して AMPLS に接続します。
この構成が完了すると Azure Monitor のエンドポイントが仮想ネットワークのプライベート IP に解決されるようになり、VM と Azure Monitor の通信をパブリックインターネットに出さずに済みます。
「最初に作成すべきもの」という問い方に対して、依存関係の根元にあるのが AMPLS です。

C. データ収集ルール (DCR)

データ収集ルール (DCR) は、Azure Monitor エージェントがどのデータをどこへ送るかを定義する設定で、VM Insights の構成には必要ですが通信経路をプライベート化する機能はありません。
ネットワーク分離に関わるのは、AMPLS に追加できるデータ収集エンドポイント (DCE) の方です。
DCR を先に作っても、通信は既定でパブリックエンドポイント宛てに出てしまい、要件を満たせません。

D. NSG のアウトバウンド規則で Log Analytics のパブリック FQDN 宛て通信のみを許可する

NSG の規則でFQDN を宛先に指定することはできず、この構成自体が実現できません（FQDN での制御は Azure Firewall のアプリケーション規則の役割です）。
仮に IP やサービスタグで許可を絞ったとしても、通信の宛先は依然としてパブリックエンドポイントであり、「すべての通信を VNet 経由に限定する」という要件を満たしません。
NSG はトラフィックの許可・拒否を行うものであって、経路をプライベート化する仕組みではない、という違いを押さえます。

これだけ覚える（記憶フック）
Azure Monitor のプライベートリンクは AMPLS が起点。スコープを作る→監視リソースを追加→PE で VNet に接続。
正解への思考ルート 問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。
要件 判断ポイント
VM と Azure Monitor の通信をパブリックインターネットに出さない 経路のプライベート化は Azure Private Link の役割。NSG のフィルタリングでは実現できない
→選択肢（D）を消す
Azure Monitor でプライベートリンクを使うための入れ物 AMPLS に Log Analytics ワークスペースや DCE を追加してスコープを定義する
→選択肢（B）が正解
「最初に作成すべきもの」という順序の問い プライベートエンドポイントは接続先として AMPLS を指定して作るため、AMPLS が先
→選択肢（A）は必要だが順序が後
VM Insights のデータ収集設定 DCR は収集内容の定義であって、ネットワーク分離には寄与しない
→選択肢（C）を消す
構成完了後に通信がどう変わるか 監視エンドポイントがプライベート DNS ゾーン経由で VNet のプライベート IP に解決される
→選択肢（B）が正解
ひっかけポイント
  • 選択肢 A のプライベートエンドポイントは誤りではなく「順序が後」。設問が「最初に作成すべきもの」と限定している点を読み落とすと引っかかる
  • 「Log Analytics ワークスペースに直接プライベートエンドポイントを張る」と考えがちだが、Azure Monitor では必ず AMPLS を経由する
  • 選択肢 D はNSG に FQDN 欄が存在しない時点で成立しない。加えて許可できても通信はパブリック経路のまま
  • AMPLS はリージョンに依存しない global リソースだが、プライベートエンドポイントは接続する VNet と同じリージョンに作る必要がある
出題バリエーション 同じ知識が本番では条件を変えて出題されます。
問題文がこう変わったら 正解はこう変わる
「AMPLS を作ったのにまだパブリック経由で取り込みができてしまう」 AMPLS やワークスペースのアクセスモード（Open / PrivateOnly）とパブリックネットワークアクセス設定を見直すのが正解軸になる。
「Azure Monitor エージェント (AMA) のデータ送信までプライベート経路にしたい」 データ収集エンドポイント (DCE) を作成して AMPLS に追加し、DCR から参照させる。
「プライベートエンドポイント作成後に名前解決がパブリック IP のまま」 privatelink 系のプライベート DNS ゾーンと条件付きフォワーダーの構成が論点になる。
「ストレージアカウントへのアクセスを VNet 内に限定したい」 ストレージは AMPLS ではなくそのリソース自身へのプライベートエンドポイントを作成する。
「プライベートエンドポイント用のサブネットを設計したい」 Azure Monitor のプライベートリンクは最低 11 個の IP を使うため /27 以上を確保する、が判断材料になる。
関連サービスの解説 Azure Monitor
Azure Private Link
リファレンス この問題を解くために必要な知識を扱う公式ドキュメントです。
知識項目 公式ドキュメント
Azure Monitor のプライベートリンク構成手順（AMPLS の作成が起点） Azure Monitor のプライベート リンクを構成する
＋ 質問 / コメント
解答・解説に疑問がある場合や、よりよい解説がある場合など、お気軽にコメントください。ただし、短文コメントは表示されません。また、中傷などコメントの内容によっては、会員機能を停止させて頂きます。教え学び合える場になれば嬉しいです。（コメント投稿にはログインが必要です）
正答率 100%
No.2 解説
精密機器メーカーの甲斐精機は、Japan East リージョンの仮想ネットワーク VNet-Factory に複数の仮想マシンを展開しています。
今後、Azure Monitor を有効化し、VM Insights で仮想マシンの稼働状況を監視する計画です。
セキュリティ基準により、仮想マシンと Azure Monitor の間のすべての通信は VNet-Factory 経由に限定し、パブリックインターネットを経由させてはなりません。
この要件を満たすために、最初に作成すべきものはどれですか。
  • プライベートエンドポイント
  • Azure Monitor Private Link Scope (AMPLS)
  • データ収集ルール (DCR)
  • NSG のアウトバウンド規則で Log Analytics のパブリック FQDN 宛て通信のみを許可する

次の問題


(会員限定)当問題の評価をお願いします。改善に活用します。
広告

会員機能

お役立ち情報

姉妹サイト

AWS

Microsoft Azure

アンケート

サイト情報