Azure認定資格 WEB問題集＆徹底解説
会員登録/ログイン

AZ-104：Microsoft Azure Administrator

正解 A問題

分野4：仮想ネットワークの実装と管理タスクステートメント4.2：仮想ネットワークへのセキュアなアクセスの構成タスクステートメント4.3：名前解決と負荷分散の構成

1 2 3 4

次の問題前の問題

Yes/No 連問（全 4 問中第 4 問）第 1 問第 2 問第 3 問 第 4 問

同じ状況・目標に対して、解決策だけが異なる問題が続きます。解決策ごとに目標を満たすかを判断してください。

問題文と選択肢

東京リージョンで宿泊予約サイト「予約ポータル」を運用する旅行会社が、Web アプリケーションを仮想マシン VM-WEB01 と VM-WEB02 に配置し、Azure Standard Load Balancer で受信トラフィックを分散しています。ロードバランサーの正常性プローブは TCP ポート 443 に対して実行されます。
VM-WEB01 と VM-WEB02 は同じサブネットにあり、そのサブネットに関連付けられたネットワークセキュリティグループ (NSG) の受信規則が両方の VM に適用されています（NIC には NSG を関連付けていません）。実効規則は次のとおりです。

優先度	名前	送信元	宛先ポート/プロトコル	アクション
100	Allow-Office-HTTPS	198.51.100.25/32	443/TCP	許可
200	Deny-HTTPS-Others	Any	443/TCP	拒否
65000	AllowVnetInBound	VirtualNetwork	Any	許可
65001	AllowAzureLoadBalancerInBound	AzureLoadBalancer	Any	許可
65500	DenyAllInBound	Any	Any	拒否

社内拠点の固定 IP アドレス 198.51.100.25 から TCP ポート 443 で予約ポータルへ接続すると失敗します。ロードバランサーの負荷分散規則とバックエンドプールの構成は正しいことを確認済みです。
目標は、198.51.100.25 から予約ポータルへの TCP ポート 443 接続を確立できるようにすることです。
提案されたソリューション: 送信元を AzureLoadBalancer サービスタグとしてすべてのポートを許可する受信規則を、優先度 150 で新規に追加する。
この解決策は目標を達成しますか。

はい
いいえ

解説頻出度★★★★★

この問題は、送信元 Any の拒否規則（優先度 200）が正常性プローブを止めている状況で、送信元 AzureLoadBalancer サービスタグの許可規則を優先度 150 で追加すれば、拒否より先にプローブだけを許可できると判断できるかがポイント

正解

A. はい

正解。この解決策は目標を達成します。
接続失敗の原因は、TCP 443 の正常性プローブ（送信元 168.63.129.16＝AzureLoadBalancer サービスタグ）が送信元 Any の Deny-HTTPS-Others（優先度 200）に一致して拒否され、VM-WEB01・VM-WEB02 がともに異常とマークされていることです。
追加する規則は優先度 150 で 200 より先に評価されるため、プローブはこの規則に一致して許可され、両 VM が正常に戻ります。社内 IP 198.51.100.25 からの 443 通信は優先度 100 で許可済みなので、ロードバランサーが新しい接続を転送し、接続を確立できます。

B. いいえ

誤り。既定規則 AllowAzureLoadBalancerInBound（65001）と内容が重なるため「意味がない」と考えがちですが、既定規則は優先度 200 の拒否より後にあるため効いていません。同じ許可を 150 に置き直すことで初めてプローブが通ります。
また「すべてのポートを許可」でも、送信元を AzureLoadBalancer タグに絞っているため、許可されるのはロードバランサーのプローブだけで、目標の達成を妨げる要素はありません。

これだけ覚える（記憶フック）
プローブを通すなら AzureLoadBalancer タグを、拒否より小さい番号で許可。

記憶フックを一覧で見る ❯

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
原因は送信元 Any の Deny-HTTPS-Others（200）が TCP 443 の正常性プローブを拒否していること	プローブの送信元 168.63.129.16 を優先度 200 より前で許可できれば原因が解消する →選択肢（A・B）は候補
追加規則は送信元 AzureLoadBalancer・全ポート許可・優先度 150	150 は 200 より小さいので拒否規則より先に一致し、プローブが許可される →選択肢（A）が正解
社内 IP から 443 への通信は優先度 100 で許可済み	プローブが通って両 VM が正常に戻れば、LB が社内からの新しい接続を転送する →選択肢（A）が正解
既定規則 AllowAzureLoadBalancerInBound（65001）と重複しないか	既定規則は拒否規則より後で効いていない。同じ許可でも優先度を前に置く意味がある →選択肢（B）を消す

ひっかけポイント

既定規則に同じ趣旨の AllowAzureLoadBalancerInBound（65001）があるため「重複で無意味」と考えがちだが、重要なのは優先度。65001 は 200 の拒否より後なので、150 で置き直すことに意味がある
「すべてのポートを許可」という表現から全開放に見えるが、送信元を AzureLoadBalancer タグに絞っているので、許可されるのはロードバランサーのプローブ（168.63.129.16）だけ。LB 経由の利用者の通信は元のクライアント IP のまま評価される
優先度は数値が小さいほど先に評価される。150 を「200 より優先度が低い」と読み違えると判断が逆になる

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
追加する規則の優先度が 300（拒否規則より後）だったら	いいえ。プローブは先に優先度 200 の拒否に一致する。
解決策が「受信規則 Deny-HTTPS-Others を削除する」に変わったら	はい。ただし VNet 内からの 443 も既定の AllowVnetInBound で通るようになる点が、この許可規則追加案との違い。
解決策が「Allow-Office-HTTPS の優先度を 100 から 90 に変更」に変わったら	いいえ。社内 IP は既に許可済みで、プローブの拒否が残る。
解決策が「198.51.100.25 からの受信をすべて拒否する規則を優先度 4000 で追加」に変わったら	いいえ。優先度 100 の許可が先に一致するため効果がなく、プローブの拒否も残る。

Azure認定資格 WEB問題集＆徹底解説
会員登録/ログイン

A. はい

B. いいえ

次の問題 前の問題

会員機能

お役立ち情報

姉妹サイト

AWS

Microsoft Azure

アンケート

サイト情報