AZ-104 無料WEB問題集＆徹底解説｜Microsoft Azure Administrator

正解 D,F問題

分野3：Azure コンピューティングリソースのデプロイと管理タスクステートメント3.3：Azure portal でのコンテナーのプロビジョニングと管理

1 2 3 4

次の問題前の問題

問題文と選択肢

広告配信システムを開発するアドフロー株式会社は、コンテナーイメージの管理に Azure Container Registry のインスタンス adflow-shared-acr を運用しています。
現在の価格プランは Standard です。
セキュリティ部門の監査により、イメージのプル時にレイヤー BLOB のダウンロードが既定のワイルドカードのストレージエンドポイント(*.blob.core.windows.net)へリダイレクトされている点を指摘され、クライアントのファイアウォールでレジストリ専用のデータエンドポイント(adflow-shared-acr.[リージョン].data.azurecr.io)だけを許可できる状態にするよう求められました。
この要件を満たすために、Azure portal で adflow-shared-acr に対して変更が必要な設定を 2 つ選択してください。

概要 (Overview)
暗号化 (Encryption)
アクセス制御 (IAM)
ネットワーク (Networking)
タスク (Tasks)
プロパティ (Properties)

解説頻出度★★★★★

この問題は、「専用データエンドポイントは Premium 限定の機能」×「有効化するブレードはネットワーク」の 2 点を結び付けて、Standard のレジストリでは価格プランの変更も必要だと気付けるかがポイントです。

A. 概要 (Overview)

概要 (Overview) はログインサーバー名やストレージ使用量など、レジストリの状態を確認するページです。使用量から SKU 変更を検討する入口にはなりますが、価格プランを変更する設定項目はここにはありません（変更先は「設定」の「プロパティ」）。

B. 暗号化 (Encryption)

暗号化 (Encryption) はカスタマーマネージドキー (CMK) による保存時の暗号化を構成する設定です。保存されたイメージの暗号化キーを誰が管理するかという話であり、レイヤーのダウンロードがどの URL 経由で行われるかには影響しません。

C. アクセス制御 (IAM)

アクセス制御 (IAM) は Azure RBAC のロール割り当て、すなわち「誰がレジストリを操作できるか」を決める設定です。認証・認可の話であって、データプレーンの通信経路（エンドポイント）を変える設定ではありません。

正解

D. ネットワーク (Networking)

正解の 1 つです。専用データエンドポイントの有効化は、ポータルでは「設定」＞「ネットワーク」＞「パブリックアクセス」にある「専用データエンドポイントを使用する」のチェックボックスで行います（Azure CLI なら az acr update --data-endpoint-enabled）。有効化すると、レイヤーの 307 リダイレクト先が adflow-shared-acr.[リージョン].data.azurecr.io に変わり、ファイアウォール規則をレジストリ専用の URL に絞り込めます。

E. タスク (Tasks)

タスク (Tasks) は ACR Tasks によるイメージのビルド・パッチ適用を自動化する機能です。ビルドパイプラインの設定であり、プル時のダウンロード経路とは無関係です。

正解

F. プロパティ (Properties)

正解の 1 つです。専用データエンドポイントは Premium サービスレベル専用の機能で、現在の Standard のままではネットワーク画面のチェックボックスを有効にできません。ポータルで価格プランを変更するには「設定」＞「プロパティ」＞「価格プラン」で Premium を選択して保存します（SKU 変更によるダウンタイムはありません）。

これだけ覚える（記憶フック）
専用データエンドポイントは Premium 限定。ネットワークでオン、SKU はプロパティで昇格。

記憶フックを一覧で見る ❯

正解への思考ルート

問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。

要件	判断ポイント
専用データエンドポイントを有効にする場所	ポータルでは「ネットワーク」＞「パブリックアクセス」のチェックボックス →選択肢（D）が正解
機能の前提となるサービスレベル	専用データエンドポイントは Premium 限定。現在は Standard なので昇格が必須 →選択肢（F）が正解
価格プラン (SKU) を変更する場所	ポータルでは「プロパティ」の価格プラン。概要ページは使用状況の確認用で変更はできない →選択肢（A）を消す
要件と無関係な設定を切る	保存時の暗号化・RBAC・イメージのビルド自動化は、いずれもデータの通信経路を変えない →選択肢（B・C・E）を消す

ひっかけポイント

「ネットワーク」だけ変えれば済むと考えると 1 つ足りません。Standard のままではチェックボックスが利用できないため、価格プランの変更とセットで初めて要件を満たします
SKU の変更を「概要」から行うと思い込みやすいのが最大のひっかけです。現在のポータルでは「設定」＞「プロパティ」から価格プランを切り替えます。古い手順書や教材には「概要」ページの「更新」から変更する説明が残っていることがありますが、現在の公式手順はプロパティ側です
専用データエンドポイントが効くのはプル（レイヤーのダウンロード）だけです。プッシュ時のアップロードはログインサーバー経由のままなので、「すべての通信を専用エンドポイントに寄せる」という理解は誤りです
「アクセス制御 (IAM)」はセキュリティ監査という文脈につられて選びがちですが、誰がアクセスできるかを決めるだけで、どの URL 経由で流れるかは変わりません

出題バリエーション

同じ知識が本番では条件を変えて出題されます。

問題文がこう変わったら	正解はこう変わる
「価格プランが最初から Premium だった」に変わったら	変更が必要なのは「ネットワーク」だけになり、答えは 1 つに減る
「Azure CLI で構成するには？」に変わったら	az acr update --name adflow-shared-acr --sku Premium と az acr update --name adflow-shared-acr --data-endpoint-enabled の 2 コマンド
「仮想ネットワーク内のクライアントからのみ到達させたい」に変わったら	プライベートエンドポイント（同じく Premium）を構成する。構成すると専用データエンドポイントは自動的に有効になる
「有効化したらオンプレミスからのプルが失敗した」に変わったら	クライアント側ファイアウォールに新しいデータエンドポイント (.data.azurecr.io) の許可規則を追加する
「geo レプリケーション済みのレジストリだったら」に変わったら	レプリカのリージョンごとにデータエンドポイントが払い出されるため、全リージョン分の許可規則が必要になる

知識項目	公式ドキュメント
専用データエンドポイントの有効化手順と Premium 要件	Azure Container Registry専用のデータエンドポイント
価格プラン (SKU) の変更手順と SKU 別の機能差	Azure Container Registry SKU の機能と制限

Azure認定資格 WEB問題集＆徹底解説
会員登録/ログイン

A. 概要 (Overview)

B. 暗号化 (Encryption)

C. アクセス制御 (IAM)

D. ネットワーク (Networking)

E. タスク (Tasks)

F. プロパティ (Properties)

次の問題 前の問題

会員機能

お役立ち情報

姉妹サイト

AWS

Microsoft Azure

アンケート

サイト情報