Azure認定資格 WEB問題集＆徹底解説
AZ-104：Microsoft Azure Administrator
問題文と選択肢
現在の価格プランは Standard です。
セキュリティ部門の監査により、イメージのプル時にレイヤー BLOB のダウンロードが既定のワイルドカードのストレージエンドポイント(*.blob.core.windows.net)へリダイレクトされている点を指摘され、クライアントのファイアウォールでレジストリ専用のデータエンドポイント(adflow-shared-acr.[リージョン].data.azurecr.io)だけを許可できる状態にするよう求められました。
この要件を満たすために、Azure portal で adflow-shared-acr に対して変更が必要な設定を 2 つ選択してください。
- 概要 (Overview)
- 暗号化 (Encryption)
- アクセス制御 (IAM)
- ネットワーク (Networking)
- タスク (Tasks)
- プロパティ (Properties)
A. 概要 (Overview)
概要 (Overview) はログイン サーバー名やストレージ使用量など、レジストリの状態を確認するページです。使用量から SKU 変更を検討する入口にはなりますが、価格プランを変更する設定項目はここにはありません（変更先は「設定」の「プロパティ」）。
B. 暗号化 (Encryption)
暗号化 (Encryption) はカスタマー マネージド キー (CMK) による保存時の暗号化を構成する設定です。保存されたイメージの暗号化キーを誰が管理するかという話であり、レイヤーのダウンロードがどの URL 経由で行われるかには影響しません。
C. アクセス制御 (IAM)
アクセス制御 (IAM) は Azure RBAC のロール割り当て、すなわち「誰がレジストリを操作できるか」を決める設定です。認証・認可の話であって、データプレーンの通信経路（エンドポイント）を変える設定ではありません。
D. ネットワーク (Networking)
正解の 1 つです。専用データ エンドポイントの有効化は、ポータルでは「設定」＞「ネットワーク」＞「パブリック アクセス」にある「専用データ エンドポイントを使用する」のチェックボックスで行います（Azure CLI なら az acr update --data-endpoint-enabled）。有効化すると、レイヤーの 307 リダイレクト先が adflow-shared-acr.[リージョン].data.azurecr.io に変わり、ファイアウォール規則をレジストリ専用の URL に絞り込めます。
E. タスク (Tasks)
タスク (Tasks) は ACR Tasks によるイメージのビルド・パッチ適用を自動化する機能です。ビルド パイプラインの設定であり、プル時のダウンロード経路とは無関係です。
F. プロパティ (Properties)
正解の 1 つです。専用データ エンドポイントは Premium サービス レベル専用の機能で、現在の Standard のままではネットワーク画面のチェックボックスを有効にできません。ポータルで価格プランを変更するには「設定」＞「プロパティ」＞「価格プラン」で Premium を選択して保存します（SKU 変更によるダウンタイムはありません）。
専用データエンドポイントは Premium 限定。ネットワークでオン、SKU はプロパティで昇格。
正解への思考ルート
問題文から要件を抽出し、選択肢の適否を判断するのがポイントです。| 要件 | 判断ポイント |
|---|---|
| 専用データエンドポイントを有効にする場所 | ポータルでは「ネットワーク」＞「パブリック アクセス」のチェックボックス →選択肢（D）が正解 |
| 機能の前提となるサービス レベル | 専用データ エンドポイントは Premium 限定。現在は Standard なので昇格が必須 →選択肢（F）が正解 |
| 価格プラン (SKU) を変更する場所 | ポータルでは「プロパティ」の価格プラン。概要ページは使用状況の確認用で変更はできない →選択肢（A）を消す |
| 要件と無関係な設定を切る | 保存時の暗号化・RBAC・イメージのビルド自動化は、いずれもデータの通信経路を変えない →選択肢（B・C・E）を消す |
ひっかけポイント
- 「ネットワーク」だけ変えれば済むと考えると 1 つ足りません。Standard のままではチェックボックスが利用できないため、価格プランの変更とセットで初めて要件を満たします
- SKU の変更を「概要」から行うと思い込みやすいのが最大のひっかけです。現在のポータルでは「設定」＞「プロパティ」から価格プランを切り替えます。古い手順書や教材には「概要」ページの「更新」から変更する説明が残っていることがありますが、現在の公式手順はプロパティ側です
- 専用データ エンドポイントが効くのはプル（レイヤーのダウンロード）だけです。プッシュ時のアップロードはログイン サーバー経由のままなので、「すべての通信を専用エンドポイントに寄せる」という理解は誤りです
- 「アクセス制御 (IAM)」はセキュリティ監査という文脈につられて選びがちですが、誰がアクセスできるかを決めるだけで、どの URL 経由で流れるかは変わりません
出題バリエーション
同じ知識が本番では条件を変えて出題されます。| 問題文がこう変わったら | 正解はこう変わる |
|---|---|
| 「価格プランが最初から Premium だった」に変わったら | 変更が必要なのは「ネットワーク」だけになり、答えは 1 つに減る |
| 「Azure CLI で構成するには？」に変わったら | az acr update --name adflow-shared-acr --sku Premium と az acr update --name adflow-shared-acr --data-endpoint-enabled の 2 コマンド |
| 「仮想ネットワーク内のクライアントからのみ到達させたい」に変わったら | プライベート エンドポイント（同じく Premium）を構成する。構成すると専用データ エンドポイントは自動的に有効になる |
| 「有効化したらオンプレミスからのプルが失敗した」に変わったら | クライアント側ファイアウォールに新しいデータ エンドポイント (.data.azurecr.io) の許可規則を追加する |
| 「geo レプリケーション済みのレジストリだったら」に変わったら | レプリカのリージョンごとにデータ エンドポイントが払い出されるため、全リージョン分の許可規則が必要になる |
リファレンス
この問題を解くために必要な知識を扱う公式ドキュメントです。| 知識項目 | 公式ドキュメント |
|---|---|
| 専用データ エンドポイントの有効化手順と Premium 要件 | Azure Container Registry専用のデータ エンドポイント |
| 価格プラン (SKU) の変更手順と SKU 別の機能差 | Azure Container Registry SKU の機能と制限 |
現在の価格プランは Standard です。
セキュリティ部門の監査により、イメージのプル時にレイヤー BLOB のダウンロードが既定のワイルドカードのストレージエンドポイント(*.blob.core.windows.net)へリダイレクトされている点を指摘され、クライアントのファイアウォールでレジストリ専用のデータエンドポイント(adflow-shared-acr.[リージョン].data.azurecr.io)だけを許可できる状態にするよう求められました。
この要件を満たすために、Azure portal で adflow-shared-acr に対して変更が必要な設定を 2 つ選択してください。
- 概要 (Overview)
- 暗号化 (Encryption)
- アクセス制御 (IAM)
- ネットワーク (Networking)
- タスク (Tasks)
- プロパティ (Properties)
次の問題
会員機能
お役立ち情報
姉妹サイト
AWS
- CLF：クラウドプラクティショナー
- SAA：ソリューションアーキテクト-アソシエイト
- AIF：AIプラクティショナー
- SOA：CloudOpsエンジニア-アソシエイト
- DVA：デベロッパー-アソシエイト
- DEA：データエンジニア-アソシエイト
- MLA：機械学習エンジニア-アソシエイト
- SAP：ソリューションアーキテクト-プロフェッショナル
- DOP：DevOpsエンジニア-プロフェッショナル
- AIP：生成AIデベロッパー-プロフェッショナル
- SCS：セキュリティ-専門知識
Microsoft Azure
- AZ-900：Microsoft Azure Fundamentals
- AZ-104：Microsoft Azure Administrator
- AI-901：Microsoft Azure AI Fundamentals
- DP-900：Microsoft Azure Data Fundamentals