AZ-305：Designing Microsoft Azure Infrastructure Solutions インフラストラクチャソリューションの設計 問23
インフラストラクチャソリューションの設計／ネットワークソリューションの設計ある企業は、多数の業務VNet（スポーク）を運用しており、インターネットへの送信（egress）の検査とフィルタリングを一元的に行い、共通のファイアウォールを集中管理したい。最も適したネットワーク設計はどれか。
当サイトのオリジナル問題（AZ-305：Designing Microsoft Azure Infrastructure Solutionsの出題範囲「インフラストラクチャソリューションの設計」に対応。実際の試験問題ではありません）
- A各スポークVNetに個別にファイアウォールVMを立てて別々に運用する
- BすべてのVNetを1つの巨大なVNetに統合する
- Cハブ＆スポーク構成にし、ハブVNetに Azure Firewall を配置して各スポークの送信を集中検査・フィルタリングする
- DNSGだけで各VMの送信を個別制御する
正解：C
解説
ハブ＆スポーク構成でハブVNetに Azure Firewall を配置し、各スポークからの送信トラフィックをハブ経由でまとめて検査・フィルタリングする設計が、集中管理と一元的なegress検査の要件に適します。スポークごとの個別FWや単一VNet統合、NSG単独は、集中管理型の検査・フィルタリングに適しません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。スポークごとの個別FWは集中管理・一元検査の要件に反します。
- B誤り。単一巨大VNetへの統合は分離・管理性を損ないます。
- C正しい。多数スポークの送信を一元検査する設計はハブ&スポーク＋Azure Firewallです。
- D誤り。NSGはL3-L4フィルタで、FQDNベース等の集中検査・一元管理のファイアウォールにはなりません。