SC-900：Microsoft Security, Compliance, and Identity Fundamentals Microsoft セキュリティ ソリューションの機能 問19
Microsoft セキュリティ ソリューションの機能／Azure の中核的なインフラストラクチャ セキュリティ サービス複数の階層（Web層・アプリ層・DB層）を持つシステムで、各階層を異なるサブネットに分けて境界を設け、ある階層が侵害されても他の階層へ横移動されにくくしたい。この考え方を実現するネットワーク設計はどれか。
当サイトのオリジナル問題（SC-900：Microsoft Security, Compliance, and Identity Fundamentalsの出題範囲「Microsoft セキュリティ ソリューションの機能」に対応。実際の試験問題ではありません）
- A仮想ネットワーク（VNet）のサブネットによるネットワークセグメント化
- Bすべてのリソースを単一のサブネットに集約する
- CパブリックIPをすべてのVMに付与する
- DKey Vault にすべてのデータを保存する
正解：A
解説
仮想ネットワーク（VNet）を用途別のサブネットに分けてセグメント化し、NSG などで境界を設けると、ある階層が侵害されても他階層への横移動（ラテラルムーブメント）を抑えられます。単一サブネット集約や全VMへのパブリックIP付与はむしろリスクを高め、Key Vaultはネットワーク分離の手段ではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。VNet/サブネットで区切り横移動を抑えるのがネットワークセグメント化です。
- B誤り。単一サブネット集約は分離にならず、横移動を招きます。
- C誤り。全VMへのパブリックIP付与は攻撃面を増やします。
- D誤り。Key Vaultは秘密情報の保管で、ネットワーク分離の手段ではありません。