Microsoft AZ-900: ネットワーク — 学習ガイド

By Laurynas Brazys · 23 July 2026 · #microsoft #az-900 #certification #exam-prep #study-guide

こちらの一部です： Microsoft Azure AZ-900 — 学習ガイド. 検証済みの解答で練習： Microsoft試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

Azureのネットワークは、リージョン間やオンプレミスとクラウド環境の間で、ワークロード、ユーザー、サービスを安全に接続するための基盤を提供します。その範囲は、プライベートなソフトウェア定義ネットワーク、ハイブリッド接続、グローバルなトラフィック分散、そして脅威に対する階層的な防御にまで及びます。優れた設計は、明確なアドレス計画、分離境界、名前解決から始まり、次にパフォーマンスとコンプライアンスの目標を達成するために、接続性と保護を適切に組み合わせます。

コア仮想ネットワーク: VNet、サブネット、IPアドレッシング、DNS

仮想ネットワーク (VNet) は、Azureにおけるプライベートネットワークの分離境界です。VNetは単一のリージョンにまたがり、サブスクリプションにスコープされ、ユーザーが定義したRFC1918アドレス空間を使用します。VNet内では、サブネットがアドレス空間を論理的な階層（例：Web、アプリ、データ）に分割します。サブネットは、ネットワークセキュリティグループ (NSG)、ルートテーブル、サービスエンドポイント、特定のPaaSサービスへの委任といったネットワークポリシーをサポートします。慎重なCIDR計画により、オンプレミスネットワークや将来ピアリングする可能性のある他のVNetとの重複を避けることができます。AzureのIPアドレッシングには、プライベートアドレスとパブリックアドレスが含まれます。プライベートIPは、仮想マシンやその他のリソースのNICにアタッチされ、VNet内またはピアリングやVPN/ExpressRouteを介した東西トラフィック（east-west traffic）に使用されます。プライベートIPは、サブネット内で動的または静的に設定できます。パブリックIPは、リソースをインターネットに公開したり、NATを使用してアウトバウンド接続を提供したりします。StandardパブリックIPは、利用可能な場合はゾーン冗長であり、デフォルトでインバウンドが閉じられており、正当な理由がない限りVMに直接割り当てるのではなく、ロードバランサー、Application Gateway、またはAzure Firewallと組み合わせるべきです。名前解決は、デフォルトでAzure提供のDNSリゾルバー (168.63.129.16) によって処理され、VNet内のホスト名を解決します。プライベートエンドポイントとハイブリッドな名前解決のために、Azure Private DNSゾーンはプライベートFQDN（例：privatelink.database.windows.net）をプライベートIPアドレスにマッピングします。プライベートDNSゾーンは、複数のVNetにリンクできます。カスタムDNSサーバーを使用する場合は、リソースがパブリックサービスエンドポイントの代わりにプライベートエンドポイントを解決できるように、条件付きフォワーディングがAzure Private DNSゾーンをカバーするようにしてください。

• スコープ
  • プライベートIP: VNet/ピアリング/ハイブリッドネットワーク内
  • パブリックIP: インターネット向け
• 割り当て
  • プライベートIP: NIC/サブネットごとに動的または静的
  • パブリックIP: 動的または静的。Standard SKUを推奨
• 一般的な用途
  • プライベートIP: VM間通信、Private Link、内部ロードバランシング
  • パブリックIP: LB/App Gateway経由のインバウンド、SNAT/NAT Gatewayによるアウトバウンド
• セキュリティポスチャ
  • プライベートIP: NSG、UDRによって制御
  • パブリックIP: デフォルトでクローズ (Standard)。NSG/Firewallで制限

ハイブリッドおよびプライベート接続: VPN Gateway、ExpressRoute、VNet ピアリング、Private Link

Azure VPN Gatewayは、IPsec/IKEを使用して暗号化されたトンネルを確立し、サイト間 (S2S)、ポイント対サイト (P2S)、およびVNet間 (VNet-to-VNet) 接続を提供します。これは、パブリックインターネット経由でオンプレミスネットワークをAzureに拡張しつつ、転送中のデータを暗号化し続けるための、コスト効率の高い方法です。スループットとトンネル数はVpnGw SKUに応じてスケールし、高可用性はデフォルトでアクティブ/スタンバイインスタンスによって実現されます。アクティブ/アクティブ構成とBGPのサポートにより、動的ルーティングとより高い集約スループットが可能になります。ExpressRouteは、パートナーのエッジまたは直接ピアリングを介して、MicrosoftへのプライベートでSLAに裏付けられたレイヤー3接続を提供します。トラフィックはパブリックインターネットを経由しないため、予測可能なレイテンシとより高い帯域幅オプションを提供します。ExpressRoute回線は、複数のピアリング (Azureプライベート、Microsoft、および該当する場合はMicrosoft 365) をサポートし、二重化された冗長接続を使用します。これは、ミッションクリティカルで高スループットのシナリオに推奨されるオプションであり、多くの場合、ハブVNetがExpressRouteまたはVPN Gatewayをホストするハブ&スポークトポロジと組み合わせて使用されます。VNetピアリングは、Microsoftのバックボーンを介してVNetを低レイテンシかつ高帯域幅でリンクし、リソースが同じネットワーク上にあるかのようにプライベートIPを使用して通信できるようにします。ピアリングには推移性がありません。つまり、トラフィックはピアリングされたVNetを介して3番目のVNetに自動的にルーティングされません。ゲートウェイトランジットを有効にすると、スポークVNetはハブのVPNまたはExpressRouteゲートウェイを使用できます。プライベートIP経由でPaaSにアクセスするために、Private Linkはプライベートエンドポイント (サブネット内のNIC) を作成します。これは、Azure Storage、SQL Database、または自身が公開するプライベートサービスなどの特定のサービスインスタンスにマッピングされます。トラフィックは完全にAzureバックボーン上を流れ、クライアントがプライベートエンドポイントに名前解決できるようにするためにDNSが極めて重要です。これらのオプションの中から選択するかは要件によって決まります。インターネット経由の暗号化接続にはVPN Gateway、プライベートな高性能回線にはExpressRoute、Azure内のプライベート接続にはVNetピアリング、パブリックエンドポイントを公開せずにPaaSやパートナーサービスにプライベートアクセスするにはPrivate Linkを使用します。

• VPN Gateway
  • 接続レイヤー: L3 (IPsec/IKE)
  • スコープ: オンプレミス <-> Azure; VNet <-> VNet
  • 一般的な帯域幅: 数百Mbps～数Gbps (SKUごと)
  • 暗号化: あり (IPsec)
  • 主な強み: コスト効率、柔軟性、P2S/S2S
  • 主なユースケース: ハイブリッド拡張、開発/テスト、迅速な有効化
• ExpressRoute
  • 接続レイヤー: L3プライベート回線
  • スコープ: オンプレミス <-> Azure (パートナー経由)
  • 一般的な帯域幅: 50 Mbps～100 Gbps (回線ごと)
  • 暗号化: プライベート回線 (IPsec不要)
  • 主な強み: 予測可能なレイテンシ、高スループット、SLA
  • 主なユースケース: ミッションクリティカルなハイブリッド、データレプリケーション、コンプライアンス
• VNet Peering
  • 接続レイヤー: Azureバックボーン
  • スコープ: VNet <-> VNet (同一またはグローバル)
  • 一般的な帯域幅: VM NIC/ホストに依存; 低レイテンシ
  • 暗号化: なし (プライベートバックボーン)
  • 主な強み: シンプル、高速、テナント間サポート
  • 主なユースケース: ハブ&スポーク、リージョン/グローバルVNetメッシュ
• Private Link
  • 接続レイヤー: プライベートNIC経由のL7エンドポイント
  • スコープ: クライアントVNet <-> PaaS/プライベートサービス
  • 一般的な帯域幅: アプリケーションに依存; NICに依存
  • 暗号化: バックボーンによる分離
  • 主な強み: パブリックへの公開を排除、きめ細かい制御
  • 主なユースケース: Storage、SQL、Key Vault、パートナーアプリへのプライベートアクセス

トラフィック分散と高速化: Load Balancer、Application Gateway、Front Door、Traffic Manager、CDN

Azure Load Balancer はレイヤー4で動作し、TCP/UDPに対してリージョン内で高パフォーマンス、低レイテンシーの負荷分散を提供します。インバウンドおよびアウトバウンドのシナリオ、インバウンドNATルール、正常性プローブをサポートします。Standard Load Balancer はゾーン対応であり、回復性のためにリージョン内のゾーンにまたがることができます。非HTTPプロトコル、ゲームのバックエンド、および送信規則やNAT Gatewayを介した大規模なアウトバウンド接続のためにHAポートやSNATを必要とするシナリオに適しています。Application Gateway はレイヤー7のHTTP/HTTPSルーティングを提供し、URLパスベースおよびホストベースのルーティング、Cookieアフィニティ、SSLオフロードなどの機能を備えています。Web Application Firewall (WAF) SKUで有効にすると、一般的なエクスプロイトやボットから保護するためのマネージドOWASPルールセットを提供します。Application Gateway はリージョン単位のサービスであり、特に豊富なHTTPルーティングとWAF検査が必要な場合に、プライベートネットワーク構成のVM Scale Sets、コンテナー、またはApp Servicesの前段でよく使用されます。Azure Front Door は、インターネットに公開されたWebアプリケーションを高速化し保護する、グローバルなエニーキャストのレイヤー7エントリポイントです。瞬時フェールオーバー、インテリジェントなパス選択、組み込みのWAFを備えたグローバル負荷分散を提供します。Front Door Standard/Premium は、エッジでの静的および動的コンテンツの高速化のためのCDN機能を統合しており、Application Gateway、App Services、またはStorageをオリジンとすることができます。Traffic Manager は、優先度、パフォーマンス、重み付け、地理的、サブネット、複数値ルーティングなどの方法を使用して、あらゆるエンドポイント（HTTPまたは非HTTP）にわたるDNSベースのグローバルな分散を実行することで、これらのサービスを補完します。静的コンテンツのオフロードには、Azure CDN（Front Door Standard/PremiumまたはMicrosoft/Verizon/Akamai提供のAzure CDNを含む）がユーザーに近い場所でコンテンツをキャッシュし、オリジンの負荷を軽減してパフォーマンスを向上させます。サービスの組み合わせは一般的です。一般的なインターネット向け設計では、グローバルイングレスにWAF付きのAzure Front Doorを使用し、リージョン内のApplication Gateway（WAFの有無は問わない）をオリジンとして、そこから内部ワークロードにルーティングします。HTTP/HTTPS以外のプロトコルについては、DNSフェールオーバーのためにTraffic Managerをリージョン内のLoad Balancerと組み合わせます。パブリックIPはこれらのマネージドエッジにのみ配置し、アプリケーションVMはプライベートに保ちます。

• Azure Load Balancer
  • レイヤー: L4
  • スコープ: リージョン
  • プロトコル: TCP/UDP
  • WAFサポート: なし
  • セッションアフィニティ: なし (L7では)
  • 一般的なユースケース: 非HTTPワークロード、内部負荷分散、アウトバウンドSNAT
• Application Gateway
  • レイヤー: L7
  • スコープ: リージョン
  • プロトコル: HTTP/HTTPS
  • WAFサポート: あり (WAF v2)
  • セッションアフィニティ: あり (Cookieベース)
  • 一般的なユースケース: VNet内のWebアプリ、SSLオフロード、パス/ホストルーティング
• Azure Front Door
  • レイヤー: L7
  • スコープ: グローバル
  • プロトコル: HTTP/HTTPS
  • WAFサポート: あり (WAF)
  • セッションアフィニティ: あり (アフィニティCookie)
  • 一般的なユースケース: グローバルエントリ、エッジでの高速化、瞬時フェールオーバー
• Traffic Manager
  • レイヤー: DNS
  • スコープ: グローバル
  • プロトコル: 任意 (DNSベース)
  • WAFサポート: なし
  • セッションアフィニティ: なし
  • 一般的なユースケース: あらゆるエンドポイントに対するリージョン間のフェールオーバー/負荷分散
• Azure CDN
  • レイヤー: L7キャッシュ
  • スコープ: グローバル
  • プロトコル: HTTP/HTTPS
  • WAFサポート: なし (Front Door WAFを使用)
  • セッションアフィニティ: N/A
  • 一般的なユースケース: 静的コンテンツのキャッシュ、オリジンオフロード、パフォーマンス向上

ネットワークセキュリティとセキュアアクセス: NSGs, Azure Firewall, DDoS Protection, Bastion, Just-in-Time

Network Security Group (NSG) は、サブネットと NIC にステートフルなレイヤー 3/4 フィルタリングを適用します。ルールは 5 タプルパラメータに基づいてトラフィックを許可または拒否し、管理を簡素化するためにサービスタグとアプリケーションセキュリティグループをサポートしています。NSG は、階層のセグメント化、管理ポートの制限、サブネット間の最小権限の強制に最適です。高速かつ分散型ですが、アプリケーション層のフィルタリング、侵入防止、または集中管理された DNAT/SNAT は提供しません。Azure Firewall は、ネットワークルールとアプリケーションルール (FQDN フィルタリング) の両方を提供する、マネージド型のステートフルなファイアウォールおよびネットワークセキュリティサービスです。Premium SKU では、TLS 検査、IDPS、URL フィルタリングが追加されます。DNAT/SNAT、脅威インテリジェンスベースのフィルタリングをサポートし、ルートテーブルと統合してハブアンドスポークトポロジにおける中央の egress (出口) コントロールポイントとして機能します。Azure Firewall は NSG を補完します。NSG がローカルな east-west (東西) のマイクロセグメンテーションを強制するのに対し、ファイアウォールは集中管理された north-south (南北) およびインターネット egress (出口) ポリシーを強制します。Azure DDoS Protection には Basic と Standard のプランがあります。Basic は、顧客による設定なしで Azure サービスに自動的に適用されるプラットフォームレベルの保護です。Standard は、保護された VNet 内のパブリック IP を持つリソースに対して、適応型チューニング、テレメトリ、アラート、迅速な緩和策を追加し、さらに文書化された攻撃中にはコスト保護クレジットを提供します。パブリック IP を使用しない管理アクセスには、Azure Bastion が Azure portal から直接 (Bastion Standard ではサポートされているネイティブクライアントからも) TLS 経由の RDP/SSH を提供し、インバウンドの公開を排除します。Microsoft Defender for Cloud を通じて有効化される Just-in-Time (JIT) VM アクセスは、NSG の管理ポートを閉じたままにし、承認されたユーザーとソース IP に対してのみ時間制限付きのアクセスを開放することで、運用上のアクセスを維持しつつ攻撃対象領域を最小限に抑えます。

← コンピューティングとアプリ サービス · すべてのドメイン · ストレージとデータベース →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →

Microsoftを閲覧 →