WEB問題集
Public IP Prefix (Azure マネージドの連続 Public IP 範囲) を作成する主な利点はどれですか?
解説
【正解: C】の理由
Public IP Prefix は連続した Public IP アドレス範囲 (例: /28 = 16 個) をまとめて確保する Azure マネージド リソースです。最大の利点は、割り当てられる IP が既知の連続 CIDR になるため、外部システムのファイアウォール許可リスト (allowlist) 登録や DNS レコード管理を単一の範囲で行える点です。個別に Public IP を多数作成すると追加・削除のたびに allowlist を更新する運用負荷が生じますが、Prefix ならこれを回避できます。
【他選択肢が違う理由】
- A: Public IP Prefix はパブリック IP のみを対象とするリソースで、プライベート IP をまとめて確保する機能ではありません。
- B: Public IP Prefix を使っても通常の Public IP 料金は発生し、通信料金が無料になるわけではありません。
- D: 確保できる IP 数はサブスクリプション上限があり、Prefix のサイズも /28〜/31 の範囲で選択するため、無制限にはなりません。
【参考】
AKS Private Cluster をネットワーク観点で構築する手順を順序付けてください。
- Azure Bastion 経由でアクセス可能な Jump Box VM を VNet 内に配置
- Private DNS Zone (privatelink.region.azmk8s.io) を作成、対象 VNet にリンク
- 専用 VNet を作成、ノード用サブネット (Azure CNI で /22 等)、PE 用サブネット
- AKS Private Cluster を作成、API server を Private Endpoint 経由に、Network Plugin = Azure CNI
解説
【正しい順序】
- ステップ 1: VNet + サブネット
- ステップ 2: Private DNS Zone
- ステップ 3: AKS Private Cluster デプロイ
- ステップ 4: Jump Box VM
【ポイント】
- ステップ 1: VNet: Azure CNI なら大規模サブネット (/22 = 1024 IP) 推奨。Pod ごとに IP 消費。
- ステップ 2: DNS: Private Cluster の API server FQDN (例:
aks-xxx.privatelink.eastus.azmk8s.io) を Private DNS で解決します。 - ステップ 3: AKS デプロイ: Private Cluster 有効化、API server を Public 公開せず PE 経由のみ。Network Plugin で CNI / CNI Overlay を選択します。
- ステップ 4: Jump Box: Private API server は VNet 内/ピアリング先からのみアクセス可能です。Bastion + Jump Box が標準アクセス手段。
【参考】
【AKS Private Cluster 接続方法】
| 方法 | 用途 |
|---|---|
| VNet 内 Jump Box VM | 標準、Bastion 経由 |
| VPN/ER 経由オンプレから kubectl | オンプレ管理者向け |
| Cloud Shell (VNet 統合) | Premium SKU |
| AKS Run Command | API 経由でクラスタ操作 |
【Private Cluster の制約】
- API server FQDN は Private DNS で解決
- az aks command invoke で Run Command 実行可
- Public IP 持つ Build Agent から アクセス不可
Azure VNet に関する次の構成項目を、Azure の制約に照らして正しい値を選んでください。
| ステートメント | はい | いいえ |
|---|---|---|
|
VNet のアドレス空間に RFC 1918 以外 (例: 100.64.0.0/10 や Public IP) を指定できる VNet のアドレス空間には RFC 1918 以外 (例: 100.64.0.0/10 や Public IP) も指定できます。そのため、複数 VNet 間の CIDR 重複を避ける目的や NAT44 用途で Public IP 範囲を VNet に割り当てるケースで活用されます。 |
||
|
デプロイ済 VM があるサブネットの CIDR は変更不可 2024 年以降のアップデートにより、特定条件下 (拡張のみ、リソース在中サブネット) で CIDR 変更が可能となりました。そのため、デプロイ済 VM があっても影響なしにサブネットを拡張できるシナリオが増えています。 |
||
|
1 つの VNet 内で複数の重複しないアドレス空間を持てる 1 つの VNet 内には複数の重複しないアドレス空間を追加できます。これにより、10.0.0.0/16 と 172.16.0.0/16 を同じ VNet にまとめて運用するような柔軟な CIDR 設計が可能となります。 |
解説
【正解一覧】
| ステートメント | 正解 |
|---|---|
| VNet のアドレス空間に RFC 1918 以外 | はい |
| デプロイ済 VM があるサブネットの CIDR は変更不可 | いいえ |
| 1 つの VNet 内で複数の重複しないアドレス空間を持てる | はい |
【ポイント】
- 「VNet のアドレス空間に RFC 1918 以外」→ はい: VNet のアドレス空間には RFC 1918 以外 (例: 100.64.0.0/10 や Public IP) も指定できます。そのため、複数 VNet 間の CIDR 重複を避ける目的や NAT44 用途で Public IP 範囲を VNet に割り当てるケースで活用されます。
- 「デプロイ済 VM があるサブネットの CIDR は変更不可」→ いいえ: 2024 年以降のアップデートにより、特定条件下 (拡張のみ、リソース在中サブネット) で CIDR 変更が可能となりました。そのため、デプロイ済 VM があっても影響なしにサブネットを拡張できるシナリオが増えています。
- 「1 つの VNet 内で複数の重複しないアドレス空間を持てる」→ はい: 1 つの VNet 内には複数の重複しないアドレス空間を追加できます。これにより、10.0.0.0/16 と 172.16.0.0/16 を同じ VNet にまとめて運用するような柔軟な CIDR 設計が可能となります。
【参考】
Application Gateway v2 の Listener タイプ「Multi-site」の用途はどれですか?
解説
【正解: B】の理由
Application Gateway v2 の Multi-site Listener は、1 つの Application Gateway で複数のドメイン (例: contoso.com と fabrikam.com) をホストするための機能です。受信リクエストの Host ヘッダーに応じてリスナーを振り分け、それぞれ異なるバックエンド プールやルーティング規則へ転送できます。これにより 1 台の Application Gateway で複数サイトを集約でき、コストと運用を効率化しながらサイトごとに独立した配信設定を維持できます。
【他選択肢が違う理由】
- A: Application Gateway を複数の地理的リージョンにデプロイする話ではなく、単一 Gateway 内でのマルチサイト受信の機能です。
- C: バックエンド プールを複数にすること自体は可能ですが、Multi-site Listener の定義はドメイン別の受信振り分けです。
- D: 1 つのドメインで複数の TLS 証明書を持つ機能ではなく、複数ドメインをホストするための機能です。
【参考】
Subnet Delegation について、適切な用途を 2 つ選んでください。
解説
【正解: A / B】の理由
Subnet Delegation は、特定の Azure PaaS サービスにサブネットを占有的に使わせるための設定です。Azure SQL Managed Instance は専用サブネットを必要とし Microsoft.Sql/managedInstances に委任します。また Azure Container Instances も VNet 統合のために Microsoft.ContainerInstance/containerGroups への委任が必要です。これらのサービスは委任されたサブネットを専用に使い、Azure が内部的な経路や管理を自動構成します。委任なしではこれらのサービスのデプロイが失敗するため、対象サービスに応じた委任が用途となります。
【他選択肢が違う理由】
- C: Azure Storage Account は Private Endpoint や Service Endpoint で接続するもので、サブネット委任の対象ではありません。
- D: VM の NIC 割り当てはサブネットへの通常の配置であり、サブネット委任を用いる用途ではありません。
- E: Public IP の予約は IP サービスの機能で、サブネット委任とは全く関係がありません。