【正解: A】の理由

Secured Virtual Hub は Virtual WAN Hub に Azure Firewall (Standard/Premium) を統合した構成します。Routing Intent で「すべての Internet トラフィック」「すべての Private (VNet/Branch) トラフィック」を Azure Firewall 経由にルーティング可能です。Hub 内 NVA / SaaS Firewall 統合も可能 (パートナー製品)。

【Routing Intent 種類】

• Internet トラフィック: VNet → 外部
• Private トラフィック: VNet 間 / Branch 間
• すべて Azure Firewall 経由で検査
• UDR は不要 (Microsoft 自動構成)

【他選択肢が違う理由】

• B: Hub に NSG 適用は不可 (Hub は Microsoft マネージド)。
• C: Application Gateway は Hub 統合非対応 (Spoke VNet に配置)。
• D: Hub に VM はデプロイ不可 (Microsoft マネージド)。

【参考】

Secured Virtual Hub