Question#38(AZ-500)

正解：B, E

1. なぜ B（HTTPS Only）が必要なのか？

この問題のシナリオ（litwareinc.com の例）では、Web アプリが HTTP と HTTPS の両方でアクセス可能であると記されていることが一般的です。

• 技術的な制約: Microsoft のドキュメント（ App Service の相互認証の構成）には、以下のように明記されています。

  「HTTP 経由でサイトにアクセスした場合、クライアント証明書は受け取れません。したがって、アプリケーションでクライアント証明書が必要な場合は、HTTP 経由の要求を許可すべきではありません。」

• 相互認証（Mutual Auth）の強制: 「相互認証を**強制（Enforce）**する」という要件を満たすには、証明書を送ることができない HTTP 通信を遮断し、HTTPS のみを強制（Redirect または Only）する必要があります。

2. なぜ E（Incoming client certificates）が必要なのか？

これは相互認証の核となる設定です。

• クライアント証明書の要求: App Service のデフォルト設定では、クライアント（ユーザー）に対して証明書を求めません。相互認証を実現するには、Incoming client certificates（着信クライアント証明書）の設定を「オン」にし、モードを 「Require（必須）」 に変更する必要があります。