AZ-700 練習問題 10

ドラッグ アンド ドロップ あなたのオンプレミス ネットワークには contoso.com という Active Directory Domain Services ドメインがあり、内部証明機関 (CA) が配置されています。 Azure サブスクリプションに AppGwy1 という Azure Application Gateway をデプロイし、次の操作を実施しました。 - HTTP リスナーを構成した - リスナーにルーティング規則を関連付けた AppGwy1 で、contoso.com に属するドメイン参加コンピューターからのリクエストに対して相互認証 (mTLS) を実行できるよう構成する必要があります。 次のうち、どの 4 つのアクションをどの順序で実行すべきですか? 解答するには、適切なアクションをアクション一覧から解答エリアに移動し、正しい順番に並べてください。 [アクション一覧] A. AppGwy1 でフロントエンド IP 構成を作成する。 B. AppGwy1 で SSL プロファイルを作成する。 C. AppGwy1 で HTTP リスナーを追加し、リスナーを SSL プロファイルに関連付ける。 D. AppGwy1 でルーティング規則を作成する。 E. オンプレミスのコンピューターから AppGwy1 に証明書をアップロードする。 次のうち、正しい順序の選択肢を選んでください。

正解: E → B → C → D
クライアント CA 証明書を Application Gateway にアップロードし、その証明書を含む SSL プロファイルを作成し、リスナーに割り当ててからルーティング規則を作成するのが mTLS (相互認証) の正規の構成手順です。
解説: Application Gateway で相互認証を構成するには、まずクライアント証明書の検証に用いる「信頼されたクライアント CA 証明書チェーン」を Application Gateway にアップロードします (E)。次に、その CA 証明書を含む SSL プロファイル (クライアント認証構成) を作成し (B)、HTTPS リスナーを追加してこの SSL プロファイルを関連付けます (C)。最後に、リスナーで受信したトラフィックをバックエンド プールに送るためのルーティング規則を作成します (D)。フロントエンド IP 構成はゲートウェイ作成時にすでに存在するため新規作成は不要で、HTTP リスナーは mTLS では使用しません (HTTPS が必須)。したがって順序は E → B → C → D となります。
各選択肢の検討:

• E → B → C → D: 証明書アップロード → SSL プロファイル作成 → リスナー関連付け → ルーティング規則作成、という公式手順に沿った正しい順序。
• A → B → C → D: フロントエンド IP は既に存在するため新規作成は不要で、証明書アップロード手順 (E) が抜けているため mTLS を構成できない。
• E → A → C → B: フロントエンド IP の新規作成は不要、SSL プロファイル作成前にリスナーを関連付けることはできないため順序が誤り。
• B → E → C → D: SSL プロファイル作成時にクライアント CA 証明書が必要なので、証明書を先にアップロードしておく必要があり、順序が逆。
• A → E → C → B: SSL プロファイル作成より先にリスナー関連付けはできず、フロントエンド IP の新規作成も不要。

参考: Microsoft Learn
Application Gateway の相互認証の概要
ポータルで相互認証を構成する