AZ-700 練習問題 3

ケース スタディ これはケース スタディです。ケース スタディは個別に時間制限されません。試験全体の時間内で各ケースを完了できますが、他にもケース スタディやセクションが含まれる可能性があるため時間管理に注意してください。 概要 Litware, Inc. は金融会社で、ボストンにメイン データセンターを置き、米国内に 20 の支社を持ちます。ユーザーは Android、iOS、Windows 10 デバイスを使用しています。 既存環境 - ハイブリッド環境 オンプレミス ネットワークには litwareinc.com という Active Directory フォレストがあり、Azure AD Connect により litwareinc.com という Azure AD テナントと同期しています。すべての支社は Vnet1 という仮想ネットワークにサイト間 VPN で接続しています。 Azure 環境 Litware は litwareinc.com Azure AD テナントにリンクされた Sub1 というサブスクリプションを所有しています。Sub1 は East US リージョンに以下のリソースを保持しています。 [リソース一覧] Vnet1 (仮想ネットワーク、192.168.0.0/20) GatewaySubnet (192.168.15.128/29、Vnet1 に配置) VPNGW1 (Vnet1 にデプロイされた VPN ゲートウェイ) Vnet2 (仮想ネットワーク、192.168.16.0/20) SubnetA (Vnet2 内、192.168.16.0/24) Vnet3 (仮想ネットワーク、192.168.32.0/20) cloud.litwareinc.com (Private DNS ゾーン、未リンク) VMScaleSet1 (SubnetA にデプロイされた 4 VM のスケール セット) VMScaleSet2 (SubnetA にデプロイされた 2 VM のスケール セット) storage1 / storage2 (ストレージ アカウント、パブリック エンドポイント遮断済み) Vnet1 と Vnet2 は双方向ピアリングされています。Vnet1 と Vnet3 も双方向ピアリングされています。現時点で Vnet2 と Vnet3 は直接通信できません。 要件 (抜粋) ビジネス要件: 他の要件を満たす限りコスト最小化を最優先する。 仮想ネットワーキング要件: - Vnet2 および Vnet3 の既定ルート (0.0.0.0/0) を ExpressRoute 回線経由でボストン データセンターに向ける - cloud.litwareinc.com のレコードをオンプレミスから解決できるようにする - Azure VM の DNS 名を自動的に cloud.litwareinc.com に登録する - プラットフォーム管理サービスに割り当てるサブネット サイズを最小化する - VMScaleSet1 から VMScaleSet2 への通信は TCP 443 のみ許可する ハイブリッド ネットワーキング要件: - リモート ユーザーは Azure AD 認証で P2S VPN により Vnet1 へ接続する - ボストン データセンターと全仮想ネットワーク間のレイテンシ最小化 - ボストン データセンターは ExpressRoute FastPath で Azure に接続する - Vnet2 と Vnet3 間のトラフィックは Vnet1 を経由してルーティングする PaaS ネットワーキング要件: - storage1 はパブリック エンドポイントを公開せず、全オンプレミスからアクセス可能であること - storage2 はパブリック エンドポイントを公開せず、Vnet2 と Vnet3 からアクセス可能であること 仮想ネットワーキング要件およびビジネス要件を満たす形で、Vnet2 と Vnet3 を接続する必要があります。ソリューションに含めるべき 2 つのアクションはどれですか。各正解は解の一部です。 注: 各正答に 1 ポイントが与えられます。

正解: B (Vnet2/Vnet3 側で Allow traffic forwarded from remote virtual network を有効化) と E (Vnet2/Vnet3 側で Use the remote virtual network's gateway or Route Server を有効化)。
Vnet1 をハブとするハブ アンド スポーク構成で、スポーク (Vnet2, Vnet3) を相互に通信させ、かつ Vnet1 上の VPN/ExpressRoute ゲートウェイを共有させるための定石です。
解説: 要件では Vnet2 と Vnet3 を Vnet1 経由でルーティングし、既定ルートを Vnet1 のゲートウェイ (ExpressRoute) に流す必要があります。仮想ネットワーク ピアリングは推移しないため、スポーク同士を Vnet1 経由で通信させるには、ハブ側 (Vnet1) のピアリングで「Allow forwarded traffic」を、スポーク側 (Vnet2/Vnet3) のピアリングで「Allow traffic forwarded from remote virtual network」を有効にして、ハブ経由の転送トラフィックを許可します。さらにスポークから Vnet1 のゲートウェイを利用させるため、スポーク側で「Use the remote virtual network's gateway or Route Server」を有効化し、ハブ側では「Use this virtual network's gateway」を有効にします。この問題が問うているスポーク側設定は B と E です (ハブ側設定は別途必要)。これにより Vnet2 ⇔ Vnet1 (NVA や UDR) ⇔ Vnet3 の通信および ExpressRoute 既定ルートの伝播が成立します。
各選択肢の検討:

• A: ハブ側でリモートから転送されたトラフィックを許可する設定。ハブ側で必要ではあるが、本問が要求するのはスポーク側の構成のため B と組み合わせる必要がある。本問では正答の組合せに該当しない。
• B: スポーク側で「リモートから転送されたトラフィックを許可」を有効化する設定で、ハブ経由の通過トラフィックを受け入れるために必須。
• C: ハブ側で「リモート仮想ネットワークのゲートウェイまたは Route Server を使用する」を選ぶ設定。Vnet1 自身がゲートウェイを持つため、ハブで設定すべきは Use this virtual network's gateway であり、不適切。
• D: Allow traffic to remote virtual network は既定で有効になっており、追加で設定しても要件には寄与しない。
• E: スポーク側で「リモート仮想ネットワークのゲートウェイまたは Route Server を使用する」を有効化する設定。Vnet1 の VPN/ExpressRoute ゲートウェイをスポークから利用するために必須で、要件「Vnet2/3 の既定ルートを ExpressRoute 経由でボストンへ」を満たすうえで不可欠。

参考: Microsoft Learn
仮想ネットワーク ピアリングの概要
仮想ネットワーク ピアリングの VPN ゲートウェイ トランジットを構成する