正解: Vnet1 のみ
Azure Firewall は同一リージョン・同一リソース グループの仮想ネットワークにのみデプロイできるため、West US の RG1 に作成する AF1 は RG1 かつ West US にある Vnet1 のみが対象になります。
解説: Azure Firewall リソースは、ファイアウォール本体と AzureFirewallSubnet を持つ仮想ネットワークが同じリージョンに存在し、かつ同じリソース グループに属している必要があります。AF1 は West US リージョン・RG1 にデプロイされるため、West US 以外にある仮想ネットワーク (Vnet2, Vnet3, Vnet5) と、RG1 以外にある仮想ネットワーク (Vnet3, Vnet4, Vnet5) は対象外です。両方の条件を満たすのは Vnet1 (West US / RG1) だけです。Vnet4 は West US にあるものの RG2 のため不可となります。なお、リソース グループの制約は仮想ネットワーク ゲートウェイなどでも同様で、ピアリングや UDR を用いれば他リソース グループ・他リージョンの VNet からファイアウォール経由でトラフィックを通すことは可能ですが、ファイアウォール リソース自体の配置先としては Vnet1 のみが許容されます。
各選択肢の検討:
- Vnet1 と Vnet4 のみ: Vnet4 は West US でリージョンは一致するが、リソース グループが RG2 のため AF1 を直接デプロイできない。
- Vnet1、Vnet2、Vnet3、Vnet4 のすべて: Vnet2/Vnet3 は Central US リージョンであり、リージョン要件を満たさない。
- Vnet1 のみ: リージョン (West US) とリソース グループ (RG1) の両条件を満たす唯一の VNet で、本問の正解。
- Vnet1 と Vnet2 のみ: Vnet2 は RG1 だが Central US リージョンのため、West US の AF1 をデプロイできない。
- Vnet1、Vnet2、Vnet4 のみ: 上記同様、リージョンまたはリソース グループの要件を満たさない VNet が含まれており不適切。
参考: Microsoft LearnAzure Firewall とはAzure Firewall の FAQ