SC-100 練習問題 6

あなたは、Azureにオンボードされるコンテナ化されたアプリケーションのセキュリティ基準を設計しています。 あなたは、Microsoft Defender for Containersの使用を評価しています。 Defender for Containersを使用して既知の脆弱性をスキャンできる環境はどれですか？2つ選択してください。

正解: 選択肢4と5（Azure Container Registry の Linux コンテナイメージ、および AKS で実行中の Linux コンテナ）。Defender for Containers は ACR 内のイメージと実行中のクラスターワークロードに対し脆弱性評価を行います。

解説
Microsoft Defender for Containers は Microsoft Defender 脆弱性管理を利用し、(1) サポートされるコンテナレジストリ（Azure Container Registry など）内のイメージ、(2) Kubernetes クラスター（AKS など）で実行中のコンテナイメージ、に対してエージェントレスの脆弱性評価を実施します。OSパッケージのスキャンは Linux・Windows 双方に対応しますが、言語固有パッケージのスキャンは Linux のみです。本問では「最も代表的に脆弱性スキャン対象となる2環境」を選ぶ趣旨で、ACR の Linux イメージ（プッシュ/プル時にスキャン）と AKS で実行中の Linux コンテナが該当します。

各選択肢の検討

• 選択肢1: Azure Container Instances (ACI) は Defender for Containers の脆弱性評価の直接対象（レジストリ／クラスター実行時スキャン）ではありません。
• 選択肢2: AKS の実行中コンテナスキャンは主に Linux を対象とし、Windows ノード由来のイメージは脆弱性スキャンができない制限があります。
• 選択肢3: ACR の脆弱性評価は Windows イメージのOSパッケージもサポートしますが、本問の「代表的な2環境」としては ACR/Linux と AKS/Linux が想定解であり、選択肢4・5が優先されます。
• 選択肢4（正解）: ACR にプッシュ/プルされた Linux イメージは Defender for Containers により CVE スキャンされ、詳細な脆弱性レポートが生成されます。
• 選択肢5（正解）: AKS クラスターで実行中の Linux コンテナイメージは検出・収集され、24時間ごとに脆弱性がスキャンされます。

参考: Microsoft Learn
Defender for Containers でサポートされている環境の脆弱性評価
Microsoft Defender for Containers の概要