収録問題 40問 ／ 10問ランダム出題
ランダムに出題・即時フィードバック・間違えた問題の復習機能付き
複数部門がAzureを利用し始める際、共通のガバナンスを保ちながら各チームへサブスクリプション単位で権限委譲したい。最も適切な基盤設計はどれですか？
答え： 管理グループ階層とAzure Policyを使うLanding Zone
Landing Zoneでは管理グループとサブスクリプションを整理し、上位スコープのPolicyでガードレールを適用しつつ、ワークロードチームへ権限を委譲します。
同じ管理要件を持つ多数の業務サブスクリプションへ構成ルールを継承させたい。Azure Policyの割り当て先として最も保守しやすいものはどれですか？
答え： 対象サブスクリプションを束ねる管理グループ
共通要件は管理グループへPolicyまたはinitiativeを割り当て、配下へ継承させると重複を減らせます。例外は明示的に管理します。
本番ワークロードで可用性ゾーン障害に耐えたい。ステートレスなアプリ層の基本設計として適切なのはどれですか？
答え： 複数ゾーンへインスタンスを分散し、ゾーン冗長な入口を使う
ゾーン障害への耐性には、計算資源と入口の両方を複数ゾーンへ分散し、状態を外部化して各ゾーンで処理を継続できる設計が必要です。
世界各地のHTTPアプリへ単一の公開エンドポイントを提供し、WAFと高速なグローバルフェイルオーバーを利用したい。適切なサービスはどれですか？
答え： Azure Front Door
Azure Front Doorはグローバルなレイヤー7入口として、Anycast、HTTPルーティング、ヘルスプローブ、WAFを統合できます。
社内VNetからStorage AccountへプライベートIPで接続し、パブリックネットワークアクセスを無効化したい。追加で重要な設計はどれですか？
答え： Private EndpointとPrivate DNSの名前解決を構成する
Private Endpointでは通常のサービスFQDNをプライベートIPへ解決させるDNS設計が不可欠です。オンプレミス接続時はDNS転送経路も検討します。
多数のスポークVNetが共有ファイアウォール、DNS、オンプレミス接続を利用する。責任分離しやすい構成はどれですか？
答え： 接続サブスクリプションのハブとワークロード別スポーク
Hub-Spokeでは共有接続サービスをプラットフォーム側に集約し、ワークロード境界をスポークやサブスクリプションで分離できます。
特権管理者ロールを常時付与せず、承認とMFAを経て必要な時間だけ有効化したい。使うべき機能はどれですか？
答え： Microsoft Entra Privileged Identity Management
PIMは対象ロールをeligibleとして管理し、期限、承認、MFA、理由入力などを伴うJust-In-Time有効化を構成できます。
アプリからKey Vaultへアクセスするための資格情報運用を最小化したい。最も望ましい方式はどれですか？
答え： Managed Identityを使い、Key Vaultで最小権限を付与する
Managed Identityならアプリが長期資格情報を保持せずEntra IDトークンを取得できます。データプレーン権限は必要な操作だけに絞ります。
Azure Monitor AgentでWindowsイベントを複数のVMから収集し、不要イベントを取り込み前に除外したい。中心となる構成はどれですか？
答え： Data Collection Ruleと関連付け
DCRは収集対象、変換、送信先を定義し、DCRAで対象リソースへ関連付けます。取り込み前変換により不要データの保存コストも抑えられます。
Azure Monitorアラートで一時的な単発スパイクによる誤通知を減らし、通常傾向からの逸脱を検出したい。適切な検討はどれですか？
答え： 動的しきい値と評価期間をワークロード特性に合わせる
動的しきい値は履歴傾向を学習し、評価頻度や期間と組み合わせて異常を判定します。実運用データで感度とノイズを調整します。
複数サブスクリプションに散在する、特定タグがないパブリックIP付きリソースを横断検索したい。適切なサービスはどれですか？
答え： Azure Resource Graph
Azure Resource Graphは多数のサブスクリプションにまたがるリソース構成をKQL系のクエリで高速に棚卸しできます。
Azure SQL Databaseのリージョン障害に備え、別リージョンへ読み取り可能な複製とフェイルオーバー管理を用意したい。適切な機能はどれですか？
答え： Failover Group
Azure SQLのFailover Groupは複数リージョンのデータベース複製と読み書きリスナーを管理し、計画・自動フェイルオーバーを支援します。
バックアップ管理者アカウントが侵害されても、保護データを即座に削除されにくくしたい。Azure Backupで優先すべき機能はどれですか？
答え： VaultのimmutabilityとMulti-user authorization
Immutable vaultは保護データを変更・削除しにくくし、Multi-user authorizationは重要操作へ別担当の承認を要求して単一資格情報侵害の影響を抑えます。
オンプレミスVMをAzureへ災害復旧し、RPO/RTOを定期的に検証したい。中核サービスと運用はどれですか？
答え： Azure Site Recoveryを構成し、非破壊のテストフェイルオーバーを定期実施する
Site Recoveryはレプリケーションと復旧計画を管理します。テストフェイルオーバーで本番へ影響させず、依存関係や手順がRTO内で動くか確認します。
AKSでノード障害や更新時にもアプリを継続しやすくする設計として適切なのはどれですか？
答え： 複数レプリカ、topology spread、PodDisruptionBudgetを要件に合わせて構成する
複数レプリカを障害ドメインへ分散し、PDBで自発的中断時の最低稼働数を守ります。readiness probeで利用可能なPodだけへ送信します。
AKSのアプリPodからAzureサービスへアクセスする際、Kubernetes Secretに長期クライアントシークレットを保存したくない。推奨方式はどれですか？
答え： Microsoft Entra Workload IDを使う
Workload IDはKubernetes ServiceAccountとEntra IDのフェデレーションを使い、Podが長期シークレットなしでトークンを取得できるようにします。
予約容量を購入する前に、安定稼働中のVM群のコストを下げたい。最初に行うべきことはどれですか？
答え： 利用率、稼働時間、サイズ適正化、将来需要を分析する
まず不要資源と過剰サイズを除き、継続利用が見込めるベースラインを把握します。その後、予約またはSavings Planの柔軟性と割引を比較します。
各チームに月次予算超過を知らせたいが、通知だけでVMが自動停止するとは限らない点も考慮したい。適切な説明はどれですか？
答え： Cost Management Budgetで通知し、必要ならAction Group等と安全な自動化を連携する
Budgetは支出実績や予測に応じた通知が中心です。停止等を自動化する場合は業務影響、権限、再実行性を考慮した別処理を設計します。
本番変更の失敗率を下げ、問題発生時に影響範囲を限定したい。Well-Architectedの運用上適切な方法はどれですか？
答え： 段階的ロールアウト、健全性判定、自動停止・ロールバックを設計する
Safe deployment practiceでは小さな範囲から段階展開し、観測した健全性をゲートにして拡大します。失敗時の停止と復旧も自動化します。
可用性目標99.99%の根拠を設計レビューで説明したい。最も適切な進め方はどれですか？
答え： ユーザーフロー、依存関係、複合SLA、冗長化、復旧手順を評価する
ワークロード可用性は依存サービスと構成に左右されます。重要ユーザーフローごとに依存関係を明示し、複合SLAと実測SLI、復旧能力を確認します。
インターネット公開WebアプリでTLS終端、パスベースルーティング、WAFをリージョン内に配置したい。適切なサービスはどれですか？
答え： Azure Application Gateway WAF
Application Gatewayはリージョン内のレイヤー7ロードバランサーで、TLS終端、URLルーティング、WAFを提供します。
DNSベースで複数リージョンの任意プロトコルの公開エンドポイントを振り分けたい。HTTPプロキシ機能は不要です。適切なのはどれですか？
答え： Azure Traffic Manager
Traffic ManagerはDNS応答を使って正常な公開エンドポイントへクライアントを誘導します。プロキシではないため既存接続はDNS TTLの影響を受けます。
強制トンネリング環境でAzure Firewallを経由させたところ、一部PaaSの戻り通信が非対称になった。最初に確認すべき設計要素はどれですか？
答え： UDR、BGP経路伝播、次ホップ、SNATの組み合わせ
非対称経路はルートテーブル、ゲートウェイからの経路伝播、ファイアウォールのSNAT動作が食い違うと発生します。有効な経路と次ホップを確認します。
Azure MonitorのLog Analyticsへの取り込みとクエリをプライベート経路に限定し、許可したワークスペース以外へのデータ流出も抑えたい。適切な構成はどれですか？
答え： Azure Monitor Private Link ScopeをPrivate Onlyで設計する
AMPLSはAzure MonitorリソースをPrivate Link境界へまとめます。Private Onlyでは接続VNetからスコープ外の監視リソースへのアクセスを制限できます。
多数のサブスクリプションでDefender for Cloudの推奨事項とセキュリティ基準を一貫適用したい。適切な管理方法はどれですか？
答え： 管理グループ単位のPolicy initiativeとDefender設定をコード化する
管理グループのPolicy initiativeとIaCで基準を継承させ、Defenderプランや監視設定のドリフトを検出・修正できるようにします。
Microsoft Sentinelで大量の低品質アラートにSOCが疲弊している。最初の改善として適切なのはどれですか？
答え： 検知ルールをユースケース、エンティティ、重大度で調整し、自動化ルールでトリアージする
脅威モデルに沿って検知ロジックと除外を調整し、関連アラートをインシデントへ集約します。既知の低リスク事象は自動化で分類します。
Azure Policyで非準拠と判定された既存リソースを、Managed Identityを使って自動修復したい。利用する効果はどれですか？
答え： modifyまたはdeployIfNotExists
modifyとdeployIfNotExistsは割り当てのManaged Identityと必要権限を使って構成を変更・追加できます。既存資源にはremediation taskを実行します。
本番リソースの誤削除を防ぎたいが、アプリの通常更新は許可したい。適切なResource Lockはどれですか？
答え： CanNotDeleteを適切なスコープへ付ける
CanNotDeleteは更新を許しつつ削除を拒否します。ロックは権限を持つ利用者にも適用されるため、運用手順と解除権限を管理します。
リージョン障害時のRTOを15分、RPOを5分と定義した。バックアップだけで要件を満たすか判断するため、何を確認すべきですか？
答え： 復元時間、バックアップ頻度、依存サービス、切替手順を実測する
バックアップの存在だけではRTO/RPOを保証できません。実データ量での復元、ネットワーク・ID・DNSを含む依存関係、手順全体を演習します。
Azure App Serviceの新バージョンを無停止に近い形で公開し、事前検証と即時切り戻しを行いたい。適切な機能はどれですか？
答え： Deployment slotsとswap
別slotへデプロイしてウォームアップと検証を行い、swapで本番へ切り替えます。slot固有設定とDB変更の後方互換性も設計します。
アプリの応答時間悪化について、どの依存APIやDB呼び出しが原因か分散トレースで特定したい。中心となる機能はどれですか？
答え： Application Insightsのトランザクション検索と依存関係テレメトリ
Application Insightsは要求、依存関係、例外、トレースを相関IDで結び、エンドツーエンドの処理経路と遅延箇所を追跡できます。
障害対応中、Azureプラットフォーム側で特定リージョンのサービス劣化が発生しているか、組織のリソースへの影響を確認したい。最初に見るべきものはどれですか？
答え： Azure Service HealthとResource Health
Service Healthは利用中サービスに関係するAzure事象を示し、Resource Healthは個別リソースの状態を示します。ワークロード指標と併せて切り分けます。
IaCでLanding Zoneを展開するパイプラインに強い権限が必要だが、固定クライアントシークレットを保管したくない。適切な認証方式はどれですか？
答え： OIDCフェデレーションを使うWorkload Identity Federation
Workload Identity FederationはCI/CDのOIDCトークンをEntra IDで信頼し、長期シークレットなしで短期アクセストークンを取得できます。
IaC適用前にAzure Policy違反や危険な変更を検出し、承認後に本番反映したい。適切なパイプラインはどれですか？
答え： lint・validate・what-if/plan・Policyチェック・承認・applyを段階化する
静的検査、差分予測、Policy評価を先に行い、本番環境では承認と環境保護を使います。適用後はドリフトも監視します。
サブスクリプション発行をセルフサービス化しつつ、ネットワーク、Policy、予算、ログ設定を毎回同じ品質で適用したい。適切な仕組みはどれですか？
答え： IaCベースのsubscription vendingを承認済みテンプレートで自動化する
Subscription vendingは申請情報から配置先管理グループ、RBAC、接続、Policy、予算、診断設定を再現可能に構成します。
大規模なブランチ拠点とVNetをMicrosoft管理のハブで接続し、ルーティングを簡素化したい。検討すべきサービスはどれですか？
答え： Azure Virtual WAN
Virtual WANはMicrosoft管理の仮想ハブを中心に、ブランチ、VPN、ExpressRoute、VNet間の大規模接続と経路制御を提供します。
VMのOS更新を複数サブスクリプションで可視化し、メンテナンス時間を制御したい。適切なサービスはどれですか？
答え： Azure Update Manager
Azure Update ManagerはAzure VMやAzure Arc対応サーバーの更新評価、スケジュール、適用状況を一元管理できます。
Azure Storageのデータをリージョン障害から守り、セカンダリリージョンから読み取りも行いたい。冗長化オプションはどれですか？
答え： RA-GRSまたはRA-GZRSを要件に合わせて選ぶ
RA-GRS/RA-GZRSは別リージョンへ非同期複製し、セカンダリエンドポイントの読み取りを提供します。RPO、整合性、フェイルオーバー条件を理解して選びます。
業務停止を伴う障害演習を避けつつ、ゾーン障害時の自動復旧が本当に機能するか確認したい。適切な方法はどれですか？
答え： 限定スコープ、停止条件、監視、ロールバックを備えたGame Dayを行う
制御されたGame Dayで仮説、影響範囲、安全停止条件、成功指標を定め、復旧自動化と手順を実環境に近い条件で検証します。
Well-Architectedレビューで、可用性向上のための多重化がコストと運用複雑性を増やすことが分かった。最も適切な判断方法はどれですか？
答え： 事業影響、SLO、RTO/RPO、リスク許容度を基に柱間のトレードオフを記録する
Well-Architectedは全てを最大化するチェックリストではありません。事業要件を基準にReliability、Cost、Operational Excellence等のトレードオフを明示します。