Azure Virtual Desktop Specialty（AZ-140） 問題集

正解: D

正解の理由
ページは、JIT を有効にすると、Defender for Cloud が選んだポートの全拒否の受信規則を NSG と Azure Firewall の規則に置くと書く。選んだポートに別の規則がすでにある場合は、既存の規則が新しい全拒否の規則より優先されると書く。既存の規則が無ければ、新しい規則が最も高い優先度になる。この場面では社内の範囲からの許可の規則が先に効くので、その範囲からの 3389 番は JIT の要求なしでも通る。

違う選択肢
「JIT は全拒否の規則を最も高い優先度で置くので、社内の範囲からの 3389 番も JIT の要求が通るまで拒否される」… ページは、新しい全拒否の規則が最も高い優先度になるのは、選んだポートに既存の規則が無い場合だと書く。既存の規則があるときは、既存の規則が新しい全拒否の規則より優先される。
「JIT は選んだポートの既存の許可の規則を消してから全拒否の規則を置くので、社内の範囲からも JIT の要求が要る」… ページは、選んだポートに既存の規則があるときは、既存の規則が新しい全拒否の規則より優先されると書く。既存の規則を消すとは書いておらず、既存の規則は残って先に効く。
「選んだポートに既存の規則があると JIT はその VM を対象にせず、社内の範囲からの 3389 番は今までどおり通る」… 社内の範囲から通る点は合っているが、理由が違う。ページは、既存の規則があっても JIT は全拒否の規則を置き、既存の規則がそれより優先されると書く。JIT の対象から外れるのではない。

押さえどころ
JIT は、選んだポートを全拒否の規則で閉じ、承認した要求の間だけ開ける。選んだポートに既存の許可の規則があると、それが全拒否の規則より先に効くので、JIT を有効にしても既存の規則の範囲からは開いたままになる。JIT で守りたいポートなら、既存の許可の規則を見直す。