Security, Compliance, and Identity Fundamentals（SC-900） 問題集

正解: B

正解の理由
ページは、VNet が資源をネットワークのレベルで閉じ込め、既定では VNet の間の通信も、VNet への着信も許さないと書く。通信は明示して用意する必要がある。これにより、VNet の中の Azure の資源が、ほかの Azure の資源・インターネット・オンプレミスのネットワークとどう通信するかを細かく制御できる。2つの VNet を結ぶ手段としてページが挙げるのは VNet ピアリングで、結んだ VNet の資源は同じ VNet の中にあるかのように通信できる。

違う選択肢
「通る。VNet の間の通信は Azure のバックボーンを通り、インターネットを経由しない」… Azure のバックボーンを通って公衆のインターネットを使わないのは、ページでは VNet ピアリングで結んだ VNet の間の通信の説明である。ピアリングを設定していない A と B の間には、既定では通信が許されない。
「通る。同じサブスクリプションの VNet の間は、Azure が既定で経路を作って結ぶ」… ページは、VNet が資源をネットワークのレベルで閉じ込め、既定では VNet の間の通信を許さないと書く。Azure が自動で経路を作るのは、サブネットの間と、接続されたネットワークの間である。何も結んでいない VNet どうしは、同じサブスクリプションでも通らない。
「通らない。NSG の既定の AllowVNetInBound の規則を B の側に足せば通るようになる」… AllowVNetInBound は NSG が初めから持つ既定の受信の規則で、足して使うものではない。NSG は VNet の中の資源への通信をフィルタリングする仕組みで、結ばれていない VNet どうしの通信を用意するものではない。VNet の間の通信は、ピアリングなどで明示して用意する。

既定で通るもの
同じ VNet の中の資源どうしは、公衆のインターネットを通らずに安全に通信できる。VNet の資源からインターネットへの発信も既定で通り、着信はパブリック IP やロード バランサーで制御する。ピアリングした VNet の間の通信は Azure のバックボーンを通り、リージョンをまたぐ場合（グローバル VNet ピアリング）も公衆のインターネットを使わない。