AZ-140のサンプル問題（本番形式・解説付き）

AZ-140（Microsoft・Azure Virtual Desktop Specialty）の出題形式を、実際の問題で確かめられます。ここに掲載する5問は、無料の会員登録で解ける模試第1回（50問）の冒頭から抜粋したオリジナル問題です。当サイトは全600問を本番CBT準拠の形式で収録しており、この5問はそのごく一部にあたります。

設問1

全国の支社から利用する Azure Virtual Desktop を計画しています。参照するファイルサーバーは東日本リージョンにありますが、利用者は各地に分散しています。セッションホストを置くリージョンを決める根拠として最も適切なものはどれか。

ファイルサーバーが置かれているリージョンに合わせ、データに近い側を選ぶ。
接続元から各リージョンへの推定往復遅延を測り、利用者に近いリージョンを選ぶ。（正解）
仮想マシンの単価がいちばん低いリージョンを選び、帯域の増強で遅延を補う。
ホストプールのメタデータを保存する場所に指定できるリージョンを選ぶ。

解説

利用者の体感を決めるのはクライアントとセッションホストの間の往復遅延（RTT）で、推奨水準は 150 ミリ秒未満、200 ミリ秒を超えると体感が明確に悪化します。接続元から各 Azure リージョンへの推定 RTT は Azure Virtual Desktop Experience Estimator で測れるので、これを根拠に利用者に近いリージョンを選びます。データに近い側へ寄せる考え方は遅延の観点では誤りになり得ます。単価やメタデータの保存場所は体感を決める要素ではありません。（根拠: 学習用テキスト 1-1「帯域と速度の要件を見積もる」[1.1]）

他の選択肢が誤りである理由

「ファイルサーバーが置かれているリージョンに合わせ、データに近い側を選ぶ。」体感を決めるのはクライアントとセッションホストの間の RTT なので、データ側に寄せると遅延が増えます。
「仮想マシンの単価がいちばん低いリージョンを選び、帯域の増強で遅延を補う。」帯域を増やしても往復遅延は縮まらず、遅延は帯域とは別の問題として扱います。
「ホストプールのメタデータを保存する場所に指定できるリージョンを選ぶ。」メタデータの保存場所はデータ所在地の要件で決めるもので、体感を決める要素ではありません。

設問2

セッションホストを置くサブネットのネットワークセキュリティグループを設計しています。セッションホストと Azure Virtual Desktop のコントロールプレーンの通信を成立させる構成として正しいものはどれか。

サービスタグ WindowsVirtualDesktop 宛ての TCP 443 の送信を許可する規則を作る。（正解）
インターネットからの TCP 3389 の受信を許可する規則を作り、送信側は既定のままにする。
コントロールプレーンの IP アドレスを直接書いた送信規則を作る。
UDP 3390 の受信だけを許可し、TCP の通信はサブネット全体で遮断しておく。

解説

セッションホストのエージェントは自分からコントロールプレーンへ接続して登録とハートビートを行うため、必要なのは TCP 443 の送信通信です。送信先は Microsoft がサービスタグ（WindowsVirtualDesktop ほか）として提供しており、サービスタグで許可します。インターネットから 3389 を開ける必要はなく、そこが Azure Virtual Desktop のセキュリティ上の利点です。IP を直書きすると変更のたびに壊れます。（根拠: 学習用テキスト 1-1「セッションホストのネットワーク構成を設計する」[1.1]）

他の選択肢が誤りである理由

「インターネットからの TCP 3389 の受信を許可する規則を作り、送信側は既定のままにする。」インターネットから 3389 を開ける必要はなく、送信側を既定のままにすると登録が成立しません。
「コントロールプレーンの IP アドレスを直接書いた送信規則を作る。」IP を直書きすると変更のたびに壊れるため、宛先はサービスタグで指定します。
「UDP 3390 の受信だけを許可し、TCP の通信はサブネット全体で遮断しておく。」UDP 3390 の受信はマネージドネットワーク向け RDP Shortpath の話で、登録に使う経路ではありません。

設問3

在宅勤務の利用者から、画面の反応が遅いという申告が続いています。自宅から社内への VPN も ExpressRoute もなく、接続はインターネット越しです。体感を改善する構成として最も適切なものはどれか。

マネージドネットワーク向け RDP Shortpath を有効にし、UDP 3390 の受信を許可する。
ゲートウェイ経由の TCP のまま、ポリシーベース QoS で DSCP 46 を付ける。
ワークスペースのフィード用にプライベートエンドポイントを作り、閉域の経路にする。
パブリックネットワーク向け RDP Shortpath を有効にし、UDP の直接経路にする。（正解）

解説

パブリックネットワーク向け RDP Shortpath は STUN/TURN を使ってインターネット越しに UDP の直接経路を確立するため、VPN や ExpressRoute が無い在宅の利用者に使えます。マネージドネットワーク向けはクライアントとセッションホストが VPN / ExpressRoute で直接届く構成が前提です。QoS は Shortpath で UDP になっていることが前提で、ゲートウェイ経由の TCP のままでは意図した優先制御はできません。Private Link は接続をインターネットに出さないための仕組みで、体感の改善を目的とした機能ではありません。（根拠: 学習用テキスト 1-1「RDP Shortpath・RDP Multipath・QoS ポリシー」[1.1]）

他の選択肢が誤りである理由

「マネージドネットワーク向け RDP Shortpath を有効にし、UDP 3390 の受信を許可する。」マネージドネットワーク向けは VPN / ExpressRoute で直接届く構成が前提で、この環境では条件を満たしません。
「ゲートウェイ経由の TCP のまま、ポリシーベース QoS で DSCP 46 を付ける。」QoS の前提は RDP Shortpath が有効で UDP になっていることで、順序は Shortpath が先です。
「ワークスペースのフィード用にプライベートエンドポイントを作り、閉域の経路にする。」Private Link は接続をインターネットに出さないための構成で、遅延の改善を狙う機能ではありません。

設問4

Azure Virtual Desktop 向けの Azure Private Link を構成しましたが、クライアントの名前解決が公開エンドポイントへ返っており、閉域の経路が使われません。最初に確認すべき点として最も適切なものはどれか。

セッションホストの送信規則から TCP 443 の許可を外し、経路を閉域側へ寄せられるか確認する。
ワークスペースのフィード用サブリソースを global から connection へ作り替えられるか確認する。
作成したプライベートエンドポイントに対応するプライベート DNS ゾーンの構成を確認する。（正解）
クライアント側で RDP Shortpath を無効にし、ゲートウェイ経由へ戻せる状態かどうかを確認する。

解説

Private Link を構成しても、プライベート DNS ゾーンを正しく構成しないと名前解決が公開エンドポイントに戻ってしまいます。ここが実装の落とし穴として整理されています。なお Private Link を有効にしても、セッションホストからコントロールプレーンへの送信通信は別に必要なので、送信許可を外すのは誤りです。サブリソースは feed・global・connection がそれぞれ別の役割を持ち、作り替えて代用するものではありません。（根拠: 学習用テキスト 1-1「AVD 向けの Azure Private Link」[1.1]）

他の選択肢が誤りである理由

「セッションホストの送信規則から TCP 443 の許可を外し、経路を閉域側へ寄せられるか確認する。」Private Link を有効にしてもセッションホストからの送信通信は別に必要で、外すと登録できなくなります。
「ワークスペースのフィード用サブリソースを global から connection へ作り替えられるか確認する。」feed・global・connection は役割の違うサブリソースで、片方をもう片方に作り替えて代用はできません。
「クライアント側で RDP Shortpath を無効にし、ゲートウェイ経由へ戻せる状態かどうかを確認する。」Shortpath の有無はクライアントとセッションホストの経路の話で、フィードの名前解決とは別の層です。

設問5

一部のセッションホストが「利用不可」と表示され、ホストプールに登録されません。原因として確認すべきものを2つ選べ。

サービスタグ WindowsVirtualDesktop 宛ての TCP 443 の送信が遮断されていないか。（正解）
0.0.0.0/0 をオンプレミスへ向ける UDR で、443 の通信が戻れなくなっていないか。（正解）
インターネットからの TCP 3389 の受信が、NSG で許可されずに残っていないか。
プロファイルコンテナー用のストレージアカウントが、ZRS 以外で作られていないか。
クライアント側で RDP Shortpath の UDP 経路が、確立できずに落ちていないか。

解説

セッションホストが「利用不可」と表示されるときは、エージェントとハートビート、そして TCP 443 の送信可否を最初に見ます。送信が NSG で遮断されていれば登録できません。もう一つの頻出の落とし穴が、UDR で 0.0.0.0/0 をオンプレミスへ向ける強制トンネリングで、コントロールプレーンへの 443 が戻れなくなりホストが登録できません。受信の 3389 は Azure Virtual Desktop では不要で、ZRS はストレージの冗長性、Shortpath はクライアントとの経路の話であり、いずれも登録の可否を決めません。（根拠: 学習用テキスト 1-1「ネットワーク接続の監視とトラブルシューティング」[1.1]）

他の選択肢が誤りである理由

「インターネットからの TCP 3389 の受信が、NSG で許可されずに残っていないか。」受信の 3389 は Azure Virtual Desktop では開ける必要が無く、登録の可否とは関係しません。
「プロファイルコンテナー用のストレージアカウントが、ZRS 以外で作られていないか。」ZRS はストレージの冗長性の選択で、セッションホストの登録には影響しません。
「クライアント側で RDP Shortpath の UDP 経路が、確立できずに落ちていないか。」Shortpath はクライアントとセッションホストの間の経路の話で、コントロールプレーンへの登録とは別です。

続きは、会員登録なしでそのまま50問解けます。採点と解説つきで、上と同じ本物の問題です。

登録なしで50問解く

← AZ-140 の資格ページへ