Microsoft 認定試験 「AZ-103 Microsoft Azure Administrator」の試験内容とか

2019年5月1日から新しく始まったAzureの認定資格「AZ-103」の受験を少し考えています。

まだ情報収集レベルですが、調べたことなどを時系列的に書き出してみようかなと思います。

（どんどん追記していきたい）

下調べ（2019年5月13日）

そもそもMicrosoftの認定試験そのものが初めてなので、どんな試験方法なのか、試験範囲はどの程度なのか。試験に向けての勉強はどうすればいいのか、を調べてみました。

blogs.partner.microsoft.com

相変わらず何が書いてあるのかわからないのでウェビナーを受講。

note.microsoft.com

80分くらいのオンラインセッションでした。わかりやすい。具体的な例問題や解答方法を学べたので、試験が具体的にイメージしやすくなった。

• 旧来試験のAZ-100やAZ-101との関連はウェビナー見たらわかる
• 合格するとマイクロソフト認定のAzure 管理者アソシエイツの認定が受けられる
• 従来のAZ-100が廃止される
• 従来のAZ-101＋AZ-102の範囲が新しくAZ-103として設立された
• AZ-103は日本語！（重要
• テストは150分、選択問題とAzurePortalの操作が必要。出題数が多いので時間がかなりタイト。
• 試験は日本円で2万円ちょい。

出題範囲

参考→AZ-103 OD with Alignment to AZ-100 and AZ-101.pdf

試験内容（原文）

1. Manage Azure subscriptions and resources (15-20%)
   1. Manage Azure subscriptions
   2. Analyze resource utilization and consumption
   3. Manage resource groups
   4. Managed role based access control (RBAC)
2. Implement and manage storage (15-20%)
   1. Create and configure storage accounts
   2. Import and export data to Azure
   3. Configure Azure files
   4. Implement Azure backup
3. Deploy and manage virtual machines (VMs) (15-20%)
   1. Create and configure a VM for Windows and Linux
   2. Automate deployment of VMs
   3. Manage Azure VM
   4. Manage VM backups
4. Configure and manage virtual networks (30-35%)
   1. Create connectivity between virtual networks
   2. Implement and manage virtual networking
   3. Configure name resolution
   4. Create and configure a Network Security Group (NSG)
   5. Implement Azure load balancer
   6. Monitor and troubleshoot virtual networking
   7. Integrate on premises network with Azure virtual network
5. Manage identitiess (15-20%)
   1. Manage Azure Active Directory (AD)
   2. Manage Azure AD objects (users, groups, and devices)
   3. Implement and manage hybrid identities
   4. Implement multi-factor authentication (MFA)

試験内容（Google翻訳とか意訳とか）

1. Azureのサブスクリプションとリソースの管理 (15-20%)
   1. Azureサブスクリプションの管理
      管理者権限の割り当てやコストセンターの割り当て。サブスクリプションポリシーなど。
   2. リソースの利用状況とコストの分析
      リソースの診断設定の構成やリソースアラート、LogAnalyticsでのアラートや定期購読アクショングループ、ログ検索クエリなど。
   3. リソースグループの管理
      リソースポリシーの設定、タグ付けやリソースグループの移動や解除など。
   4. ロールベースのアクセス制御（RBAC）
      カスタムロールを作成し、Azureへの管理アクセスの構成、RBACの実装やトラブルシューティングなど。
2. ストレージの実装と管理 (15-20%)
   1. ストレージアカウントの実装と管理
      ストレージアカウントへのネットワークアクセスの構成、共有アクセスキーの設定、AzureStorageのインストール、LogAnalyticsによるアクティビティログの監視。
   2. Azureへのデータのインポートとエクスポート
      Azureジョブからデータのインポートとエクスポート、BLOBストレージの構成、AzureCDNの構成とエンドポイントなど。
   3. Azureファイルの設定
      Azureファイル共有やAzure File Syncサービスの作成、同期、トラブルシューティングなど。
   4. Azureバックアップの実装
      Azureバックアップやバックアップポリシーの構築と実行。リカバリーサービスバリューの作成及び復元の実行。
3. 仮想マシンのデプロイと管理 (15-20%)
   1. 仮想マシン（Windows and Linux）のデプロイと設定
      高可用性の構成やモニタリング、ネットワークの設定、ストレージ、オートスケールセットの設定など。
   2. 仮想マシンの自動デプロイ
      Azure Resource Manager（ARM）テンプレートの構成、VHDテンプレートの設定とデプロイ。
   3. 仮想マシンの管理
      サイズやデータディスク、ネットワークインタフェースの追加と自動化。PowerShellのDesired State Configuration（DSC）およびVMエージェントを使用した管理。リソースグループの移動、再デプロイなど。
   4. 仮想マシンバックアップの管理
      VMバックアップを構成、バックアップポリシーの定義、VMの復元の実行とAzureサイトリカバリーの設定など
4. 仮想ネットワーク（VNET）の実装と管理 (30-35%)
   1. VNET同士の接続
      VNETピアリングの作成と構成、仮想ネットワークゲートウェイの作成と接続の確認。
   2. 仮想ネットワークの実装と管理
      プライベートIPアドレス、パブリックIPアドレス、ネットワークルート、ネットワークインターフェース、サブネットの実装と管理
   3. 名前解決の構成
      Azure DNSやカスタムDNS設定の構成。プライベートおよびパブリックDNSゾーンなど。
   4. ネットワークセキュリティグループの作成と管理 (NSG)
      セキュリティルールの作成、サブネットまたはネットワークへのNSGの関連付け、ポート制限やセキュリティルールの評価など。
   5. Azureロードバランサーの実装
      内部及びパブリックなロードバランサーの設定、ロードバランサーのルール設定、トラブルシューティングなど。
   6. 仮想ネットワークの監視とトラブルシューティング
      オンプレミスとの接続の監視、ネットワークリソースの使用監視、ネットワークウォッチャーを利用した仮想ネットワークの監視とトラブルシューティングなど
   7. オンプレミスネットワークとAzureネットワークの統合
      Azure VPN Gatewayの作成と構成、サイト間VPNやExpress Routeの設定、オンプレミスとの接続の確認とトラブルシューティング
5. ID管理 (15-20%)
   1. Azure Active Directory (AD)の管理
      カスタムドメインの追加、 Azure ADへの参加、セルフサービスの設定、パスワードのリセットと複数ディレクトリの管理。
   2. ユーザー、グループ及びデバイスの管理
      ユーザーおよびグループの作成やプロパティ、デバイス設定の管理。一括でのユーザー更新やゲストアカウントの管理など。
   3. ハイブリッドIDの実装と管理
      パスワードハッシュとパススルー同期を含むAzure AD ConnectのインストールとオンプレミスADとのフェデレーション構成。ディレクトリドメインサービス（AD DS）やAD Connectの管理やパスワード同期管理など。
   4. 多要素認証（MFA）を実装
      MFA用のユーザーアカウントの構成と有効化、不正アラートの設定、バイパスオプションの設定、許可IPアドレスの設定や検証方法など

（翻訳疲れた、英語力ほしい）

次のステップ

次はどうやって勉強していくか、ですね。

MicrosoftのLearningBlogには「Microsoft Learnの無料学習コンテンツは、2019年7月1日に完成する予定です」とあったので、少し待機が必要かも？ とはいえ待ってるのも時間がもったいないので、MicrosoftLearnの「Azureの基礎」は進めておこうかな。

Azure SQLDatabaseにサービスエンドポイントを追加してVNETからアクセスする

サービスエンドポイントをAzureのSQLDatabaseやStorageといったPaaSサービスをVNETと接続することができます。

パブリックなインターネットを経由せずにVNETからアクセスすることで安全に利用することができます。

docs.microsoft.com

やってみる

①まずはVNET側にサービスエンドポイントを追加し、アクセスするPaaSサービスと接続を許可するサブネットを選択します。今回はサービスは「Micorosoft.sql」を選び、サブネットの1つを選択します。

②次にSQLDatabase側のサーバーファイヤウォール設定から、「既存の仮想ネットワークを追加」します。

これだけ

パブリックインターネット経由からはアクセスできませんが・・・

サブネット上のVMからはアクセスすることができます

本当は

SQLDatabaseへのアクセスにグローバルIPを利用したくないという背景があって、サービスエンドポイントとポイント対サイトVPNを組み合わせたらグローバルIPでファイヤウォールしなくても大丈夫なのでは！？と目論んでたのがあえなく失敗・・・

Microsoft Azureとポイント対サイト（P2S）VPNを構築

前回はAzureと拠点をVPN接続するサイト対サイトVPNを構築しましたが、今回はAzureと端末をVPN接続するポイント対サイトVPNを構築してみました。

前回の記事と参考URL

fmty.hateblo.jp

docs.microsoft.com

docs.microsoft.com

自己署名ルート証明書とクライアント証明書の作成

①powershellを開いて以下のコマンドを実行して自己署名ルート証明書の作成

$cert = New-SelfSignedCertificate -Type Custom -KeySpec Signature `
-Subject "CN=P2SRootCert" -KeyExportPolicy Exportable `
-HashAlgorithm sha256 -KeyLength 2048 `
-CertStoreLocation "Cert:\CurrentUser\My" -KeyUsageProperty Sign -KeyUsage CertSign

②そのままpowershellを閉じずに以下のコマンドを実行

New-SelfSignedCertificate -Type Custom -DnsName P2SChildCert -KeySpec Signature `
-Subject "CN=P2SChildCert" -KeyExportPolicy Exportable `
-HashAlgorithm sha256 -KeyLength 2048 `
-CertStoreLocation "Cert:\CurrentUser\My" `
-Signer $cert -TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.2")

自己署名ルート証明書をエクスポート

①ファイル名を指定して実行で「certmgr.msc」を実行して証明書マネージャーを起動

②個人＞証明書と開き、先程作成した「P2SRootCert」を右クリックして「エクスポートを選択」

③証明書をエクスポートします。

④「いいえ、秘密キーをエクスポートしません」を選択

⑤「Base-64 encoded X.509 (.CER)」を選択

⑥任意のファイルにエクスポート

仮想ネットワークゲートウェイにポイント対サイトVPNの設定

仮想ネットワークやゲートウェイの構築は前回記事で作成しましたので割愛。

① 仮想ネットワークゲートウェイを開き、「ポイント対サイトの構成」で各情報を入力します

※アドレス プールは既存のVNETのアドレスと重複しないように設定する

②「公開証明書データ」は先程エクスポートしたcerファイルをメモ帳で開き、キーデータをコピー＆ペーストします

③設定が完了すれば、「VPNクライアントのダウンロード」を実行します

④64bitOSであれば「WindowsAmd64\VpnClientSetupAmd64.exe」を実行します。

⑤Windows10であれば設定の「VPN」に仮想ネットワーク名と同じVPN設定が生成されていますので接続します

以上で接続が完了しました。

クライアント証明書を作成した端末以外で利用する場合はクライアント証明書のエクスポートと、該当端末へのセットアップが必要です（今回は検証端末がないため手順は割愛します）

かなり簡単に接続設定できますね。

課題

• SQLDatabaseへVNET経由でアクセスしたい

Azureのアイコンセットを利用してネットワーク構成図を書いてみた

Azureのネットワーク構成図を書くときは標準で提供されているアイコンがあるので便利ですね。

www.microsoft.com

ネットワーク構成図

ということで、この連休中に構築してみたAzureのネットワーク構成図を書いてみました。

VPNを構築した以外は普通のVM構成です。

NSGやストレージアカウントについては載せてません。

ネットワーク構成図を格好良く書けるようになりたい…

Azure SQL DatabaseのポイントインタイムリストアとGEOリストア

ポイントインタイムリストア

SQL Databaseでポイントインタイムリストア（復元タイミングを指定したリストア）を試してみます

バックアップは自動的に作成されるため、AzurePortalから以下の手順で復元できます

ツールバーの「復元」を選択

ポイントを指定して復元を実行します

結果

注意点

この際、新しくデータベースが作成されるため、新しく課金が発生する点に注意が必要です

GEOリストア

SQL Databaseでは、リージョントラブルに備えて自動的に別のリージョンでGRS（GEO冗長）のバックアップが作成されます。 こちらのリストアも試してみます。

注意点

GEOバックアップには最大1時間程度の時間差があります。また、現時点ではGEOリストアはポイントインタイムリストアには対応していません。

SQL Databaseの作成時、「バックアップ」をソースに指定します

参考URL

docs.microsoft.com

Azure SQL DatabaseのアクティブGEOレプリケーションを設定してみた

Azure SQL DatabaseはSQLServerのPaaSサービスですが、標準で自動バックアップや別リージョンへのレプリケーションが付いているので、わざわざオンプレでSQLServerのDBサーバー立てるくらいならAzure SQLDatabase使っちゃおうよ、と思うようになりました。

SQLServerとSQLDatabaseの違い

docs.microsoft.com

SQLServerAgentのような別プロセスからのDBへのアプローチやDBメールが利用できない点に注意。

アクティブGEOレプリケーション

Azure SQL DatabaseのSLAは99.99%とはいえ、やはり別リージョンへのレプリケーションはとっておきたいところ。

オンプレミスで他拠点に設置したサーバーへのレプリケーションの構築は一仕事ですが、SQLDatabaseはPaaSなので比較的簡単に構築できます。

また、フェールオーバーグループで設定した接続文字列を使えばアプリケーション側で接続先のサーバーを意識する必要がないため、アプリの再デプロイや設定変更が不要となる点も魅力ですね。

構築

SQLDatabaseの構築はウィザードに進んで設定するだけなので割愛します。

SQLDatabase ＞ 概要 ＞ サーバー名を選択します。

設定 ＞ フェールオーバーグループを選択します

グループの追加を選択します

フェールオーバー先の設定を行います

フェールオーバーグループ名（この名前が接続文字列となります）を入力し、レプリケーション先のサーバーを作成します。既存のサーバーがあれば選択しますが、今回は新規に作成します。

レプリケーション先は東南アジアにしてみました。

機能	内容
読み込み／書き込みのフェールオーバーポリシー	フェールオーバーを自動で行うかを選択します
猶予時間	フェールオーバーを行うまでの猶予時間です

設定終わり

以上で設定は完了です。簡単。 尚、サーバーファイヤウォールの設定はセカンダリサーバーにも同様の設定が必要です

検証

フェールオーバーグループの接続文字列で接続し、サーバー名を確認。

プライマリサーバー名になっています。

強制フェールオーバーを行い、再度サーバー名を確認

先程設定したフェールオーバー先のサーバー名になっており、フェールオーバーに成功したことが確認できました。

読み取り専用

尚、このアクティブGEOレプリケーションは、「読み取り専用リスナーポイント」で接続すれば通常時でもセカンダリサーバーを読み取り専用サーバーとして利用することができます。

多少のタイムラグがあるため、リアルタイム性を求めないような前日までの集計や月間バッチ処理などであれば負荷分散用サーバーとして利用することもできます。

便利ですね。

宿題

• サーバーファイヤウォールの設定を共通化できないのか？
• フェールオーバーの猶予時間が理解できていない

NSG（ネットワークセキュリティグループ）の設定テスト

作成したVMやvnetにNSG（ネットワークセキュリティグループ）を設定してアクセス設定を行ってみました。

NSGはVM毎のネットワークインターフェースと、サブネット単位で設定できます。 評価順はサブネット＞VMの順に評価されます。

基本構成

リソース	IPアドレス
社内端末	192.168.0.0
仮想マシンA	172.16.1.200
仮想マシンB	172.16.2.4

ネットワークインターフェースに設定

ひとまず仮想マシンBのネットワークインターフェースに、172.16.1.0/24からの接続をすべて遮断してみました。

サブネットに設定

仮想ネットワーク ＞ サブネット ＞ ネットワークセキュリティグループを設定

結果

社内端末（192.168.0.1 ） → 仮想マシンB（172.16.2.4）

正常に接続できます

仮想マシンA（172.16.1.200） → 仮想マシンB（172.16.2.4）

設定したとおりに172.16.1.0/24からの通信が遮断されます。

これで細かなFW設定も行えそうです