ある開発チームが、Azure 仮想ネットワーク内の複数の仮想マシンに対し、同じポートフィルタリングルールをグループ単位でまとめて適用したい。IPアドレスを列挙せずにアプリケーション層でグルーピングできる仕組みとして正しいものはどれか。

正解: A

アプリケーション セキュリティ グループ（ASG）は、仮想マシンの NIC を論理グループに関連付け、NSG ルールの送信元・宛先として IP アドレスの代わりにグループ名を使える仕組みである。例えば「WebServers」「AppServers」というASGを作成し、NSGルールに ASG 名を指定することで、IPアドレスを列挙せず柔軟にポリシーを管理できる。選択肢CのAzure Firewall ポリシーはFW全体のルール階層管理に使うが、VMをグルーピングして NSG ルールに適用する機能ではない。選択肢BのAzure Bastionは RDP/SSH 接続を安全に仲介するサービスであり、ポートフィルタリングルールのグルーピングとは無関係。選択肢DのDDoS Protection Standard はDDoS緩和を目的とし、NSGルールのグルーピングとは異なる。