ネットワークは、未経験の方がいちばん身構える分野です。でもAZ-900で問われるのは設定のしかたではなく、「どれが何をつなぐものか」だけです。用語の担当範囲さえ整理できれば解けます。
- 用語は「何と何をつなぐか」で整理します。サブネット＝VNetの中を区切る／ピアリング＝VNetとVNet／VPN GatewayとExpressRoute＝オンプレミスとAzure。
- オンプレミスとつなぐ道は2つ。VPN Gateway＝インターネット経由・暗号化、ExpressRoute＝インターネットを通らない専用の接続。
- プライベートエンドポイントは「インターネットを通らずにAzureのサービスへ入る口」です。名前から意味を逆に取らないよう注意してください。
仮想ネットワーク（VNet）：Azureの中の自分専用のネットワーク
仮想ネットワーク（Virtual Network、VNet）は、Azureの中に作る自分専用のネットワークです。仮想マシンなどのリソースは、このVNetの中に置かれて、はじめて通信できるようになります。
会社にネットワークを敷くのと同じイメージです。違うのは、ケーブルを引く代わりに画面上で設定するだけという点です。
サブネット：VNetの中を区切る
サブネットは、1つのVNetの中をさらに小さく分けた区画です。「Webサーバー用」「データベース用」のように役割ごとに分けておくと、通信の制御をかけやすくなります。
サブネットとリソースグループはまったく別の軸です。サブネットはネットワーク上の区切り、リソースグループは管理と課金のまとまり。同じリソースグループに入っているVMが、別々のVNetにいることもあり得ます。
仮想ネットワークピアリング：VNetどうしをつなぐ
VNetは、作っただけでは他のVNetと通信できません。つなぎたいときに使うのが仮想ネットワークピアリングです。
ピアリングでつなぐと、2つのVNetはまるで1つのネットワークのように通信できるようになります。別々のリージョンにあるVNetどうしをつなぐこともできます。
Azure DNS：名前を引く
Azure DNSは、ドメイン名（www.example.com のような名前）をIPアドレスに変換するサービスです。ネットワークの「電話帳」にあたります。つなぐしくみではなく、宛先を調べるしくみだと覚えてください。
オンプレミスとAzureをつなぐ2つの道
社内のサーバーとAzureをつなぎたい場面はよくあります。方法は大きく2つです。
Azure VPN Gateway：インターネット経由でつなぐ
Azure VPN Gatewayは、インターネットを通しつつ、通信を暗号化して安全な通り道を作るしくみです。
- すでにあるインターネット回線を使うので始めやすく、費用も抑えられます
- ただし通信はインターネットを通るため、速度や遅延は回線の状況に左右されます
ExpressRoute：インターネットを通らない専用の接続
ExpressRouteは、接続事業者を介した専用の接続でオンプレミスとAzureをつなぎます。
- パブリックインターネットを通りません。ここが最大の違いです
- 帯域や遅延が安定しており、大量のデータをやりとりする用途に向きます
- そのぶん費用は大きくなり、開通にも時間がかかります
問題文に「インターネットを経由しない」「専用線」「安定した帯域」とあればExpressRoute。「手軽に」「低コストで」「暗号化して」とあればVPN Gatewayです。
パブリックエンドポイントとプライベートエンドポイント
Azureのサービス（ストレージなど）には、どこから入ってくるかという入り口の設定があります。
| 種類 | 意味 |
|---|---|
| パブリックエンドポイント | インターネットからアクセスできる入り口。既定ではこちらです |
| プライベートエンドポイント | 仮想ネットワークの内側に作る入り口。インターネットを通らずにアクセスできます |
「プライベートエンドポイント」は「インターネットに公開する」ものではありません。その逆で、インターネットを経由しない経路を作るためのしくみです。名前が紛らわしいので、試験でも狙われやすいところです。
【比較】どれが何をつなぐのか
| しくみ | つなぐ相手 | ひとことで |
|---|---|---|
| サブネット | 1つのVNetの中 | 区切る |
| 仮想ネットワークピアリング | VNet ↔ VNet | Azure内どうしをつなぐ |
| Azure VPN Gateway | オンプレミス ↔ Azure | インターネット経由・暗号化 |
| ExpressRoute | オンプレミス ↔ Azure | 専用の接続・インターネットを通らない |
| Azure DNS | （つながない） | 名前をIPアドレスに変換する |
| プライベートエンドポイント | VNet → Azureのサービス | インターネットを通らない入り口を作る |
試験ではこう問われる
| 問われ方 | 判断のしかた |
|---|---|
| 「インターネットを経由しない接続」 | ExpressRoute |
| 「暗号化してインターネット経由でつなぐ」 | VPN Gateway |
| VNetどうしをつなぐには | ピアリング |
| VNetの中を役割ごとに分けるには | サブネット |
| プライベートエンドポイントの向き | インターネットを通らない経路（逆に取らない） |
| リソースグループとサブネットの違い | 管理の入れ物とネットワークの区切りで、別の軸 |
確認クイズ
読んだ直後に3問だけ。
オンプレミスのデータセンターとAzureを、安定した帯域で、インターネットを経由せずにつなぎたいという要件があります。適したものはどれですか。
1つ選んでください
Azureのネットワークについて、次の各文が正しいかどうかを判定してください。
各文について「はい」か「いいえ」を選んでください（文ごとに1点）
1. 仮想ネットワークピアリングを使うと、2つの仮想ネットワークの間で通信できるようになる。
2. 1つの仮想ネットワークは、複数のサブネットに分割できる。
3. プライベートエンドポイントを使うと、Azureのサービスにインターネット経由でアクセスできるようになる。
仮想ネットワークの中に置いたリソースを、役割ごとにグループ分けして通信を制御しやすくしたい。使うものはどれですか。
1つ選んでください
まとめ
- 仮想ネットワーク（VNet）＝Azureの中の自分専用のネットワーク。リソースはこの中に置く
- サブネット＝VNetの中の区切り。リソースグループとは別の軸
- ピアリング＝VNetどうしをつなぐ
- VPN Gateway＝インターネット経由・暗号化・手軽
- ExpressRoute＝インターネットを通らない専用の接続・安定・高コスト
- プライベートエンドポイント＝インターネットを通らない入り口（名前と意味を逆に取らない）
※本記事は、Microsoft公式のAZ-900学習ガイド（2026年7月20日現在のスキル）および Microsoft Learn の各サービス公式ドキュメントの記載（2026年8月6日確認）にもとづき、エンジニアKが作成しています。引用は公式の日本語表記のままです。仕様は変更されることがあります。最新情報は必ずMicrosoft公式サイトでご確認ください。本サイトはMicrosoft Corporationの公式サイトではありません。Microsoft、Azure、Microsoft Entra ID等は同社の商標です。
