変更要約: AZ-104 第4章を Associate 級に深掘り（比較表・シナリオ・FAQ・ひっかけ＋深掘り段落、図を日本語化）
4.1仮想ネットワーク（VNet）とサブネット
仮想ネットワーク（VNet）とアドレス空間、サブネットによる分割（公開/非公開）、IP アドレスの基礎といった Azure ネットワークの土台を理解します。
Azure 内のプライベートネットワークが 仮想ネットワーク（VNet） です。アドレス空間（例 10.0.0.0/16）を決め、用途ごとに サブネット へ分割します。
4.1.1VNet とサブネット
- VNet：Azure 内のプライベートネットワーク。アドレス空間（CIDR）を持つ。
- サブネット：VNet を用途別に分割。公開（Web 層）／非公開（DB 層） に分けるのが定石。
- リソース（VM 等）はサブネット内に配置され、プライベート IP を受け取る。
「VNet＝プライベートネットワーク」「サブネットで公開/非公開を分離」「DB は非公開サブネット（パブリック IP なし）」 は AZ-104 で頻出です。VNet 内の同一リージョンのリソースは既定で相互通信できます。
VNet は Azure 内のプライベートネットワークで、アドレス空間（CIDR） を持ち（オンプレや他 VNet と重複しない設計が重要）、用途別に サブネット へ分割します。各サブネットの先頭/末尾の数 IP は 予約済み（Azure 用）で使えません。ルーティングは システムルート が既定で、独自経路は ユーザー定義ルート（UDR）/ルートテーブル で上書きし、ファイアウォール等の NVA を経由させます。サブネット境界の通信制御は NSG、アプリ単位のグループ化は ASG。AWS の S3 等に相当する各サービスへインターネットを介さず到達するには サービスエンドポイント（サービス単位）や プライベートエンドポイント（PaaS をプライベート IP で公開）。非公開サブネットの VM が外向き通信するには NAT ゲートウェイ、Web 層は パブリック IP/ロードバランサー 経由で公開します。判断軸は「プライベート網＝VNet」「用途分割＝サブネット」「DB＝非公開サブネット」「経路上書き＝UDR」「PaaS をプライベート＝プライベートエンドポイント」。
| やりたいこと | 使うもの |
|---|---|
| 用途別にネットワークを分割 | サブネット |
| 経路を独自に制御 | UDR / ルートテーブル（NVA 経由） |
| PaaS をプライベートに利用 | プライベートエンドポイント |
| 非公開 VM の外向き通信 | NAT ゲートウェイ |
シナリオ：3層アプリ（Web/App/DB）を安全に配置。 VNet（10.0.0.0/16）を Web(公開)/App/DB(非公開)のサブネットに分割。DB はパブリック IP を持たせず、Storage/DB へはプライベートエンドポイントでインターネットを経由せず接続。外向き更新が要る App 層はNAT ゲートウェイ、検査用の通信はUDRで NVA（ファイアウォール）へ迂回。境界は NSG＋ASG で制御します。
Q. 用途別に分割？ サブネット。Q. 経路を独自制御？ UDR/ルートテーブル。Q. PaaS をプライベート IP で？ プライベートエンドポイント。Q. 非公開 VM の外向き通信？ NAT ゲートウェイ。Q. VNet 同士は？ ピアリング（次節）。Q. アドレス空間の注意？ 他と重複させない。
混同に注意：
①アドレス空間が他 VNet/オンプレと重複するとピアリング/VPN ができない——計画が重要。
②各サブネットは先頭/末尾の数 IP が予約で使えない。
③サービスエンドポイント（サービス単位の経路）とプライベートエンドポイント（プライベート IP で公開）は別物。
④非公開 VM の外向き通信には NAT ゲートウェイ等が要る（既定で出られないことがある）。
VNet と VNet を接続するには「ピアリング」を使います（後の節で扱います）。同一 VNet 内のサブネット間は既定でルーティングされます。
4.1.2この節のまとめ
- VNet＝アドレス空間を持つプライベートネットワーク
- サブネットで公開/非公開を分離、DB は非公開に
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Azure 内にプライベートなネットワークを作成する基本のリソースはどれですか？
Q2. データベースサーバーを配置する場所として最も安全なのはどれですか？
Q3. VNet を用途ごとに区切るために使うものはどれですか？