変更要約: §3.3「AI サービスと Copilot、責任あるAI」を新設（2026-01 改訂で AZ-900 に追加された AI 領域＝Azure AI Foundry/OpenAI/AI services/AI Search/Content Safety・Copilot ファミリ・責任あるAI6原則）
3.2ネットワークサービス
仮想ネットワーク（VNet）とサブネット、VNet 同士のピアリング、オンプレミスとつなぐ VPN Gateway と ExpressRoute、そして DNS や公開／非公開エンドポイントといったネットワークの基本を理解します。
クラウド上のリソースも、互いに、そして外部やオンプレミスと安全につながる必要があります。その土台が 仮想ネットワーク（VNet）です。物理的な配線の代わりに、ソフトウェアで定義する自分専用のネットワークを Azure 内に作り、そこにリソースを配置します。この節では、ネットワークの基本部品（VNet・サブネット・ピアリング）、社内環境とつなぐ方法（VPN Gateway・ExpressRoute）、名前解決とアクセス制御（DNS・エンドポイント・NSG）を順に押さえます。
3.2.1仮想ネットワーク（VNet）とサブネット
仮想ネットワーク（VNet）は、Azure 内に作るプライベートなネットワークで、リソース同士を安全に通信させる土台です。VNet にはアドレス空間（例：10.0.0.0/16 のような IP の範囲）を割り当て、その中を サブネット（例：10.0.1.0/24）に区切って用途別（Web 層・DB 層など）に整理します。サブネットで分けると、層ごとに通信ルール（後述の NSG）を変えられ、セキュリティと見通しが良くなります。
別々の VNet をつなぎたいときは ピアリング（peering）を使います。ピアリングで接続された VNet 同士は、まるで1つのネットワークのようにプライベートに（インターネットを経由せず）相互通信できます。同一リージョン内でも、リージョンをまたいでも接続できます。
3.2.2オンプレミスとつなぐ
社内（オンプレミス）のネットワークと Azure をつなぐ主な方法は2つです。VPN Gateway はインターネット経由の暗号化トンネル（IPsec）で接続します。導入が比較的手軽で安価ですが、経路がインターネットのため遅延や帯域は一定しません。ExpressRoute は通信事業者を介した専用のプライベート接続で、インターネットを通りません。高い信頼性・一貫した低遅延・広帯域が得られ、基幹システムや大量データ転送に向きます（その分コストは高め）。
| 観点 | VPN Gateway | ExpressRoute |
|---|---|---|
| 経路 | インターネット経由（暗号化） | 専用のプライベート接続 |
| 遅延・帯域 | 変動しうる | 一貫・広帯域 |
| 信頼性 | 標準 | 高い |
| コスト・導入 | 安価・手軽 | 高め・要回線手配 |
| 向く用途 | 小規模・補助的な接続 | 基幹・大量データ・低遅延要件 |
3.2.3名前解決とアクセス制御
Azure DNS は、ドメイン名（例：example.com）を IP アドレスに変換する名前解決をホストするサービスです。アクセスの公開範囲はエンドポイントで決まります：パブリックエンドポイントはインターネットから到達可能、プライベートエンドポイント（Private Link）は VNet 内からのみ到達可能で、サービスをインターネットに晒さずに使えます。さらに NSG（ネットワークセキュリティグループ） を使うと、サブネットや NIC 単位で「どの送信元/宛先/ポートの通信を許可・拒否するか」を規則で制御できます。
オンプレ接続の使い分け：手早く安全につなぐなら VPN Gateway（インターネット経由）、より高信頼・一貫した遅延が要るなら ExpressRoute（専用線・インターネットを通らない）。両者を併用し、ExpressRoute 障害時に VPN へフェイルオーバーする構成もあります。
シナリオ：3層Webアプリの構成。 1つの VNet を Web 用サブネットと DB 用サブネットに分け、DB サブネットには NSG でインターネットからの直接アクセスを拒否（Web 層からのみ許可）。DB は プライベートエンドポイントで公開せず利用。社内の基幹システムとは ExpressRoute で低遅延接続。こうして層ごとに公開範囲と通信規則を分けます。
混同に注意：
①VPN Gateway（インターネット経由）とExpressRoute（専用線・非インターネット）——「専用線・インターネットを通らない＝ExpressRoute」。
②ピアリング（VNet 同士）とゲートウェイ（オンプレ接続）は役割が別。
③パブリックエンドポイント（公開）とプライベートエンドポイント（VNet 内のみ）。
Q. NSG とファイアウォールは同じ？ AZ-900 の範囲では、NSG はサブネット/NIC 単位の基本的な許可・拒否ルールと捉えれば十分です。より高度な集中型の検査・フィルタリングは Azure Firewall などが担いますが、まずは「NSG＝VNet 内のトラフィック制御の基本」を押さえましょう。
VNet＝Azure内のプライベートネットワーク／サブネット＝区切り／ピアリング＝VNet同士の接続、VPN Gateway（インターネット経由）vs ExpressRoute（専用線・インターネット非経由）、パブリック/プライベートエンドポイント、NSG＝許可/拒否ルール は頻出です。
3.2.4この節のまとめ
- VNet（Azure内のプライベートNW）をサブネットで区切り、ピアリングで VNet 同士をプライベート接続
- オンプレ接続：VPN Gateway＝インターネット経由の暗号化／ExpressRoute＝専用線（高信頼・低遅延）
- Azure DNS＝名前解決。パブリック/プライベートエンドポイントと NSG でアクセスと通信を制御
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 2つの仮想ネットワーク（VNet）を相互に接続する機能はどれですか？
Q2. インターネットを経由しない専用のプライベート接続でオンプレミスとつなぐサービスはどれですか？
Q3. VPN Gateway による接続の経路として正しいものはどれですか？
Q4. VNet を用途別（Web 層・DB 層など）に区切る単位はどれですか？
Q5. サービスをインターネットに公開せず、VNet 内からのみ到達できるようにする仕組みはどれですか？
Q6. サブネットや NIC 単位で通信を許可・拒否する規則を提供するものはどれですか？