1. 図表とNSXセキュリティセグメンテーションの理解
* この図は、マイクロサービス ベースの金融会社の NSX-T 論理セグメンテーションを表しています。
* ワークロードを 3 つの異なるリスク レベルに分類します。
* 高リスク（赤）
* 中程度のリスク（黄色）
* 低リスク（青）
* 目的は、リスク レベル間の分離を維持しながら、最小限の管理オーバーヘッドでセキュリティ ポリシーを実施することです。
2. 「セキュリティレベルごとに1つのセキュリティポリシー」が最適な選択である理由（B）
* セキュリティ レベル (高、中、低) に基づいてワークロードをグループ化すると、ファイアウォール ルールの管理が簡素化されます。
* セキュリティ レベルごとに単一のセキュリティ ポリシーを定義することで、マイクロサービスごとに複数のファイアウォール ルールを個別に作成する必要性が軽減されます。
* このアプローチの利点:
* スケーラビリティ: 新しいワークロードは、手動でルールを作成することなく、既存のセキュリティ ポリシーを継承できます。
* 簡素化: 数百のファイアウォール ルールの代わりに、いくつかのポリシーでトラフィックの分離を効果的に処理します。
* 自動化対応: NSX-T セキュリティ グループを使用して、セキュリティ ポリシーを動的に適用できます。
3. 他の選択肢が間違っている理由
* (A - アプリケーション層ごとに 1 つのファイアウォール ルールを作成する)
* 高いオーバーヘッドと複雑さ: 各アプリケーションには独自のルールがあるため、アプリケーションの数が増えると拡張が難しくなります。
* 継続的に手動でルールを作成する必要があるため、管理上の負担が増加します。
* 小規模で静的な環境には適していますが、マイクロサービスには拡張できません。
* (C - セキュリティレベルごとに 1 つのファイアウォール ルールを作成する)
* ファイアウォール ルールだけでは、きめ細かなセグメンテーションは提供されません。
* 複数のアプリケーション層にわたるセキュリティ制御を定義するには、単一のファイアウォール ルールでは不十分です。
* セキュリティ ポリシーは、レイヤー 7 ベースの制御や動的メンバーシップなど、より構造化されたアプローチを提供します。
* (D - IPグループに基づいてセキュリティポリシーを作成する)
* IP ベースのセキュリティ ポリシーは時代遅れであり、動的なマイクロサービス環境では拡張できません。
* NSX-T は、従来の IP ベースのセグメンテーションではなく、ワークロードベースのセキュリティ ポリシーをサポートします。
* マイクロサービスでは動的 IP アドレスが使用されることが多いため、IP ベースのグループはセキュリティの適用には効果がありません。
4. マイクロサービスベースの設計におけるNSXセキュリティのベストプラクティス
* マイクロセグメンテーションには NSX 分散ファイアウォール (DFW) を使用する
* 脅威の横方向の移動を防ぐために、ワークロード (vNIC) レベルでセキュリティを適用します。
* リスクゾーン間のトラフィックを制限することで、ゼロ トラスト セキュリティ モデルを適用します。
* 静的IPではなくセキュリティ体制でワークロードをグループ化する
* 静的 IP の代わりに動的セキュリティ グループ (タグ、VM 属性) を活用します。
* ビジネス ロジック (本番環境と開発環境、PCI 準拠のワークロードなど) に基づいてセキュリティ ルールを割り当てます。
* 個別のファイアウォールルールの代わりにセキュリティポリシーを使用する
* ポリシーは抽象化を提供し、ファイアウォール ルールの数を削減します。
* 複数のワークロードを動的に管理および適用することが容易になります。
* NSX Intelligence を使用してセキュリティ ポリシーを監視および自動化する
* VMware Aria Operations for Networks (旧称 vRealize Network Insight) を使用して、ワークロードの通信パターンを継続的に分析します。
* 検出されたトラフィック フローに基づいてルールの更新を自動化します。

* NSX フェデレーションの要件 (正解 - A):
* NSX フェデレーションを使用すると、複数の場所にある複数の NSX-T Data Center インスタンスを集中管理できます。
* シームレスな災害復旧を確実に行うには、すべてのサイトで同じ NSX バージョンを実行し、以下をサポートするようにビルドする必要があります。
* グローバルポリシーとルールの一貫性
* サイト間トランスポートゾーン通信
* シームレスなフェイルオーバーとポリシーレプリケーション
* 誤ったオプション:
* (B - 同じ物理ハードウェアが必要):
* NSX フェデレーションでは同一のハードウェアは必要ありません。ただし、互換性のために各サイトは最低限のハードウェア仕様を満たしている必要があります。
* (C - 同じリージョン内にある必要があります):
* フェデレーションは複数リージョンの展開をサポートし、さまざまな地理的な場所にわたる災害復旧を可能にします。
* (D - 同じ IP アドレス空間を持つ必要があります):
* NSX フェデレーションは Tier-0 ゲートウェイと BGP を使用したサイト間のルーティングをサポートしているため、各 NSX サイトは異なる IP アドレス空間を持つことができます。
VMware NSX 4.x リファレンス:
* NSX-T フェデレーション デプロイメント ガイド
* NSX-T マルチロケーション災害復旧アーキテクチャ