AZ-104

AZ-104 ist die Prüfung für den Betrieb von Azure. Sie beginnt mit Identität und Ordnung, weil ohne beides jede weitere Einstellung im Nichts hängt.

Entra ID verwaltet Benutzer, Gruppen und Anwendungen. Benutzer entstehen in der Cloud oder werden synchronisiert. Gruppen sind zugewiesen oder dynamisch; dynamische GruppenGruppe, deren Mitgliedschaft aus einer Regel über Benutzer- oder Geräteattribute entsteht, setzt Entra ID P1 voraus. füllen sich über Regeln aus Attributen. Externe kommen als Gäste dazu.

Davon getrennt ist die rollenbasierte ZugriffssteuerungRechte hängen an Rollen, Personen erhalten Rollen. von Azure. Sie entscheidet, was jemand mit Ressourcen tun darf, und besteht immer aus Prinzipal, Rollendefinition und Bereich. Bereiche sind VerwaltungsgruppeEbene über den Abonnements, auf der Richtlinien und Rollen zugewiesen und nach unten vererbt werden., Abonnement, RessourcengruppeBehälter für Ressourcen, die gemeinsam verwaltet und gemeinsam gelöscht werden. Nicht verschachtelbar. und Ressource, und Zuweisungen vererben sich nach unten. Die Rollen Besitzer, Mitwirkender, Leser und BenutzerzugriffsadministratorAzure-Rolle, die ausschließlich Rollenzuweisungen verwalten darf. muss man unterscheiden können: Mitwirkender darf alles außer Rechte vergeben.

Governance ordnet den RestZugriffsart auf Schnittstellen über HTTP-Methoden wie GET und PUT.. VerwaltungsgruppenEbene über den Abonnements, auf der Richtlinien und Rollen zugewiesen und nach unten vererbt werden. bündeln Abonnements und tragen RichtlinienVerbindliche Vorgabe der Leitung, was in der Organisation gilt. für viele auf einmal. Azure PolicyRegelwerk, das Eigenschaften von Ressourcen prüft und erzwingt, etwa erlaubte Regionen oder Pflicht-Tags. Wirkt unabhängig von Berechtigungen. legt fest, was erlaubt ist, und kann verweigern, prüfen oder nachziehen. InitiativenBündel aus mehreren Richtliniendefinitionen mit gemeinsamer Zuweisung und Bewertung. bündeln Richtlinien. RessourcensperrenSchutz vor versehentlichem Löschen oder Ändern. „Löschen nicht zulässig“ erlaubt Änderungen, „Schreibgeschützt“ nicht. verhindern Ändern oder Löschen. Markierungen ordnen Ressourcen für Auswertung und Abrechnung; sie werden nicht automatisch vererbt, dafür braucht es eine Richtlinie.

Zur Kostensteuerung gehören BudgetsKostenschwelle mit Benachrichtigung. Warnt, schaltet aber nichts ab. mit Warnungen und die Kostenanalyse.

Der zweite Bereich behandelt Speicherkonten und die Dienste darin.

Ein Speicherkonto hat eine Art und eine Redundanz. Lokal redundanter Speicher hält drei Kopien in einem Rechenzentrum, zonenredundanter verteilt über VerfügbarkeitszonenPhysisch getrenntes Rechenzentrum innerhalb einer Azure-Region, mit eigener Stromversorgung, Kühlung und Netzwerk., georedundanter zusätzlich in die gekoppelte RegionGeografischer Standort mit einem oder mehreren Azure-Rechenzentren, zum Beispiel Westeuropa., und die Varianten mit Lesezugriff erlauben das Lesen der zweiten Region. Wer Schutz gegen den Ausfall eines Rechenzentrums braucht, nimmt mindestens Zonenredundanz; wer Schutz gegen den Ausfall einer Region braucht, GeoredundanzKopie der Daten in einer zweiten, geografisch entfernten Region..

Im Konto liegen die Dienste. BlobObjekt im Azure-Objektspeicher für unstrukturierte Daten wie Bilder, Videos oder Sicherungen.-Speicher hält unstrukturierte DatenDaten ohne Feldbegriff, Bilder, Ton, Video, Fließtext. und kennt ZugriffsebenenSpeicherklasse eines Blobs: Heiß, Kühl, Kalt oder Archiv. Je kälter, desto günstiger der Speicher und desto teurer beziehungsweise langsamer der Zugriff. von heiß über kalt und kühl bis Archiv; Archiv ist am günstigsten und braucht eine RehydrierungZurückholen eines archivierten Blobs auf eine Onlineebene. Dauert je nach Priorität bis zu 15 Stunden., bevor gelesen werden kann. LebenszyklusregelnAutomatische Herabstufung oder Löschung von Blobs nach Alter. verschieben Daten automatisch. Dateifreigaben sprechen SMB und lassen sich mit Azure File SyncSynchronisiert einen lokalen Dateiserver mit einer Azure-Dateifreigabe. Keine Sicherung. an lokale Server binden. WarteschlangenPuffer, aus dem genau ein Verarbeiter eine Nachricht abholt. und Tabellen ergänzen.

Beim Zugriff gibt es mehrere Wege: KontoschlüsselVollzugriffsschlüssel eines Speicherkontos; sollte deaktiviert werden., Signaturen für zeitlich begrenzten Zugriff und Rollen über Entra ID. Rollen sind vorzuziehen; wenn eine Signatur nötig ist, ist die mit BenutzerdelegierungZugriffsverweis, der an eine Entra-Identität gebunden und widerrufbar ist. die bessere, weil widerrufbar.

Zum ÜbertragenGeordnete Verlagerung einer FSMO-Rolle bei erreichbarem Inhaber. gibt es WerkzeugeFähigkeit, die ein Agent aufrufen darf, etwa die Suche in hochgeladenen Dateien. wie AzCopyKommandozeilenwerkzeug für große, wiederholbare Datenübertragungen in den und aus dem Azure-Speicher., den Speicher-Explorer und den ImportAufnahme eines vorhandenen Objekts in die Verwaltung.- und Exportdienst für große Mengen.

Der dritte Bereich behandelt alles, was rechnet.

Bei virtuellen Maschinen zählen Größe, Datenträger, VerfügbarkeitSchutzziel: Informationen und Dienste sind bei Bedarf nutzbar. und Erweiterungen. VerfügbarkeitsgruppenVerteilung von Maschinen über Fehler- und Updatedomänen innerhalb eines Rechenzentrums. verteilen über Fehler- und UpdatedomänenGruppe von VMs, die bei geplanter Wartung gemeinsam neu gestartet wird, nie alle gleichzeitig. innerhalb eines Rechenzentrums; VerfügbarkeitszonenPhysisch getrenntes Rechenzentrum innerhalb einer Azure-Region, mit eigener Stromversorgung, Kühlung und Netzwerk. verteilen über Standorte einer RegionGeografischer Standort mit einem oder mehreren Azure-Rechenzentren, zum Beispiel Westeuropa. und geben die stärkere Zusage. SkalierungsgruppenGruppe gleichartiger Maschinen in Azure, die nach Regeln wächst und schrumpft. erzeugen und entfernen Maschinen nach Regeln und arbeiten mit einem Lastenausgleich zusammen. Datenträger gibt es in mehreren Leistungsklassen, und MomentaufnahmenKurzfristig gedachter Rückkehrpunkt einer virtuellen Maschine. sowie Abbilder sind die Grundlage für Kopien.

Bei den Anwendungsdiensten geht es um Webanwendungen ohne eigene Maschine. Der Anwendungsdienstplan bestimmt Größe und Preis, BereitstellungsslotsParallele Umgebung einer Anwendung, die per Umschaltung produktiv wird. erlauben einen Wechsel ohne Ausfall, und die Skalierung ist senkrecht über den Plan oder waagerecht über Instanzen möglich.

Bei ContainernSteuerelement zur Anordnung in Zeilen und Spalten; Grundlage anpassungsfähiger Layouts. gibt es zwei Wege: Containerinstanzen für einzelne, kurzlebige Aufgaben und den verwalteten Kubernetes-Dienst für Anwendungen, die dauerhaft laufen und aus mehreren Teilen bestehen. Knotenpools, Skalierung und die Anbindung an die Registrierung sind die Themen.

Zur Bereitstellung gehören Vorlagen. Eine Vorlage oder eine BicepLesbarere Sprache für denselben Zweck; wird beim Bereitstellen in eine ARM-Vorlage übersetzt.-Datei beschreibt die gewünschte UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten., und der BereitstellungsmodusInkrementell ergänzt nur, Vollständig gleicht die Ressourcengruppe an die Vorlage an und löscht dabei alles Übrige. entscheidet, ob vorhandene Ressourcen ergänzt oder entfernt werden.

Der vierte Bereich behandelt virtuelle Netzwerke und alles, was Verkehr lenkt.

Ein virtuelles Netzwerk hat einen Adressraum und Subnetze. NetzwerksicherheitsgruppenEinfache Filterliste für ein- und ausgehenden Verkehr an Subnetz oder Netzwerkkarte. filtern mit Regeln nach Priorität; die erste zutreffende gewinnt, und Standardregeln stehen am Ende. AnwendungssicherheitsgruppenGruppierung von Netzwerkschnittstellen nach Rolle für wartbare Regeln. bündeln Maschinen nach Rolle, damit Regeln nicht auf Adressen zeigen müssen.

Netzwerke werden über Peering verbunden. Peering ist nicht transitiv: Wenn A mit B und B mit C verbunden ist, erreicht A nicht automatisch C. Dafür braucht es ein GatewayVerbindungsdienst, über den der Power-BI-Dienst lokale Datenquellen erreicht. mit Weitergabe oder eine Sterntopologie mit einer eigenen WeiterleitungVerbindung der Ausgabe eines Programms mit der Eingabe des nächsten.. Für Verbindungen nach außen gibt es das VPN-Gateway für Standort- und Punktverbindungen und ExpressRoutePrivate Leitung zwischen eigenem Rechenzentrum und Azure, die das öffentliche Internet nicht berührt. für eine private Leitung ohne Internet.

Beim Namen entscheidet DNS. Private Zonen lösen Namen innerhalb der eigenen Netze auf und sind die Voraussetzung dafür, dass ein privater EndpunktPrivate Adresse eines Dienstes im eigenen virtuellen Netz. wirkt.

Beim Verteilen gibt es zwei Ebenen. Der Lastenausgleich arbeitet auf der Transportebene und verteilt nach Regeln. Das Anwendungsgateway arbeitet auf der Anwendungsebene, versteht Pfade und Hostnamen und bringt die WebanwendungsfirewallSchutz vor Angriffen auf der Anwendungsschicht, betreibbar im Erkennungs- oder Präventionsmodus. mit. Front DoorGlobaler Lastenausgleich auf Anwendungsebene mit Zwischenspeicherung am Rand. verteilt weltweit, der Verkehrs-Manager arbeitet über DNS.

Zur Fehlersuche dienen die WerkzeugeFähigkeit, die ein Agent aufrufen darf, etwa die Suche in hochgeladenen Dateien. des Netzwerkbeobachters, etwa die Überprüfung des Flusses zu einer Adresse.

Der letzte Bereich behandelt ÜberwachungProtokolliert Aktivitäten im Mandanten; die Premiumvariante bewahrt länger auf. und Sicherung.

Azure MonitorDach über Metriken, Protokolle, Warnungen und Anwendungsüberwachung in Azure. sammelt zwei Arten von Daten. MetrikenMaß für die Güte eines Weges innerhalb einer Routenquelle. sind Zahlenreihen mit hoher Auflösung und kurzer Vorhaltezeit. ProtokolleEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird. sind Ereignisse mit Struktur und landen im Log Analytics-ArbeitsbereichZentraler Speicher für Protokolldaten mit Abfragesprache und Warnungen., wo sie mit KQLKusto-Abfragesprache; Abfragen werden von oben nach unten abgearbeitet, frühe Filter sparen Laufzeit. abgefragt werden. Damit RessourcenprotokolleProtokoll der Vorgänge innerhalb einer Ressource; nur über eine Diagnoseeinstellung verfügbar. dort ankommen, braucht es DiagnoseeinstellungenKonfiguration, die festlegt, welche Protokolle und Metriken wohin geleitet werden.; ohne sie bleibt es beim AktivitätsprotokollProtokoll der Verwaltungsvorgänge an Azure-Ressourcen; 90 Tage aufbewahrt., das nur Verwaltungsvorgänge zeigt.

Warnungen bestehen aus einer Bedingung und einer AktionsgruppeSammlung von Benachrichtigungen und Aktionen, die eine Warnung auslöst.. Die Bedingung prüft eine MetrikMaß für die Güte eines Weges innerhalb einer Routenquelle., eine Protokollabfrage oder ein Ereignis; die Aktionsgruppe benachrichtigt oder löst etwas aus. Application InsightsAnwendungsüberwachung mit Anfragen, Abhängigkeiten, Ausnahmen und Antwortzeiten. ergänzt die SichtGespeicherte Abfrage, die wie eine Tabelle abgefragt wird, ohne Daten zu doppeln. auf Anwendungen.

Der Netzwerkbeobachter hilft bei Verbindungsproblemen, etwa mit der Prüfung des nächsten Sprungs oder der Überprüfung, ob eine Regel den Weg blockiert.

Bei der Sicherung sind zwei Dienste zu unterscheiden. Azure BackupZentraler Sicherungsdienst mit Richtlinien, Aufbewahrung und Wiederherstellung. sichert Daten und Zustände und stellt sie wieder her; ein Wiederherstellungstresor hält die Sicherungen, eine RichtlinieVerbindliche Vorgabe der Leitung, was in der Organisation gilt. bestimmt Häufigkeit und Aufbewahrung. Azure Site RecoveryReplikation und geordneter Wiederanlauf von Maschinen in einer zweiten Region. bildet eine UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. an einem anderen Ort nach, damit im Katastrophenfall umgeschaltet werden kann. Sicherung schützt gegen Verlust, Standortwiederherstellung gegen Ausfall.