AZ-802

AZ-802 fasst den Betrieb von Windows Server in einer hybriden Welt in einer einzigen Prüfung zusammen. Der erste Bereich behandelt den Verzeichnisdienst und hat das größte Gewicht.

Active Directory besteht aus Gesamtstruktur, Domänen und Organisationseinheiten. Domänencontroller halten die Datenbank und replizieren; einzelne Sonderrollen gibt es nur einmal je Domäne oder Gesamtstruktur. Standorte und StandortverknüpfungenTrägt Kosten, Zeitplan und Intervall der Replikation zwischen Standorten. steuern, welcher Domänencontroller bevorzugt wird und wie Replikation über schmale Leitungen läuft. Ein schreibgeschützter DomänencontrollerDomänencontroller mit nur lesbarer Verzeichniskopie, ohne standardmäßige Kennwortspeicherung. passt für Standorte ohne gesicherten Serverraum.

Gruppenrichtlinien setzen Einstellungen durch. Die Reihenfolge ist lokal, Standort, Domäne, Organisationseinheit; zuletzt angewandt gewinnt, außer eine Verknüpfung ist erzwungenKennzeichnung einer Verknüpfung, die auch gegen deaktivierte Vererbung durchgesetzt wird. oder die Vererbung ist blockiert. SicherheitsfilterungSteuerung, welche Konten eine Richtlinie anwenden, mit den Rechten Lesen und Gruppenrichtlinie übernehmen. und WMI-FilterAbfrage auf Eigenschaften des Rechners, die über die Anwendung einer Richtlinie entscheidet. grenzen weiter ein. Voreinstellungen setzen Werte, die der Nutzer ändern darf, RichtlinienVerbindliche Vorgabe der Leitung, was in der Organisation gilt. setzen Werte, die er nicht ändern kann.

Hybrid kommt Entra ID dazu. Entra Connect Sync oder die Cloud-Synchronisierung bringen Konten in die Cloud, das Anmeldeverfahren entscheidet über die Abhängigkeit von der lokalen UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten., und Entra Domain ServicesMittel zur gemeinsamen Wertschöpfung, das Ergebnisse ermöglicht und Kosten und Risiken abnimmt. stellt einen verwalteten Verzeichnisdienst bereit, wenn Anwendungen klassische Domänenanbindung brauchen.

Zur Absicherung gehören abgestufte Kennwortrichtlinien, geschützte Konten, verwaltete Dienstkonten und die Trennung von Verwaltungskonten.

Der zweite Bereich behandelt die Verwaltung von Servern über die Grenze zwischen lokal und Cloud hinweg.

Azure ArcEinbindung lokaler und Fremdcloud-Server in die Azure-Verwaltung. ist der Schlüssel. Ein Server außerhalb von Azure bekommt einen AgentenVerfolgt ein Ziel über mehrere Schritte und ruft dafür selbstständig Werkzeuge auf. und erscheint danach als Azure-Ressource. Erst dann greifen Azure PolicyRegelwerk, das Eigenschaften von Ressourcen prüft und erzwingt, etwa erlaubte Regionen oder Pflicht-Tags. Wirkt unabhängig von Berechtigungen. mit Gastkonfiguration, Defender for ServersPlan in Defender for Cloud mit Erkennung, Schwachstellenbewertung und Just-in-Time-Zugriff; auch für Arc-Server., die Update-Verwaltung und die Protokollsammlung. Ohne Arc bleibt ein lokaler Server außerhalb aller Cloudwerkzeuge.

Das Windows Admin CenterBrowserbasierte Verwaltungsoberfläche; als Gateway installiert oder im Azure-Portal für Azure- und Arc-Server. ist die Oberfläche für die tägliche Arbeit. Es verwaltet Rollen, Dienste, Datenträger, Netzwerk und Ereignisse und verbindet sich mit Azure-Diensten.

Für Verwaltung aus der Ferne stehen PowerShell-Remoting, eingeschränkte Verwaltungsrollen über Just Enough AdministrationEingeschränkte PowerShell-Sitzung mit genau festgelegtem Befehlsumfang und virtuellem Ausführungskonto. und der Kernmodus ohne grafische Oberfläche bereit. Der Kernmodus bietet weniger Angriffsfläche und wird über Remotewerkzeuge bedient.

Für Updates gibt es die Update-Verwaltung in Azure, die über Arc auch lokale Server erreicht, mit Wartungsfenstern und Berichten. Wartungskonfigurationen legen fest, wann etwas passiert, damit ein Neustart nicht mitten in der Arbeitszeit kommt.

Zur ÜberwachungProtokolliert Aktivitäten im Mandanten; die Premiumvariante bewahrt länger auf. dient Azure MonitorDach über Metriken, Protokolle, Warnungen und Anwendungsüberwachung in Azure. mit DatensammlungsregelnFestlegung, welche Ereignisse ein Agent erfasst und wohin sie gehen., ArbeitsbereichEinheit aus Konfiguration, Variablen und eigenem Zustand in HCP Terraform. und Warnungen.

Der dritte Bereich behandelt virtuelle Maschinen lokal und in Azure.

Bei Hyper-V geht es um Generationen, Datenträgertypen, dynamischen Arbeitsspeicher, virtuelle SwitchesGerät, das anhand der MAC-Adresse auf Schicht 2 weiterleitet. und Prüfpunkte. Ein Prüfpunkt hält einen ZustandZuordnung zwischen beschriebenen Ressourcen und tatsächlichen Objekten. fest, ist aber keine Sicherung und wächst mit der Zeit. Der externe Switch verbindet nach draußen, der interne nur mit dem Wirt, der private nur die Maschinen untereinander. Verschachtelte VirtualisierungWeitergabe der Virtualisierungserweiterungen des Prozessors an eine Gastmaschine. erlaubt Hyper-V innerhalb einer virtuellen Maschine.

Beim Verschieben gibt es die Livemigration für die laufende Maschine und die Speichermigration für ihre Datenträger. Beides setzt passende Voraussetzungen bei Netzwerk und Berechtigungen voraus.

In Azure kommen Größen, Datenträgerarten, VerfügbarkeitsgruppenVerteilung von Maschinen über Fehler- und Updatedomänen innerhalb eines Rechenzentrums. und VerfügbarkeitszonenPhysisch getrenntes Rechenzentrum innerhalb einer Azure-Region, mit eigener Stromversorgung, Kühlung und Netzwerk. dazu. Abbilder und MomentaufnahmenKurzfristig gedachter Rückkehrpunkt einer virtuellen Maschine. sind die Grundlage für Kopien, SkalierungsgruppenGruppe gleichartiger Maschinen in Azure, die nach Regeln wächst und schrumpft. erzeugen Maschinen nach Regeln, und Vorlagen beschreiben die Bereitstellung reproduzierbar.

Für den Umzug einer Maschine aus dem eigenen Rechenzentrum nach Azure ist Azure MigrateDienst für Ermittlung, Bewertung und Migration von Servern, Datenbanken und Webanwendungen. der Weg, mit Bestandsaufnahme, Bewertung und Replikation vor dem eigentlichen Wechsel.

Zur Absicherung gehören abgeschirmte MaschinenVerschlüsselte Gastmaschine, die nur auf bestätigten Hosts einer geschützten Fabric startet. und ein bewachter Verbund, bei dem der Inhalt einer Maschine vor der Verwaltung der Virtualisierung geschützt ist.

Der vierte Bereich behandelt lokale und hybride Netzwerke.

Lokal geht es um DNS und DHCP. WeiterleitungenVerbindung der Ausgabe eines Programms mit der Eingabe des nächsten. und bedingte WeiterleitungenGilt nur für einen bestimmten Namensraum. bestimmen, wohin unbeantwortbare Anfragen gehen. In Active Directory integrierte ZonenDNS-Zone, die im Verzeichnis gespeichert wird, über die Verzeichnisreplikation verteilt und sichere Aktualisierung erlaubt. replizieren mit dem Verzeichnis und erlauben sichere dynamische Aktualisierungen. Bei DHCP sind Bereiche, ReservierungenFeste Zuordnung einer Adresse zu einer Hardwareadresse auf dem DHCP-Server., Optionen, Ausschlüsse und das Failover die Bausteine.

Zur Verbindung mit Azure stehen der Standort-zu-Standort-Tunnel über das Internet und ExpressRoutePrivate Leitung zwischen eigenem Rechenzentrum und Azure, die das öffentliche Internet nicht berührt. als private Leitung bereit. Für einzelne Rechner gibt es Punkt-zu-Standort-Verbindungen. Auf der Azure-Seite kommen virtuelle Netzwerke, Subnetze, Peering und benutzerdefinierte RoutenRoutingeintrag, der Verkehr über eine Netzwerkanwendung lenkt. dazu; Peering ist nicht transitiv.

Die Namensauflösung über die Grenze hinweg ist ein eigenes ThemaVerteilstelle, die dieselbe Nachricht an alle Abonnenten weitergibt.. Private Zonen in Azure, bedingte WeiterleitungenGilt nur für einen bestimmten Namensraum. lokal und ein Auflöser, der beide Richtungen bedient, sind die üblichen Bausteine. Ohne sie zeigt ein Name weiter auf die öffentliche Adresse, obwohl ein privater EndpunktPrivate Adresse eines Dienstes im eigenen virtuellen Netz. existiert.

Zur Absicherung gehören die Windows-Firewall mit erweiterter Sicherheit lokal, NetzwerksicherheitsgruppenEinfache Filterliste für ein- und ausgehenden Verkehr an Subnetz oder Netzwerkkarte. in Azure und die Frage, welche Ports zwischen den Welten wirklich offen sein müssen.

Der fünfte Bereich behandelt Speicher und Dateidienste.

SpeicherplätzeFasst lokale Datenträger eines Servers zu einem Pool mit ausfallsicheren Volumes zusammen. fassen Datenträger zu Pools zusammen; der direkte Speicherplatz nutzt lokale Datenträger mehrerer Clusterknoten für einen gemeinsamen Speicher. Bei Dateisystemen steht NTFSWindows-Dateisystem mit Berechtigungen, Verschlüsselung und großen Dateien. für den Standardfall, ReFS für große Mengen und Prüfsummen. Freigaben über SMB haben zwei Berechtigungsebenen, Freigabe und Dateisystem, und die restriktivere gewinnt.

Zur Bewirtschaftung gehören Deduplizierung, Kontingente und die Verwaltung von Ressourcen auf Dateiservern mit KlassifizierungEinstufung beim Schließen eines Vorfalls; speist Berichte und die Optimierung der Erkennung. und Regeln.

Zur Verteilung über Standorte gibt es die Speicherreplikation, synchron ohne Datenverlust bei kurzen Wegen und asynchron über größere Entfernungen, sowie das verteilte Dateisystem mit Namensraum und Replikation.

In Azure steht die Dateifreigabe im Speicherkonto bereit. Azure File SyncSynchronisiert einen lokalen Dateiserver mit einer Azure-Dateifreigabe. Keine Sicherung. verbindet sie mit lokalen Servern und kann mit CloudtieringLagert selten genutzte Dateien in die Cloud aus und lässt lokal einen Platzhalter zurück. nur die häufig genutzten Dateien lokal halten. Für die Sicherung gibt es Azure BackupZentraler Sicherungsdienst mit Richtlinien, Aufbewahrung und Wiederherstellung. mit Tresor und RichtlinieVerbindliche Vorgabe der Leitung, was in der Organisation gilt..

Zur Absicherung gehören die Verschlüsselung der Datenträger, die Verschlüsselung des SMB-Verkehrs und die Frage, wer Zugriff auf die Freigabe und auf das Speicherkonto hat.

Der sechste Bereich behandelt die Absicherung der Serverumgebung.

Auf dem System selbst wirken AnwendungssteuerungNur ausdrücklich erlaubte Programme dürfen ausgeführt werden., Exploit-SchutzGegenmaßnahmen gegen Angriffstechniken auf System- und Anwendungsebene., AngriffsflächenreduzierungRegelwerk in Defender für Endpunkt, das typische Angriffswege wie Makros mit Prozessstart blockiert. und die Firewall mit erweiterter Sicherheit. Anwendungssteuerung erlaubt nur bekannten Code und wirkt damit vor jeder Erkennung. VerbindungssicherheitsregelnRegel der Windows-Firewall, die Verbindungen über IPsec authentifiziert und verschlüsselt. verschlüsseln Verkehr zwischen Servern.

Auf der Kontoseite gelten geschützte Nutzer, abgestufte Kennwortrichtlinien, die Trennung von Verwaltungskonten in Ebenen und die verwaltete Kennwortverwaltung für lokale Administratorkonten. Verwaltete Dienstkonten lösen die Kennwortpflege für Dienste.

Auf der Datenseite steht BitLockerLaufwerkverschlüsselung von Windows. Wird über ein Konfigurationsprofil gesetzt und über eine Compliancerichtlinie geprüft; der Wiederherstellungsschlüssel landet in Entra ID. mit der Frage, wo die WiederherstellungsschlüsselRückfallschlüssel für ein verschlüsseltes Volume, der zentral im Verzeichnis hinterlegt wird. liegen, und für Server ohne Tastatur der Netzwerkentsperrdienst.

Hybrid kommen Defender for ServersPlan in Defender for Cloud mit Erkennung, Schwachstellenbewertung und Just-in-Time-Zugriff; auch für Arc-Server. über Arc, Azure PolicyRegelwerk, das Eigenschaften von Ressourcen prüft und erzwingt, etwa erlaubte Regionen oder Pflicht-Tags. Wirkt unabhängig von Berechtigungen. mit Gastkonfiguration und die Update-Verwaltung dazu. Der Windows-Update-Dienst im eigenen Haus bleibt für UmgebungenEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. ohne Cloudanbindung.

Zur Absicherung gehört zuletzt der Verwaltungszugang selbst: gesicherte Arbeitsplätze für Verwaltungsaufgaben, kein Fernzugriff aus dem Internet ohne Schutz und getrennte Konten für Alltag und Verwaltung.

Der letzte Bereich behandelt ÜberwachungProtokolliert Aktivitäten im Mandanten; die Premiumvariante bewahrt länger auf. und Fehlersuche.

Lokal sind EreignisanzeigeWindows-Protokollsammlung für System-, Anwendungs- und Sicherheitsmeldungen., Leistungsmonitor mit Datensammlersätzen, Ressourcenmonitor und Aufgabenplanung die WerkzeugeFähigkeit, die ein Agent aufrufen darf, etwa die Suche in hochgeladenen Dateien.. Bei Engpässen zählen Prozessor, Arbeitsspeicher, Datenträger und Netzwerk; Warteschlangenlänge und Auslagerung sind die klassischen Hinweise.

In der Cloud sammelt Azure MonitorDach über Metriken, Protokolle, Warnungen und Anwendungsüberwachung in Azure. über einen AgentenVerfolgt ein Ziel über mehrere Schritte und ruft dafür selbstständig Werkzeuge auf., gesteuert durch DatensammlungsregelnFestlegung, welche Ereignisse ein Agent erfasst und wohin sie gehen.. Der ArbeitsbereichEinheit aus Konfiguration, Variablen und eigenem Zustand in HCP Terraform. hält die Daten, KQLKusto-Abfragesprache; Abfragen werden von oben nach unten abgearbeitet, frühe Filter sparen Laufzeit. fragt sie ab, Warnungen bestehen aus Bedingung und AktionsgruppeSammlung von Benachrichtigungen und Aktionen, die eine Warnung auslöst.. Über Arc gilt das auch für Server außerhalb von Azure. VM InsightsAufbereitete Gastwerte und Zuordnungsansicht der Abhängigkeiten für Azure- und Arc-Server. liefert eine fertige SichtGespeicherte Abfrage, die wie eine Tabelle abgefragt wird, ohne Daten zu doppeln. auf Maschinen samt Abhängigkeiten.

Für Netzwerkfehler gilt die feste Reihenfolge: Namensauflösung, Erreichbarkeit, Port, Route. Für Verzeichnisdienste kommen die Prüfung der Replikation und die Auswertung angewandter RichtlinienVerbindliche Vorgabe der Leitung, was in der Organisation gilt. dazu. Für Cluster gibt es eigene Prüfberichte und ProtokolleEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird..

Zur Fehlersuche gehört ein festes Vorgehen: Was hat sich zuletzt geändert, betrifft es einen oder alle, liegt es an Netzwerk, Berechtigung, Dienst oder Ressourcenmangel. Wer diese Reihenfolge einhält, kommt schneller ans Ziel als mit dem WerkzeugFähigkeit, die ein Agent aufrufen darf, etwa die Suche in hochgeladenen Dateien., das gerade zur Hand ist.