AZ-104 练习题 — AZ-104：Azure 管理员助理

本题的核心需求是在不改变现有虚拟机部署结构（所有虚拟机均已部署在资源组RG1中）的前提下，实现虚拟机与所属部门的关联映射。根据AZ-104认证中Azure资源治理的核心要求，标签作为Azure资源的自定义元数据载体，无需调整现有资源的部署架构，即可灵活为每个虚拟机添加对应部门的标识，同时支持后续基于标签的资源筛选、成本分摊、策略应用等扩展需求，完全匹配题目要求。 各选项分析： A. 错误。Azure管理组是高于订阅层级的管理单元，作用是跨多个订阅统一管控权限、合规策略和成本规则，无法用于标记单个虚拟机的所属部门，完全不匹配题目需求。 B. 错误。为每个部门创建资源组需要将现有RG1中的虚拟机迁移到对应部门的资源组，会产生额外的迁移工作量，且题目仅要求关联部门属性，无需调整资源的逻辑部署容器，不是最优方案。 C. 正确。Azure标签是可附加到任意资源的自定义键值对，用户可以为每个虚拟机添加键为“部门”、值为对应部门名称的标签，无需修改虚拟机本身的运行配置和部署位置，即可快速实现虚拟机与部门的关联，是满足需求的最优方案。 D. 错误。修改虚拟机设置通常指调整计算规格、存储、网络等运行配置，虚拟机本身没有内置的部门归属属性字段，无法通过修改常规设置实现与部门的关联。 关键知识点： 1. Azure标签的应用场景：标签是附加到Azure资源的自定义元数据键值对，用于按组织需求对资源进行分类，可支撑资源筛选、成本核算、策略匹配等治理场景。 2. Azure资源组的定位：资源组是Azure资源的逻辑生命周期管理容器，用于统一管控一组相关资源的权限、部署、删除操作，不属于资源分类标记工具。 3. Azure管理组的作用范围：管理组是位于Azure订阅之上的管理层级，用于实现跨订阅的统一治理，不适用于单个资源的属性标记。 参考资料： 使用标签整理 Azure 资源和资源层次结构, https://learn.microsoft.com/zh-cn/azure/azure-resource-manager/management/tag-resources AZ-104：Microsoft Azure 管理员学习指南, https://learn.microsoft.com/zh-cn/certifications/resources/study-guides/az-104

题目要求配置Azure AD条件访问策略，实现针对全局管理员组成员，从不受信任位置访问Azure AD时同时要求多重身份验证和已加入Azure AD设备的控制逻辑。而题目给出的解决方案是访问多重身份验证页面修改用户设置，该操作仅能配置单个或批量用户的MFA启用状态、验证方式等基础MFA配置，无法实现基于用户组、访问位置的条件筛选，也不能附加要求已加入Azure AD设备的访问控制规则，完全不满足条件访问策略的配置需求，因此解决方案不能达成目标。 各选项分析： A. 错误。多重身份验证页面的用户设置功能仅支持基础的MFA用户开关、验证选项配置，无法实现条件访问所需的多维度条件筛选（按用户组、访问位置），也无法同时强制要求设备加入Azure AD的规则，完全无法满足题目要求的配置目标。 B. 正确。要实现题目要求的策略，必须进入Azure AD的条件访问管理界面，创建新的条件访问策略，分别配置用户分配为全局管理员组、位置条件为排除受信任位置/包含不受信任位置、授予访问控制时同时勾选要求多重身份验证和要求已加入Azure AD的设备，和修改MFA用户设置的操作无关，因此该解决方案不满足要求，选B。 关键知识点： 1. Azure AD条件访问策略是基于上下文（用户、组、位置、设备、应用等）执行访问控制的核心功能，支持组合配置多种访问要求，配置入口独立于MFA用户设置页面。 2. Azure AD多重身份验证的用户设置页面仅用于配置用户MFA的启用状态、验证方式等基础参数，无法实现多条件的精细化访问控制。 3. 条件访问策略的授予控制支持同时指定多个访问要求，用户必须满足所有指定要求才能获得访问权限，可同时要求MFA和指定设备状态。 参考资料： Azure Active Directory 条件访问概述, https://learn.microsoft.com/zh-cn/azure/active-directory/conditional-access/overview Azure AD 多重身份验证的用户状态, https://learn.microsoft.com/zh-cn/azure/active-directory/authentication/howto-mfa-userstates

首先，Azure AD条件访问的访问控制分为授予控制和会话控制两个独立模块。本题要求实现的两个核心规则，即要求全局管理员从不受信任位置访问时使用多重身份验证、使用已加入Azure AD的设备，都属于授予控制的配置范围，授予控制的作用是定义用户访问资源前必须满足的准入校验要求。而会话控制的作用是在用户通过准入验证后，限制其访问会话的行为，比如配置会话超时时间、限制文件下载打印、强制使用浏览器访问等，并不涉及准入阶段的身份校验、设备状态校验规则。题目给出的解决方案仅修改会话控制，完全没有涉及需要配置的授予控制模块，因此无法满足题目要求的目标，正确答案为B。 各选项分析： A. 该选项错误，会话控制模块仅能配置访问成功后的会话限制规则，无法配置准入阶段的多重身份验证要求、已加入Azure AD设备要求，这两项属于授予控制的配置内容，修改会话控制无法实现需求，因此A不成立。 B. 该选项正确，题目中的解决方案选择了错误的条件访问控制模块，要实现目标需要调整授予控制的相关配置而非会话控制，因此该解决方案无法满足要求，B正确。 关键知识点： 1. Azure AD条件访问的访问控制分为授予控制和会话控制两类，授予控制用于定义访问准入的验证要求，会话控制用于定义访问成功后的会话限制规则。 2. 要求多重身份验证、要求设备已加入Azure AD、要求合规设备等常见的安全准入规则，都属于条件访问授予控制的可配置项。 3. 条件访问策略的位置条件可定义受信任/不受信任的位置范围，作为触发对应访问控制规则的前置判断条件。 参考资料： Azure Active Directory 条件访问概述, https://learn.microsoft.com/zh-cn/azure/active-directory/conditional-access/overview 条件访问：授予控制, https://learn.microsoft.com/zh-cn/azure/active-directory/conditional-access/concept-conditional-access-grant

题目要求实现的条件访问策略需要覆盖三类触发规则和两项授权要求，触发规则包括适用用户为全局管理员组成员、访问来源为不受信任的位置、访问目标为Azure AD相关资源，授权要求为访问时必须使用多重身份验证，且所用设备必须是已加入Azure AD的设备。Azure AD条件访问策略的授权控制（也称为授予控制）模块正是用于定义用户满足触发条件后，获取访问权限前需要通过的安全校验规则的核心配置项，多重身份验证要求、设备加入状态要求都属于该模块支持的配置范围，所有相关配置都可以通过Azure门户的Azure AD条件访问管理界面完成，因此该解决方案能够满足目标要求。 各选项分析： A. 该选项正确，Azure门户是Azure AD条件访问策略的官方配置入口，条件访问的授权控制模块支持组合配置多重身份验证、要求设备已加入Azure AD等安全要求，同时可以搭配用户组筛选、位置条件筛选等触发规则，完全覆盖题目提出的所有配置需求，因此方案可行。 B. 该选项错误，错误原因是不了解Azure AD条件访问策略的配置逻辑，授权控制正是配置访问所需满足的安全校验规则的核心模块，通过Azure门户修改该配置完全可以实现题目要求的功能，因此该选项不成立。 关键知识点： 1. Azure AD条件访问策略的核心结构由用户/组分配、云应用/操作、触发条件、授权控制四部分组成，其中授权控制用于定义用户获得访问权限需要满足的安全要求。 2. Azure AD条件访问支持自定义位置条件，可划分受信任和不受信任的IP地址范围，作为是否触发对应策略的判断依据。 3. Azure AD条件访问的授权控制支持同时配置多个验证要求，可强制要求用户同时通过多重身份验证、使用合规或已加入Azure AD的设备访问指定资源。 参考资料： Azure Active Directory 条件访问授予条件, https://learn.microsoft.com/zh-cn/azure/active-directory/conditional-access/concept-conditional-access-grant 针对管理员要求进行多重身份验证的条件访问策略, https://learn.microsoft.com/zh-cn/azure/active-directory/conditional-access/howto-conditional-access-policy-admin-mfa

本题需要在部署Ubuntu Linux虚拟机时完成自定义受信任根CA的配置，属于Linux虚拟机初始化自定义场景。az vm create是Azure CLI提供的虚拟机创建命令，支持通过--custom-data参数直接传入cloud-init配置文件，cloud-init是Ubuntu等主流Linux发行版默认集成的系统初始化工具，可直接在部署阶段自动完成受信任根CA的注入配置，无需额外的后置操作，完全满足题目要求的自定义部署需求，是本题的最优选项。 各选项分析： A. New-AzureRmVm cmdlet属于已经被微软正式弃用的AzureRM PowerShell模块，该模块已在2024年2月29日停止支持，AZ-104认证仅考察现行的Az PowerShell模块和Azure CLI相关操作，因此该选项错误。 B. New-AzVM cmdlet是现行Az PowerShell模块的虚拟机创建命令，虽然也支持传入CustomData参数实现自定义配置，但需要先将cloud-init配置手动转换为Base64编码格式，操作步骤比Azure CLI繁琐，不是本题的最优选择，因此该选项错误。 C. Az PowerShell模块中不存在Create-AzVM这个命令，属于虚构的无效命令，因此该选项错误。 D. az vm create是Azure CLI的虚拟机创建命令，支持直接传入明文的cloud-init配置作为自定义数据，无需额外编码，可一步完成Ubuntu虚拟机部署和根CA的注入配置，完全匹配题目需求，因此该选项正确。 关键知识点： 1. Azure命令行工具版本差异：AzureRM PowerShell模块已正式废弃，AZ-104考试涉及的PowerShell操作均基于Az模块，同时需掌握常用Azure CLI命令的使用场景。 2. Linux虚拟机自定义初始化：Azure支持通过自定义数据传入cloud-init配置，在部署阶段自动完成Linux虚拟机的系统配置，包括证书注入、软件安装等操作。 3. 虚拟机创建命令的功能差异：Azure CLI的az vm create命令对Linux场景的cloud-init配置支持更简便，是Linux虚拟机自定义部署的优先选择。 参考资料： az vm 命令参考, https://learn.microsoft.com/zh-cn/cli/azure/vm?view=azure-cli-latest 在 Azure Linux 虚拟机上使用 cloud-init, https://learn.microsoft.com/zh-cn/azure/virtual-machines/linux/using-cloud-init