Microsoft AZ-900: 监控、自动化与管理 — 学习指南

By Laurynas Brazys · 24 July 2026 · #microsoft #az-900 #certification #exam-prep #study-guide

属于 Microsoft Azure AZ-900 — 学习指南. 使用经过验证的答案练习： Microsoft 考试中心, 或参加限时模拟考试： ExamRoll.io.

Azure 的卓越运营依赖于可观测的平台、可重复的自动化以及跨云和混合环境的统一治理。Azure Monitor 为指标、日志、跟踪和端到端的应用程序洞察提供了遥测骨干。从 Azure 门户到 CLI 和 PowerShell 的各种管理工具，使团队能够大规模地根据这些洞察采取行动。自动化服务与 Azure Arc 和 Azure Lighthouse 相结合，可将控制扩展到任何地方的服务器和集群，并为服务提供商和中央 IT 部门简化跨租户操作。

Azure Monitor：指标、日志、警报和应用程序洞察

Azure Monitor 收集两种主要信号类型：指标和日志。指标是轻量级的数值时间序列，针对仪表板和自动缩放等近实时场景进行了优化，通常保留 93 天。日志是内容丰富、模式灵活的记录，存储在 Log Analytics 工作区中，并使用 Kusto 查询语言 (KQL) 进行查询。通过 Azure Monitor 代理和数据收集规则 (DCR)，来自虚拟机、已启用 Arc 的服务器和平台诊断的数据可以被路由到一个或多个跨区域的工作区，以进行集中分析和长期保留。标准日志的保留期是可配置的——通常为 30 到 730 天——并提供低成本的存档和再水化功能，以供历史调查之用。Application Insights 构建于 Azure Monitor 之上，为应用程序提供分布式跟踪、依赖项跟踪、可用性测试和自动异常检测的检测能力。它支持 OpenTelemetry 以实现厂商中立的数据摄取，让开发人员能够将客户端、服务器和数据库的调用关联到单个事务映射中。实时指标 (Live Metrics) 提供无需采样的逐秒服务器遥测，而自适应采样则在不丢失关键故障的端到端可追溯性的前提下，降低了数据摄取成本。警报涵盖资源、订阅和租户范围。指标警报以一分钟的粒度评估时间序列阈值，并可通过动态阈值进行自动调整。日志警报运行计划的 KQL 查询以检测跨资源和区域的复杂模式，而活动日志警报则在发生创建、更新或删除等控制平面事件时触发。操作组将检测与响应解耦，可触发通知（电子邮件、短信、推送、语音）和自动化（webhook/安全 webhook、Logic Apps、Functions、Automation runbook、ITSM 连接器）。抑制规则和警报处理规则通过在计划内维护时段内将警报静音或进行路由，帮助减少噪音。仪表板和工作簿以不同方式呈现遥测数据。Azure 仪表板是基于磁贴的跨服务画布，非常适合用于快速操作视图和固定指标图表。工作簿具有分析性、参数化和协作性，将指标、日志和可视化与查询驱动的交互性相融合。工作簿在操作手册、事件后分析和服务评审等场景中表现出色，操作员可以在其中跨维度进行透视分析，并在不离开当前上下文的情况下钻取到原始数据。

服务运行状况和资源复原能力信号

平台可用性和维护需要超越资源指标的专门监控。Azure Service Health 针对影响订阅中特定区域和服务的服务问题、计划内维护和运行状况通报，提供了个性化的可见性。它通过提供订阅范围内的影响、时间线和可用的根本原因分析，对公开的 Azure 状态页进行了补充。可以配置运行状况警报，以便在区域性服务事件影响已部署工作负载时，立即通过操作组通知运营团队。Resource Health 专注于单个资源（如虚拟机、应用服务或数据库）的状态。它区分了由平台引起的中断和用户发起的事件，并提供当前和历史的运行状况。将 Service Health 和 Resource Health 警报与事件管理集成，可确保在平台是根本原因时通知团队，从而减少排查正常应用程序组件所花费的时间。将这些信号与 Azure Monitor 警报相结合，可在单个操作视图中实现全栈可见性：应用程序性能、基础设施利用率和平台可用性。

用于运维控制的管理工具

运维任务涵盖交互式故障排查、脚本化自动化和移动端分类处理。Azure portal 提供全面的、基于角色的体验，用于配置服务、可视化指标以及在上下文中直接启动 Cloud Shell。Azure mobile app 支持随时随地进行健康检查、确认警报以及执行重启 VM 等快速操作。为了实现可重复性并与 CI/CD 集成，Azure CLI 和 Azure PowerShell 提供了跨平台自动化能力，通过 Microsoft Entra ID 实现一致的身份验证，并支持交互式和非交互式两种流程。Cloud Shell 提供了一个安全的、基于浏览器的终端，内置 Bash 和 PowerShell，并预装了 Azure CLI、Az PowerShell 模块以及 Git 和 Terraform 等常用工具。会话在 Microsoft 维护的容器中运行；通过一个 Azure Files 文件共享来持久化用户配置文件和脚本。这消除了本地工具集的差异问题，并简化了从门户执行的即时操作，无需管理运行时环境。对于长期运行或高吞吐量的自动化，应在管道或容器化的 runner 中托管 CLI/PowerShell，并使用托管标识或联合凭据进行身份验证，以避免密钥泛滥。

• Azure portal
  • 界面: Web UI
  • 最适用于: 配置、可视化、临时任务
  • 主要优势: 丰富的用户体验、深入的服务覆盖、集成的 Cloud Shell
  • 局限性: 手动操作，不太适合大规模脚本编写
• Azure mobile app
  • 界面: iOS/Android
  • 最适用于: 分类处理和快速操作
  • 主要优势: 警报确认、基本资源操作、随时随地访问
  • 局限性: 配置深度有限
• Cloud Shell
  • 界面: 浏览器 shell
  • 最适用于: 无需本地设置即可执行临时命令
  • 主要优势: 预装工具、通过 Azure Files 实现的持久化主目录、安全的上下文
  • 局限性: 容器是临时的；不适用于长时间运行的批处理作业
• Azure CLI (az)
  • 界面: 命令行
  • 最适用于: 跨平台脚本和管道
  • 主要优势: 一致的语法、JSON 输出、可扩展性
  • 局限性: 对于复杂的资源图谱有学习曲线
• Azure PowerShell (Az)
  • 界面: PowerShell 模块
  • 最适用于: Windows/Linux/macOS 自动化；面向对象的操作
  • 主要优势: 丰富的 cmdlet 覆盖范围、可管道化对象
  • 局限性: 占用资源较多；需要模块生命周期管理

自动化：runbook、更新管理和关注成本的 VM 调度

Azure Automation 提供托管的 runbook 服务，用于编排运维任务。Runbook 可以用 PowerShell、Python 或图形化工作流来编写，可通过计划、webhook 或操作组触发的警报来启动。“运行方式”帐户已演进为托管标识，后者无需处理证书和密钥，同时支持精细的、最小权限的访问。Hybrid Runbook Worker 将自动化扩展到私有网络或边缘位置，能够对本地或隔离的资源执行 runbook，同时仍然由 Azure 统一管理。补丁治理通过 Azure Update Manager 进行处理，它统一了 Azure VM 和已启用 Arc 的服务器上 Windows 和 Linux 操作系统的更新。维护配置定义了计划、重启行为、前/后置脚本，以及使用标签或已保存查询的动态范围。合规性报告会突出显示缺失的更新和部署成功情况，同时与 Azure Policy 的集成可强制执行基线配置。Update Manager 取代了 Azure Automation 中旧的更新管理解决方案，提供了更强的扩展性、更细的粒度以及原生的 Arc 支持。为了最大限度地减少非全天候（non-24x7）工作负载的计算开销，Azure 提供了多种按计划停止和启动虚拟机的选项。Start/Stop VMs v2 解决方案在底层使用 Azure Automation 和 Azure Monitor，可协调基于标签的目标设定、按时区的营业时间计划、空闲检测以及可选通知。单个 VM 也支持自动关闭策略，而 Virtual Machine Scale Sets 可以使用由指标驱动的自动缩放规则。将基于指标的缩放与计划的停止/启动相结合，可以在不牺牲需求窗口期服务水平的前提下，实现可预测的成本节省。

混合与跨租户操作：Azure Arc、Azure Lighthouse 和跨工作区 Kusto

Azure Arc 将非 Azure 资源（服务器、Kubernetes 集群、SQL Server 实例）投射到 Azure Resource Manager 中，以便可以像原生资源一样对其进行标记、分配策略、监控和更新。Azure Monitor 代理和数据收集规则 (Data Collection Rules) 将遥测数据从已启用 Arc 的计算机推送到一个或多个 Log Analytics 工作区，从而实现集中式可观测性，不受资源位置的限制。对于 Kubernetes，Arc 将 GitOps 与 Flux 集成，以实现声明式集群管理，并支持通过扩展来部署用于 Defender for Cloud、Prometheus 数据抓取和策略实施的代理。Azure Lighthouse 能够跨 Microsoft Entra ID 租户对资源进行安全、大规模的管理，非常适合服务提供商或支持多个业务单元的集中式平台团队。委托通过 Azure RBAC 在订阅、资源组或资源范围内授予恰到好处的访问权限，同时所有操作都在客户租户中进行审计。操作员可以从单一上下文中跨租户查询日志、部署策略和运行自动化，从而减少登录摩擦并消除跨租户凭据的泛滥。Kusto 查询语言 (KQL) 支持跨资源和跨区域的分析，它可以在单个语句中查询多个工作区和 Application Insights 资源。常见的模式包括跨工作区进行联合 (union)，以及通过联接 (join) 将应用程序跟踪与基础设施日志关联起来。示例：

undefined

。另一个示例将两个应用的请求和异常关联起来：

undefined

。借助基于 DCR 的多目标路由，来自 Arc 和 Azure 资源的日志可以落入区域性工作区，同时保持可聚合查询，从而同时实现数据驻留和全局分析。

实践问题：GlobalRetail 公司为其混合资产构建运营神经中枢

场景： GlobalRetail 公司在 1200 家门店运营着销售点 (POS) 服务，在都柏林和新加坡设有区域数据中心，并拥有不断增长的 Azure 资产用于 Web 和分析工作负载。领导层希望为开发虚拟机实现单一运营视图、自动化补丁和成本控制，同时由一家外部托管服务提供商 (MSP) 负责所有环境的夜间支持。

挑战： 统一 Azure 和本地服务器的监控与警报，实施带有维护时段的自动化操作系统更新，降低开发/测试环境中非工作时间的虚拟机成本，并为 MSP 实现安全的跨租户操作，而无需共享永久凭据。

推荐方法：

1. 在所有本地 Windows 和 Linux 服务器上部署 Azure Arc；通过数据收集规则 (Data Collection Rules) 启用 Azure Monitor 代理，将平台、syslog/Event 和性能数据发送到区域性的 Log Analytics 工作区。
2. 使用 OpenTelemetry 通过 Application Insights 检测 Web 和 API 工作负载；配置来自多个区域的可用性测试，并启用自适应采样和智能检测。
3. 为关键信号创建 Azure Monitor 指标、日志和活动日志警报；通过操作组集中管理通知，这些操作组可以触发电子邮件、通过 webhook 发送到 Teams，并连接到 ITSM 连接器以自动创建事件。
4. 发布运营工作簿 (Workbooks)，其中结合了 App Insights 的故障/延迟、虚拟机性能 (InsightsMetrics) 和平台活动日志 (Activity Logs)；将关键图表固定到组织范围的 Azure 仪表板上。
5. 实施 Azure Update Manager，为每个区域和门店类型配置维护时段；使用前置脚本 (pre-scripts) 来引流，使用后置脚本 (post-scripts) 来验证服务健康状况；通过 Azure Policy 分配来强制实施合规性。
6. 推出 Start/Stop VMs v2，通过标签 environment=dev 和 environment=test 定位开发/测试订阅；根据本地时区定义工作时间表，并为低使用率时段启用空闲停止功能。
7. 通过 Azure Lighthouse 委托在管理组级别引入 MSP，并使用自定义的最低权限角色；要求使用 PIM 进行即时 (just-in-time) 权限提升，并限制其只能使用记录了活动日志的紧急修复 (break-glass) runbook。
8. 编写 KQL 查询，联合都柏林和新加坡的工作区，以获取整个资产的 CPU、内存和错误率；安排日志警报以检测峰值，并在非工作时间将警报路由到 MSP 的操作组。
9. 为受影响的区域/服务配置 Service Health 和 Resource Health 警报；创建一个事件自动化流程，将建议和根本原因分析 (RCA) 链接发布到事件记录中。

Azure 原理： Azure Arc 为非 Azure 服务器标准化了治理和遥测，让 Azure Monitor 能够整合跨区域的指标和日志。Application Insights 提供端到端的事务可见性，因此运营团队可以精准定位是应用程序故障还是基础设施问题。操作组和 ITSM 集成确保了及时、自动化的事件创建，而 Workbooks 和仪表板则提供了共享的运营视图。Update Manager 在维护时段内强制执行一致的补丁管理，而 Start/Stop VMs v2 在不影响生产力的情况下削减了开发/测试开销。Azure Lighthouse 授予 MSP 安全、可审计的最低权限访问权限来跨租户操作，而跨工作区的 KQL 将全球遥测数据整合在一起，以实现主动检测和快速诊断。

← 治理与合规性 · 所有领域 · 支持、服务生命周期与 Marketplace →

练习这些题目 → · 在 ExamRoll.io 上限时练习 →

浏览 Microsoft →