Microsoft AZ-104: Azure App Service und PaaS-Compute — Lernleitfaden

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Teil des Microsoft Azure Administrator Associate AZ-104 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Container und Kubernetes

Azure Container Instances (ACI) stellt bedarfsgesteuerte Container mit sekundengenauer Abrechnung bereit, ohne dass VMs oder Orchestratoren verwaltet werden müssen. Die Bereitstellungseinheit ist eine Containergruppe: ein oder mehrere Container, die auf demselben Host geplant werden und sich eine IP-Adresse, Ports, Volumes und einen Lebenszyklus teilen. Definieren Sie CPU/Arbeitsspeicher pro Container, legen Sie Ports frei und binden Sie Volumes wie Azure Files, Secrets und emptyDir ein. Umgebungsvariablen können unverschlüsselt oder sicher sein (ausgeschlossen von Protokollen/Metadaten-Oberflächen). Neustartrichtlinien steuern den Lebenszyklus: Always (Standard für langlebige Dienste), OnFailure (für Jobs, die bei einem Exit-Code ungleich Null erneut versuchen sollen) und Never (für Aufgaben, die bis zum Abschluss ausgeführt werden und deren Endstatus Sie ohne Neustarts überprüfen möchten). Das Networking unterstützt öffentliche IPs, private IPs mit VNet-Injektion in ein delegiertes Subnetz und DNS-Namensbezeichnungen für öffentliche Endpunkte.

Azure Kubernetes Service (AKS) ist eine verwaltete Kubernetes-Steuerungsebene mit Knotenpools, die als Virtual Machine Scale Sets bereitgestellt werden. Knotenpools unterscheiden zwischen System-Workloads (kube-system-Komponenten) und Benutzer-Workloads, unterstützen mehrere VM-Größen und können Linux und Windows ausführen (Windows erfordert mindestens einen Linux-Systempool). Pools können mit Taints versehen werden, um die Planung (Scheduling) zu steuern. Upgrades werden pro Pool orchestriert, und maxPods, Verfügbarkeitszonen sowie kurzlebige Betriebssystem-Datenträger werden bei der Erstellung des Pools konfiguriert. Der Cluster-Autoscaler integriert sich in das Kubernetes-Scheduling, um die Anzahl der Knoten innerhalb von Min/Max-Grenzen anzupassen, wenn ausstehende Pods nicht geplant werden können oder Knoten nicht ausgelastet sind; er berücksichtigt Pod Disruption Budgets und skaliert nur dann herunter, wenn dies sicher ist. Der Horizontal Pod Autoscaler ergänzt dies, indem er die Anzahl der Replicas innerhalb eines Deployments basierend auf Metriken skaliert.

kubectl-Grundlagen für die Cluster-Administration:

Mit az aks get-credentials verbinden, um die kubeconfig zusammenzuführen und den Kontext auszuwählen.
Ressourcen inspizieren: kubectl get nodes/pods/deployments -o wide; kubectl describe für Details und Ereignisse.
Diagnostizieren und interagieren: kubectl logs für stdout/stderr, kubectl exec -it für interaktives Troubleshooting.
Gewünschten Zustand anwenden: kubectl apply -f manifests.yml; Namespaces verwenden, um den Geltungsbereich von Ressourcen festzulegen; kubectl config set-context, um den Namespace zu wechseln.

Netzwerk-Plugins (Azure CNI oder kubenet), Identität (verwaltete Identität vs. Dienstprinzipal) und die Integration von RBAC/Entra ID bestimmen die IP-Zuweisung für Pods, die Cluster-Authentifizierung und die Autorisierung. Stellen Sie sicher, dass die Cluster-Identität über Berechtigungen für Load Balancer, Managed Disks und die Ressourcengruppen der Knoten verfügt.

Integration, Networking und Sicherheit

Logic Apps bieten eine verwaltete Workflow-Engine mit Connectors zu Hunderten von SaaS- und Azure-Diensten. Ein Workflow besteht aus einem Trigger, der die Ausführung startet, und Aktionen, die die Schritte durchführen. Trigger umfassen HTTP-Anfragen, Wiederholungen, Service Bus-Nachrichten, Event Grid-Ereignisse, Storage-Ereignisse und viele SaaS-Ereignisse (z. B. wenn ein Datensatz in Dynamics 365 erstellt wird). Aktionen umfassen Kontrollstrukturen (Bedingungen, Schleifen, Switch), Datenoperationen (Compose, Parse JSON, Variablen) und Connector-Operationen (E-Mail senden, Nachricht in Warteschlange stellen, API aufrufen). Die Integration mit Azure-Diensten ist tiefgreifend:

Service Bus und Event Grid bieten zuverlässiges Messaging und Eventing für entkoppelte Architekturen.
Functions können für benutzerdefinierte Code-Schritte aufgerufen werden (synchron über HTTP oder asynchron über Queues).
Eine verwaltete Identität sichert den Zugriff auf Key Vault, Storage, SQL und andere Azure-Ressourcen ohne Secrets. Logic Apps Consumption (mandantenfähig) rechnet pro Aktionsausführung und Connector-Nutzung ab; Logic Apps Standard (einzelmandantenfähig) läuft auf der Functions-Laufzeitumgebung in einem App Service Plan oder Premium-Plan und unterstützt lokale Entwicklung, VNet-Integration, private Endpunkte und höheren Durchsatz. Die Integration Service Environment (ISE) im Consumption-Modell bietet bei Bedarf VNet-Isolierung für verwaltete Connectors.

App Service Environment (ASE) implementiert den Isolated-Tarif für App Service. In Ihrem virtuellen Netzwerk bereitgestellt, bietet eine ASE dedizierte Single-Tenant-Rechen- und Speicher-Stamps mit Netzwerkkontrolle. Eine externe ASE stellt öffentliche Ingress-Endpunkte bereit; eine interne Load Balancer (ILB) ASE veröffentlicht nur eine private VIP für ausschließlich privaten Zugriff. Apps in einer ASE verwenden die Isolated/Isolated v2-Preistarife. Sie zahlen sowohl eine Stamp-Gebühr für die Umgebung als auch Kosten pro Worker-Instanz. Eine ASE wird gewählt, wenn Compliance-, Netzwerkisolations- oder Skalierungsanforderungen die Fähigkeiten des mandantenfähigen App Service übersteigen. Mit ASE v3 werden Bereitstellung und Networking vereinfacht, aber das Kernversprechen bleibt dasselbe: ein dedizierter, privat adressierbarer App Service mit Ihrem VNet als Sicherheitsgrenze (Perimeter).

Die Zugriffssteuerung über diese Dienste hinweg basiert auf Azure RBAC für Ressourcenaktionen, verwalteten Identitäten für die Dienst-zu-Dienst-Authentifizierung und bedingtem Zugriff (Conditional Access) auf der Identitätsebene. Für die Steuerung des eingehenden Datenverkehrs bei App Service kombinieren Sie bei Bedarf Private Endpoints oder eine ILB ASE mit Zugriffsbeschränkungen und WAF-fähigen Front-Ends (z. B. Application Gateway oder Azure Front Door). Für die Steuerung des ausgehenden Datenverkehrs verwenden Sie die VNet-Integration mit NSGs, Routingtabellen und privaten Endpunkten für Datendienste.

Bereitstellungs- und Skalierungsvorgänge

Zuverlässige Releases für App Service nutzen Bereitstellungsslots, um den Zustand zu überprüfen und Caches vor dem Austausch (Swap) aufzuwärmen. Konfigurationen, die sich je nach Umgebung unterscheiden, sollten als „Slot-Einstellungen“ markiert werden, damit sie während eines Swaps nicht verschoben werden (z. B. Verbindungszeichenfolgen, Feature-Flags). Verwenden Sie „Swap mit Vorschau“, um Zustandsprüfungen oder anwendungsspezifische Aufwärm-Endpunkte auszuführen; wenn der Zustand nicht in Ordnung ist, brechen Sie den Swap ab. Während eines Canary-Deployments aktivieren Sie das Traffic-Routing, um einen kleinen, sticky Prozentsatz an einen Staging-Slot zu leiten und diesen schrittweise zu erhöhen. Slot-spezifische App-Einstellungen können Beta-Features sicher umschalten.

Autoscale für App Service Pläne wird auf der Plan-Ressource konfiguriert und verwendet Profile (zeitbasierte Min/Max/Standardwerte) und Regeln (metrische Schwellenwerte mit Skalierungsschritt und Abklingzeit). Kombinieren Sie CPU mit benutzerdefinierten Metriken (z. B. Warteschlangenlänge) für eine genauere Skalierung. Bei Functions skaliert der Consumption-Plan automatisch; überwachen Sie die Parallelität und konfigurieren Sie die host.json für trigger-spezifisches Verhalten (z. B. Batch-Größen und Prefetch für Service Bus). Der Premium-Plan skaliert vorgewärmte Instanzen und Burst-Instanzen; stimmen Sie die Mindestanzahl der Instanzen auf die Latenzziele ab.

In Containern sollten ACI-Neustartrichtlinien die Absicht widerspiegeln: Batch-Jobs erhalten Never oder OnFailure, um Endlosschleifen zu vermeiden; Dienste verwenden Always. Verwenden Sie Umgebungsvariablen für die Konfiguration und Azure Key Vault für Geheimnisse, die über Managed Identity und Startcode oder durch das Mounten von Geheimnissen als Volumes, wo es angebracht ist, injiziert werden. In AKS aktivieren Sie den Cluster-Autoscaler mit vernünftigen Min/Max-Grenzen pro Knotenpool und konfigurieren Sie HPAs für kritische Deployments. Planen Sie Puffer ein und legen Sie Pod Disruption Budgets fest, um die Verfügbarkeit bei Upgrades und Scale-In zu schützen. Validieren Sie Upgrades in einem Canary-Knotenpool, bevor Sie Cluster- oder Pool-Upgrades umfassend ausrollen.

Praktisches Problemszenario

Fabrikam, Inc. betreibt ein Kundenportal und Hintergrundverarbeitungsdienste. Sie müssen auf PaaS modernisieren, den privaten Netzwerkzugriff auf Datenspeicher erzwingen, Blue-Green-Deployments unterstützen und einen nächtlichen containerisierten ETL-Prozess ohne Verwaltung von VMs ausführen.

Hosten des Portals auf App Service Premium mit Bereitstellungsslots

Erstellen Sie einen App Service Plan im Premium v3-Tarif für höhere Leistung und mehr Slots und stellen Sie die Web App mit einem Staging-Slot bereit.
Konfigurieren Sie Slot-Einstellungen für umgebungsspezifische Werte und aktivieren Sie „Swap mit Vorschau“ und Zustandsprüfungen.
Begründung: Premium bietet Autoscale, mehr Slots, Unterstützung für Private Endpoints und ein SLA, das für Produktions-Traffic geeignet ist. Slots ermöglichen sichere Blue-Green-Releases und Canary-Routing.

Erzwingen von privatem Ingress und kontrolliertem Egress

Aktivieren Sie einen Private Endpoint für die Web App und legen Sie Zugriffsbeschränkungen fest, um den Zugriff aus dem öffentlichen Netzwerk zu verweigern.
Konfigurieren Sie die regionale VNet-Integration in ein delegiertes Subnetz für ausgehenden Zugriff auf private Datenspeicher und lokale Systeme über ExpressRoute.
Begründung: Private Endpoint plus Zugriffsbeschränkungen garantieren einen ausschließlich privaten Zugriff; die VNet-Integration leitet den ausgehenden Verkehr über den VNet-Perimeter für eine konsistente Firewall-Richtlinie.

Implementierung der Hintergrundverarbeitung mit Azure Functions Premium

Stellen Sie eine Function App in einem Premium-Plan mit einer systemseitig zugewiesenen verwalteten Identität bereit und verwenden Sie Service Bus- und Storage-Trigger für warteschlangenbasierte Workloads.
Legen Sie eine Mindestanzahl vorgewärmter Instanzen fest, um Kaltstarts zu vermeiden, und integrieren Sie sie in dasselbe VNet.
Begründung: Premium Functions erfüllt die Anforderungen an niedrige Latenz und VNet-Integration und bewahrt gleichzeitig die serverlose Skalierung für Workloads mit Lastspitzen.

Orchestrierung von dienstübergreifenden Workflows mit Logic Apps Standard

Erstellen Sie Workflows zur Koordination des Kunden-Onboardings: Auslösung durch eine Service Bus-Nachricht, Aufruf der Function App, Schreiben in Storage und Benachrichtigung über den Microsoft 365-Connector.
Verwenden Sie eine verwaltete Identität für den Zugriff auf Key Vault und Storage und stellen Sie sie im selben App Service Plan bereit, um die VNet-Integration und private Endpunkte zu nutzen.
Begründung: Logic Apps bietet eine resiliente, visuelle Orchestrierung und native Konnektoren; der Standard-Tarif bietet VNet-Integration und Single-Tenant-Leistung.

Ausführen des nächtlichen ETL-Prozesses in Azure Container Instances

Definieren Sie eine Containergruppe mit dem ETL-Container, mounten Sie eine Azure Files-Freigabe für Zwischendaten, legen Sie sichere Umgebungsvariablen fest und verwenden Sie restartPolicy: Never.
Binden Sie die Gruppe an das delegierte VNet-Subnetz an, um privaten Zugriff auf Datenbanken zu ermöglichen.
Begründung: ACI liefert sekundengenaue, job-orientierte Rechenleistung ohne Cluster-Overhead und integriert sich mit dem VNet für Datenlokalität und Sicherheit.

Vorbereitung auf containerisierte Microservices mit AKS

Erstellen Sie ein AKS-Cluster mit einem kleinen Linux-Systemknotenpool und einem Benutzerknotenpool, der für die erwartete Last dimensioniert ist, aktivieren Sie den Cluster-Autoscaler (mit Min/Max-Grenzen) und integrieren Sie ihn mit Entra ID und Azure CNI für Pod-Level-IPs.
Verwenden Sie kubectl, um einen Canary-Microservice bereitzustellen und einen HPA basierend auf CPU und benutzerdefinierten Metriken einzurichten.
Begründung: AKS bietet Orchestrierung auf Unternehmensniveau, wenn die Anzahl der Dienste wächst; Autoscaler und HPA passen die Kapazität an die Nachfrage an, und kubectl bietet standardmäßige operative Kontrolle.

← Azure-Speicher · Alle Domänen · Azure-Datenbanken und Datendienste →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →