Microsoft AZ-104: Azure Monitor, Sicherung und Site Recovery — Lernleitfaden

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Teil des Microsoft Azure Administrator Associate AZ-104 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Operationale Exzellenz auf Azure erfordert das Zusammenspiel von drei Säulen: beobachtbare Telemetrie, wiederherstellbare Daten und resiliente Kontinuitätspläne. Azure Monitor und seine Log Analytics-Grundlage sammeln hochpräzise Metriken und Protokolle, steuern intelligente Warnungen und machen die Anwendungsleistung sichtbar. Azure Backup schützt Plattform- und IaaS-Daten durch eine richtliniengesteuerte, Tresor-basierte Wiederherstellung, einschließlich Sofort-Wiederherstellungsfunktionen für minimale Ausfallzeiten. Azure Site Recovery (ASR) repliziert Workloads an alternative Standorte und orchestriert Failover und Failback, um die RPO/RTO-Vorgaben des Unternehmens zu erfüllen. Ergänzende Dienste – Network Watcher für die Netzwerkdiagnose und Azure Service Health für das Plattformbewusstsein – vervollständigen ein komplettes Toolkit für Administratoren.

Azure Monitor und Log Analytics

Azure Monitor vereinheitlicht Plattformmetriken und -protokolle. Metriken sind numerische Zeitreihen, die für die Analyse in Nahezu-Echtzeit optimiert sind (hohe Kardinalität, mehrdimensional, Granularität von einer Minute für die meisten Ressourcen). Verwenden Sie den Metrics Explorer für die Visualisierung und metrische Warnungen in Nahezu-Echtzeit mit statischen oder dynamischen Schwellenwerten. Protokolle sind schemareiche Datensätze, die in einem Log Analytics-Arbeitsbereich gespeichert und mit der Kusto Query Language (KQL) für Untersuchungen, Dashboards und geplante (Protokoll-)Warnungen abgefragt werden.

Diagnoseeinstellungen sind die Brücke von den Ressourcen zu den Telemetrie-Senken. Konfigurieren Sie für jede Azure-Ressource die Diagnoseeinstellungen, um Kategorien (Plattformmetriken, Plattformprotokolle und Ressourcenprotokolle) auszuwählen und sie an ein oder mehrere Ziele weiterzuleiten:

Log Analytics-Arbeitsbereich für Analysen und protokollbasierte Warnungen
Speicherkonten für langfristige, kostengünstige Aufbewahrung und Compliance
Event Hubs für das Streaming an SIEMs oder Tools von Drittanbietern

Entwerfen Sie Log Analytics-Arbeitsbereiche überlegt:

Arbeitsbereichsumfang und Zugriff: Verwenden Sie RBAC auf Arbeitsbereichs- und Tabellenebene, um dem Prinzip der geringsten Rechte und den operationalen Grenzen zu entsprechen (zum Beispiel pro Umgebung und Region). Ressourcenkontext-Abfragen ermöglichen es Teams, Protokolle abzufragen, die auf die Ressourcen beschränkt sind, auf die sie Zugriff haben, selbst wenn die Protokolle zentralisiert sind.
Datensammlung: Bevorzugen Sie den Azure Monitor Agent (AMA) mit Datensammlungsregeln (DCRs) gegenüber den Legacy-Agents. DCRs definieren, was gesammelt werden soll (Leistungsindikatoren, Windows/Linux-Ereignisprotokolle, Syslog, benutzerdefinierte Textprotokolle), von welchen Maschinen und in welche Tabellen, was granulare, bereichsbezogene Pipelines ermöglicht.
Kosten und Aufbewahrung: Kontrollieren Sie die Kosten durch Aufbewahrung pro Tabelle, Archivierung und Basis-Protokolle, wo dies angebracht ist. Verwenden Sie nach Möglichkeit Sampling und Filterung zum Zeitpunkt der Sammlung.
Datenquellen: Azure Activity Log, Ressourcenprotokolle über Diagnoseeinstellungen, VM insights und Container insights, Azure AD Anmelde- und Audit-Protokolle (über Diagnoseeinstellungen), Azure Firewall/NSG-Flow-Protokolle, benutzerdefinierte Anwendungsprotokolle und On-Premises über den Azure Monitor Agent.

Die Beherrschung von KQL ist unerlässlich. Beispiele:

Schnelle Überprüfung: AzureActivity | where OperationName startswith “Create” and ActivityStatus == “Succeeded” | summarize count() by Caller
Performance-Triage: Perf | where ObjectName == “LogicalDisk” and CounterName == “% Free Space” | summarize min(CounterValue) by Computer, InstanceName
Fehlerrate: AppTraces | where SeverityLevel >= 3 | summarize Errors=count() by bin(TimeGenerated, 5m)

Aktionsgruppen definieren, wer und was auf Warnungen reagiert: E-Mail/SMS/Push/Sprachanruf, sichere Webhooks, ITSM-Konnektoren, Functions, Logic Apps und Automation-Runbooks. Verwenden Sie Aktionsgruppen über mehrere Warnungsregeln hinweg wieder und setzen Sie ein konsistentes Incident-Routing durch.

Azure Monitor unterstützt mehrere Arten von Warnungen:

Metrische Warnungen: Werten Plattform- oder benutzerdefinierte Metriken nahezu in Echtzeit aus, mit statischen Schwellenwerten oder dynamischen Schwellenwerten, die normale Baselines erlernen.
Protokollwarnungen (geplante Abfragen): Führen Sie KQL für Arbeitsbereichsdaten in einer konfigurierten Frequenz aus; Auslösung bei einer Ergebniszählung oder einem numerischen Aggregat. Nützlich für komplexe Muster über Ressourcen hinweg.
Aktivitätsprotokollwarnungen: Werden bei Control-Plane-Ereignissen ausgelöst (z. B. wenn eine VM gelöscht oder eine Rollenzuweisung geändert wird). Diese erfordern keinen Arbeitsbereich.
Intelligente Erkennung (Smart Detection): Anomalieerkennung und Spitzen bei der Fehlerrate, hauptsächlich für Application Insights-Ressourcen; benachrichtigt automatisch die Besitzer und kann in Aktionsgruppen integriert werden.

Application Insights und Warnungen

Application Insights instrumentiert Code und Plattform, um eine End-to-End-Anwendungstelemetrie bereitzustellen. Verwenden Sie Verbindungszeichenfolgen und erstklassige SDKs (.NET, Java, Node.js, Python) oder OpenTelemetry für herstellerneutrales Tracing. Aktivieren Sie für PaaS-Dienste (App Service, Functions, AKS) die automatische Instrumentierung, wo verfügbar, um Anfragen, Abhängigkeiten, Ausnahmen und Traces ohne Code-Änderungen zu erfassen. Behalten Sie den Kontext des verteilten Tracing bei, um Client-, API- und Backend-Hops zu korrelieren.

Wichtige Telemetrietypen:

Requests: Eingehende Operationen mit Antwortcodes und Dauer
Dependencies: Ausgehende Aufrufe (HTTP, SQL, Warteschlangen) mit Dauer und Erfolg
Exceptions und Traces: Fehler und Diagnoseprotokolle mit Schweregrad
Metrics: Benutzerdefinierte oder Standard-Leistungsindikatoren
Page views und browser timings: Frontend-Leistung
Custom events und measurements: Domänenspezifische Signale

Wenden Sie adaptives Sampling an, um das Aufnahmevolumen zu steuern, ohne die Signaltreue zu verlieren, und verwenden Sie den Live Metrics Stream für Einblicke mit geringer Latenz während Incidents.

Verfügbarkeitstests validieren die externe Erreichbarkeit und SLAs:

Standardtests (URL-Ping): Testen Sie Endpunkte von mehreren Azure-Regionen aus, validieren Sie Statuscodes, SSL-Ablauffenster, Inhaltsübereinstimmungen und Schwellenwerte für die Antwortzeit.
Benutzerdefinierte Tests: Verwenden Sie TrackAvailability im Code für synthetische Workflows oder geschützte Endpunkte. Fehler können automatisch Warnungen auslösen, die mit Aktionsgruppen verknüpft sind.

Erweitern Sie die Alarmierung durch intelligente Erkennung (Smart Detection) in Application Insights für:

Fehleranomalien und Leistungsbeeinträchtigungen
Speicherlecks und Abhängigkeitsanomalien Diese Funktionen lernen typische Muster und reduzieren Falsch-Positive, was schwellenwertbasierte Warnungen ergänzt.

Azure Backup

Ein Recovery Services-Tresor ist der zentrale Ankerpunkt für die Verwaltung von Sicherungen, Richtlinien und Wiederherstellungen. Platzieren Sie Tresore in derselben Region wie die geschützten Ressourcen (oder in der gekoppelten Region für Szenarien zur regionsübergreifenden Wiederherstellung, die vom Dienst unterstützt werden). Härten Sie Tresore durch vorläufiges Löschen, Schutz vor endgültigem Löschen und Multi-User-Autorisierung für kritische Vorgänge.

Sicherungsrichtlinien definieren Zeitpläne und Aufbewahrungsfristen:

Azure VM-Sicherung: Tägliche Momentaufnahmen mit kurzfristiger Aufbewahrung, optionale wöchentliche/monatliche/jährliche langfristige Aufbewahrung; anwendungskonsistente Wiederherstellungspunkte über VSS (Windows) oder Pre-/Post-Skripts (Linux), wenn aktiviert.
Azure Files-Sicherung: Tägliche Sicherungen, die auf Freigabe-Momentaufnahmen basieren; Aufbewahrung gemäß Geschäftsanforderungen; unterstützt die Wiederherstellung in der ursprünglichen oder einer alternativen Freigabe mit Wiederherstellung auf Elementebene.
SQL Server in Azure VMs: Vollständige (täglich/wöchentlich), differenzielle (täglich) und Protokollsicherungen (bis zu alle 15 Minuten) ermöglichen eine Point-in-Time-Wiederherstellung. Der automatische Schutz erkennt neue Datenbanken.

Die sofortige Wiederherstellung beschleunigt die VM-Wiederherstellung durch die Verwendung lokal gespeicherter Momentaufnahmen, die für einen kurzen Zeitraum aufbewahrt werden, bevor sie in den Tiefenspeicher des Tresors verschoben werden. Administratoren können:

eine gesamte VM (neue Compute-Instanz) wiederherstellen, um die Wiederherstellungszeit zu minimieren
Datenträger wiederherstellen und sie für eine gezielte Reparatur an eine bestehende VM anfügen
eine Datei- und Ordnerwiederherstellung durchführen, indem ein Wiederherstellungspunkt als temporäres iSCSI-Gerät in eine beliebige VM im Abonnement (sofern rollenbasiert zulässig) eingebunden wird, was gezielte Wiederherstellungen nach Ereignissen wie Ransomware ermöglicht

Zu den Überlegungen bei der VM-Sicherung gehören der Ausschluss von Datenträgern für unkritische Daten, der Umgang mit Verschlüsselung (Azure Backup unterstützt verschlüsselte Datenträger) und Konsistenzmodelle (absturzkonsistent vs. anwendungskonsistent). Die Azure Files-Sicherung nutzt Speicher-Momentaufnahmen und profitiert von einer inkrementellen, speichereffizienten Aufbewahrung und dem Schutz durch vorläufiges Löschen. Die Sicherung von SQL in Azure VMs verwendet eine workload-spezifische Erweiterung, die vom Tresor koordiniert wird, um konforme, wiederherstellbare Sicherungsketten über Always On-Verfügbarkeitsgruppen und eigenständige Instanzen hinweg zu erstellen.

Azure Site Recovery, Network Watcher und Service Health

ASR bietet Workload-Replikation und orchestrierte Wiederherstellung:

Replikationsquellen: Lokale VMware/Hyper-V/physische Server nach Azure; Azure-Region-zu-Region. Der Mobility Service auf geschützten Maschinen erfasst Änderungen und repliziert sie in den Cache-/Zielspeicher. Aktivieren Sie die Multi-Datenträger-Konsistenz für mehrschichtige Anwendungen mit gemeinsamer Schreibreihenfolge.
Zielkonfiguration: Erstellen Sie Ressourcengruppen, VNets/Subnetze, Verfügbarkeitsoptionen (Zonen/Sets), Typen von verwalteten Datenträgern und Namenskonventionen vorab oder ordnen Sie sie zu. Verwenden Sie Netzwerkzuordnung und DNS-Updates, um die Erreichbarkeit nach einem Failover sicherzustellen.
Failover-Optionen: Testfailover (isolierte Validierung ohne Auswirkungen auf die Produktion), geplantes Failover (kein Datenverlust mit Herunterfahren der Quelle) und ungeplantes Failover (Best-Effort bei Ausfällen). Nach dem Failover führen Sie einen Reprotect durch, um die Replikation umzukehren; Failback, wenn die primäre Seite bereit ist, erfolgt über Prozessserver oder direkte Replikation, je nach Quelle.
Wiederherstellungspläne: Orchestrieren Sie mehrstufige VM-Tiers mit Gruppen, manuellen Genehmigungsschritten und Azure Automation-Runbooks oder -Skripten (zum Aufwärmen von Anwendungen, zur Neukonfiguration von Load Balancern und für DNS-Änderungen). Integrieren Sie Sequenzierung und Timeouts, um eine vorhersagbare RTO zu erreichen.

RPO/RTO-Ziele leiten die Richtlinienerstellung:

RPO (akzeptabler Datenverlust) wird durch die Änderungsrate, den Netzwerkdurchsatz und die Replikationsfrequenz bestimmt. Legen Sie RPO-Schwellenwerte fest, um bei Überschreitung Integritätswarnungen auszulösen.
RTO (Zeit bis zur Wiederherstellung des Dienstes) hängt von der Startzeit, den Orchestrierungsschritten, DNS-/Verbindungsupdates und Vorgängen auf der Datenebene (Anfügen von Datenträgern) ab. Passen Sie Wiederherstellungspläne an, stellen Sie Kapazitäten vorab bereit und verwenden Sie Testfailover, um zu validieren, dass die Ziele erreicht werden.
Die Replikationsrichtlinie definiert die Kadenz für anwendungskonsistente Snapshots und die Aufbewahrungszeiträume für Wiederherstellungspunkte, um Speicherkosten, Wiederherstellungsflexibilität und Leistung auszugleichen.

Azure Network Watcher stattet Administratoren mit präzisen Netzwerkdiagnosetools aus:

IP-Fluss überprüfen: Validiert, ob ein Datenfluss durch effektive NSG-Regeln auf einer NIC zugelassen oder verweigert wird, und identifiziert die spezifische Regel, die die Entscheidung beeinflusst.
Nächster Hop: Berechnet die Routing-Entscheidung für ein bestimmtes Ziel (Internet, virtuelles Netzwerk, virtuelle Appliance) und zeigt effektive benutzerdefinierte Routen und Systemrouten an.
Verbindungs-Problembehandlung: Führt End-to-End-Tests zwischen Quelle und Ziel über VNets und hybride Verbindungen hinweg durch und meldet Erreichbarkeit, Latenz und den Hop, bei dem der Fehler auftritt.
Paketerfassung: Erfasst Pakete auf einer VM-NIC mit Filtern (Protokoll/Port/IP), die in einem Speicherkonto oder lokal gespeichert werden, nützlich für die tiefgehende Untersuchung von zeitweise auftretenden Problemen. Erfordert die Network Watcher-Erweiterung auf der VM.

Azure Service Health ergänzt das Monitoring um Plattform-Bewusstsein:

Dienstprobleme: Echtzeit-Ausfälle und Beeinträchtigungen, die ausgewählte Dienste und Regionen betreffen, mit Updates zur Ursache und zu Gegenmaßnahmen.
Geplante Wartung: Benachrichtigungen über bevorstehende Wartungsfenster der Plattform, die Workloads beeinträchtigen können, mit Zeitplänen und erforderlichen Maßnahmen.
Integritätsempfehlungen: Best-Practice- und Sicherheitsempfehlungen, die möglicherweise Konfigurationsänderungen erfordern. Erstellen Sie Service Health-Warnungen, die auf Dienste/Regionen/Abonnements beschränkt sind, und leiten Sie sie über Aktionsgruppen weiter, damit die Betriebsteams vor einer Beeinträchtigung informiert werden. Verwenden Sie Resource Health für den Verfügbarkeitsstatus pro Ressource (Verfügbar, Beeinträchtigt, Nicht verfügbar, Unbekannt), um zwischen Plattformproblemen und Workload-Problemen zu unterscheiden.

Praktisches Problemszenario

Adobe muss eine neue E-Commerce-Plattform mit zwei Regionen auf Azure härten und in Betrieb nehmen. Dabei müssen strenge Ziele für Beobachtbarkeit, Backup und Disaster Recovery erfüllt werden, während gleichzeitig eine schnelle Netzwerk-Fehlerbehebung und ein Bewusstsein für die Plattform gewährleistet sein müssen.

Stellen Sie pro Region einen zentralen Log Analytics-Arbeitsbereich bereit und weisen Sie allen VMs und AKS-Knoten Datensammlungsregeln (Data Collection Rules) zu, um Leistungs-, Syslog-/EventLog- und ressourcenspezifische Protokolle über Diagnoseeinstellungen zu sammeln. Warum: Regionale Arbeitsbereiche gewährleisten Datenresidenz und Leistung; AMA+DCR ermöglicht eine granulare, skalierbare Sammlung und Kostenkontrolle.
Konfigurieren Sie Diagnoseeinstellungen für App Service, Key Vault, Azure Firewall, Application Gateway und Storage, um Protokolle und Metriken an den regionalen Arbeitsbereich und zur langfristigen Aufbewahrung an ein Speicherkonto weiterzuleiten. Warum: Zentralisierte Analysen ermöglichen eine ressourcenübergreifende Korrelation; die Aufbewahrung im Speicher erfüllt Compliance- und forensische Anforderungen.
Instrumentieren Sie die Web- und API-Tiers mit Application Insights unter Verwendung von OpenTelemetry und aktivieren Sie die automatische Instrumentierung für App Service. Erstellen Sie Verfügbarkeitstests aus mindestens fünf Azure-Regionen mit Inhaltsabgleich und Prüfungen des TLS-Ablaufdatums. Warum: Tiefgehendes verteiltes Tracing und synthetische Tests erkennen Regressionen, die sich auf Benutzer auswirken, bevor es die Kunden tun.
Erstellen Sie Azure Monitor-Warnungen:

Dynamische Metrik-Warnungen für CPU, Arbeitsspeicher, HTTP 5xx-Raten und den Zustand des App Gateway-Backends
Geplante Abfragewarnungen für anomale Firewall-Ablehnungen und fehlgeschlagene Anmeldungen mit KQL
Aktivitätsprotokoll-Warnungen für Lösch-/Rollenzuweisungsereignisse bei kritischen Ressourcen
Verbinden Sie alle Warnungen mit gemeinsamen Aktionsgruppen (E-Mail/SMS für den Bereitschaftsdienst, Webhook zum ITSM, Logic App zum Öffnen von Incidents) Warum: Die Alarmierung über mehrere Signale reduziert die mittlere Erkennungszeit (Mean Time to Detect) durch eine handlungsorientierte Weiterleitung an Personen und Systeme.

Schützen Sie Daten mit Azure Backup:

Aktivieren Sie das VM-Backup mit Richtlinien, die auf nächtliche Sicherungen und langfristige Aufbewahrung ausgerichtet sind; aktivieren Sie gegebenenfalls anwendungskonsistente Snapshots
Schützen Sie Azure Files-Freigaben, die Medien-Assets hosten, mit täglichen Backups und vorläufigem Löschen (Soft Delete)
Schützen Sie SQL Server in Azure VMs mit Zeitplänen für vollständige/differenzielle/Protokoll-Backups, um eine Point-in-Time-Wiederherstellung zu unterstützen
Validieren Sie die sofortige Wiederherstellung (Instant Restore), indem Sie eine Wiederherstellung auf Dateiebene in der Staging-Umgebung durchführen Warum: Vault-basierte Backups und sofortige Wiederherstellungen minimieren Ausfallzeiten und Datenverlust bei IaaS- und Dateiarbeitslasten.

Implementieren Sie Azure Site Recovery für die Region-zu-Region-DR der Web-, API- und SQL-Tiers mit einer Replikationsrichtlinie, die auf eine niedrige RPO und stündliche anwendungskonsistente Punkte abzielt. Erstellen Sie einen Wiederherstellungsplan mit Tiers (zuerst Daten, dann API, dann Web), Automatisierung zur Aktualisierung von DNS und zum Leeren von CDN-Caches und führen Sie vierteljährlich ein Testfailover in einem isolierten VNet durch. Warum: ASR-Replikation und Wiederherstellungspläne bieten eine vorhersagbare RTO mit orchestrierten, auditierbaren Runbooks und unterbrechungsfreien Tests.
Aktivieren Sie Network Watcher und verwenden Sie die Verbindungs-Problembehandlung, um Frontend-zu-Backend-Flüsse zu validieren, ‘Nächster Hop’, um UDRs durch den NVA-Tier zu überprüfen, und ‘IP-Fluss überprüfen’, um die NSG-Härtung zu bestätigen. Konfigurieren Sie die bedarfsgesteuerte Paketerfassung auf den API-VMs zur Analyse von zeitweise auftretenden Timeouts. Warum: Zweckgebundene Diagnosetools isolieren schnell Routing-/NSG-Probleme und liefern bei Bedarf Nachweise auf Paketebene.
Erstellen Sie Azure Service Health-Warnungen für die beiden Regionen und die betreffenden Dienste (App Service, SQL, Storage, Key Vault, Front Door). Leiten Sie sie an dieselben Aktionsgruppen weiter und nehmen Sie Verteilerlisten der Führungsebene für Hinweise zu geplanten Wartungsarbeiten auf. Warum: Proaktives Bewusstsein für Plattform-Vorfälle und Wartungsarbeiten verhindert überraschende Ausfälle und ermöglicht eine koordinierte Kommunikation.

Dieser integrierte Ansatz stellt sicher, dass Adobe seine RPO/RTO-Ziele erreicht, nach Ransomware-Angriffen oder Bedienerfehlern schnell wiederherstellt, Anomalien innerhalb von Minuten erkennt und behebt und Netzwerkpfade schlüssig untersuchen kann, während es über Ereignisse der Azure-Plattform informiert bleibt.

← Azure-Datenbanken und Datendienste · Alle Domänen · Azure-Sicherheit und Compliance →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →