Microsoft AZ-104: Azure-Speicher — Lernleitfaden

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Teil des Microsoft Azure Administrator Associate AZ-104 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Azure Storage ist die Grundlage für Datendienste in ganz Azure und bietet langlebigen, hochverfügbaren Objekt- und Dateispeicher mit granularer Sicherheit und flexiblen Netzwerkoptionen. Umfassende Kenntnisse erfordern ein Verständnis der Kontotypen und Redundanz, des Datenlebenszyklus und des Schutzes für Blobs, der Optionen für Dateifreigaben und deren Synchronisierung, starker Authentifizierung und kontrolliertem Netzwerkzugriff sowie der operativen Werkzeuge für Massentransfers und die Verwaltung.

Speicherkontotypen und Dauerhaftigkeit

Universell v2 (GPv2)-Konten sind die Standardeinstellung und die empfohlene Wahl für die meisten Szenarien. Sie unterstützen Blobs (einschließlich des hierarchischen Namespace von Data Lake Storage Gen2, wenn aktiviert), Dateien, Warteschlangen und Tabellen über standardmäßige HDD-gestützte und premium SSD-gestützte Leistungsstufen (Premium für Block-Blobs, Seiten-Blobs oder Dateifreigaben, je nach Untertyp). BlobStorage-Konten sind veraltete, reine Blob-Konten mit eingeschränkten Funktionen; sie existieren hauptsächlich aus Gründen der Abwärtskompatibilität. FileStorage-Konten sind Premium-Konten, die auf Azure Files spezialisiert sind. Sie liefern bereitgestellte, vorhersagbare IOPS und Durchsatz bei geringer Latenz und unterstützen sowohl SMB als auch NFS 4.1.

Redundanzoptionen stellen einen Ausgleich zwischen Dauerhaftigkeit, Verfügbarkeit und Kosten her:

LRS speichert drei synchrone Kopien in einem einzigen Rechenzentrum und eignet sich für Resilienz innerhalb einer Zone, jedoch nicht für Zonen- oder Regionsausfälle.
ZRS speichert drei synchrone Kopien über verschiedene Verfügbarkeitszonen innerhalb einer Region und schützt so vor einem Zonenausfall, während die Lese-/Schreibverfügbarkeit erhalten bleibt.
GRS speichert drei synchrone Kopien lokal (LRS) sowie drei asynchrone Kopien in einer gekoppelten sekundären Region. Die sekundäre Region ist bis zu einem Failover nicht lesbar.
RA-GRS ist GRS mit Lesezugriff auf den sekundären Endpunkt, wodurch leseintensive Workloads auch bei einer Störung der primären Region weiterlaufen können. Dies ist die richtige Option, wenn Daten jederzeit aus der sekundären Region lesbar sein müssen.
GZRS kombiniert ZRS in der primären Region mit asynchroner Replikation in eine sekundäre Region (LRS). Es bietet sowohl Zonenfehlertoleranz als auch regionale Notfallwiederherstellung.
RA-GZRS fügt bei GZRS Lesezugriff auf die sekundäre Region hinzu.

Wählen Sie RA-GRS oder RA-GZRS, wenn regionsübergreifende Lesezugriffe erforderlich sind, GRS/GZRS für regionsübergreifende Notfallwiederherstellung (DR) ohne Lesezugriff, ZRS für Resilienz auf Zonenebene mit der geringsten Schreiblatenz und LRS für kostenoptimierte Dauerhaftigkeit ohne Zonen-/Regionsabdeckung.

Blob-Datenmanagement, Zugriffsebenen und Schutz

Blob-Zugriffsebenen optimieren die Kosten, indem sie die Speicherpreise an die Zugriffsmuster anpassen. Die Hot-Ebene bietet die niedrigste Zugriffs- und Transaktionslatenz pro GB und wird für häufig abgerufene Daten empfohlen. Die Cool-Ebene senkt die Speicherkosten bei höheren Zugriffskosten und Gebühren für vorzeitiges Löschen; sie ist für Daten geeignet, die selten gelesen werden (mindestens 30-Tage-Horizont). Die Archive-Ebene ist offline und hat die niedrigsten Kosten pro GB, mit einer Rehydrierungslatenz von mehreren Stunden und Gebühren für eine Mindestaufbewahrungsdauer; sie eignet sich am besten für Compliance oder Langzeit-Backups. Die Ebenen können pro Blob festgelegt werden; eine Standardzugriffsebene kann auf Konto- oder Containerebene für neue Objekte angewendet werden.

Lebenszyklus-Verwaltungsrichtlinien automatisieren das Tiering und die Aufbewahrung. Regeln werden täglich ausgewertet und können nach Präfix, Blob-Typ, Zeit der letzten Änderung und Blob-Index-Tags filtern. Aktionen umfassen das Verschieben von Hot nach Cool, von Cool nach Archive, das Rehydrieren (unter begrenzten Bedingungen) und das Löschen von Basis-Blobs, Snapshots oder Versionen nach einem bestimmten Alter. Richtlinien, die auf der Zeit des letzten Zugriffs basieren, können Übergänge weiter verfeinern. Gut konzipierte Regeln wandeln Kosten von manueller Überwachung in eine richtliniengesteuerte Governance um und stellen gleichzeitig die Einhaltung von Compliance-Aufbewahrungsfristen sicher.

Datenschutzfunktionen sollten bewusst aktiviert werden:

Das vorläufige Löschen von Blobs (Soft Delete) bewahrt gelöschte oder überschriebene Blobs für einen Aufbewahrungszeitraum auf und ermöglicht die Wiederherstellung ohne Rücksicherung aus einem Backup. Es gilt für Basis-Blobs und kann auf Snapshots und Versionen erweitert werden.
Die Versionsverwaltung behält bei jedem Überschreiben oder Löschen eine schreibgeschützte Version bei, was eine Point-in-Time-Wiederherstellung pro Objekt ermöglicht und anwendungssichere Parallelität gewährleistet.
Das vorläufige Löschen von Containern (Soft Delete) schützt Container vor versehentlichem Löschen, indem sie für einen konfigurierten Zeitraum aufbewahrt werden, was die Wiederherstellung des Containers und seines Inhalts ermöglicht.
Die Point-in-Time-Wiederherstellung für Container ermöglicht die Wiederherstellung eines oder mehrerer Container zu einem früheren Zeitstempel innerhalb eines Aufbewahrungszeitraums. Sie erfordert die Blob-Versionsverwaltung und den Änderungsfeed und ist besonders wertvoll für die Wiederherstellung nach umfangreicher logischer Beschädigung, um den Zustand über viele Objekte hinweg zu einem konsistenten Zeitpunkt zu rekonstruieren.

Snapshots für Block-Blobs bieten zusätzliche Ad-hoc-Wiederherstellungspunkte, werden aber in den meisten operativen Designs durch die Versionsverwaltung abgelöst. Stellen Sie sicher, dass Lebenszyklusrichtlinien und Anforderungen an Legal Hold/Unveränderlichkeit nicht in Konflikt stehen, insbesondere bei der Kombination von Archivierung (Archive Tiering) und WORM-Aufbewahrung.

Azure Files und Azure File Sync

Azure Files bietet vollständig verwaltete Dateifreigaben mit Azure-nativer Elastizität und globaler Verfügbarkeit. SMB-Freigaben unterstützen SMB 3.x-Funktionen wie Verschlüsselung während der Übertragung (encryption in transit), kontinuierliche Verfügbarkeit auf Premium-FileStorage-Freigaben in bestimmten Szenarien und identitätsbasierte Zugriffskontrolle. NFS 4.1-Freigaben sind nur auf Premium-FileStorage-Konten verfügbar und für UNIX/Linux-Workloads optimiert. Sie verwenden POSIX-Berechtigungen und Exportrichtlinien, wobei der Zugriff aus Sicherheitsgründen auf ausgewählte Netzwerke beschränkt ist.

Die identitätsbasierte Authentifizierung für SMB bietet mehrere Optionen:

Authentifizierung über Active Directory Domain Services (AD DS), bei der ein lokal (on-premises) oder in Azure IaaS gehosteter Domänencontroller verwendet wird und die NTFS-ACLs und Kerberos/NTLM unterstützt.
Azure AD Domain Services (Azure AD DS), das eine verwaltete Domäne bereitstellt, ohne dass Domänencontroller-VMs verwaltet werden müssen.
Azure AD Kerberos für Azure Files, das eine moderne, reine Cloud-Identität für den SMB-Zugriff von Azure AD-gebundenen Windows-Clients und Windows Server 2022 ermöglicht, wodurch die Notwendigkeit traditioneller Domänencontroller entfällt, während die Semantik von Kerberos und ACLs erhalten bleibt. Integrieren Sie es mit RBAC und Freigabeberechtigungen, um die Speicherautorisierung an die Identity Governance anzupassen.

Azure File Sync erweitert Azure Files auf lokale (on-premises) Windows Server und wandelt Ihre Azure-Dateifreigabe in einen Hub für die Synchronisierung über mehrere Standorte mit zentralisiertem Cloud-Speicher um. Eine Storage Sync Service-Ressource orchestriert die Replikation. Darin binden Synchronisierungsgruppen (sync groups):

Einen Cloud-Endpunkt (cloud endpoint), der auf eine Azure-Dateifreigabe in einem Speicherkonto verweist.
Einen oder mehrere Server-Endpunkte (server endpoints), von denen jeder einen Pfad auf einem registrierten Windows Server-Volume zuordnet.

Nach der Installation des Azure File Sync-Agenten und der Registrierung des Servers fügen Sie den Pfad des Server-Endpunkts hinzu (zum Beispiel D:\Shares\Projects). Cloud-Tiering kann aktiviert werden, um den Namespace lokal beizubehalten, während kalte Dateien als Stubs (stubbing) ausgelagert werden; Richtlinien umfassen Ziele für den freien Speicherplatz auf dem Volume und eine auf der letzten Zugriffszeit basierende Verdrängung (heat-based eviction). Der bedarfsgesteuerte Abruf (on-demand recall) stellt den Dateiinhalt beim Zugriff transparent wieder her. Strategien für die anfängliche Datenübertragung (initial seed) und den Abruf, die Integration von DFS-N für Verweise (referrals) und Antivirus-Ausschlüsse für die AFS-Systemverzeichnisse sind zentrale betriebliche Überlegungen. Die Änderungserkennung (change enumeration) und die journalbasierte Synchronisierung minimieren die Belastung (churn); Drosselung und die anfängliche Datenübertragung mittels Offline-Datentransfer können die Bandbreite während der initialen Replikation schonen.

Sicherheit, Netzwerk und kontrollierter Zugriff

Shared Access Signatures (SAS) gewähren bereichsbezogenen, zeitlich begrenzten Zugriff, ohne die Kontoschlüssel preiszugeben. Eine Service-SAS zielt auf eine bestimmte Ressource (Blob, Container, Dateifreigabe, Warteschlange, Tabelle) mit definierten Berechtigungen, Start-/Ablaufzeiten, erlaubten IP-Bereichen, Protokollen und vorautorisierten Objektnamen ab. Eine Konto-SAS (Account SAS) erstreckt sich über mehrere Dienste und Ressourcentypen innerhalb des Kontos, kann aber nicht an eine gespeicherte Zugriffsrichtlinie gebunden werden; sie sollte aufgrund ihres breiteren Geltungsbereichs sparsam verwendet werden. Eine User Delegation SAS ist das empfohlene Muster für den Blob-Dienst bei Verwendung von Azure AD; sie wird mit einem kurzlebigen Benutzerdelegationsschlüssel signiert, der über Azure AD bezogen wird, und erzeugt ein auditierbares Token mit den geringsten Rechten (least-privilege). Gespeicherte Zugriffsrichtlinien (Stored Access Policies) werden an Container oder Freigaben angehängt und ermöglichen den zentralen Widerruf sowie die Aktualisierung von Berechtigungen/Zeiten für mehrere ausgestellte SAS-Token durch Ändern oder Löschen der Richtlinie.

Die Azure AD-Autorisierung lässt sich in Blob und Queue sowie in Azure Files über die zuvor beschriebenen AD-basierten SMB-Modelle integrieren. Weisen Sie für Blob und Queue Azure RBAC-Rollen wie Storage Blob Data Reader, Contributor oder Owner auf der Ebene des Kontos, des Containers oder der Ressourcengruppe zu. Der Anwendungszugriff sollte verwaltete Identitäten (managed identities) und OAuth gegenüber Kontoschlüsseln bevorzugen, um das Risiko der Schlüsselverteilung zu verringern und Conditional Access sowie Privileged Identity Management in großem Umfang zu ermöglichen.

Die Speicher-Firewall erzwingt Einschränkungen bezüglich der Netzwerkherkunft, wenn sie auf „Ausgewählte Netzwerke“ (Selected networks) eingestellt ist:

Regeln für virtuelle Netzwerke (Virtual network rules) gewähren Zugriff auf bestimmte Subnetze, für die Microsoft.Storage-Dienstendpunkte aktiviert sind, oder verwenden private Endpunkte für den ressourcenspezifischen privaten Zugriff über eine private IP in Ihrem VNet. Dienstendpunkte sind einfacher zu konfigurieren und behalten öffentliche Endpunkte bei; private Endpunkte bieten die stärkste Isolation und Kontrolle über ausgehenden Datenverkehr (egress control).
IP-Netzwerkregeln (IP network rules) erlauben öffentliche IPv4-Adressen oder CIDR-Bereiche für lokale (on-premises) oder Internet-Clients; verwenden Sie dies für eng gefassten administrativen Zugriff.
Regeln für Ressourceninstanzen (Resource instance rules) ermöglichen vertrauenswürdigen Azure-Dienstinstanzen (z. B. einem Synapse-Workspace oder einer bestimmten Logic App) den Zugriff auf das Speicherkonto, ohne pauschale Ausnahmen für „vertrauenswürdige Microsoft-Dienste zulassen“, indem die Ressourcen-ID und der unterstützte Diensttyp angegeben werden, was zur Einhaltung des Prinzips der geringsten Rechte (least privilege) beiträgt.

Aktivieren Sie TLS 1.2+, erzwingen Sie die sichere Übertragung (secure transfer), rotieren Sie die Kontoschlüssel und führen Sie Audits mit Storage Analytics und den Diagnoseeinstellungen von Azure Monitor durch. Kombinieren Sie Netzwerkregeln mit Azure AD RBAC und einer sauberen Handhabung von SAS (SAS hygiene) für eine tiefgreifende Verteidigungsstrategie (defense-in-depth).

Datenverschiebung und Tools

Der Azure Import/Export-Dienst beschleunigt die Massendatenverschiebung mithilfe verschlüsselter Datenträger. Für den Import bereiten Sie 2,5-Zoll-/3,5-Zoll-SATA-HDD/SSD-Laufwerke vor, verschlüsseln diese mit BitLocker und verwenden das Azure Import/Export-Tool, um Daten zu schreiben und eine Laufwerksmanifest- sowie Journaldateien zu generieren. Erstellen Sie einen Importauftrag im Portal, laden Sie die Laufwerksliste und Kontaktdaten hoch, drucken Sie Versandetiketten aus und versenden Sie die Laufwerke über den unterstützten Spediteur an die angegebene Adresse des Microsoft-Rechenzentrums. Verfolgen Sie den Fortschritt und laden Sie Journaldateien hoch, damit Azure das Kopieren bei einer Unterbrechung wieder aufnehmen kann. Für den Export geben Sie die Container oder Blobs an und erstellen den Auftrag. Microsoft schreibt die Daten auf mit BitLocker verschlüsselte Laufwerke und sendet diese zurück; Sie verwenden die im Auftrag bereitgestellten Schlüssel zum Entsperren. Überprüfen Sie immer die Verfügbarkeit in der Region, die Limits für die Anzahl und Größe der Laufwerke sowie die Aufbewahrungsfristen für nicht abgeholte Sendungen.

AzCopy ist das Befehlszeilen-Dienstprogramm für Hochleistungsübertragungen. Authentifizieren Sie sich mit Azure AD (interaktiv oder über einen Dienstprinzipal) für Blob und Azure Files, hängen Sie SAS-Token an die Quell-/Ziel-URLs an oder verwenden Sie Kontoschlüssel (über Umgebungsvariablen oder den Anmeldebefehl, wo unterstützt). Die Kernoperationen umfassen copy für einmalige Übertragungen und sync für eine direktionale Spiegelung, die Quelle und Ziel vergleicht und die Deltas überträgt. Typische Muster sind Lokal-zu-Blob, Blob-zu-Blob (einschließlich kontointerne und kontoübergreifende serverseitige Kopien) und Freigabe-zu-Freigabe. Verwenden Sie rekursive Übertragungen, Einschluss-/Ausschlussmuster, die Anpassung der Gleichzeitigkeit und die Prüfsummenvalidierung. Für Archivierungs-Workflows legen Sie die Blob-Ebene des Ziels beim Hochladen fest. Beim Synchronisieren sollten Sie verstehen, dass Löschvorgänge am Ziel aktiviert oder unterdrückt werden können; wählen Sie den Modus basierend auf der Semantik von Backup im Vergleich zur Verteilung.

Azure Storage Explorer bietet eine GUI für die mandanten- und cloudübergreifende Verwaltung. Verbinden Sie sich über die Azure AD-Anmeldung, den Kontonamen/Schlüssel oder SAS-URIs. Verwalten Sie Container und Freigaben, indem Sie Ordner erstellen, hoch- und herunterladen, Metadaten bearbeiten, Objektebenen festlegen, Snapshots und Versionen anzeigen und gelöschte Elemente wiederherstellen, wenn vorläufiges Löschen (Soft Delete) aktiviert ist. Generieren Sie SAS-Token mit präzisen Berechtigungen, IP-Bereichen und Start-/Ablaufdaten und teilen Sie diese mit Entwicklern oder Partnern, gegebenenfalls unter Verwendung von gespeicherten Zugriffsrichtlinien. Storage Explorer integriert sich nahtlos in AzCopy für Operationen mit hohem Durchsatz, während Fortschritt und Wiederholungsversuche angezeigt werden.

Praktisches Problemszenario

Starbucks muss die Dateiserver seiner Filialen in Azure konsolidieren, eine regionsübergreifende Notfallwiederherstellung (Disaster Recovery) bereitstellen, sich vor versehentlichen Löschungen schützen und 100 TB an historischen Medien-Assets unter einem engen Zeitplan migrieren, ohne die WAN-Verbindungen zu überlasten.

Wahl der Kontoarchitektur und Redundanz

Erstellen Sie ein Premium-FileStorage-Konto in der primären Region für SMB- und NFS-Freigaben mit geringer Latenz und ein GPv2-Konto für blob-basierte Medienarchive. Konfigurieren Sie RA-GZRS für das GPv2-Konto, damit Medien-Assets während regionaler Vorfälle aus der sekundären Region lesbar sind, und ZRS für das FileStorage-Konto für zonale Resilienz und konsistente Schreibverfügbarkeit. Diese Kombination bietet erstklassige Leistung für Dateifreigaben und Blob-DR mit Lesezugriff.

Absicherung von Zugriff und Netzwerk

Aktivieren Sie „Ausgewählte Netzwerke“ (Selected networks) für beide Konten. Für den Zugriff der Filialen auf SMB-Freigaben erstellen Sie private Endpunkte pro Freigabe in einem Hub-VNet und stellen diese über Azure VPN/ExpressRoute für die Filialen bereit. Fügen Sie Ressourceninstanzregeln für einen Synapse-Workspace hinzu, der Analysen auf in Blobs gespeicherten Medien ausführt, und beschränken Sie den Zugriff dieses Dienstes nur auf dieses Speicherkonto. Dieses Design isoliert den Speicher vom öffentlichen Internet und erhält den Zugriff mit den geringsten Rechten (Least Privilege) für PaaS-Analysen aufrecht.

Identitätsbasierte Autorisierung

Aktivieren Sie Azure AD Kerberos für Azure Files, damit in Azure AD eingebundene Windows-Clients mit Unternehmensidentitäten auf SMB-Freigaben zugreifen können, und konfigurieren Sie NTFS-ACLs für rollenbasierten Zugriff. Für den Blob-Zugriff durch Anwendungen weisen Sie verwalteten Identitäten die Rolle „Storage Blob Data Contributor“ auf Containerebene zu und verwenden Benutzerdelegierungs-SAS für kurzlebige delegierte Operationen. Dies reduziert die Preisgabe von Schlüsseln und zentralisiert die Autorisierung.

Datenschutz und Lebenszyklus

Aktivieren Sie Blob-Versioning, vorläufiges Löschen von Blobs (Blob Soft Delete), vorläufiges Löschen von Containern (Container Soft Delete) und den Änderungsfeed. Konfigurieren Sie die Point-in-Time-Wiederherstellung für Container mit einem 14-tägigen Fenster. Fügen Sie Lebenszyklusregeln hinzu, um Blobs, auf die 30 Tage lang nicht zugegriffen wurde, nach „Cool“ und nach 180 Tagen nach „Archive“ zu verschieben, ausgenommen Dateien mit dem Tag legalHold=true. Diese Einstellungen schützen vor logischem Löschen und senken die Speicherkosten im Laufe der Zeit.

Massenmigration

Erstellen Sie Azure Import-Aufträge für die 100 TB an Medien. Verschlüsseln Sie SATA-SSDs mit BitLocker, bereiten Sie die Laufwerke mit dem Import/Export-Tool vor, um Manifest- und Journaldateien zu generieren, versenden Sie sie über den zugelassenen Spediteur an die angegebene Rechenzentrumsadresse und überwachen Sie den Auftragsstatus im Portal. Dies vermeidet eine WAN-Überlastung und schließt das anfängliche Seeding schnell ab.

Laufende Synchronisierung und Konsolidierung der Filialen

Stellen Sie Azure File Sync auf jedem verbleibenden Windows Server in den Filialen bereit. Registrieren Sie die Server bei einem Storage Sync Service, erstellen Sie eine Synchronisierungsgruppe, deren Cloud-Endpunkt auf die Premium-SMB-Freigabe verweist, und fügen Sie Server-Endpunkte für jeden Filialpfad hinzu. Aktivieren Sie Cloud-Tiering mit einem Ziel von 20 % freiem Speicherplatz, um häufig genutzte (heiße) Dateien lokal und selten genutzte (kalte) Dateien als Stubs zu belassen. Dies bietet schnellen lokalen Zugriff bei zentralisierter Skalierung in der Cloud.

Betrieb und Tools

Verwenden Sie AzCopy mit Azure AD-Authentifizierung für inkrementelle Uploads von Inhaltserstellungssystemen in einen Ingestion-Container der Hot-Ebene und verlassen Sie sich dann auf Lebenszyklusregeln für die Ebenenübergänge. Administratoren verwenden Azure Storage Explorer, um Container zu verwalten, gelöschte Elemente wiederherzustellen, SAS für Partner mit expliziten IP-Beschränkungen und kurzen Ablaufzeiten zu generieren und Blob-Ebenen anzupassen, wenn der Zugriff auf archivierte Elemente beschleunigt werden soll. Diese Kombination optimiert den täglichen Betrieb bei gleichzeitiger Wahrung von Sicherheit und Überprüfbarkeit.

Jede Dienstwahl entspricht den Anforderungen: Premium-FileStorage für SMB/NFS mit geringer Latenz, GPv2 mit RA-GZRS für Blob-DR und Kostenebenen, private Endpunkte und Ressourceninstanzregeln für eine strikte Netzwerkkontrolle, Azure AD-basierte Authentifizierung für das Prinzip der geringsten Rechte, Import/Export für ein schnelles anfängliches Seeding, Azure File Sync mit Cloud-Tiering für die Konsolidierung der Filialen und AzCopy/Storage Explorer für einen effizienten, gesteuerten Betrieb.

← Azure-Lastenausgleich und Traffic-Management · Alle Domänen · Azure App Service und PaaS-Compute →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →