Microsoft AZ-400: Infrastructure as Code und Konfigurationsmanagement — Lernleitfaden

By Laurynas Brazys · 10 August 2026 · #microsoft #az-400 #certification #exam-prep #study-guide

Teil des Microsoft DevOps Engineer Expert AZ-400 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Skalierbares Konfigurationsmanagement: DSC, Azure Automation DSC, Ansible, Chef und Puppet

PowerShell Desired State Configuration (DSC) deklariert den Zustand von Windows und plattformübergreifenden Systemen über Ressourcen. Es gibt zwei Bereitstellungsmodi: Der Push-Modus sendet MOFs direkt an die Knoten; im Pull-Modus rufen die Knoten ihre MOFs nach einem Zeitplan von einem Pull-Dienst ab. Der Local Configuration Manager (LCM) setzt die Richtlinie durch. Wichtige LCM-Einstellungen umfassen:

• ConfigurationMode: ApplyOnly (einmalig konfigurieren, keine Drift-Korrektur), ApplyAndMonitor (Drift erkennen, keine Korrektur), ApplyAndAutoCorrect (Drift erkennen und beheben).
• ConfigurationModeFrequencyMins und RefreshFrequencyMins zur Feinabstimmung der Durchsetzungs- und Pull-Taktung.
• RebootNodeIfNeeded und ActionAfterReboot zur Handhabung von Neustarts.
• Teilkonfigurationen, um den Knotenzustand aus mehreren MOFs zusammenzusetzen, die unabhängig voneinander auf Features abzielen (z. B. Härtung des Basisbetriebssystems und Anwendungsrolle).

Azure Automation State Configuration (Azure Automation DSC) ist ein verwalteter Pull-Dienst. Sie erstellen Konfigurationen in PowerShell, importieren sie in ein Automation-Konto und starten Kompilierungsaufträge, die Knotenkonfigurationen (MOF) erzeugen. Knoten registrieren sich mit

undefined

unter Verwendung eines Registrierungsschlüssels/Endpunkts und können gruppiert und Konfigurationen mit knotenspezifischen Parameterwerten zugewiesen werden. Die Compliance-Berichterstattung zeigt die zuletzt angewendete Konfiguration und den Drift-Status an; Knoten im Modus ApplyAndAutoCorrect führen bei ihrem nächsten Check-in automatisch eine Behebung durch. Kompilierungsaufträge sind überprüfbare Build-Artefakte, und die rollenbasierte Zugriffskontrolle beschränkt die Erstellung von Konfigurationen und die Zuweisung von Knoten.

Ansible ist agentenlos und eignet sich gut für die Konfiguration von Linux-Flotten und die Ad-hoc-Orchestrierung. Verwenden Sie in Azure die

undefined

, die Module für Compute, Networking, Key Vault und mehr bereitstellt. Das dynamische Inventar mit dem

undefined

-Plugin erkennt Hosts aus Ihren Abonnements oder bestimmten Ressourcengruppen und Tags; die Beschaffung von Anmeldeinformationen kann über einen Dienstprinzipal, die Azure CLI oder eine verwaltete Identität erfolgen. Integrieren Sie Ansible in Azure Pipelines, indem Sie es auf einem Linux-Agenten installieren, sich über

undefined

oder eine Azure Resource Manager-Dienstverbindung anmelden und Playbooks ausführen, die auf das dynamische Inventar, Variablengruppen und sichere Dateien verweisen. Ansible zeichnet sich durch idempotente, lesbare Aufgaben aus und kann DSC in vorwiegend auf Windows basierenden Umgebungen ergänzen, indem es plattformübergreifende Workflows und die Orchestrierung übernimmt.

Chef und Puppet bieten ausgereifte Policy-as-Code-Modelle und Compliance-Berichterstattung. Auf Azure-VMs bootstrappen die Chef- und Puppet-VM-Erweiterungen die Agenten zur Bereitstellungszeit und garantieren so eine frühe Konvergenz. Chef Infra verwendet Cookbooks und Policyfiles, um Abhängigkeiten zu pinnen und reproduzierbare Ausführungen sicherzustellen; Chef InSpec drückt Compliance-as-Code aus und liefert Berichte über Drift und Kontrollstatus an Chef Automate. Die Manifeste und Module von Puppet kodieren den Soll-Zustand, wobei Code Manager und Umgebungen Promotion-Flows bereitstellen; Puppet Enterprise liefert zentralisierte Berichterstattung, rollenbasierte Klassifizierung und Behebung. Beide Tools lassen sich über Module und Ressourcenanbieter in Azure integrieren und können mit dem nativen Azure DSC koexistieren, wenn dies bei einer Migration oder in gemischten Umgebungen erforderlich ist.

Anwendungskonfiguration, unveränderliche Images und Policy-as-Code

Azure App Configuration zentralisiert Anwendungseinstellungen und Feature-Flags. Feature-Flags ermöglichen progressive Rollouts: Sie definieren Flags und fügen bei Bedarf Filter hinzu, wie z. B. prozentbasierte Rollouts oder gezielte Benutzeransprache (User Targeting) über Feature-Manager-Bibliotheken. Labels ermöglichen es Ihnen, Werte nach Umgebung oder Ring zu trennen. Konfigurations-Snapshots erfassen eine unveränderliche Point-in-Time-Ansicht für einen Satz von Schlüsseln und Labels und ermöglichen so konsistente, reproduzierbare Rollouts über viele Dienste hinweg, ohne Race Conditions durch gleichzeitige Schlüsseländerungen. Mit Key Vault-Referenzen können Sie Geheimnisse in Key Vault aufbewahren, während Sie in App Configuration nur die Referenzen speichern. Die verwaltete Identität der Anwendung muss die Berechtigung get für das Geheimnis haben, und die Client-Bibliotheken lösen die Geheimnisse auf und cachen sie, mit optionaler dynamischer Aktualisierung. Verwenden Sie RBAC und Netzwerkisolierung für beide Dienste, um den Zugriff zu schützen.

Unveränderliche Infrastruktur (Immutable Infrastructure) eliminiert Konfigurationsdrift, indem sie aus einem bekannten Image neu erstellt wird, anstatt Hosts zu verändern. Der azure-arm (jetzt azure) Builder von Packer erstellt Images aus einem Basisbetriebssystem, führt Provisioner (Shell, PowerShell, Ansible) aus und veröffentlicht sie in einer Shared Image Gallery mit replizierten Regionen und semantischer Versionierung. Eine Golden-Image-Pipeline führt typischerweise Lint-Prüfungen für Packer-Templates durch, erstellt das Image, führt Schwachstellen- und Compliance-Scans (z. B. mit InSpec) sowie Integrationstests durch, befördert es in die Gallery und aktualisiert dann VM Scale Sets oder Host-Pools. Mit VM Scale Sets, rollierenden oder zustandsbasierten Upgrades und automatischen Betriebssystem-Image-Upgrades erhalten Sie sichere, konsistente Rollouts und ein einfaches Rollback durch Auswahl einer früheren Image-Version.

Policy-as-Code setzt Leitplanken (Guardrails) durch. Azure Policy-Definitionen sind JSON-Objekte mit einer policyRule, die Ressourceneigenschaften und Effekte wie deny, audit, append, modify oder deployIfNotExists zur automatischen Korrektur (Auto-Remediation) auswertet. Parametrisieren Sie Definitionen zur Wiederverwendung; gruppieren Sie sie mit Initiativen (Richtliniensatzdefinitionen) für konsistente Zuweisungen und zentralisiertes Compliance-Tracking. Weisen Sie Richtlinien auf dem Geltungsbereich von Verwaltungsgruppen, Abonnements oder Ressourcengruppen zu; aktivieren Sie Wiederherstellungsaufgaben (Remediation Tasks) für modify- und deployIfNotExists-Richtlinien, um bestehende Ressourcen in den konformen Zustand zu versetzen. Speichern Sie Richtlinienartefakte in der Quellcodeverwaltung, überprüfen Sie sie über Pull Requests und stellen Sie sie über Bicep, ARM oder Terraform bereit, um eine konsistente Übertragung durch die Umgebungen zu gewährleisten.

Für Kubernetes setzt OPA/Gatekeeper Constraints zur Zeit der Zulassung (Admission) durch. ConstraintTemplates definieren Rego-Richtlinien und deren Schemata; Constraints instanziieren diese Richtlinien für einen Cluster. Gängige Kontrollen umfassen die Beschränkung von Images auf vertrauenswürdige Registries, die Forderung nach Labels/Annotationen oder die Verhinderung von privilegierten Pods. Gatekeeper lässt sich in GitOps-Tools (Flux/Argo CD) und CI-Tests über conftest integrieren. Azure Policy for Kubernetes baut auf Gatekeeper auf, um Azure-native Zuweisungs- und Compliance-Ansichten über AKS-Cluster hinweg zu ermöglichen und so die Cloud- und Cluster-Governance in einem einzigen Posture-Dashboard zu vereinen.

Praktisches Problemszenario

Spotify muss die Azure-Infrastruktur standardisieren, Konfigurationsdrift reduzieren und sichere Feature-Rollouts für Microservices beschleunigen, die sich über Windows und Linux, AKS und VM-basierte Workloads erstrecken.

1. Modellieren Sie Cloud-Ressourcen mit Bicep-Modulen pro Domäne (Netzwerk, Daten, Compute) und stellen Sie sie über Abonnements bereit, die auf Verwaltungsgruppen beschränkt sind. Dies führt zu typisierten, wartbaren Deklarationen, klarem Geltungsbereich und Wiederverwendbarkeit ohne die Ausführlichkeit von ARM JSON.
2. Verwenden Sie eine kleine Anzahl verknüpfter ARM Template Specs für gemeinsam genutzte Plattformdienste, die von mehreren Teams konsumiert werden. Verknüpfte Vorlagen, die als Template Specs gehostet werden, bieten versionierte, unveränderliche Artefakte und entkoppeln die Kadenz der Plattform von den App-Teams.
3. Wählen Sie Terraform für cloudübergreifende Edge- und CDN-Abhängigkeiten, wobei das azurerm-Backend den Remote-Zustand in Azure Storage pro Arbeitsbereich (dev/test/prod) speichert und Blob-Leases für das Locking verwendet. Dies bewahrt ein einheitliches Pipeline-Muster, während der Zustand sicher isoliert und eine konsistente Übertragung ermöglicht wird.
4. Zentralisieren Sie Anwendungskonfiguration und Feature-Flags in Azure App Configuration. Feature-Flags mit Prozentfiltern und Labels ermöglichen Ring-basierte Rollouts; Konfigurations-Snapshots stellen sicher, dass jede Bereitstellungsstufe einen unveränderlichen, auditierten Satz von Schlüsseln konsumiert.
5. Speichern Sie Geheimnisse in Azure Key Vault und referenzieren Sie sie aus App Configuration. Das Auflösen von Referenzen zur Laufzeit mit einer verwalteten Identität ermöglicht die Schlüsselrotation ohne erneute Deployments und entfernt Geheimnisse aus der Anwendungskonfiguration und den Pipelines.
6. Führen Sie unveränderliche Images für VM-Workloads ein, indem Sie Packer verwenden, um Golden Images zu erstellen, die in der Shared Image Gallery veröffentlicht werden. Eine Pipeline führt Härtungsskripte und InSpec-Scans aus, taggt die Images und befördert nur bestandene Versionen. VM Scale Sets konsumieren Gallery-Images für Blue/Green- und rollierende Upgrades, wodurch Drift eliminiert wird.
7. Setzen Sie Leitplanken mit Azure Policy-Initiativen durch, die die Exposition öffentlicher IPs in privaten Subnetzen verbieten, Diagnoseeinstellungen für Log Analytics erfordern und Backup-Richtlinien automatisch bereitstellen. Weisen Sie diese auf Ebene der Verwaltungsgruppe zu, um eine breite Abdeckung zu erreichen, und erstellen Sie Wiederherstellungsaufgaben für bestehende Ressourcen, um den Sicherheitsstatus schnell anzugleichen.
8. Schützen Sie AKS mit OPA/Gatekeeper, indem Sie Constraints anwenden, die nicht konforme Images und privilegierte Pods blockieren. Die Richtlinien werden in Git gespeichert und versioniert, mit conftest in der CI validiert und über GitOps angewendet, um sicherzustellen, dass der Cluster-Zustand jederzeit der Richtlinie entspricht.
9. Verwalten Sie die Konfiguration von Windows-Servern mit Azure Automation DSC. Knoten registrieren sich mit

undefined

und verwenden ConfigurationMode=ApplyAndAutoCorrect, um Drift zu erkennen und zu beheben; Kompilierungsaufträge geben MOFs pro Rolle aus, und Compliance-Dashboards zeigen Drift zur Untersuchung an. 10. Verwalten Sie die Linux-Konfiguration und -Orchestrierung mit Ansible unter Verwendung des dynamischen Inventars azure_rm und der azure.azcollection-Module. Azure Pipelines authentifiziert sich mit einer verwalteten Identität, führt Playbooks idempotent aus und koordiniert Updates über Dienste hinweg, was DSC auf Windows ergänzt. 11. Nutzen Sie Chef InSpec-Profile für plattformübergreifende Compliance-as-Code sowohl auf Images als auch auf laufenden Hosts und speisen Sie die Ergebnisse zur Berichterstellung in Chef Automate ein. Dies bringt auditierbare, testbare Kontrollen in die Pipeline und die Produktion und stellt sicher, dass regulatorische Anforderungen kontinuierlich validiert werden.

Diese Kombination bietet typisiertes, modulares IaC (Bicep/Terraform), unveränderliche Hosts (Packer), zentralisierte Anwendungskonfiguration (App Configuration/Key Vault), kontinuierliche Durchsetzung der Konfiguration (Azure Automation DSC, Ansible) und starke Governance (Azure Policy, Gatekeeper). Sie reduziert Drift, verkürzt Wiederherstellungs- und Rollout-Zeiten und macht die Compliance nachweisbar.

← CI · Alle Domänen · Containerisierung und Kubernetes →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →

Microsoft durchsuchen →