Microsoft AZ-801: Hyper-V, Virtualisierung und Speicher — Lernleitfaden

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Teil des Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Hyper-V und softwaredefinierter Speicher von Windows Server bilden eine zusammenhängende Plattform für sichere, isolierte und hochverfügbare Arbeitslasten. Die Beherrschung erfordert ein Verständnis dafür, wie abgeschirmte Fabrics (Guarded Fabrics) Mandanten-VMs vor Fabric-Administratoren schützen, wie Virtualization-Based Security (VBS) das Betriebssystem durch hardwaregestützte Isolierung härtet, wie Hyper-V-Netzwerke die Isolierung durchsetzen und wie sich Replikation, Prüfpunkte und Clustering unter Last und bei Ausfällen verhalten. Dieser Abschnitt erläutert das Sicherheitsmodell für abgeschirmte VMs (Shielded VMs) und die Härtung von Hosts, befasst sich mit Konstrukten zur Netzwerkisolierung, behandelt die Dauerhaftigkeit durch Hyper-V Replica und die Funktionsweise von Prüfpunkten und schließt mit Storage Spaces Direct (S2D), Cluster Shared Volumes (CSV) und dem Quorum-Design im Failover Clustering ab.

Sichere Virtualisierung und Schutz von Arbeitslasten

Abgeschirmte VMs (Shielded VMs) schützen die Ressourcen von Mandanten vor dem Zugriff durch die Fabric. Der Host Guardian Service (HGS) fungiert als Vertrauensanker und stellt zwei Dienste bereit: Nachweis (Attestation), der den Zustand des Hosts validiert, und Schlüsselschutz (Key Protection), der Schlüssel zur Entsperrung des virtuellen TPM der VM freigibt. HGS wird in einer dedizierten, abgesicherten Gesamtstruktur (Forest) oder Domäne bereitgestellt, um das Risiko einer Kompromittierung zu minimieren. Es gibt zwei Nachweis-Modi:

TPM-vertrauenswürdiger Nachweis: stärkste Sicherheit. Hyper-V-Hosts erfordern TPM 2.0, Secure Boot, die Durchsetzung von Codeintegritätsrichtlinien und Measured Boot. HGS überprüft die Measured-Boot-Protokolle und die Host-Identität, bevor der Schlüsselschutz an das vTPM der VM freigegeben wird.
Administrator-vertrauenswürdiger Nachweis (Active Directory): geringere Sicherheit. Hosts belegen ihre Vertrauenswürdigkeit durch die Mitgliedschaft in einer AD-Gruppe und veröffentlichte Host-Metadaten. Es werden keine Measured-Boot-Nachweise ausgewertet, was die Ersteinrichtung erleichtert, aber weniger manipulationssicher ist.

Die Rollen von Fabric und Mandant sind bewusst getrennt. Fabric-Administratoren verwalten Hosts, Cluster, Speicher und Netzwerke, können aber die Datenträger von abgeschirmten VMs nicht einsehen, keine Debugger anhängen und weder die Konsole noch PowerShell Direct verwenden. Mandanten-Administratoren erstellen die VM, besitzen die Anmeldeinformationen für das Betriebssystem und erzeugen Abschirmungsdaten (ein versiegeltes Paket, das eine Unattend-Antwortdatei, ein RDP-Zertifikat und Guardian-Schlüssel enthält), um zu steuern, wo die VM ausgeführt werden darf. Abgeschirmte VMs verwenden BitLocker innerhalb des Gastbetriebssystems, verankert in einem vTPM, und nur abgeschirmte Hosts (Guarded Hosts), die vom HGS attestiert wurden, erhalten die zum Starten erforderlichen Geheimnisse.

Virtualization-Based Security (VBS) hebt die Sicherheitsgrenze über den Kernel an, indem der Virtual Secure Mode (VSM) geschaffen wird. Mit VBS erzwingt der Hypervisor Virtual Trust Levels (VTLs) und isoliert sensible Komponenten in VTL1 neben einem sicheren Kernel. Zu den Funktionen gehören:

Credential Guard: LSASS-Geheimnisse befinden sich in einem isolierten Prozess (LSAISO) im VSM; das normale Betriebssystem (VTL0) kann den Speicher nicht direkt auslesen.
Hypervisor-Enforced Code Integrity (HVCI): Nur Kernel-Code, der moderne Signatur- und Integritätsanforderungen erfüllt, wird ausgeführt; DMA-Angriffe werden durch IOMMU abgeschwächt. Die Anforderungen umfassen UEFI mit Secure Boot, CPU-Virtualisierung mit SLAT (Intel EPT/AMD NPT) und IOMMU (Intel VT-d/AMD-Vi). Die Konfiguration erfolgt über Gruppenrichtlinien: Aktivieren Sie „Turn On Virtualization Based Security“ und anschließend Credential Guard und HVCI; sperren Sie die Konfiguration mit Secure Boot, um ein Zurücksetzen zu verhindern. Zusammen mit VMs der 2. Generation, Secure Boot und vTPM bietet VBS/VSM eine starke Härtung sowohl für Hosts als auch für Gäste.

Hyper-V-Netzwerkisolation, -Replikation und -Prüfpunkte

Virtuelle Switches von Hyper-V erzwingen eine Layer-2/L3-Isolation:

Externe Switches binden an eine physische Netzwerkkarte (oder ein SET-Team), um das LAN zu erreichen. Verwenden Sie separate Adapter für Verwaltungs- und Mandanten-Traffic, um eine gegenseitige Beeinflussung (Bleed-Over) zu vermeiden.
Interne Switches verbinden VMs nur mit dem Host; es gibt keinen externen Uplink.
Private Switches verbinden nur VMs untereinander; es besteht weder eine Verbindung zum Host noch zum LAN. VLANs segmentieren L2-Domänen. Weisen Sie pro VM-Netzwerkkarte ein Access-VLAN für eine einfache Isolation zu oder aktivieren Sie den Trunk-Modus, um mehrere VLANs zu einer VLAN-fähigen Gast-Appliance zu übertragen. Port-ACLs auf einem VM-Netzwerkadapter fügen eine zustandslose 5-Tupel-Filterung (Quell-/Ziel-IP, Protokoll, Port) mit Richtungen (eingehend/ausgehend/beide) und Aktionen (zulassen/verweigern/messen) hinzu. Port-ACLs werden vom Host durchgesetzt und sind nützlich für die lokale Isolation und eine rudimentäre Steuerung des ausgehenden Datenverkehrs (Egress Control), aber sie sind kein Ersatz für eine vollwertige Firewall.

Hyper-V Replica bietet eine asynchrone Replikation pro VM, ohne dass Shared Storage erforderlich ist. Ein Server ist der primäre (sendet Änderungsprotokolle) und ein anderer ist das Replikat (empfängt AVHDX-basierte Deltas). Die Replikationsintervalle betragen 30 Sekunden, 5 Minuten oder 15 Minuten. Authentifizierungsoptionen:

Kerberos (HTTP 80): einfach für Server in einer Domäne; der Datenverkehr wird nicht verschlüsselt. Verwenden Sie IPsec, wenn eine Verschlüsselung während der Übertragung (Encryption in Transit) erforderlich ist.
Zertifikatbasiert (HTTPS 443): TLS-verschlüsselt, funktioniert über nicht vertrauenswürdige Netzwerke und Arbeitsgruppen hinweg. Planen Sie entsprechende Firewall-Öffnungen, konfigurieren Sie die Autorisierung auf dem Replikat und wählen Sie den Replikatspeicher aus. Failover-Typen:
Test-Failover: Startet eine isolierte Test-VM auf dem Replikat, ohne den Schutz zu beeinträchtigen.
Geplantes Failover: Orchestrierter Switchover; der primäre Server wird heruntergefahren, die verbleibenden Protokolle werden gesendet, was bei einer intakten Verbindung zu einem RPO von Null (kein Datenverlust) führt. Unterstützt die umgekehrte Replikation (Reverse Replication), um den Schutz wiederherzustellen.
Ungeplantes Failover: Wird aufgerufen, wenn der primäre Server nicht verfügbar ist; das RPO entspricht dem zuletzt empfangenen Protokoll. Die erweiterte Replikation (Extended Replication) kann Änderungen vom Replikat an einen tertiären Standort weiterleiten, was die Redundanz erhöht.

Prüfpunkte (Checkpoints) erfassen einen Point-in-Time-Zustand für die Wiederherstellung und für Entwicklungs-/Testzwecke (Dev/Test). Standard-Prüfpunkte speichern den VM-Arbeitsspeicher und den Gerätestatus, was sofortige Rollbacks ermöglicht, aber potenziell die Anwendungskonsistenz stören kann. Produktions-Prüfpunkte verwenden VSS innerhalb des Gasts (Windows) oder einen Dateisystem-Flush (Linux), um ein anwendungskonsistentes Image ohne Speicherzustand zu erstellen; sie eignen sich für Backup-Workflows und langlebige Wiederherstellungspunkte. Die Speicherung wird als AVHDX-Differenzdatenträger implementiert, die mit dem Basis-VHDX verkettet sind. Das Anwenden oder Löschen eines Prüfpunkts führt die Kette der Differenzdatenträger online wieder mit ihrem übergeordneten Datenträger zusammen; große Zusammenführungen erzeugen eine hohe I/O-Last (I/O Pressure), also sorgen Sie für ausreichende Leistungsreserven (Headroom) und vermeiden Sie tiefe Verästelungen. Bei Domänencontrollern und verteilten Anwendungen mindern Produktions-Prüfpunkte USN-Rollbacks und damit verbundene Probleme; Standard-Prüfpunkte sollten auf kurzlebige Entwicklungs-/Testarbeiten beschränkt bleiben.

Host-Funktionen, verschachtelte Virtualisierung und Sicherheit der VM-Generationen

VMs der 2. Generation booten über UEFI und unterstützen Secure Boot und vTPM. Secure Boot überprüft Bootloader anhand einer vertrauenswürdigen Datenbank (verwenden Sie die Windows- oder eine passende Linux-Vorlage). vTPM bringt die Semantik von TPM 2.0 in den Gast und ermöglicht BitLocker, die Bereitstellung von Windows Hello for Business und Szenarien mit abgeschirmten VMs (Shielded VMs). Wo ältere Gäste BIOS oder Legacy-Geräte benötigen, bleiben VMs der 1. Generation verfügbar, ihnen fehlen jedoch Secure Boot und vTPM.

Verschachtelte Virtualisierung (Nested Virtualization) ermöglicht Hyper-V innerhalb einer VM. Die Anforderungen umfassen eine kompatible CPU (Intel VT-x/EPT oder AMD-V/NPT), Windows Server 2016 oder neuer auf Host und Gast sowie eine VM, die mit Folgendem konfiguriert ist:

Statischer Arbeitsspeicher (Dynamischen Arbeitsspeicher deaktivieren).
Verfügbar gemachte Virtualisierungserweiterungen (Set‑VMProcessor -ExposeVirtualizationExtensions $true).
MAC-Adressen-Spoofing für Szenarien, in denen die inneren Hosts NAT oder Bridged Networking bereitstellen. Anwendungsfälle umfassen das Ausführen von Hyper-V-isolierten Containern, den Aufbau von Labor-Clustern, das Testen von Failover und CI-Pipelines, die Hypervisoren benötigen. Azure unterstützt verschachtelte Virtualisierung auf bestimmten VM-Serien; stellen Sie sicher, dass die Größenauswahl dem Bedarf an Virtualisierungserweiterungen entspricht.

← Windows Server Update- und Patch-Management · Alle Domänen · Notfallwiederherstellung und Geschäftskontinuität →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →