ExamRoll
Deutsch
EnglishFrenchSpanishDeutschPortuguese (Brazil)ItalianDutchPolishRussianTurkishJapaneseKoreanChinese SimplifiedChinese TraditionalPortuguese (Portugal)CzechIndonesianSlovakThaiVietnameseSwedish
Bestehe deine Prüfung →

Microsoft AZ-900: Identität, Zugriff & Sicherheit — Lernleitfaden

By Laurynas Brazys · · #microsoft #az-900 #certification #exam-prep #study-guide

Teil des Microsoft Azure AZ-900 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Identität, Zugriff und Sicherheit in Azure konzentrieren sich auf Microsoft Entra ID für die Identitätsverwaltung, Azure RBAC und Privileged Identity Management für die Autorisierung sowie auf Plattformkontrollen, die Geheimnisse schützen und Workloads härten. Starke Authentifizierung und risikobasierte Richtlinien reduzieren die Übernahme von Konten, während die zentrale Speicherung von Geheimnissen und der Schutz am Netzwerkrand gängige Angriffspfade schließen. Kontinuierliches Posture-Management treibt dann die Behebung von Fehlkonfigurationen in großem Umfang voran. Ein kohäsives Design verbindet diese Elemente: autoritative Identitäten, die von on-premises synchronisiert oder in der Cloud verwaltet werden; durchsetzbare Zugriffsrichtlinien, die an das Geräte- und Sitzungsrisiko gekoppelt sind; Rollen mit den geringsten Rechten und Just-in-Time-Rechteerweiterung; von Anwendungscode isolierte Geheimnisse und Schlüssel; und mehrschichtige Verteidigungsmaßnahmen, die Anwendungsfirewalls, DDoS-Mitigation und bedrohungsgesteuerte Empfehlungen umfassen. Das Ergebnis ist eine verteidigungsfähige, auditierbare Umgebung, die auf geschäftliche und regulatorische Anforderungen abgestimmt ist.

Microsoft Entra ID: Benutzer, Gruppen und hybride Synchronisierung

Microsoft Entra ID ist der Cloud-Identitätsdienst für Benutzer, Geräte, Anwendungen und Dienstprinzipale. Benutzer können reine Cloud-Benutzer sein oder aus lokalen Verzeichnissen synchronisiert werden. Gruppen organisieren den Zugriff und unterstützen Sicherheitsgruppen sowie Microsoft 365-Gruppen. Die dynamische Gruppenmitgliedschaft vereinfacht den Lebenszyklus, indem Gruppen automatisch auf der Grundlage von Benutzer- oder Geräteattributen (z. B. alle Benutzer in der Abteilung = Finanzen) gefüllt werden. Dies ermöglicht eine saubere Festlegung des Geltungsbereichs für App-Zugriff und Richtlinien ohne manuelle Aktualisierungen. Hybride Organisationen verbinden ihr lokales Active Directory mit Microsoft Entra Connect. Die Kennworthash-Synchronisierung ist die einfachste und widerstandsfähigste Anmeldemethode. Sie bietet eine Cloud-Authentifizierung mit Hashes, die on-premises abgeleitet und nach einem Zeitplan synchronisiert werden. Die Pass-Through-Authentifizierung behält die Kennwortvalidierung über schlanke Agenten on-premises bei, wenn regulatorische oder richtlinienbedingte Einschränkungen dies erfordern, und kann für Intranet-Erlebnisse mit Seamless SSO gekoppelt werden. Für große oder verteilte Umgebungen bietet Microsoft Entra Cloud Sync einen schlanken, agentenbasierten Ansatz mit Unterstützung für mehrere Gesamtstrukturen und vereinfachtem Betrieb. Gruppenbasierte Lizenzierung, App-Zuweisungen und Rollenzuweisungen bauen auf diesen Grundelementen auf. Externe Benutzer können über mandantenübergreifenden Zugriff (B2B-Zusammenarbeit) eingeladen werden, wobei Conditional Access, Zugriffsüberprüfungen und Lebenszyklusrichtlinien angewendet werden, um das Risiko durch inaktive Gäste zu reduzieren. Anmelde-, Audit- und Bereitstellungsprotokolle sorgen für Nachverfolgbarkeit und können zur Aufbewahrung und Analyse in einen Log Analytics-Arbeitsbereich oder ein SIEM exportiert werden.

Authentifizierung und Risikokontrollen: MFA, Conditional Access, kennwortlos, SSPR, Identity Protection und Zugriffsüberprüfungen

Starke Authentifizierung beginnt mit der Multi-Faktor-Authentifizierung (MFA) und entwickelt sich hin zu Phishing-resistenten, kennwortlosen Methoden. Microsoft Authenticator, SMS/Sprachanruf, FIDO2-Sicherheitsschlüssel, Windows Hello for Business und zertifikatbasierte Authentifizierung decken ein Spektrum an Sicherheit und Benutzerfreundlichkeit ab. Conditional Access ist die Richtlinien-Engine, die Benutzer-, Geräte-, App-, Standort- und Sitzungsrisiken in Entscheidungen einbezieht, die den Zugriff gewähren, eine zusätzliche Prüfung erfordern oder ihn blockieren. Zu den Kernmustern gehören die Forderung nach MFA für alle interaktiven Benutzer, das Blockieren veralteter Protokolle, das Erzwingen konformer oder hybrid eingebundener Geräte für hochwertige Anwendungen und die Nutzung des Anmelderisikos, um eine Step-up-Authentifizierung auszulösen. Self-Service Password Reset (SSPR) reduziert die Auslastung des Helpdesks, indem es Benutzern ermöglicht, ihre Kennwörter mit konfigurierten Authentifizierungsmethoden zurückzusetzen oder zu ändern. In hybriden Umgebungen aktualisiert das Kennwortrückschreiben das lokale AD sicher. Die Kombination von SSPR und MFA bietet ein einheitliches Portal und eine zusammengeführte Registrierung, was das Onboarding und die Wiederherstellung von Benutzern optimiert. Richtlinien sollten sichere Methoden, eine Mindestanzahl von Methoden und Fristen für die Registrierung festlegen. Microsoft Entra ID Protection fügt eine maschinengestützte Erkennung von riskanten Benutzern und riskanten Anmeldungen hinzu. Risikorichtlinien können bei hohem Benutzerrisiko automatisch eine Kennwortänderung erfordern oder bei mittlerem und höherem Anmelderisiko MFA erzwingen, wodurch die Verweildauer kompromittierter Konten reduziert wird. Administratoren sichten Risikoerkennungen und bestätigen, verwerfen oder beheben Ereignisse, während die Integration mit Conditional Access das Risiko zu einem erstrangigen Steuerungselement macht. Zugriffsüberprüfungen ermöglichen eine periodische und automatisierte Rezertifizierung des Zugriffs von Benutzern, Gruppen, Apps und privilegierten Rollen – was für Gastkonten und Hochrisikogruppen entscheidend ist – und können Ergebnisse automatisch durchsetzen, wenn Prüfer nicht reagieren.

Autorisierung mit Azure RBAC und Privileged Identity Management (PIM)

Die rollenbasierte Zugriffssteuerung (RBAC) von Azure regelt, wer welche Aktionen für welche Ressourcen auf der Verwaltungsebene ausführen kann. Zuweisungen erfolgen auf einem Geltungsbereich – Verwaltungsgruppe, Abonnement, Ressourcengruppe oder Ressource – und werden nach unten vererbt. Integrierte Rollen wie Owner, Contributor, Reader und granularere Rollen wie Virtual Machine Contributor, Key Vault Administrator oder Storage Blob Data Reader bieten Optionen für das Prinzip der geringsten Rechte. Benutzerdefinierte Rollen verfeinern Berechtigungen weiter, indem sie spezifische Aktionen des Azure Resource Manager verwenden, wenn die integrierten Rollen zu grob sind. Ein effektives Autorisierungsdesign segmentiert Workloads in Ressourcengruppen, die an Anwendungsgrenzen ausgerichtet sind, weist standardmäßig die Rolle „Reader“ zu und erweitert die Beitragsrechte nur bei Bedarf. Gruppenbasierte Rollenzuweisung vereinfacht das Lebenszyklusmanagement, und Aktivitätsprotokolle in Kombination mit Azure Monitor-Warnungen ermöglichen die Überwachung von Änderungen an Rollenzuweisungen. Für Datenebenen-Szenarien (z. B. Storage-Blob-Daten oder Key Vault-Geheimnisse) verwenden Sie die entsprechenden Datenzugriffsrollen anstelle von groben Verwaltungsrollen. Privileged Identity Management (PIM) fügt eine Just-in-Time- und zeitlich begrenzte Erhöhung der Rechte für Azure RBAC-Rollen und Microsoft Entra-Verzeichnisrollen hinzu. Benutzer sind für eine Rolle „berechtigt“ (Eligible) und müssen sie aktivieren – mit MFA, Genehmigungen, Ticketnummern und Begründung –, bevor sie privilegierte Aufgaben ausführen. PIM erzwingt Start-/Endzeiten für Zuweisungen, begrenzt den ständigen Zugriff und zeichnet den Aktivierungsverlauf auf. Zugriffsüberprüfungen innerhalb von PIM stellen sicher, dass Berechtigungen und dauerhafte Zuweisungen nicht ausufern, und Warnungen kennzeichnen riskante Konfigurationen wie permanente „Global Administrator“- oder „Owner“-Rollen für Abonnements.

Geheimnisse, Schlüssel und Zertifikate mit Azure Key Vault

Azure Key Vault zentralisiert die Speicherung von Anwendungsgeheimnissen, Zertifikaten und kryptografischen Schlüsseln, um Anmeldeinformationen aus Code und Vorlagen zu entfernen. Geheimnisse wie Verbindungszeichenfolgen und API-Schlüssel werden über TLS mithilfe von Azure SDKs oder REST abgerufen, während Zertifikate den Import, die Generierung und die automatische Erneuerung über integrierte Zertifizierungsstellen unterstützen. Schlüssel ermöglichen die Verschlüsselung ruhender Daten (Encryption-at-Rest) und kryptografische Operationen, einschließlich Envelope Encryption für Anwendungsdaten und kundenseitig verwalteter Schlüssel (Customer-Managed Keys) für Dienste wie Azure Storage, SQL Database und Disk Encryption Sets. Der Zugriff auf Key Vault wird auf zwei Ebenen erzwungen. Die Verwaltungsebene (Management Plane) verwendet Azure RBAC, um zu steuern, wer den Vault konfigurieren kann. Die Datenebene (Data Plane) kann das moderne Azure RBAC für Key Vault oder ältere Zugriffsrichtlinien verwenden; bei neuen Bereitstellungen sollte Azure RBAC aus Gründen der Konsistenz und Überprüfbarkeit bevorzugt werden. Vorläufiges Löschen (Soft Delete) und Bereinigungsschutz (Purge Protection) sind standardmäßig aktiviert, um versehentlichen oder böswilligen Verlust zu verhindern, und private Endpunkte mit Firewall-Regeln schränken den Netzwerkzugriff ein. Verwaltete Identitäten (Managed Identities) für Azure-Ressourcen eliminieren eingebettete Anmeldeinformationen, indem sie Workloads identitätsbasierten Zugriff auf Geheimnisse gewähren. Für höhere Sicherheitsanforderungen bietet Azure Key Vault Managed HSM einzelmandantenfähige, nach FIPS 140-2 Level 3 validierte HSMs für Schlüsseloperationen mit dedizierter Kapazität und strikter Rollentrennung. Zur Betriebshygiene gehören versionierte Geheimnisse, Rotationsrichtlinien, die automatische Rotation von Zertifikaten und der Export von Diagnoseprotokollen in ein SIEM. Weisen Sie eng gefasste Rollen auf der Datenebene wie Key Vault Secrets User oder Key Vault Crypto Officer zu, um den Explosionsradius (Blast Radius) zu minimieren.

Sicherheitsstatus, Defender for Cloud, Secure Score, WAF und DDoS-Schutz

Microsoft Defender for Cloud bietet Cloud Security Posture Management (CSPM) und Workload-Schutz für Azure, Multicloud- und Hybrid-Umgebungen. Er bewertet kontinuierlich Ressourcen anhand von Sicherheitsstandards, erstellt einen Secure Score mit priorisierten Empfehlungen und nutzt Azure Policy für eine skalierbare Governance. Die Aktivierung von Defender-Plänen fügt Bedrohungserkennung und Schutz für Server, Container, Datenbanken, Speicher, Key Vault und PaaS-Dienste hinzu, einschließlich agentenbasiertem EDR auf Servern und Bedrohungserkennung für Kubernetes. Das Dashboard für die Einhaltung gesetzlicher Vorschriften (Regulatory Compliance) bildet Kontrollen auf Frameworks wie ISO 27001, NIST und CIS ab und beschleunigt so Audits. Am Netzwerk- und Anwendungsrand bietet Azure nativen DDoS-Schutz und eine Web Application Firewall (WAF). DDoS Protection wird pro virtuellem Netzwerk aktiviert, erstellt automatisch Profile des normalen Datenverkehrs und wehrt volumetrische und Protokollangriffe auf öffentliche IPs ab. Die IP Protection SKU ist kostengünstig für kleinere Umgebungen mit wenigen öffentlichen Endpunkten, während Network Protection (Standard) alle öffentlichen IPs in einem geschützten VNet abdeckt und Kostenschutz sowie Rapid Response Support beinhaltet. WAF arbeitet auf Layer 7 auf dem Azure Application Gateway (regional) oder Azure Front Door (global), mit verwalteten Regelsätzen, Anomaliebewertung (Anomaly Scoring), Bot-Schutz und benutzerdefinierten Regeln. Führen Sie die WAF im Präventionsmodus (Prevention Mode) aus, um aktiv zu blockieren, und kombinieren Sie sie mit privaten Ursprüngen und Zero-Trust-Zugriff für eine tiefgreifende Verteidigung (Defense in Depth). Kombinieren Sie diese Dienste für eine mehrschichtige Verteidigung: DDoS, um Flutangriffe abzufangen, WAF, um OWASP Top 10 und Missbrauchsmuster zu stoppen, NSGs und Azure Firewall, um den Ost-West- und Nord-Süd-Verkehr einzuschränken, und Defender for Cloud, um Konfigurationslücken zu schließen und Bedrohungen zu erkennen. Speisen Sie Diagnosedaten von WAF, DDoS und Ressourcenprotokollen in Log Analytics oder Microsoft Sentinel zur Korrelation und Reaktion ein.

Praxisproblem: Sicherer hybrider Rollout bei Contoso Retail mit risikobasiertem Zugriff und gestaffelter Verteidigung

Szenario: Contoso Retail betreibt 120 Filialen mit einer lokalen AD-Gesamtstruktur und führt eine neue Azure-basierte E-Commerce-Plattform ein. Mitarbeiter greifen von Firmengeräten auf interne Verwaltungsportale zu, während Lieferanten und Marketingagenturen Gastzugriff benötigen. Das Unternehmen muss die Anzahl der passwortbezogenen Helpdesk-Anrufe reduzieren, eine phishing-resistente Anmeldung für Administratoren durchsetzen, Anwendungsgeheimnisse schützen und saisonalen Lastspitzen sowie Angriffskampagnen standhalten – und das alles unter Aufrechterhaltung der Prüfungsnachweise für PCI-DSS-Kontrollen.

Herausforderung: Entwerfen Sie eine Identity-First-Sicherheitsarchitektur, die bestehende Identitäten beibehält, adaptiven Zugriff durchsetzt, Geheimnisse aus dem Code entfernt, dauerhafte Berechtigungen minimiert und Schutzmaßnahmen am Netzwerkrand für ein global erreichbares Web-Frontend implementiert.

Empfohlene Vorgehensweise:

  1. Stellen Sie Microsoft Entra Connect mit Kennworthashsynchronisierung und nahtlosem SSO (Seamless SSO) bereit. Konfigurieren Sie einen Staging-Server für Rollbacks und synchronisieren Sie ausgewählte OUs, um den Umfang zu begrenzen.
  2. Erstellen Sie dynamische Sicherheitsgruppen für Finanzen, Filialbetrieb und Administratoren basierend auf lokalen Attributen; nutzen Sie gruppenbasierte Anwendungszuweisungen und Lizenzierung.
  3. Aktivieren Sie den Bedingten Zugriff (Conditional Access): Fordern Sie MFA für alle Benutzer an, blockieren Sie die Legacy-Authentifizierung, fordern Sie konforme oder hybrid eingebundene Geräte für Verwaltungsportale an und erzwingen Sie eine risikobasierte MFA-Abfrage bei der Anmeldung. Blockieren Sie zudem den Zugriff aus Ländern, in denen Contoso keine Präsenz hat.
  4. Führen Sie die kennwortlose Anmeldung für privilegierte Benutzer mithilfe von FIDO2-Sicherheitsschlüsseln und Windows Hello for Business ein. Schreiben Sie den Zahlenabgleich für Authenticator-Push-Benachrichtigungen vor, bis die Umstellung auf kennwortlos vollständig ist.
  5. Aktivieren Sie SSPR mit Kennwortrückschreiben und fordern Sie zwei sichere Methoden für die Zurücksetzung an. Führen Sie die SSPR-Registrierung mit der MFA-Registrierung zusammen, um die Reibung für Benutzer zu reduzieren.
  6. Aktivieren Sie die Benutzerrisiko- und Anmelderisiko-Richtlinien von Microsoft Entra ID Protection, um bei hohem Benutzerrisiko automatisch Kennwortänderungen zu erzwingen und bei Anmeldungen mit mittlerem oder höherem Risiko eine zusätzliche Prüfung (Challenge) durchzuführen.
  7. Richten Sie Zugriffsüberprüfungen (Access Reviews) für Gastbenutzer in Gruppen mit Partnerzugriff und für alle für PIM geeigneten Rollen ein, mit automatischer Anwendung von Entfernungsentscheidungen bei ausbleibender Reaktion.
  8. Implementieren Sie Azure RBAC nach dem Prinzip der geringsten Rechte auf Ebene der Ressourcengruppe pro Anwendung; weisen Sie die Rollen über Gruppen zu. Verwenden Sie Aktivitätsprotokoll-Warnungen für Änderungen bei Rollenzuweisungen.
  9. Integrieren Sie Abonnements in PIM; konfigurieren Sie Zuweisungen für „Besitzer“ (Owner) und „Mitwirkender“ (Contributor) als „Geeignet“ (Eligible) mit Genehmigung, MFA und 4-stündigen Aktivierungszeitfenstern. Fordern Sie Ticketnummern und eine Begründung an.
  10. Stellen Sie Azure Key Vault mit privaten Endpunkten und Azure RBAC für den Zugriff auf die Datenebene bereit. Speichern Sie darin Anwendungsgeheimnisse und Zertifikate, aktivieren Sie Rotationsrichtlinien und gewähren Sie der systemseitig zugewiesenen verwalteten Identität der Web-App Lesezugriff auf die erforderlichen Geheimnisse.
  11. Schalten Sie der E-Commerce-Website eine Azure Front Door Standard-Instanz mit WAF im Präventionsmodus und einer WAF-Richtlinie vor, die den neuesten verwalteten Regelsatz und Geo-Filterung verwendet. Beschränken Sie den Zugriff auf den Ursprungsserver über private Endpunkte oder streng abgesicherte öffentliche IPs.
  12. Aktivieren Sie DDoS Network Protection auf dem Produktions-VNet, das die öffentlichen IPs für APIs und Gateways hostet. Konfigurieren Sie Diagnose und Warnungen.
  13. Aktivieren Sie die Pläne von Microsoft Defender for Cloud für Server, Container, App Service, SQL und Key Vault. Nutzen Sie die Verbesserungsaktionen des Secure Score, um fehlende MFA für Abonnements, öffentlichen Speicherzugriff und schwache TLS-Versionen auf dem App Gateway zu beheben.
  14. Streamen Sie Anmelde-, Audit-, WAF-, DDoS- und Defender-Warnungen von Entra in einen Log Analytics-Arbeitsbereich und an Microsoft Sentinel zur Erkennung und Reaktion. Erstellen Sie Playbooks, um bei einer bestätigten Kontokompromittierung Token zu deaktivieren und eine Kennwortzurücksetzung zu erzwingen.

Begründung für die Azure-Lösung: Dieses Design behält die Identitätsautorität lokal bei und ermöglicht gleichzeitig eine resiliente Cloud-Anmeldung durch Kennworthashsynchronisierung. Bedingter Zugriff und Identity Protection wandeln statische MFA in eine adaptive, risikogesteuerte Durchsetzung um, während die kennwortlose Anmeldung das Passwort-Phishing aus dem privilegierten Zugriffspfad entfernt. RBAC mit Gruppenzuweisungen und PIM eliminiert dauerhafte Administratorrechte und gewährleistet vollständige Überprüfbarkeit. Key Vault und verwaltete Identitäten entfernen Geheimnisse aus Code und Pipelines. Azure Front Door WAF und DDoS Protection etablieren eine mehrschichtige Verteidigung am Netzwerkrand für eine globale Präsenz. Defender for Cloud mit Secure Score fördert die kontinuierliche Härtung und Bedrohungserkennung über Compute- und Datendienste hinweg.

← Speicher · Alle Domänen · Kostenmanagement →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

Bestehe deine Prüfung →

Microsoft durchsuchen →

Related guides

All-in-One Zugang

Ein Abonnement. Jede Prüfung.

Jeder Plan schaltet unbegrenzte Antwortsuche, Übungstests, KI-Erklärungen und die vollständige Ressourcenbibliothek frei – in über 20 Sprachen.

Monatlich
€24.87
Just €0.83/day
Alles inklusive:
  • ✓Unbegrenzte Antwortsuche
  • ✓Unbegrenzte Übungstests
  • ✓KI-gestützte Erklärungen
  • ✓Vollständige Ressourcenbibliothek
  • ✓Über 20 Sprachen
  • ✓Wöchentliche Inhaltsaktualisierungen
  • ✓Belohnungen & Empfehlungen
  • ✓Priorisierter Support
Kostenlose Testphase starten

Keine Kreditkarte erforderlich*

Am beliebtesten
6 Monate
€119.87
Just €0.66/daySave 20%
Alles inklusive:
  • ✓Unbegrenzte Antwortsuche
  • ✓Unbegrenzte Übungstests
  • ✓KI-gestützte Erklärungen
  • ✓Vollständige Ressourcenbibliothek
  • ✓Über 20 Sprachen
  • ✓Wöchentliche Inhaltsaktualisierungen
  • ✓Belohnungen & Empfehlungen
  • ✓Priorisierter Support
Kostenlose Testphase starten

Keine Kreditkarte erforderlich*

Bestes Preis-Leistungs-Verhältnis
12 Monate
€179.87
Just €0.49/daySave 40%
Alles inklusive:
  • ✓Unbegrenzte Antwortsuche
  • ✓Unbegrenzte Übungstests
  • ✓KI-gestützte Erklärungen
  • ✓Vollständige Ressourcenbibliothek
  • ✓Über 20 Sprachen
  • ✓Wöchentliche Inhaltsaktualisierungen
  • ✓Belohnungen & Empfehlungen
  • ✓Priorisierter Support
Kostenlose Testphase starten

Keine Kreditkarte erforderlich*

✓ Kostenloser Plan enthalten · ✓ Jederzeit kündbar · ✓ Alle Pläne schalten das vollständige Produkt frei