Microsoft AZ-104: Stockage Azure — Guide d'étude

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Fait partie du Microsoft Azure Administrator Associate AZ-104 — Guide d’étude. Entraînez-vous avec des réponses vérifiées dans le centre d’examens Microsoft, ou passez des tests chronométrés sur ExamRoll.io.

Azure Files et Azure File Sync

Azure Files fournit des partages de fichiers entièrement gérés avec l’élasticité native d’Azure et une disponibilité mondiale. Les partages SMB prennent en charge les fonctionnalités de SMB 3.x telles que le chiffrement en transit, la disponibilité continue sur les partages FileStorage premium dans certains scénarios, et le contrôle d’accès basé sur l’identité. Les partages NFS 4.1 sont disponibles uniquement sur les comptes FileStorage premium, optimisés pour les charges de travail UNIX/Linux ; ils utilisent les permissions POSIX et des stratégies d’exportation, avec un accès limité à des réseaux sélectionnés pour la sécurité.

L’authentification basée sur l’identité pour SMB offre plusieurs options :

• L’authentification Active Directory Domain Services (AD DS), utilisant un contrôleur de domaine hébergé sur site ou dans Azure IaaS, prenant en charge les ACL NTFS et Kerberos/NTLM.
• Azure AD Domain Services (Azure AD DS), fournissant un domaine géré sans avoir à gérer les VM de contrôleur de domaine.
• Azure AD Kerberos pour Azure Files, permettant une identité moderne et exclusivement cloud pour l’accès SMB depuis des clients Windows joints à Azure AD et Windows Server 2022, éliminant le besoin de contrôleurs de domaine traditionnels tout en préservant la sémantique Kerberos et ACL. S’intègre avec le RBAC et les permissions au niveau du partage pour aligner l’autorisation de stockage avec la gouvernance des identités.

Azure File Sync étend Azure Files aux serveurs Windows sur site, transformant votre partage de fichiers Azure en un hub pour la synchronisation multi-site avec un stockage cloud centralisé. Une ressource Storage Sync Service orchestre la réplication. Au sein de celle-ci, des groupes de synchronisation lient :

• Un point de terminaison cloud (cloud endpoint), qui référence un partage de fichiers Azure dans un compte de stockage.
• Un ou plusieurs points de terminaison de serveur (server endpoints), chacun mappant un chemin sur un volume de serveur Windows enregistré.

Après avoir installé l’agent Azure File Sync et enregistré le serveur, ajoutez le chemin du point de terminaison de serveur (par exemple, D:\Shares\Projects). La hiérarchisation cloud (cloud tiering) peut être activée pour maintenir l’espace de noms localement tout en créant des stubs pour les fichiers froids ; les stratégies incluent des objectifs d’espace disque libre sur le volume et une éviction basée sur la chaleur du dernier accès. Le rappel à la demande (on-demand recall) restaure le contenu des fichiers de manière transparente lors de l’accès. Les stratégies de remplissage initial (initial seed) et de rappel, l’intégration DFS-N pour les références, et les exclusions d’antivirus pour les répertoires système AFS sont des considérations opérationnelles essentielles. L’énumération des changements et la synchronisation basée sur le journal minimisent le taux de changement (churn) ; la limitation de bande passante (throttling) et le remplissage par transfert de données hors ligne peuvent protéger la bande passante lors de la réplication initiale.

Sécurité, réseau et accès contrôlé

Les signatures d’accès partagé (SAS) accordent un accès limité dans sa portée et sa durée sans exposer les clés du compte. Une SAS de service (Service SAS) cible une ressource spécifique (blob, conteneur, partage de fichiers, file d’attente, table) avec des permissions définies, des heures de début/expiration, des plages d’adresses IP autorisées, des protocoles et des noms d’objets préautorisés. Une SAS de compte (Account SAS) couvre plusieurs services et types de ressources au sein du compte mais ne peut pas être liée à une stratégie d’accès stockée ; elle doit être utilisée avec parcimonie en raison de sa portée plus large. La SAS de délégation d’utilisateur (User delegation SAS) est le modèle recommandé pour le service Blob lors de l’utilisation d’Azure AD ; elle est signée avec une clé de délégation d’utilisateur à courte durée de vie obtenue via Azure AD, produisant un jeton auditable et respectant le principe de moindre privilège. Les stratégies d’accès stockées (stored access policies) se rattachent à des conteneurs ou des partages et permettent la révocation centralisée et la mise à jour des permissions/durées pour plusieurs jetons SAS émis en modifiant ou en supprimant la stratégie.

L’autorisation Azure AD s’intègre avec Blob et Queue, ainsi qu’avec Azure Files via les modèles SMB basés sur AD décrits précédemment. Pour Blob et Queue, attribuez des rôles RBAC Azure tels que Lecteur des données Blob du stockage (Storage Blob Data Reader), Contributeur (Contributor) ou Propriétaire (Owner) au niveau du compte, du conteneur ou du groupe de ressources. L’accès applicatif doit privilégier les identités managées (managed identities) et OAuth plutôt que les clés de compte, réduisant ainsi le risque de distribution des clés et permettant l’accès conditionnel (conditional access) et Privileged Identity Management à grande échelle.

Le pare-feu de stockage applique des restrictions basées sur l’origine réseau lorsqu’il est configuré sur Réseaux sélectionnés (Selected networks) :

• Les règles de réseau virtuel (Virtual network rules) accordent l’accès à des sous-réseaux spécifiques sur lesquels les points de terminaison de service (service endpoints) Microsoft.Storage sont activés, ou utilisent des points de terminaison privés (private endpoints) pour un accès privé par ressource via une adresse IP privée dans votre VNet. Les points de terminaison de service sont plus simples à configurer et conservent les points de terminaison publics ; les points de terminaison privés offrent l’isolation et le contrôle de sortie les plus forts.
• Les règles de réseau IP (IP network rules) autorisent des adresses IPv4 publiques ou des plages CIDR pour les clients sur site ou sur Internet ; utilisez-les pour un accès administratif à portée très limitée.
• Les règles d’instance de ressource (Resource instance rules) permettent à des instances de services Azure de confiance (par exemple, un espace de travail Synapse ou une Logic App spécifique) d’atteindre le compte de stockage sans les exceptions larges de type « autoriser les services Microsoft de confiance », en spécifiant l’ID de la ressource et le type de service pris en charge, ce qui aide à maintenir le principe de moindre privilège.

Activez TLS 1.2+, exigez le transfert sécurisé, effectuez la rotation des clés de compte et auditez à l’aide de Storage Analytics et des paramètres de diagnostic d’Azure Monitor. Combinez les règles réseau avec le RBAC Azure AD et une bonne hygiène des SAS pour une posture de défense en profondeur.

← Équilibrage de charge Azure et Gestion du trafic · Tous les domaines · Azure App Service et Calcul PaaS →

Entraînez-vous sur ces questions → · Tests chronométrés sur ExamRoll.io →

Parcourir Microsoft →