Microsoft AZ-104: Azure Storage — Studiegids

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Administrator Associate AZ-104 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Azure Storage vormt de basis voor datadiensten in heel Azure en biedt duurzame, hoog beschikbare object- en bestandsopslag met granulaire beveiliging en flexibele netwerkmogelijkheden. Om dit te beheersen, is inzicht vereist in accounttypes en redundantie, de levenscyclus en bescherming van data voor blobs, keuzes voor file shares en synchronisatie, sterke authenticatie en gecontroleerde netwerktoegang, en operationele tools voor bulkoverdracht en beheer.

Storage accounttypes en duurzaamheid

General-purpose v2 (GPv2) accounts zijn de standaard en aanbevolen keuze voor de meeste scenario’s. Ze ondersteunen blobs (inclusief de hiërarchische naamruimte van Data Lake Storage Gen2 wanneer ingeschakeld), files, queues en tables, verdeeld over standard HDD-gebaseerde en premium SSD-gebaseerde prestatieniveaus (premium voor block blob, page blob of file shares, afhankelijk van het subtype). BlobStorage accounts zijn verouderde, blob-only accounts met beperkte functies; ze bestaan voornamelijk voor achterwaartse compatibiliteit. FileStorage accounts zijn premium accounts gespecialiseerd voor Azure Files, die voorspelbare IOPS en doorvoer met lage latentie leveren, en zowel SMB als NFS 4.1 ondersteunen.

Redundantiekeuzes balanceren duurzaamheid, beschikbaarheid en kosten:

LRS slaat drie synchrone kopieën op in één datacenter, geschikt voor veerkracht binnen één zone, maar niet voor zone- of regionale storingen.
ZRS slaat drie synchrone kopieën op verspreid over verschillende availability zones binnen een regio, wat bescherming biedt tegen een zonale storing met behoud van lees- en schrijfbeschikbaarheid.
GRS slaat drie synchrone kopieën lokaal op (LRS) plus drie asynchrone kopieën naar een gekoppelde secundaire regio. De secundaire regio is niet-leesbaar tot een failover.
RA-GRS is GRS met leestoegang tot het secundaire eindpunt, waardoor workloads die voornamelijk lezen kunnen doorgaan tijdens een storing in de primaire regio. Dit is de juiste optie wanneer data te allen tijde leesbaar moet zijn vanuit de secundaire regio.
GZRS combineert ZRS in de primaire regio met asynchrone replicatie naar een secundaire regio (LRS). Het biedt zowel zonale fouttolerantie als regionaal herstel na noodgevallen (disaster recovery).
RA-GZRS voegt leestoegang tot de secundaire regio toe voor GZRS.

Kies RA-GRS of RA-GZRS wanneer cross-region reads vereist zijn, GRS/GZRS voor cross-region DR zonder leestoegang, ZRS voor veerkracht op zoneniveau met de laagste schrijflatentie, en LRS voor kostengeoptimaliseerde duurzaamheid zonder zone-/regiodekking.

Blob databeheer, tiers en bescherming

Blob access tiers optimaliseren de kosten door de opslagprijzen af te stemmen op toegangspatronen. Hot tier biedt de laagste toegangs- en transactielatentie per GB, aanbevolen voor frequent benaderde data. Cool tier verlaagt de opslagkosten met hogere toegangs- en ’early deletion’-kosten; gebruik dit voor data die niet vaak wordt gelezen (horizon van minstens 30 dagen). Archive tier is offline en heeft de laagste kosten per GB, met een rehydratielatentie van uren en minimale retentiekosten; het is het meest geschikt voor compliance of langetermijnback-ups. Tiers kunnen per blob worden ingesteld; een standaard access tier kan op account- of containerniveau worden toegepast voor nieuwe objecten.

Lifecycle management-beleidsregels automatiseren tiering en retentie. Regels worden dagelijks geëvalueerd en kunnen filteren op prefix, blob-type, laatste wijzigingstijd en blob-indextags. Acties omvatten het verplaatsen van hot naar cool, van cool naar archive, rehydrate (onder beperkte voorwaarden), en het verwijderen van basis-blobs, snapshots of versies na een bepaalde leeftijd. Beleidsregels gebaseerd op de laatste toegangstijd kunnen de overgangen verder verfijnen. Goed ontworpen regels zetten de kosten van handmatig toezicht om in beleidsgestuurd beheer, terwijl de retentieperioden voor compliance worden gegarandeerd.

Functies voor databescherming moeten bewust worden ingeschakeld:

Blob soft delete bewaart verwijderde of overschreven blobs gedurende een retentieperiode, waardoor herstel mogelijk is zonder een back-up terug te zetten. Het is van toepassing op basis-blobs en kan worden uitgebreid naar snapshots en versies.
Versioning bewaart een alleen-lezen versie bij elke overschrijving of verwijdering, wat point-in-time recovery per object mogelijk maakt en applicatieveilige concurrency biedt.
Container soft delete beschermt containers tegen onbedoelde verwijdering door ze gedurende een geconfigureerde periode te bewaren, waardoor de container en de inhoud ervan kunnen worden hersteld.
Point-in-time restore voor containers maakt het mogelijk om een of meer containers te herstellen naar een eerder tijdstip binnen een retentieperiode. Dit vereist blob versioning en de change feed, en is met name waardevol voor het herstellen van grootschalige logische corruptie, waarbij de status wordt gereconstrueerd naar een consistent punt over vele objecten.

Snapshots voor block blobs bieden extra ad-hoc herstelpunten, maar worden in de meeste operationele ontwerpen vervangen door versioning. Zorg ervoor dat lifecycle-beleid en vereisten voor legal hold/onveranderlijkheid niet met elkaar in conflict komen, vooral bij het combineren van archive tiering en WORM-retentie.

Azure Files en Azure File Sync

Azure Files biedt volledig beheerde file shares met Azure-native elasticiteit en wereldwijde beschikbaarheid. SMB-shares ondersteunen SMB 3.x-functies zoals versleuteling ‘in transit’, continue beschikbaarheid op premium FileStorage-shares in bepaalde scenario’s, en op identiteit gebaseerde toegangscontrole. NFS 4.1-shares zijn alleen beschikbaar op premium FileStorage-accounts, geoptimaliseerd voor UNIX/Linux-workloads; ze gebruiken POSIX-permissies en exportbeleid, waarbij de toegang voor beveiliging beperkt is tot geselecteerde netwerken.

Op identiteit gebaseerde authenticatie voor SMB biedt meerdere opties:

Authenticatie via Active Directory Domain Services (AD DS), met een domeincontroller die on-premises of in Azure IaaS wordt gehost, en die NTFS ACL’s en Kerberos/NTLM ondersteunt.
Azure AD Domain Services (Azure AD DS), dat een beheerd domein levert zonder dat u domeincontroller-VM’s hoeft te beheren.
Azure AD Kerberos for Azure Files, dat een moderne, cloud-only identiteit mogelijk maakt voor SMB-toegang vanaf Windows-clients en Windows Server 2022 die aan Azure AD zijn gekoppeld. Dit elimineert de noodzaak voor traditionele domeincontrollers, terwijl de semantiek van Kerberos en ACL’s behouden blijft. Integreer met RBAC en permissies op share-niveau om opslagautorisatie af te stemmen op identity governance.

Azure File Sync breidt Azure Files uit naar on-premises Windows Servers, en transformeert uw Azure file share in een hub voor multi-site synchronisatie met gecentraliseerde cloudopslag. Een Storage Sync Service-resource orkestreert de replicatie. Daarbinnen binden synchronisatiegroepen (sync groups):

Een cloud-eindpunt, dat verwijst naar een Azure file share in een storage-account.
Eén of meer server-eindpunten, die elk een pad op een geregistreerd Windows Server-volume mappen.

Nadat u de Azure File Sync-agent hebt geïnstalleerd en de server hebt geregistreerd, voegt u het pad van het server-eindpunt toe (bijvoorbeeld D:\Shares\Projects). Cloud-tiering kan worden ingeschakeld om de namespace lokaal te behouden terwijl ‘koude’ bestanden worden gestubd; beleidsregels omvatten doelen voor vrije schijfruimte op het volume en verwijdering op basis van de ‘heat’ van de laatste toegang. On-demand recall herstelt de bestandsinhoud transparant bij toegang. Initiële ‘seed’- en ‘recall’-strategieën, DFS-N-integratie voor verwijzingen (referrals), en antivirus-uitsluitingen voor de AFS-systeemmappen zijn kernoverwegingen voor de operatie. Veranderingsenumeratie en op journalen gebaseerde synchronisatie minimaliseren ‘churn’; throttling en offline datatransfer-seeding kunnen de bandbreedte beschermen tijdens de initiële replicatie.

Beveiliging, netwerken en gecontroleerde toegang

Shared access signatures (SAS) verlenen beperkte, tijdgebonden toegang zonder de account keys bloot te geven. Een Service SAS richt zich op een specifieke resource (blob, container, file share, queue, table) met gedefinieerde permissies, start-/vervaltijden, toegestane IP-bereiken, protocollen en vooraf geautoriseerde objectnamen. Een Account SAS omvat meerdere services en resourcetypes binnen het account, maar kan niet worden gekoppeld aan een opgeslagen toegangsbeleid (stored access policy); het moet spaarzaam worden gebruikt vanwege de bredere scope. Een User delegation SAS is het aanbevolen patroon voor de Blob-service bij gebruik van Azure AD; deze wordt ondertekend met een kortlevende ‘user delegation key’ die via Azure AD wordt verkregen, wat resulteert in een auditeerbaar, least-privilege token. Opgeslagen toegangsbeleid (stored access policies) wordt gekoppeld aan containers of shares en maakt centrale intrekking en updates van permissies/tijd mogelijk voor meerdere uitgegeven SAS-tokens door het beleid te wijzigen of te verwijderen.

Azure AD-autorisatie integreert met Blob en Queue, en met Azure Files via de eerder beschreven op AD gebaseerde SMB-modellen. Wijs voor Blob en Queue Azure RBAC-rollen toe zoals Storage Blob Data Reader, Contributor of Owner op het niveau van het account, de container of de resourcegroep. Voor applicatietoegang hebben managed identities en OAuth de voorkeur boven account keys, wat het risico van sleuteldistributie vermindert en conditional access en Privileged Identity Management op schaal mogelijk maakt.

De storage firewall dwingt beperkingen op basis van netwerkoorsprong af wanneer deze is ingesteld op ‘Selected networks’:

Virtual network rules verlenen toegang aan specifieke subnets waarop Microsoft.Storage service-eindpunten zijn ingeschakeld, of gebruiken private endpoints voor private toegang per resource via een privaat IP-adres in uw VNet. Service-eindpunten zijn eenvoudiger te configureren en behouden de publieke eindpunten; private endpoints bieden de sterkste isolatie en egress-controle.
IP network rules staan publieke IPv4-adressen of CIDR-bereiken toe voor on-premises of internetclients; gebruik dit voor strak afgebakende administratieve toegang.
Resource instance rules staan vertrouwde Azure-service-instanties (bijvoorbeeld een Synapse-werkruimte of een specifieke Logic App) toe om het storage-account te bereiken zonder de brede ‘allow trusted Microsoft services’-uitzonderingen, door de resource-ID en het ondersteunde servicetype te specificeren, wat helpt om het ’least privilege’-principe te handhaven.

Schakel TLS 1.2+ in, vereis beveiligde overdracht (secure transfer), roteer account keys en voer audits uit met behulp van Storage Analytics en diagnostische instellingen van Azure Monitor. Combineer netwerkregels met Azure AD RBAC en een goede SAS-hygiëne voor een ‘defense-in-depth’-houding.

Gegevensverplaatsing en tooling

De Azure Import/Export-service versnelt de bulkverplaatsing van gegevens met behulp van versleutelde schijven. Voor import bereidt u 2,5”/3,5” SATA HDD/SSD-schijven voor, versleutelt u ze met BitLocker en gebruikt u de Azure Import/Export-tool om gegevens te schrijven en een schijfmanifest en journaalbestanden te genereren. Maak een importtaak aan in de portal, upload de lijst met schijven en contactgegevens, druk verzendlabels af en verzend via de ondersteunde vervoerder naar het opgegeven adres van het Microsoft-datacenter. Volg de voortgang en upload de journaalbestanden zodat Azure het kopiëren kan hervatten als het wordt onderbroken. Voor export specificeert u de containers of blobs, maakt u de taak aan, schrijft Microsoft de gegevens naar met BitLocker versleutelde schijven en stuurt deze terug; u gebruikt de sleutels die in de taak worden verstrekt om ze te ontgrendelen. Valideer altijd de beschikbaarheid van de regio, de limieten voor het aantal en de grootte van de schijven, en de bewaartermijnen voor niet-opgeëiste zendingen.

AzCopy is de command-line utility voor overdrachten met hoge prestaties. Authenticeer met Azure AD (interactief of via een service principal) voor Blob en Azure Files, of voeg SAS-tokens toe aan de bron-/doel-URL’s, of gebruik accountsleutels (omgevingsvariabelen of het login-commando waar ondersteund). De kernoperaties omvatten ‘copy’ voor eenmalige overdrachten en ‘sync’ voor directionele mirroring, waarbij bron en doel worden vergeleken en de delta’s worden overgedragen. Typische patronen zijn onder meer lokaal-naar-blob, blob-naar-blob (inclusief service-side kopieeracties binnen en tussen accounts) en share-naar-share. Gebruik recursieve overdrachten, include/exclude-patronen, concurrency-tuning en checksumvalidatie. Voor archiveringsworkflows stelt u de tier van de doel-blob in tijdens het uploaden. Begrijp bij het synchroniseren dat verwijderingen op de bestemming met ‘sync’ kunnen worden ingeschakeld of onderdrukt; kies de modus op basis van de semantiek van back-up versus distributie.

Azure Storage Explorer biedt een GUI voor multi-tenant, multi-cloud beheer. Maak verbinding via Azure AD-aanmelding, accountnaam/sleutel of SAS-URI’s. Beheer containers en shares door mappen aan te maken, te uploaden en downloaden, metadata te bewerken, object-tiers in te stellen, snapshots en versies te bekijken en verwijderde items te herstellen wanneer soft delete is ingeschakeld. Genereer SAS-tokens met precieze machtigingen, IP-bereiken en start-/verloopdatums, en deel ze met ontwikkelaars of partners onder ‘stored access policies’ waar van toepassing. Storage Explorer integreert naadloos met AzCopy voor operaties met hoge doorvoersnelheid, terwijl de voortgang en nieuwe pogingen zichtbaar worden gemaakt.

Praktijkscenario

Starbucks moet de bestandsservers van filialen consolideren in Azure, zorgen voor cross-region disaster recovery, beschermen tegen onbedoelde verwijderingen en 100 TB aan historische media-assets migreren binnen een strakke deadline zonder de WAN-verbindingen te overbelasten.

Kies accountarchitectuur en redundantie

Maak een premium FileStorage-account aan in de primaire regio voor SMB- en NFS-shares met lage latentie, en een GPv2-account voor op blobs gebaseerde media-archieven. Configureer RA-GZRS op het GPv2-account zodat media-assets leesbaar zijn vanuit de secundaire regio tijdens regionale incidenten, en ZRS op FileStorage voor zonale veerkracht en consistente schrijfbeschikbaarheid. Deze combinatie levert premium prestaties voor bestandsshares en DR voor blobs met leestoegang.

Beveilig toegang en netwerken

Schakel ‘Selected networks’ in op beide accounts. Voor toegang van filialen tot SMB-shares, maak private endpoints per share aan in een Hub VNet en stel deze via Azure VPN/ExpressRoute beschikbaar voor de filialen. Voeg ‘resource instance rules’ toe voor een Synapse-workspace die analyses uitvoert op media in blobs, waardoor de toegang van die service wordt beperkt tot alleen dit storage-account. Dit ontwerp isoleert de opslag van het openbare internet en handhaaft het ’least-privilege’-principe voor PaaS-analyses.

Op identiteit gebaseerde autorisatie

Schakel Azure AD Kerberos in voor Azure Files zodat Windows-clients die aan Azure AD zijn gekoppeld, toegang krijgen tot SMB-shares met bedrijfsidentiteiten, en configureer NTFS ACL’s voor op rollen gebaseerde toegang. Voor blob-toegang door applicaties, wijs managed identities de rol Storage Blob Data Contributor toe op containerniveau en gebruik ‘user delegation SAS’ voor kortstondige, gedelegeerde operaties. Dit vermindert de blootstelling van sleutels en centraliseert de autorisatie.

Gegevensbescherming en levenscyclus

Schakel blob-versiebeheer, blob soft delete, container soft delete en de change feed in. Configureer point-in-time restore voor containers met een retentieperiode van 14 dagen. Voeg levenscyclusregels toe om blobs die 30 dagen niet zijn benaderd te verplaatsen naar Cool en na 180 dagen naar Archive, met uitzondering van bestanden met de tag legalHold=true. Deze instellingen beschermen tegen logische verwijdering en verlagen de opslagkosten na verloop van tijd.

Bulkmigratie

Maak Azure Import-taken aan voor 100 TB aan media. Versleutel SATA SSD’s met BitLocker, bereid de schijven voor met de Import/Export-tool om manifesten en journaalbestanden te genereren, verzend via de goedgekeurde vervoerder naar het opgegeven datacenteradres en monitor de taakstatus in de portal. Dit voorkomt overbelasting van de WAN-verbinding en voltooit de initiële data-seeding snel.

Doorlopende synchronisatie en consolidatie van filialen

Implementeer Azure File Sync op elke resterende Windows Server in de filialen. Registreer servers bij een Storage Sync Service, maak een synchronisatiegroep aan waarbij het cloud-eindpunt naar de premium SMB-share verwijst, en voeg server-eindpunten toe voor elk filiaalpad. Schakel cloud tiering in met een doel van 20% vrije ruimte om ‘hot’ bestanden lokaal te houden en ‘cold’ bestanden als stubs. Dit biedt snelle lokale toegang met centralisatie op cloudschaal.

Operaties en tooling

Gebruik AzCopy met Azure AD-authenticatie voor incrementele uploads van contentcreatiesystemen naar een ‘ingestion’-container in de hot-tier, en vertrouw vervolgens op levenscyclusregels voor tier-overgangen. Beheerders gebruiken Azure Storage Explorer om containers te beheren, verwijderde items te herstellen, SAS te genereren voor partners met expliciete IP-restricties en korte verlooptermijnen, en blob-tiers aan te passen om de toegang tot gearchiveerde items te versnellen. Deze combinatie stroomlijnt de dagelijkse operaties met behoud van beveiliging en auditeerbaarheid.

Elke servicekeuze sluit aan bij de vereisten: premium FileStorage voor SMB/NFS met lage latentie, GPv2 met RA-GZRS voor blob DR en kosten-tiers, private endpoints en ‘resource instance rules’ voor strikte netwerkcontrole, op Azure AD gebaseerde authenticatie voor ’least privilege’, Import/Export voor snelle initiële data-seeding, Azure File Sync met cloud tiering voor de consolidatie van filialen, en AzCopy/Storage Explorer voor efficiënte, beheerde operaties.

← Azure Load Balancing en Verkeersbeheer · Alle domeinen · Azure App Service en PaaS Compute →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →