Microsoft AZ-204: Azure Storage en Blob Storage — Studiegids

By Laurynas Brazys · 5 August 2026 · #microsoft #az-204 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Developer Associate AZ-204 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Azure Storage biedt duurzame, zeer schaalbare cloudopslag voor ongestructureerde en gestructureerde data. Voor applicatieontwikkeling ligt de focus op het selecteren van het juiste type opslagaccount, het configureren van redundantie om RTO/RPO-doelstellingen te halen, het kiezen van het juiste blob-type en toegangsniveau voor kosten/prestaties, en het beveiligen van de toegang met Azure AD en SAS. Gebruik levenscyclusbeleid om dataverplaatsing tussen niveaus te automatiseren, bied statische websites waar nodig rechtstreeks vanuit Blob storage aan, en pas Azure Files en Queue Storage toe waar bestandssemantiek of op berichten gebaseerde ontkoppeling vereist is.

Typen opslagaccounts en de basis van redundantie

General-purpose v2 (GPv2) is het standaard accounttype voor de meeste workloads. Het ondersteunt blobs, files, queues en tables, alle toegangsniveaus, levenscyclusbeheer en de nieuwste functies. Oudere BlobStorage-accounts bieden alleen de Blob-service en tiering, maar missen de brede reeks functies en kostenoptimalisaties die in GPv2 te vinden zijn; nieuwe implementaties moeten de voorkeur geven aan GPv2. FileStorage-accounts zijn premium, op SSD gebaseerde accounts die speciaal zijn bedoeld voor Azure Files en leveren consistente, lage latentie IOPS en doorvoer voor enterprise-bestandsworkloads (bijv. profielshares, line-of-business-apps). Kies FileStorage wanneer u premium prestaties nodig heeft voor SMB/NFS-shares; anders is GPv2 de standaardkeuze.

Redundantiekeuzes bepalen de duurzaamheid en beschikbaarheid van data over verschillende storingsdomeinen:

LRS (Locally Redundant Storage) slaat synchroon drie kopieën op binnen één datacenter. Laagste kosten, geen bescherming tegen zone- of regionale uitval. Gebruik voor dev/test, kortstondige workloads, of wanneer u replicatie op een hogere laag heeft.
ZRS (Zone-Redundant Storage) repliceert synchroon over availability zones in een regio, wat bescherming biedt tegen een zone-uitval met hoge beschikbaarheid en geen RPO. Kies dit voor productie in zonale regio’s die intraregionale veerkracht vereisen.
GRS (Geo-Redundant Storage) slaat drie synchrone kopieën op in de primaire regio (zoals LRS) en repliceert asynchroon naar een secundaire gekoppelde regio (LRS daar). De RPO is doorgaans minder dan 15 minuten; de secundaire regio is standaard niet leesbaar. Selecteer dit voor disaster recovery wanneer u geen leestoegang nodig heeft.
RA-GRS (Read-Access Geo-Redundant Storage) voegt leestoegang tot de secundaire regio toe via -secondary-eindpunten. Gebruik dit wanneer u cross-regionale tolerantie voor calamiteiten en workloads die voornamelijk lezen tijdens incidenten in de primaire regio nodig heeft, of voor leesbewerkingen op basis van geografische nabijheid waar eventual consistency acceptabel is.

Wanneer u zowel bescherming tegen zone-uitval als cross-regionale DR nodig heeft, overweeg dan om ZRS lokaal te combineren met een extra geo-gerepliceerd accountpatroon op oplossingsniveau. Plan het testen van account-failover, begrijp de wisselingen van DNS-eindpunten en valideer het herhalingsbeleid van applicaties om om te gaan met eventual consistency en klokverschil tijdens geo-gebeurtenissen.

Blob-datamodel, -niveaus en levenscyclusbeheer

Blobs zijn er in drie types met verschillende semantiek. Block blobs zijn geoptimaliseerd voor het streamen en willekeurig lezen van grote objecten zoals afbeeldingen, video’s en back-ups. Uploads worden opgedeeld in blokken en gecommit, wat parallelle uploads en efficiënte herpogingen mogelijk maakt. Append blobs zijn geoptimaliseerd voor append-only workloads zoals telemetrie en het vastleggen van logs; alleen append-operaties zijn toegestaan, wat concurrency vereenvoudigt. Page blobs stellen op 512-byte uitgelijnde pagina’s beschikbaar voor willekeurige lees/schrijf I/O en vormen de basis voor Azure virtual hard disks (VHD’s) die door Azure VM-schijven worden gebruikt; ze zijn het enige ondersteunde blob-type voor IaaS-schijven en grote willekeurige I/O-workloads.

Blob-toegangsniveaus (access tiers) bepalen de kosten en prestaties. Hot is geoptimaliseerd voor frequente toegang met de laagste lees/schrijf-latentie en de hoogste opslagkosten. Cool is gericht op data die niet frequent wordt benaderd en minimaal 30 dagen wordt bewaard, met lagere opslagkosten maar hogere transactie-/leeskosten en kosten voor minimale bewaartermijn. Archive is het goedkoopste niveau voor langetermijnbewaring; objecten zijn offline en moeten worden ‘gerehydrateerd’ naar hot of cool voordat ze gelezen kunnen worden. Rehydratatie kan worden aangevraagd met standaard of hoge prioriteit, waarbij kosten worden afgewogen tegen snelheid. U kunt een standaard toegangsniveau instellen op accountniveau (hot of cool) en dit per blob overschrijven; archive is alleen per blob in te stellen.

Levenscyclusbeheerbeleid (Lifecycle management policies) automatiseert dataverplaatsing en -retentie om kosten te beheersen en te voldoen aan governance. Definieer op accountniveau regels die:

Blobs of blob-versies/snapshots verplaatsen naar cool of archive na N dagen sinds de laatste wijziging
Blobs, snapshots of versies verwijderen na het bereiken van een bepaalde leeftijd
Filteren op container-prefix en op blob-indextags om specifieke datasets te targeten (bijvoorbeeld, tag env=prod en policy=retention-7y) Combineer levenscyclusregels met versiebeheer en soft delete om te beschermen tegen onbedoelde verwijderingen, terwijl retentie toch wordt afgedwongen. Onthoud dat archive een minimale bewaartermijn en kosten voor vroegtijdige verwijdering heeft; ontwerp beleid om onnodige rehydrataties te minimaliseren.

Voor het volgen van wijzigingen en downstream verwerking, activeer de change feed van het opslagaccount om een geordend, onveranderlijk logboek van blob create-, update-, delete- en copy-operaties te consumeren. Dit ondersteunt compliance en asynchrone processors die exactly-once of at-least-once semantiek met checkpointing vereisen.

Hosting van statische websites in Blob storage stelt een speciale $web-container beschikbaar die wordt aangeboden via een specifiek web-eindpunt. Configureer index- en foutdocumenten en publiceer statische assets rechtstreeks. Het eindpunt voor de statische website biedt anonieme leestoegang tot de site-inhoud, onafhankelijk van de instelling voor openbare toegang tot de blob; toegang via het blob-eindpunt kan uitgeschakeld blijven. Voor aangepaste domeinen en wereldwijde acceleratie, plaats Azure Front Door of Azure CDN voor het eindpunt. Private endpoints worden niet ondersteund voor het eindpunt van de statische website; gebruik een edge-service om de levering te beveiligen en te versnellen waar privétoegang vereist is.

Beveiliging, identiteit en gecontroleerde datatoegang

Azure Storage versleutelt data at rest standaard met 256-bit AES met door Microsoft beheerde sleutels. Voor striktere controle, schakel customer-managed keys (CMK) in die zijn opgeslagen in Azure Key Vault of Managed HSM om sleutelrotatie en scheiding van taken (separation of duties) te beheren; geef de managed identity van het storage-account wrap/unwrap-permissies. Voor streng gereguleerde workloads, schakel infrastructuurversleuteling (infrastructure encryption) in om een tweede, onafhankelijke versleutelingslaag toe te passen. Combineer server-side encryptie met client-side encryptie als end-to-end cryptografische controle vereist is.

Azure AD-autorisatie integreert de data plane met RBAC voor Blob- en Queue-services en voor de Files REST API. Wijs rollen met de minste privileges (least-privilege) toe, zoals Storage Blob Data Reader of Storage Blob Data Contributor, aan managed identities, gebruikers of groepen. Gebruik in code DefaultAzureCredential om OAuth 2.0-tokens te verkrijgen en vermijd het insluiten van sleutels. Voor SMB-toegang tot Azure Files, schakel identiteitsgebaseerde authenticatie in met Active Directory: koppel het storage-account aan on-premises AD DS (via Azure AD Kerberos voor hybride identiteiten) of Azure AD DS, en gebruik NTFS ACL’s en RBAC (bijv. Storage File Data SMB Share Contributor) voor autorisatie op share-niveau. Zorg voor SMB 3.x met versleuteling ‘over the wire’ en overweeg Private Endpoints, VPN of ExpressRoute om netwerken te doorkruisen die poort 445 blokkeren.

Shared Access Signatures (SAS) delegeren afgebakende, tijdgebonden toegang zonder de accountsleutels bloot te stellen. Een Service SAS verleent toegang tot een specifieke service en resource (bijv. een enkele blob of container) met precieze permissies en start-/vervaltijden. Een Account SAS werkt op accountniveau en omvat meerdere services (blobs, files, queues, tables) en service-API’s zoals list of create. Een User delegation SAS is specifiek voor Blob storage en wordt ondertekend met een user delegation key die via Azure AD wordt verkregen voor een principal met de juiste RBAC; dit elimineert de afhankelijkheid van sleutels en centraliseert toegangscontrole in Azure AD. Pas beperkingen toe, zoals IP-bereiken, toegestane protocollen (alleen HTTPS) en korte levensduren. Stored access policies centraliseren SAS-beperkingen en maken intrekking mogelijk door het beleid bij te werken of te verwijderen; ze zijn van toepassing op service SAS en account SAS. User delegation SAS gebruikt geen stored access policies; intrekking gebeurt door de user delegation key te laten verlopen of door Azure AD-roltoewijzingen te verwijderen. Geef altijd de voorkeur aan SAS boven accountsleutels, en geef de voorkeur aan user delegation SAS wanneer uw app Azure AD-tokens kan verkrijgen.

Essentiële zaken over Azure Files en Queue Storage

Azure Files biedt volledig beheerde SMB-shares en een NFS-optie voor POSIX-scenario’s. Gebruik SMB-shares voor lift-and-shift-migraties en applicatiecompatibiliteit. Premium FileStorage-accounts leveren voorspelbare prestaties met lage latentie, terwijl standaard shares economisch zijn voor algemene bestandsgegevens. Beheer shares en bestanden via SMB-clients of de REST API/SDK’s. Azure File Sync maakt hybride bestandsservices mogelijk door een cloud-share te cachen op Windows Server, wat zorgt voor lokale prestaties en het tiering van koude data naar de cloud, synchronisatie tussen meerdere sites, en back-up/offsite DR zonder traditionele NAS-vernieuwingscycli. Combineer op Azure AD gebaseerde identiteit met NTFS ACL’s om het ’least privilege’-principe af te dwingen, en gebruik Private Endpoints om het risico op data-exfiltratie te beperken.

Azure Queue Storage maakt ontkoppelde, veerkrachtige applicatieworkflows mogelijk. Elk bericht kan maximaal 64 KB groot zijn (grotere payloads moeten verwijzen naar blob-URI’s). De time-to-live (TTL) van berichten bepaalt de automatische vervaldatum; specificeer een positieve waarde van seconden tot zeven dagen, of -1 voor geen vervaldatum. Wanneer een worker een bericht ophaalt, wordt het onzichtbaar voor de duur van zijn zichtbaarheidstime-out. Als de verwerking mislukt en het bericht niet wordt verwijderd voordat de time-out is verstreken, verschijnt het opnieuw voor een andere consument. Stem de zichtbaarheidstime-out af op de langst mogelijke verwerkingstijd, en gebruik idempotente handlers plus exponentiële backoff om conflicten te verminderen. Houd de dequeue-telling bij om ‘poison messages’ te detecteren; wanneer deze een drempelwaarde overschrijdt, verplaats het bericht dan naar een speciale poison-wachtrij voor quarantaine en analyse. Azure Functions-wachtrijtriggers implementeren dit patroon automatisch met een -poison-wachtrij. Voor behoeften met een hogere doorvoer of FIFO met garantie op de volgorde, overweeg Service Bus-wachtrijen; anders is Azure Queue Storage een lichtgewicht en kosteneffectieve optie.

Praktijkscenario

National Geographic moet een fotografie-microsite met veel verkeer publiceren met serverless beeldverwerking, kosten-geoptimaliseerde opslag en hybride toegang voor een on-premises redactietool. Ze hebben ook veilige, in tijd beperkte deellinks nodig voor partnerbureaus en een robuuste berichtafhandeling voor achtergrondverwerking.

Maak een GPv2-opslagaccount met RA-GRS

Waarom: GPv2 ontsluit Blob-, Files- en Queue-services met lifecycle- en tiering-functies. RA-GRS biedt rampherstel over meerdere regio’s en leestoegang tot secundaire eindpunten voor de continuïteit van voornamelijk-lezen assets tijdens regionale incidenten.

Schakel statische websitehosting in en implementeer site-assets in de $web-container

Waarom: Statische websites op Blob elimineren het beheer van webservers, leveren leesbewerkingen met lage latentie vanuit de Hot-laag en schalen wereldwijd. Koppel later met Azure Front Door voor aangepaste domeinen, WAF en edge-caching.

Sla originele RAW-afbeeldingen op als block blobs; schrijf ‘write-once’-telemetrie als append blobs

Waarom: Block blobs ondersteunen grote, parallelle uploads en een efficiënte levering van voor het web geoptimaliseerde afgeleiden. Append blobs vereenvoudigen gelijktijdige logschrijfacties vanuit verwerkingspipelines zonder conflicten.

Definieer lifecycle-beleidsregels om originelen na 30 dagen naar de Cool-laag te verplaatsen en na 180 dagen naar de Archive-laag; verwijder versies die ouder zijn dan een jaar

Waarom: Geautomatiseerde tiering verlaagt de opslagkosten op basis van toegangspatronen, terwijl compliance-kopieën behouden blijven. Het opschonen van versies en snapshots voorkomt wildgroei zonder handmatige tussenkomst.

Beveilig datatoegang met Azure AD en user delegation SAS voor partners

Waarom: Wijs Storage Blob Data Reader toe aan een beheerde identiteit in de deelservice, verkrijg user delegation keys en creëer kortlevende, alleen-HTTPS SAS-tokens met IP-beperkingen. Dit voorkomt de distributie van accountsleutels en koppelt autorisatie aan Azure AD.

Schakel door de klant beheerde sleutels (CMK) in met Key Vault en infrastructuurencryptie

Waarom: CMK voldoet aan strengere compliance- en rotatievereisten, terwijl dubbele encryptie een ‘defense in depth’-strategie biedt voor gevoelige media.

Integreer Azure Queue Storage voor achtergrond-beeldverwerking met een Azure Functions-wachtrijtrigger; stel de zichtbaarheidstime-out in om de maximale verwerkingstijd te overschrijden en configureer de afhandeling van ‘poison messages’

Waarom: Wachtrijen ontkoppelen het uploadpad van de compute-laag. De zichtbaarheidstime-out voorkomt dubbel werk, en de Functions-runtime stuurt mislukte items automatisch door naar een -poison-wachtrij voor onderzoek.

Publiceer redactietools via Azure Files met een premium FileStorage-account en Azure File Sync naar een on-premises Windows Server

Waarom: Redacteuren krijgen SMB-toegang met lage latentie met NTFS ACL’s en op identiteit gebaseerde authenticatie via AD, terwijl Azure File Sync zorgt voor lokale caching en cloud-tiering. De premium-laag garandeert consistente prestaties voor interactieve workloads.

Plaats de statische website achter Azure Front Door en schakel caching en aangepaste HTTPS in

Waarom: Edge POP’s verminderen de latentie wereldwijd, aangepaste domeinen voldoen aan merkvereisten en WAF voegt beveiliging toe zonder de opslag-backend te wijzigen.

Schakel de change feed van het opslagaccount in en archiveer deze naar een compliance-opslag

Waarom: Een onveranderlijk, geordend logboek van blob-wijzigingen ondersteunt downstream-analyses, auditing en herhaling voor reproduceerbare content-pipelines.

← Azure Functions en Serverless Computing · Alle domeinen · Azure Cosmos DB →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →