Microsoft AZ-305: Beveiligingsarchitectuur en Zero Trust — Studiegids

By Laurynas Brazys · 11 August 2026 · #microsoft #az-305 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Solutions Architect Expert AZ-305 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Security-architectuur op Azure is verankerd in Zero Trust: nooit vertrouwen, altijd verifiëren, expliciet autoriseren en uitgaan van een inbreuk. Architecturen moeten identiteitsgestuurde toegang, microsegmentatie, sterke databescherming en continue detectie van en respons op bedreigingen afdwingen. Dit gedeelte verbindt de pijlers—identiteit en geheimen, databescherming, netwerkcontroles en cloud-native threat defense—tot samenhangende ontwerpen die zijn afgestemd op de mogelijkheden van het Azure-platform.

Identiteit, Geheimen en Zero Trust-fundamenten

Zero Trust begint met sterke identiteitsverificatie en het ’least privilege’-principe. Elke workload en menselijke identiteit moet worden geëvalueerd op het moment van toegang, met conditionele controles en kortlevende tokens. Dwing ’least privilege’ af door permissies te beperken tot de kleinst mogelijke set acties op de meest beperkte resource-grens, en geef waar van toepassing de voorkeur aan just-in-time (JIT) escalatie met Privileged Identity Management (PIM).

Azure Key Vault is centraal voor het beheer van geheimen en sleutels. Er bestaan twee autorisatiemodellen voor het datavlak:

Toegangsbeleid (Access policies) is het verouderde ACL-model per kluis. Ze verlenen granulaire permissies voor geheimen/sleutels/certificaten aan principals, maar integreren niet met Azure RBAC ‘deny assignments’ of PIM, en ze bemoeilijken grootschalig beheer omdat hun scope beperkt is tot de kluis.
Azure RBAC for Key Vault is het moderne model. Wanneer dit op de kluis is ingeschakeld, worden de permissies op het datavlak beheerd door Azure RBAC-rollen (bijvoorbeeld Key Vault Secrets User, Key Vault Crypto Officer), worden ze overgeërfd over scopes (management group, subscription, resource group), ondersteunen ze ‘deny assignments’ en integreren ze met PIM en Access Reviews. Kies RBAC voor consistentie en gecentraliseerd beheer; combineer de modellen niet op dezelfde kluis.

Soft delete en purge protection voorkomen onopzettelijk of kwaadwillig verlies. Soft delete bewaart verwijderde objecten gedurende een retentieperiode (configureerbaar van 7-90 dagen, standaard 90), waardoor herstel mogelijk is. Purge protection voorkomt, indien ingeschakeld, de permanente verwijdering van ‘soft-deleted’ items totdat de retentieperiode is verstreken, zelfs door gebruikers met hoge privileges. Schakel voor productiekluizen beide in. Managed HSM biedt toegewijde, FIPS 140-2 Level 3 gevalideerde hardware security modules onder beheer van Azure. Het ondersteunt alleen sleutels (geen geheimen/certificaten), gebruikt Azure RBAC met rollen zoals Managed HSM Administrator, Crypto Officer en Crypto User, en heeft soft delete en purge protection altijd ingeschakeld. Gebruik Managed HSM wanneer u hardware-ondersteunde sleutelisolatie, op quorum gebaseerd beheer of wettelijke zekerheid voor cryptografische grenscontroles nodig heeft.

Azure Managed Identities elimineren de noodzaak van credentials voor workloads die op Azure worden gehost. System-assigned identities zijn gekoppeld aan de levenscyclus van één enkele resource; het verwijderen van de resource verwijdert de identiteit. Ze zijn ideaal voor singleton resources (een Function App of VM) die onafhankelijke autorisatiegrenzen nodig hebben. User-assigned identities zijn zelfstandig en kunnen aan meerdere resources worden gekoppeld; ze blijven bestaan wanneer compute wordt vervangen of uitgeschaald, wat ze geschikt maakt voor fleets, blue/green-swaps, of wanneer een consistente identiteit over meerdere instances vereist is. Workloads verkrijgen tokens zonder geheimen door de instance metadata service (IMDS) aan te roepen op 169.254.169.254 of het managed identity-eindpunt van het platform, en vragen een toegangstoken aan voor een resource (bijvoorbeeld https://vault.azure.net voor Key Vault). Gebruik Azure RBAC om de identiteit ’least-privilege’-rollen op doelresources te verlenen; het platform roteert de credentials automatisch.

Azure AD Workload Identity Federation elimineert de noodzaak om cloud-credentials op te slaan in externe CI/CD en Kubernetes. Maak met GitHub Actions een ‘federated credential’ aan op de Azure AD-applicatie met behulp van de GitHub OIDC-issuer (token.actions.githubusercontent.com) en beperk deze op basis van repository, branch of environment. GitHub wisselt zijn OIDC-token tijdens runtime in voor een Azure AD-token; wijs Azure-rollen toe aan die app en dwing ’least privilege’ per workflow af. Voor Kubernetes (AKS), schakel OIDC in op het cluster en configureer Azure AD workload identity. Koppel het OIDC-token van een ServiceAccount aan een Azure AD-applicatie of een user-assigned managed identity via een ‘federated credential’, en koppel vervolgens Azure-rollen aan die identiteit. Pods wisselen hun ‘projected’ OIDC-token in voor Azure-tokens om services zoals Key Vault of Storage aan te roepen—geen geheimen of agents op node-niveau nodig en betere isolatie dan de verouderde aad-pod-identity.

Dreigingsbescherming, SIEM/SOAR en Cloud App Governance

Microsoft Defender for Cloud biedt cloud posture management en workload-bescherming. Secure Score kwantificeert risico’s door misconfiguraties te beoordelen en versterkte instellingen aan te bevelen (bijvoorbeeld het inschakelen van MFA, het afdwingen van schijfversleuteling of het beperken van openbare eindpunten). Stimuleer verbeteringen in de Secure Score door beleidstoewijzingen op het niveau van de management group om basislijnen te standaardiseren. Workload-bescherming strekt zich uit tot servers, containers, databases, storage, Key Vault en App Service om dreigingsdetectie, kwetsbaarheidsbeoordelingen en functionaliteiten te leveren zoals just-in-time VM-toegang, adaptieve applicatiecontroles en bestandsintegriteitsmonitoring. Regulatory compliance brengt uw omgeving in kaart ten opzichte van standaarden (Azure Security Benchmark, CIS, PCI-DSS, ISO 27001) en toont of u slaagt of faalt voor beleidscontroles; gebruik dit om hiaten te volgen en te verhelpen met governance-stakeholders.

Microsoft Sentinel is de cloud-native SIEM en SOAR. Data connectors halen telemetrie binnen van Azure Activity, Azure AD-aanmeldingen en -audits, Microsoft 365, de Microsoft Defender-suite, Azure-resources en niet-Azure-bronnen via Syslog/CEF of de AMA/Log Analytics Agents. Analytics rules detecteren dreigingen met behulp van KQL: geplande regels voor periodieke correlatie, near-real-time regels voor detectie met lage latentie, en machine-learning/anomalie-sjablonen voor gedragsinzichten. Pas drempelwaarden, onderdrukking en entity-mappings van regels aan om ruis te verminderen en incidenten te verrijken. Automatiseer reacties met SOAR-playbooks die zijn gebouwd in Logic Apps; trigger de isolatie van gecompromitteerde hosts via Defender for Endpoint, schakel verdachte accounts uit in Azure AD, trek sessies in, verwijder kwaadaardige e-mails, of verstuur meldingen en open tickets. Gebruik automation rules om incidenten te routeren, te taggen op ernst en playbooks aan te roepen op basis van incident-eigenschappen.

Microsoft Defender for Cloud Apps beheert het gebruik van SaaS. Shadow IT discovery verwerkt firewall-/proxylogs en eindpunttelemetrie om niet-goedgekeurde apps te identificeren, ze te rangschikken op risico en stelt u in staat ze goed of af te keuren. Integreer met Defender for Endpoint voor continue detectie. Sessiecontroles passen real-time Conditional Access App Control toe via een reverse proxy om beleid af te dwingen, zoals het blokkeren van downloads voor onbeheerde apparaten, het vereisen van documentlabeling vóór het downloaden, het toepassen van watermerken of het beperken van knippen/kopiëren/plakken—zonder de SaaS-app aan te passen.

Gegevensbescherming en Confidential Computing

Azure Information Protection operationaliseert gegevensclassificatie en -bescherming door middel van sensitivity labels. Labels definiëren classificatie, visuele markeringen, versleuteling (Azure Rights Management) en gebruiksrechten (bekijken, afdrukken, doorsturen, offline toegang). Publiceer labels via label policies naar geselecteerde gebruikers en vereis waar nodig verplichte labeling. Auto-labeling policies kunnen labels toepassen in Office-apps op eindpunten op basis van inhoudsinspectie (bijvoorbeeld PII-patronen, trefwoorden) en at rest/in transit in services via data governance tools, waardoor gebruikersfouten worden verminderd en de basisbescherming wordt versterkt. Gebruik prompts voor rechtvaardiging bij downgrades en auditeer labelwijzigingen om governance te ondersteunen.

Azure Confidential Computing beschermt data-in-use door workloads uit te voeren binnen hardware-gebaseerde Trusted Execution Environments. Confidential VM’s (bijvoorbeeld AMD SEV-SNP of Intel TDX) versleutelen het VM-geheugen en bieden integriteit, waardoor gast-workloads worden afgeschermd van de cloudhost en andere tenants. Gebruik ze voor lift-and-shift-scenario’s die bescherming op enclave-niveau vereisen zonder app-wijzigingen. Confidential containers op AKS draaien gecontaineriseerde workloads op confidential node pools; combineer dit met versleutelde container-images en attestation om af te dwingen dat alleen geattesteerde workloads worden uitgevoerd. Attestation wordt uitgevoerd met Azure Attestation om platform- en workload-metingen (quotes) te verifiëren voordat geheimen worden vrijgegeven. Integreer attestation-controles in uw control plane of deployment pipeline; alleen na een succesvolle attestation mag Key Vault of een externe KMS de decryptiesleutels vrijgeven aan de workload, waarmee de data-in-use-bescherming wordt voltooid.

Netwerksegmentatie, Perimeter en Gelaagde DDoS-verdediging

Netwerkmicrosegmentatie beperkt laterale verplaatsing en wordt gekoppeld aan identiteitsverificatie om Zero Trust af te dwingen. Network Security Groups zijn stateful packetfilters die worden toegepast op subnets of NIC’s; gebruik servicetags en expliciete weigeringen om oost-west- en noord-zuid-stromen te beperken, onnodige poorten standaard te weigeren en te loggen met NSG flow logs. Application Security Groups abstraheren dynamische workloadgroepen zodat u NSG-regels kunt schrijven op basis van applicatierol in plaats van IP-adressen, wat op intentie gebaseerde segmentatie mogelijk maakt die meeschaalt met autoscaling en kortstondige adressen.

Azure Firewall biedt gecentraliseerde, volledig stateful L3-L7-controle met applicatie- en netwerkregels, FQDN-filtering, DNAT/SNAT, op threat intelligence gebaseerde filtering en Premium-functies zoals TLS-inspectie en IDPS voor diepgaande inspectie van uitgaand en inkomend verkeer. Gebruik Firewall Policy voor op intentie gebaseerde configuratie en overerving tussen regio’s. Routeer egress-verkeer via Azure Firewall met user-defined routes, en koppel dit met Private Endpoints om PaaS-verkeer van het openbare internet te houden.

Webapplicaties die naar buiten gericht zijn, moeten worden voorafgegaan door een Web Application Firewall. Implementeer WAF op Application Gateway voor regionale, in VNet geïntegreerde layer 7 load balancing, of op Azure Front Door voor globale anycast-toegang en CDN-integratie. Schakel door OWASP beheerde regels in en voeg aangepaste regels toe voor pad-/geo-/IP-filtering en bot-verdediging, en integreer met DDoS-strategieën aan de edge.

DDoS Protection Standard voegt adaptieve real-time mitigatie toe voor publieke eindpunten in VNets, telemetrie en kostenbescherming voor scale-out tijdens een aanval. Pas DDoS Protection Plans toe op VNet-niveau voor alle geassocieerde publieke IP-resources, test met gesimuleerd verkeer en bekijk metrics en alerts. Bouw uw verdediging in lagen op: DDoS aan de edge, WAF op L7, Azure Firewall voor L3-L7-beleid, NSG’s/ASG’s voor microsegmentatie, en Conditional Access plus device compliance voor op identiteit gebaseerde handhaving.

Praktijkscenario

Starbucks moderniseert een multi-regionaal bestelplatform op Azure met AKS, Azure SQL Database en Event Hubs. De architectuur moet Zero Trust omarmen: ingebedde secrets elimineren, netwerken segmenteren, data in gebruik beschermen en geünificeerde dreigingsdetectie en geautomatiseerde respons implementeren over cloud en SaaS.

Identiteitsgebaseerde toegang voor workloads afdwingen

Implementeer door de gebruiker toegewezen managed identities voor AKS-workloads die toegang nodig hebben tot Key Vault en Storage. Wijs RBAC-rollen met de minste privileges (Key Vault Secrets User, Storage Blob Data Reader) toe op het niveau van de resourcegroep. Gekozen omdat managed identities secrets elimineren, scale-out pods ondersteunen die een stabiele identiteit delen, en integreren met PIM/Access Reviews via Azure RBAC.

CI/CD federeren zonder opgeslagen credentials

Configureer Azure AD workload identity federation voor GitHub Actions met behulp van de GitHub OIDC issuer en beperkingen op repository/omgeving. Workflows verkrijgen Azure-tokens tijdens runtime om Bicep en Helm te implementeren. Gekozen om PAT’s/secrets te elimineren, de ‘blast radius’ te beperken tot specifieke repo’s/branches, en conditionele claims mogelijk te maken.

Sleutels en secrets beschermen met herstelgaranties

Gebruik Azure Key Vault met het RBAC-permissiemodel, en met soft delete en purge protection ingeschakeld. Sla connection strings en applicatie-secrets op; sla TDE-protectorsleutels voor Azure SQL op in een Managed HSM voor FIPS Level 3-garantie. Gekozen voor gecentraliseerde auditing, herstelbaarheid en hardware-ondersteunde sleutelisolatie voor kritiek cryptografisch materiaal.

Netwerken segmenteren en egress centraliseren

Pas NSG’s toe met default-deny en ASG’s voor tiers (web, api, data). Forceer alle egress via Azure Firewall Premium met IDPS en TLS-inspectie; gebruik Private Endpoints voor Azure SQL en Key Vault. Gekozen om microsegmentatie op subnet/NIC-niveau te implementeren, diepgaande packetinspectie voor controle op exfiltratie, en private PaaS-toegang.

De publieke edge beschermen

Plaats Azure Front Door voor de web tier met WAF-beleid dat gebruikmaakt van OWASP CRS en aangepaste regels voor geo/IP-throttling en bot-signatures. Schakel DDoS Protection Standard in op het hub-VNet dat de Application Gateway host voor regionale failover. Gekozen om volumetrische aanvallen wereldwijd te absorberen en L7-exploits te blokkeren voordat ze AKS bereiken.

Toegang tot SaaS en onbeheerde apparaten beheren

Integreer Microsoft Defender for Cloud Apps met Conditional Access App Control om sessiecontroles af te dwingen op M365 en goedgekeurde SaaS van derden: blokkeer downloads op onbeheerde apparaten, vereis sensitivity labels bij download en voeg watermerken toe. Gekozen voor real-time controles zonder app-wijzigingen en consistente handhaving over SaaS.

Gevoelige data classificeren en beschermen

Definieer Azure Information Protection sensitivity labels (Public, Confidential, Highly Confidential – Customer Data) met versleuteling en gebruiksrechten. Schakel beleid voor automatisch labelen in voor PII-patronen in Office en at-rest in SharePoint/OneDrive. Gekozen om dataverwerking te standaardiseren, gebruikersfouten te verminderen en persistente bescherming te handhaven.

Data in gebruik beveiligen voor betalingsverwerking

Draai betalingsmicroservices op AKS confidential node pools en batch-risicomodellen op confidential VM’s (AMD SEV-SNP). Beveilig decryptiesleutels via Azure Attestation; alleen geattesteerde nodes/pods ontvangen secrets van Key Vault. Gekozen om geheugen te beschermen tegen toegang door de host/tenant en om ‘measured boot’ en workloadintegriteit vast te stellen.

Posture management en compliance opzetten

Schakel Microsoft Defender for Cloud in op de managementgroep met Azure Security Benchmark en PCI-DSS-standaarden. Activeer relevante Defender-plannen (containers, servers, SQL, Key Vault) en JIT VM-toegang. Gekozen voor een gecentraliseerde Secure Score, koppelingen met regelgeving en workload-native beveiligingen.

Detectie centraliseren en respons orkestreren

Breng telemetrie naar Microsoft Sentinel via dataconnectoren (Azure AD, Azure Activity, M365, Defender, AKS-logs, Firewall). Implementeer analytics-regels voor diefstal van credentials, verdachte egress, container-escapes en afwijkende admin-activiteit. Automatiseer met Logic Apps playbooks om gecompromitteerde accounts uit te schakelen, AKS-nodes te isoleren, egress te blokkeren in Azure Firewall en tickets aan te maken. Gekozen voor cloud-native SIEM/SOAR, snelle implementatie van regels en een strakke integratie met Microsoft security-signalen.

Dit ontwerp past Zero Trust end-to-end toe: identiteiten worden continu geverifieerd, privileges zijn minimaal en just-in-time, netwerken zijn gemicrosegmenteerd met gecentraliseerde inspectie, data wordt geclassificeerd en beschermd zowel at-rest als in-use, en continue dreigingsdetectie met geautomatiseerde respons verkort de ‘mean time to contain’.

← Hoge Beschikbaarheid · Alle domeinen · Integratie en Berichtenarchitectuur →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →