Microsoft AZ-500: Beveiliging van compute, containers en eindpunten — Studiegids

By Laurynas Brazys · 11 August 2026 · #microsoft #az-500 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Security Engineer Associate AZ-500 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Dit gedeelte biedt een operationele referentie voor het beveiligen van Azure compute, containers en endpoints binnen IaaS en PaaS. Het richt zich op hoe je beveiligingen configureert, waarom ze belangrijk zijn en hoe je ze consistent kunt afdwingen met Azure-native controls.

Compute- en Endpoint-beveiliging

Platformbeveiliging en versleutelingsopties voor Azure VM’s zijn fundamenteel.

• Secure Boot, vTPM en Trusted Launch: Trusted launch versterkt Gen2 VM’s door UEFI Secure Boot en een virtuele TPM (vTPM) in te schakelen. Secure Boot voorkomt niet-ondertekende bootloaders/rootkits. De vTPM biedt een manipulatiebestendige opslag voor sleutels (bijvoorbeeld BitLocker) en ondersteunt ‘measured boot’ zodat het platform de OS-bootketen kan attesteren. Operationeel gezien schakel je trusted launch in tijdens de implementatie en dwing je dit af met policy om ervoor te zorgen dat alle nieuwe VM’s in hardware gewortelde integriteitscontroles krijgen, zonder dat beheerders statische BIOS/UEFI-instellingen hoeven te beheren.

• Confidential VM’s: Gebruik door AMD SEV-SNP of Intel TDX ondersteunde confidential VM-series (bijvoorbeeld DCasv5/DCadsv5) om het geheugen van de VM te versleutelen en attestatie te bieden. Dit beschermt workloads tegen een kwaadwillende host/hypervisor en side-channel-aanvallen. Operationeel gezien selecteer je confidential SKU’s voor scenario’s met zeer gevoelige data-in-use, integreer je attestatie in je deployment pipeline en geef je de voorkeur aan ephemeral OS-disks wanneer je snelle herimplementaties nodig hebt zonder datapersistentie.

• Opties voor schijfversleuteling:

  • Azure Disk Encryption (ADE): Binnen de guest BitLocker (Windows) of DM-Crypt (Linux), met sleutels in Key Vault (BEK/KEK). Nuttig wanneer je op de guest gebaseerde cryptodomeinen, compliancecontroles binnen het OS, of aan vTPM gebonden BitLocker wilt gebruiken. Vereist een agent en levenscyclusoperaties voor de status van de extensie.
  • Server-Side Encryption (SSE) met Customer-Managed Keys (CMK): Versleuteling op opslagniveau voor managed disks met sleutels in Key Vault of Managed HSM. Geen guest-agents, volledige platformdekking (disks, snapshots, images), minimale operationele overhead. Aanbevolen als standaard voor de meeste use cases; combineer met Trusted Launch of Confidential VM’s voor een sterkere ‘defense-in-depth’.

• Microsoft Defender for Servers:

  • Plan 1: Microsoft Defender for Endpoint (MDE) voor EDR/endpoint-beveiliging op servers. Kies dit als je al beschikt over volwassen tools voor vulnerability- en configuratiebeheer en voornamelijk EDR nodig hebt.
  • Plan 2: Voegt agent-gebaseerde/agentless kwetsbaarheidsbeoordeling, just-in-time (JIT) VM-toegang, adaptieve applicatiecontroles, adaptieve netwerkverharding en file integrity monitoring (FIM) toe. Kies dit wanneer je platformgestuurde reductie van blootstelling en ‘governance-in-action’ wilt, zonder meerdere tools aan elkaar te hoeven knopen.
  • Endpoint-beveiliging: Implementeer MDE via VM-extensies of Arc voor non-Azure servers om telemetrie, manipulatiebeveiliging en respons-playbooks te standaardiseren over hybride omgevingen heen.
  • Kwetsbaarheidsbeoordeling: Gebruik het MDE Threat & Vulnerability Management-signaal of de geïntegreerde scanner (bijv. Qualys) om CVE’s te inventariseren, te prioriteren op basis van misbruikbaarheid en patching te orkestreren. Operationeel gezien, baseline eerst kritieke, op internet gerichte servers; koppel herstelacties aan ‘change windows’.
  • File Integrity Monitoring: Volg wijzigingen in gevoelige bestanden/registersleutels om verdachte manipulatie te detecteren en aan compliance-eisen te voldoen. Configureer afgebakende ‘watch paths’ om ruis te vermijden en stuur meldingen door naar je SIEM.

• Reductie van blootstelling met Defender for Cloud:

  • Just-in-Time VM Access: Sluit inkomende RDP/SSH-poorten. Beheerders vragen tijdsgebonden toegang aan; Defender opent de NSG- of Azure Firewall-regel en logt de activiteit. Het resultaat is een drastisch verkleind aanvalsoppervlak met auditeerbare uitzonderingen.
  • Adaptive Application Controls: Leert normale processen en maakt allowlists aan (AppLocker op Windows, auditregels voor Linux). Dit blokkeert niet-goedgekeurde binaries en scripts — bijzonder effectief tegen fileless- of LOLBin-aanvallen.
  • Adaptive Network Hardening: Gebruikt traffic analytics en threat intelligence om het aanscherpen van NSG-regels voor te stellen. Hanteer een ‘review-and-apply’-cadans om de blootstelling iteratief te beperken terwijl je storingen vermijdt.
  • Guest Configuration: Azure Policy voor in-guest audit/herstel (Windows en Linux) via een agent of Azure Arc. Gebruik dit om OS-baselines, wachtwoordbeleid en CIS-conforme instellingen af te dwingen wanneer je een bewijsbare configuratiestatus nodig hebt, en niet alleen de postuur van het platform.

PaaS Compute: App Service en Functions

Standaard veilige patronen verkleinen het aanvalsoppervlak van PaaS.

• Azure App Service:

  • Authenticatie/Autorisatie: Schakel App Service Authentication in om authenticatie over te dragen aan Microsoft Entra ID of andere providers. Gebruik Easy Auth voor standaard OIDC/OAuth2-flows en dwing vervolgens inloggen af op alle routes om niet-geauthenticeerde blootstelling te elimineren.
  • Toegangsbeperkingen: Sta verkeer toe of weiger het op basis van IP/CIDR, service-tags of verkeer uit een virtueel netwerk via private endpoints. Hanteer afzonderlijke regels voor het scm-eindpunt en het app-eindpunt om uw deployment-vlak onafhankelijk te beveiligen.
  • Private Endpoints: Stel de app beschikbaar via een privé-IP-adres in uw VNet en schakel optioneel de openbare toegang uit. Gebruik private DNS-zones en beperk uitgaande afhankelijkheden met VNet Integration en een centrale egress-firewall.
  • Managed Identities: Geef de voorkeur aan door het systeem toegewezen of door de gebruiker toegewezen identiteiten om toegang te krijgen tot Key Vault, Storage en andere services. Dit elimineert ingebedde secrets en maakt gecentraliseerde roltoewijzing en sleutelrotatie mogelijk.

• Azure Functions:

  • Sleutelbeheer: Functions gebruiken functiesleutels, hostsleutels en de hoofdsleutel. Roteer sleutels regelmatig en sla extern gebruikte sleutels op in Key Vault, of vervang sleutels door correcte OAuth-flows indien haalbaar.
  • Netwerkintegratie: Gebruik private endpoints voor inkomende toegang tot de Function-app en regionale VNet Integration voor uitgaande controles. Beperk het Storage-account dat door Functions wordt gebruikt tot alleen geselecteerde netwerken en voeg het private endpoint van de Function toe aan de toegestane netwerken.
  • Identiteiten: Gebruik managed identities voor service-naar-service-authenticatie in plaats van sleutels of connection strings. Pas het principe van ’least privilege’ toe met nauw afgebakende RBAC-toewijzingen.
  • Deployment-controles: Dwing alleen-FTPS af, schakel basisauthenticatie voor de scm-site uit, beperk scm-IP’s en gebruik ‘Run From Package’ om onveranderlijke deployments te garanderen. Integreer CI/CD met workload identity federation om langlevende secrets te elimineren.

Kubernetes- en Containerbeveiliging

Hard clusters en supply chains end-to-end.

• AKS-identiteit en -autorisatie:

  • Microsoft Entra-integratie: Schakel beheerde AAD voor AKS in om kubectl te authenticeren met Entra-tokens en -groepen. Dit centraliseert de levenscyclus van gebruikers en MFA/Conditional Access.
  • Kubernetes RBAC: Koppel Entra-gebruikers/-groepen aan Kubernetes-rollen en -rolbindingen voor ’least privilege’ op namespace-niveau.
  • Azure RBAC for Kubernetes: Gebruik ingebouwde rollen (bijv. Azure Kubernetes Service RBAC Viewer/Admin) wanneer u wilt dat Azure RBAC Kubernetes API-acties rechtstreeks autoriseert. Dit verenigt autorisatie en auditing met het Azure-controlepaneel.

• AKS-netwerken en -privacy:

  • Netwerkbeleid: Dwing pod-naar-pod- en pod-naar-serviceverkeer af met Azure NPM of Calico. Weiger standaard en sta expliciet de vereiste egress toe; ‘policy-as-code’ voorkomt laterale verplaatsing.
  • Private clusters: Maak de API-server privé, alleen toegankelijk via private endpoints. Koppel dit met Azure Bastion/Private Link en een firewall-egress-strategie (NAT Gateway + UDR’s) om het beheerpaneel van het internet af te houden.

• Container Registry (ACR) beveiliging:

  • RBAC: Wijs AcrPull toe aan workloads die alleen images hoeven te pullen en AcrPush aan build-pipelines; vermijd de overgeprivilegieerde Owner-rol. AcrPull en AcrPush sluiten aan bij het ’least privilege’-principe.
  • Content trust en ondertekening: Onderteken images met cosign en dwing verificatie af met admission control (Gatekeeper + Ratify) voordat pods starten. Dit beschermt tegen gemanipuleerde images.
  • Image-scanning: Schakel Microsoft Defender for Cloud in om ACR te scannen bij push/import en volgens een schema. Blokkeer de deployment van images met kritieke, niet-gepatchte CVE’s met behulp van admission policies.
  • Quarantainepatroon: Routeer nieuwe images naar een quarantaine-repo of -tag, voer scans en beleidscontroles uit en promoveer ze vervolgens door ze na goedkeuring opnieuw te taggen.
  • Privétoegang: Schakel openbare netwerktoegang uit en gebruik private endpoints en firewallregels voor de registry. Koppel AKS aan ACR met een roltoewijzing op resourceniveau in plaats van een directory-rol.

Kort voorbeeld om ACR te koppelen aan AKS met behulp van de managed identity van het cluster:

az aks update -g rg-aks -n myAKS --attach-acr myAcrName

• Microsoft Defender for Containers: Implementeert een datavlak-sensor op AKS, monitort Kubernetes-auditlogs en runtime-signalen, en correleert deze met de resultaten van image-scans. Het detecteert verdachte ’execs’ in pods, crypto-mining, blootgestelde dashboards en risicovolle operaties op het controlepaneel. Schakel automatische provisioning in en verbind waarschuwingen met uw SIEM/SOAR voor triage.

Governance, beleid en handhaving

Consistente controle vereist beleid bij de implementatie en tijdens runtime.

• Azure Policy voor compute en disks:
  • Weiger het aanmaken van VM’s zonder trusted launch of zonder SSE met CMK.
  • Dwing VM-extensies voor endpoint protection af met DeployIfNotExists om vereiste agents automatisch te installeren.
  • Audit de naleving van gastconfiguraties; herstel ‘drift’ (afwijkingen) volgens een schema.

Kort beleidsfragment om een vereiste VM-extensie te implementeren als deze ontbreekt:

"policyRule": {
  "if": { "field": "type", "equals": "Microsoft.Compute/virtualMachines" },
  "then": {
    "effect": "DeployIfNotExists",
    "details": {
      "type": "Microsoft.Compute/virtualMachines/extensions",
      "name": "MDE.Windows"
    }
  }
}

• Kubernetes admission controls:
  • De Azure Policy add-on voor AKS gebruikt Gatekeeper (OPA) om pod-specificaties te evalueren bij ‘admission’ (toelating). Dwing regels af zoals ‘alleen pullen vanuit ACR’, ‘geen privileged containers’ en ‘vereis image signatures’.
  • Onderhoud afzonderlijke ‘initiatives’ voor baseline (must-have) en versterkt (gevoelige namespaces) om progressieve ‘hardening’ mogelijk te maken.

Korte Gatekeeper-constraint om registers te beperken:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sAllowedRepos
metadata:
  name: allowed-acr-only
spec:
  parameters:
    repos:
    - myacr.azurecr.io/

• Operationele cadans:
  • Detecteren: Gebruik aanbevelingen van Defender for Cloud en workload-alerts als signalen voor ‘drift’ en dreigingen.
  • Beslissen: Triage op basis van bedrijfsimpact en misbruikmogelijkheden; wijs eigenaren toe via tags.
  • Handhaven: Zet succesvolle pilots om in ‘deny’-beleid/admission-constraints; meet geblokkeerde pogingen om ‘shadow IT’ te detecteren.

Praktijkscenario

Adobe Inc. migreert een microservice voor betalingen naar Azure. De beveiligingseisen schrijven voor: geen publieke blootstelling, alleen ondertekende images en tijdgebonden beheerderstoegang tot legacy VM’s tijdens de overgang.

1. Maak het AKS control plane privaat en vergrendel uitgaand verkeer (egress).

• Rationale: Een private AKS API-server haalt het beheerplane van het internet. Een NAT Gateway plus Azure Firewall met expliciete uitgaande regels zorgt ervoor dat workloads alleen goedgekeurde endpoints bereiken (ACR, Key Vault, Microsoft package repos).

2. Dwing ondertekende images af en beperk registers.

• Rationale: Configureer Gatekeeper met constraints die alleen images van myacr.azurecr.io toestaan en ‘cosign’-signatures vereisen die door Ratify worden gevalideerd. Dit voorkomt dat gemanipuleerde of niet-vertrouwde images worden uitgevoerd, wat een groot risico in de supply chain dicht.

3. Beveilig ACR met private endpoints en rollen met minimale rechten (least-privilege).

• Rationale: Schakel publieke netwerktoegang uit en ontsluit ACR via een private endpoint in het AKS VNet. Geef de managed identity van AKS alleen de rol AcrPull; geef de build-pipeline de rol AcrPush. Dit volgt het ’least privilege’-principe en elimineert de afhankelijkheid van het internet.

4. Schakel Defender for Containers en ACR image scanning in.

• Rationale: Continue image-scanning bij ‘push’ en runtime threat detection bieden gelaagde dekking. Alerts verenigen misconfiguraties, bekende kwetsbaarheden en verdacht gedrag voor een snelle respons.

5. Bescherm op App Service gebaseerde beheertools met authenticatie en private toegang.

• Rationale: Gebruik App Service Authentication met Microsoft Entra ID om MFA en Conditional Access af te dwingen. Maak een private endpoint voor de beheerapp en beperk de scm-toegang afzonderlijk. Managed identities elimineren de noodzaak van secrets voor toegang tot Key Vault.

6. Gebruik Just-in-Time (JIT) VM-toegang voor legacy hosts tijdens de overgang.

• Rationale: JIT sluit RDP/SSH standaard en opent deze poorten alleen op goedgekeurde aanvragen voor een beperkte duur. Dit beperkt de blootstellingsvensters strikt, terwijl noodtoegang behouden blijft.

7. Standaardiseer encryptiekeuzes: SSE met CMK voor disks; Trusted Launch voor VM’s.

• Rationale: SSE met CMK minimaliseert de operationele last en centraliseert de levenscyclus van sleutels in Key Vault, terwijl Trusted Launch/vTPM boot-integriteit en sleutelbescherming toevoegt. ADE is alleen gereserveerd voor gevallen waar contractueel bewijs van een ‘guest-based crypto domain’ vereist is.

8. Pas Azure Policy en admission control toe als ‘guardrails’ (vangrails).

• Rationale: Azure Policy ‘initiatives’ dwingen trusted launch, vereiste VM-extensies en het weigeren van publieke toegang tot ACR/Function af. Gatekeeper-constraints implementeren runtime admission checks voor AKS. Samen zorgen ze ervoor dat configuraties compliant blijven terwijl teams itereren.

9. Valideer en opereer met continue governance.

• Rationale: Koppel alerts van Defender for Cloud en MDE aan de SIEM van Adobe, meet het effect van beleid (‘deny’ vs. ‘audit’) en review uitzonderingen maandelijks. Dit transformeert eenmalige controles in een duurzaam operationeel beveiligingsmodel.

← Netwerkbeveiligingsarchitectuur · Alle domeinen · Beveiliging van data →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →

Blader door Microsoft →