Microsoft AZ-801: Hyper-V, Virtualisatie en Opslag — Studiegids

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Hyper-V en software-defined storage van Windows Server vormen een samenhangend platform voor veilige, geïsoleerde en hoogbeschikbare workloads. Om dit te beheersen, is het essentieel te begrijpen hoe guarded fabrics tenant-VM’s beschermen tegen fabric-beheerders, hoe Virtualization-Based Security (VBS) het besturingssysteem verhardt met in hardware verankerde isolatie, hoe Hyper-V-netwerken isolatie afdwingen en hoe replicatie, checkpoints en clustering zich gedragen onder belasting en bij storingen. Dit gedeelte legt het beveiligingsmodel voor shielded VM’s en host hardening uit, gaat dieper in op de constructies voor netwerkisolatie, behandelt duurzaamheid via Hyper-V Replica en de werking van checkpoints, en eindigt met Storage Spaces Direct (S2D), Cluster Shared Volumes (CSV) en quorum-ontwerp in Failover Clustering.

Veilige virtualisatie en workload-bescherming

Shielded VM’s beschermen de resources van tenants tegen toegang door de fabric. Host Guardian Service (HGS) fungeert als het vertrouwensanker en levert twee diensten: attestation (valideert de status van de host) en key protection (geeft sleutels vrij om de virtuele TPM van de VM te ontgrendelen). HGS wordt geïmplementeerd in een speciaal, afgeschermd forest of domein om het risico op compromittering te minimaliseren. Er bestaan twee attestation-modi:

TPM-trusted attestation: de sterkste garantie. Hyper-V-hosts vereisen TPM 2.0, Secure Boot, handhaving van code-integriteitsbeleid en measured boot. HGS verifieert de measured boot-logs en de identiteit van de host voordat de key protector wordt vrijgegeven aan de vTPM van de VM.
Admin-trusted (Active Directory) attestation: een lichtere garantie. Hosts bewijzen hun betrouwbaarheid via lidmaatschap van een AD-groep en gepubliceerde host-metadata. Er wordt geen bewijs van measured boot geëvalueerd, waardoor het eenvoudiger is om op te starten, maar het is minder fraudebestendig.

De rollen van fabric en tenant zijn bewust gescheiden. Fabric-beheerders beheren hosts, clusters, opslag en netwerken, maar worden verhinderd om de schijven van shielded VM’s te inspecteren, debuggers te koppelen of de console/PowerShell Direct te gebruiken. Tenant-beheerders bouwen de VM, zijn eigenaar van de OS-inloggegevens en maken shielding data aan (een verzegeld pakket met een unattend-antwoordbestand, RDP-certificaat en guardian-sleutels) om te bepalen waar de VM mag draaien. Shielded VM’s gebruiken BitLocker binnen de guest, verankerd in een vTPM, en alleen guarded hosts die door HGS zijn geattesteerd, ontvangen de geheimen die nodig zijn om op te starten.

Virtualization-Based Security (VBS) verhoogt de beveiligingsgrens tot boven de kernel door Virtual Secure Mode (VSM) te creëren. Met VBS dwingt de hypervisor Virtual Trust Levels (VTL’s) af, waardoor gevoelige componenten in VTL1 worden geïsoleerd naast een beveiligde kernel. Functies zijn onder meer:

Credential Guard: LSASS-geheimen bevinden zich in een geïsoleerd proces (LSAISO) in VSM; het normale OS (VTL0) kan het geheugen niet rechtstreeks lezen.
Hypervisor-Enforced Code Integrity (HVCI): alleen kernelcode die voldoet aan moderne vereisten voor ondertekening en integriteit wordt uitgevoerd; DMA-aanvallen worden beperkt met IOMMU. Vereisten zijn onder meer UEFI met Secure Boot, CPU-virtualisatie met SLAT (Intel EPT/AMD NPT) en IOMMU (Intel VT-d/AMD-Vi). Configureer via Group Policy: ‘Turn On Virtualization Based Security’, schakel vervolgens Credential Guard en HVCI in; vergrendel de configuratie met Secure Boot om terugdraaien te voorkomen. Samen met Generation 2 VM’s, Secure Boot en vTPM biedt VBS/VSM een sterke hardening voor zowel hosts als guests.

Hyper‑V-netwerkisolatie, -replicatie en -checkpoints

Virtuele switches van Hyper‑V dwingen Layer‑2/L3-isolatie af:

Externe switches koppelen aan een fysieke NIC (of een SET-team) om het LAN te bereiken. Gebruik afzonderlijke adapters voor beheer- en tenantverkeer om ‘bleed-over’ te voorkomen.
Interne switches verbinden VM’s alleen met de host; er is geen externe uplink.
Privé-switches verbinden VM’s alleen met elkaar; er is geen connectiviteit met de host of het LAN. VLAN’s segmenteren L2-domeinen. Wijs een access-VLAN per VM-NIC toe voor eenvoudige isolatie of schakel de trunk-modus in om meerdere VLAN’s door te geven aan een VLAN-bewuste gast-appliance. Poort-ACL’s op een VM-netwerkadapter voegen stateless 5-tuple filtering toe (bron-/doel-IP, protocol, poort) met richtingen (in/uit/beide) en acties (toestaan/weigeren/meten). Poort-ACL’s worden door de host afgedwongen en zijn nuttig voor lokale isolatie en rudimentaire egress-controle, maar ze zijn geen vervanging voor een volledige firewall.

Hyper‑V Replica biedt asynchrone replicatie per VM zonder dat gedeelde opslag vereist is. Een server is de primaire server (verstuurt wijzigingslogboeken) en een andere is de replica (ontvangt delta’s op basis van AVHDX). Replicatie-intervallen zijn 30 seconden, 5 minuten of 15 minuten. Authenticatie-opties:

Kerberos (HTTP 80): eenvoudig voor servers die lid zijn van een domein; het verkeer is niet versleuteld. Gebruik IPsec als versleuteling ‘in transit’ vereist is.
Op certificaten gebaseerd (HTTPS 443): TLS-versleuteld, werkt over niet-vertrouwde netwerken en werkgroepen. Plan de firewall-openingen dienovereenkomstig, configureer autorisatie op de replica en selecteer de replica-opslag. Failover-types:
Test Failover: start een geïsoleerde test-VM op de replica zonder de bescherming te beïnvloeden.
Planned Failover: georkestreerde omschakeling; de primaire server wordt afgesloten, de resterende logboeken worden verzonden, wat resulteert in een RPO zonder gegevensverlies bij een gezonde verbinding. Ondersteunt omgekeerde replicatie om de bescherming te herstellen.
Unplanned Failover: wordt geactiveerd wanneer de primaire server niet beschikbaar is; de RPO is gelijk aan het laatst ontvangen logboek. Uitgebreide replicatie kan wijzigingen doorsturen van de replica naar een tertiaire site, wat de redundantie verhoogt.

Checkpoints leggen een ‘point-in-time’-status vast voor herstel en dev/test. Standaard checkpoints slaan het VM-geheugen en de apparaatstatus op, wat onmiddellijke rollbacks mogelijk maakt, maar de consistentie van applicaties kan verstoren. Productiecheckpoints gebruiken VSS (Windows) binnen de gast of een ‘file system flush’ (Linux) om een applicatieconsistente image te creëren zonder geheugenstatus; ze zijn geschikt voor back-upworkflows en herstelpunten met een lange levensduur. De opslag wordt geïmplementeerd als AVHDX-verschilschijven die gekoppeld zijn aan de basis-VHDX. Het toepassen of verwijderen van een checkpoint voegt de keten van verschilschijven online weer samen met de bovenliggende schijf; grote samenvoegingen veroorzaken I/O-druk, dus zorg voor voldoende ‘headroom’ en vermijd diepe ketens (’trees’). Voor domain controllers en gedistribueerde apps verminderen productiecheckpoints USN-rollback en gerelateerde problemen; standaard checkpoints kunnen het beste beperkt blijven tot kortstondig dev/test-werk.

Host-capaciteiten, geneste virtualisatie en VM-generatiebeveiliging

Generatie 2 VM’s starten op via UEFI en ondersteunen Secure Boot en vTPM. Secure Boot verifieert bootloaders aan de hand van een vertrouwde database (gebruik de Windows- of de juiste Linux-template). vTPM brengt TPM 2.0-semantiek naar de gast, wat BitLocker, ‘provisioning’ voor Windows Hello for Business en ‘shielded VM’-scenario’s mogelijk maakt. Waar oudere gasten BIOS of legacy-apparaten vereisen, blijven Generatie 1 VM’s beschikbaar, maar deze missen Secure Boot en vTPM.

Geneste virtualisatie maakt het mogelijk om Hyper‑V binnen een VM te draaien. Vereisten zijn onder meer een compatibele CPU (Intel VT‑x/EPT of AMD‑V/NPT), Windows Server 2016 of later op zowel de host als de gast, en een VM die is geconfigureerd met:

Statisch geheugen (schakel Dynamisch Geheugen uit).
Blootgestelde virtualisatie-extensies (Set‑VMProcessor -ExposeVirtualizationExtensions $true).
MAC address spoofing voor scenario’s waarin de binnenste hosts NAT of ‘bridged networking’ bieden. Gebruiksscenario’s zijn onder meer het draaien van geïsoleerde Hyper‑V-containers, het bouwen van lab-clusters, het testen van failover en CI-pipelines die hypervisors nodig hebben. Azure ondersteunt geneste virtualisatie op specifieke VM-series; zorg ervoor dat de gekozen grootte aansluit bij de behoefte aan virtualisatie-extensies.

Softwaregedefinieerde opslag, CSV-gedrag en quorum

Storage Spaces Direct voegt lokaal aangesloten schijven samen in een clusterbrede pool met behulp van SMB3, RDMA en de clustering-stack. Clustereisen omvatten de Windows Server Datacenter-editie, aan een domein gekoppelde nodes met homogene NIC’s, een netwerk met hoge bandbreedte en lage latentie (10/25/40 GbE; RDMA via iWARP of RoCEv2 aanbevolen) en gevalideerde hardware. Foutdomeinen kunnen nodes, chassis en racks vertegenwoordigen; het configureren ervan verbetert het plaatsings- en herstelgedrag en beperkt gecorreleerde storingen. Resilientietypes omvatten:

Tweevoudige mirror (min. 2 foutdomeinen): prestatiegericht, tolereert één storing.
Drievoudige mirror (min. 3 foutdomeinen): hogere duurzaamheid, tolereert twee storingen.
Dubbele pariteit en door mirror versnelde pariteit: capaciteitsefficiënt met compromissen in schrijflatentie; geschikt voor archivering of gemengde workloads met een write-back cache. Cachinglagen koppelen snellere media (NVMe/SSD) als lees-/schrijfcache aan capaciteitsschijven (SSD/HDD). Write-back cache absorbeert willekeurige schrijfacties en voegt ze samen; afstemming gebeurt per volume. Gebruik ReFS voor versnelde toewijzing, blokklonen en integriteitsstromen; het past goed bij de prestatie- en herstelsystematiek van S2D. Een witness (schijf, file share of cloud) is verplicht voor een S2D met twee nodes om een storing van één node te overleven.

Cluster Shared Volumes (CSV) bieden een consistente naamruimte (C:\ClusterStorage...) aan alle nodes, wat gelijktijdige toegang tot NTFS/ReFS-volumes via CSVFS mogelijk maakt. Normale operaties gebruiken directe I/O, waarbij metadatacoördinatie via SMB plaatsvindt, maar lees-/schrijfacties rechtstreeks de opslagpaden benaderen. Omgeleide I/O wordt ingeschakeld onder bepaalde omstandigheden—onderhoud, storing van een opslagpad, snapshot-/back-upoperaties, of wanneer een volume is gepauzeerd. Er bestaan twee omgeleide modi:

Bestandssysteem-omgeleide I/O: verkeer loopt via SMB naar de coördinator.
Blok-omgeleide I/O: efficiënter voor workloads met veel blokoperaties wanneer dat nodig is. CSV-cache is een read-cache in het hostgeheugen die voordelig is voor workloads die voornamelijk lezen, zoals VHDX parent disks en differencing chains. Configureer de cache op clusterniveau door deze in te schakelen en een blokcachegrootte in te stellen die past bij het beschikbare RAM, waarbij er ruimte overblijft voor de host en de workloads. Monitor de cache-hitratio’s en pas deze conservatief aan om te voorkomen dat het systeemgeheugen uitgeput raakt.

Het Failover Cluster-quorum bepaalt de levensvatbaarheid van het cluster. Modi omvatten:

Node Majority: oneven aantal nodes; overleeft floor((N-1)/2) storingen.
Node and Disk Majority: voegt een schijfwitness toe die deelneemt aan de stemming; goed wanneer er gedeelde opslag aanwezig is.
Node and File Share Majority: gebruikt een file share-witness die buiten het foutdomein van het cluster wordt gehost.
Cloud Witness: maakt gebruik van een Azure Storage-account voor een lichtgewicht, hoog beschikbare witness die ideaal is voor multi-site- en edge-implementaties. Moderne clusters gebruiken dynamisch quorum en een dynamische witness: stemmen worden in realtime aangepast om de tolerantie voor storingen te maximaliseren, en de witness krijgt of verliest automatisch een stem om een gelijke stand te voorkomen. Pas node-gewichten toe om onbetrouwbare nodes indien nodig uit te sluiten van de stemming. Configureer voor clusters met twee nodes altijd een witness (file share of cloud) om een storing van één node te kunnen overleven.

Praktijkscenario

Bij Siemens moet het OT/IT-team een kleine edge-locatie moderniseren die drie Windows Server VM’s host voor productietelemetrie. Ze moeten het verkeer tussen OT- en bedrijfsnetwerken isoleren, de credentials op de hosts beschermen en veerkracht op siteniveau bereiken zonder gedeelde opslag.

Bouw een Hyper-V-failovercluster met twee nodes en Storage Spaces Direct

Waarom: S2D elimineert de noodzaak voor een SAN, biedt mirroring over nodes voor duurzaamheid en integreert met Failover Clustering voor automatische failover. Een file share- of cloud-witness wordt toegevoegd zodat het cluster met twee nodes een storing van één node kan overleven.

Schakel VBS met Credential Guard en HVCI in op beide hosts

Waarom: VBS/VSM isoleert LSASS-credentials en dwingt kernelcode-integriteit af, wat het risico op laterale beweging van malware in een omgeving met gemengde OT-apparaten vermindert.

Gebruik Generatie 2 VM’s met Secure Boot en vTPM

Waarom: UEFI Secure Boot is bestand tegen manipulatie door bootkits; vTPM maakt BitLocker in-guest mogelijk voor data-at-rest. Dit sluit aan bij de eis van Siemens om gevoelige telemetrieconfiguraties te beschermen tegen diefstal op externe locaties.

Maak een externe Hyper-V-switch voor elke fysieke uplink en segmenteer met VLAN’s en Port ACL’s

Waarom: VLAN’s scheiden OT- en bedrijfsverkeer op dezelfde fysieke fabric, terwijl Port ACL’s fijnmazige, door de host afgedwongen filters bieden om oost-westverkeer tussen lagen te voorkomen zonder volledige virtuele appliances op de edge te implementeren.

Configureer Hyper-V Replica van de edge-locatie naar een centrale datacenterréplicaserver via HTTPS

Waarom: Certificaat-gebaseerde authenticatie versleutelt de replicatie end-to-end over niet-vertrouwde WAN-verbindingen. Geplande failover ondersteunt onderhoudsvensters; ongeplande failover biedt DR wanneer de edge-locatie offline is. Omgekeerde replicatie zorgt voor hernieuwde bescherming na een failback.

Standaardiseer uitsluitend op productiecheckpoints

Waarom: Productiecheckpoints leveren applicatieconsistente herstelpunten zonder geheugenstatus, wat geschikt is voor de telemetrie-stack en op de lange termijn veiliger is dan standaard checkpoints die het vluchtige geheugen vastleggen.

Schakel CSV-cache in met een conservatieve omvang

Waarom: Telemetriedashboards die voornamelijk lezen, profiteren van gecachte parent-blokken, wat de responsiviteit verbetert zonder overmatig RAM te verbruiken op edge-nodes met beperkte middelen.

Dit ontwerp gebruikt S2D voor hoge beschikbaarheid, VBS/vTPM/Secure Boot voor versterkt vertrouwen, VLAN’s en Port ACL’s voor deterministische isolatie, en Hyper-V Replica voor de veerkracht van de site—waarbij een balans wordt gevonden tussen beveiliging, prestaties en beheerbaarheid in een edge-footprint met beperkte resources.

← Windows Server Update- en Patchbeheer · Alle domeinen · Disaster Recovery en Bedrijfscontinuïteit →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →