Microsoft AZ-900: Governance & Compliance — Studiegids

By Laurynas Brazys · 23 July 2026 · #microsoft #az-900 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure AZ-900 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Governance in Azure stemt cloudgebruik af op bedrijfs-, beveiligings- en wettelijke vereisten via een gelaagde set van controles: organisatiestructuur, beleid, gestandaardiseerde implementaties, bescherming tegen onbedoelde wijzigingen en continue auditing. Deze mogelijkheden werken native in het Azure Resource Manager-controlepaneel en schalen van een enkele subscription tot grote multi-tenant omgevingen. Goede governance vermindert ‘drift’ (afwijkingen), dwingt consistentie af en levert bewijs van compliance zonder de ontwikkelsnelheid te belemmeren. Compliance is afhankelijk van een sterke inventarisatie en wijzigingsgeschiedenis. Azure biedt bijna-realtime inzicht in resources over subscriptions heen, prescriptieve toewijzingen voor regelgeving, en data discovery om gevoelige informatie te lokaliseren en te classificeren. Het resultaat is een verdedigbare cloud-status waarbij standaarden eenmalig worden gedefinieerd, automatisch worden afgedwongen, continu worden bewezen en op schaal worden gecorrigeerd.

Azure Policy: definities, initiatieven, locatiecontroles en herstel (remediation)

Azure Policy definieert ‘guardrails’ (vangrails) die de configuraties van resources evalueren tijdens het aanmaken/bijwerken (en regelmatig daarna) en de gewenste staten afdwingen. Een beleidsdefinitie (policy definition) gebruikt voorwaarden en effecten om resource-eigenschappen te evalueren die door resource providers worden aangeboden. De belangrijkste effecten zijn Deny, Audit, Append, Modify, DeployIfNotExists, AuditIfNotExists en Disabled. Beleidsregels kunnen worden toegewezen op het niveau van een management group, subscription, resource group of resource, en overerving zorgt ervoor dat bredere toewijzingen doorwerken naar lagere niveaus, tenzij uitgesloten via notScopes. Initiatieven groeperen gerelateerde beleidsdefinities in één pakket met parameters voor een consistente, herhaalbare toewijzing. Een ‘security baseline’-initiatief kan bijvoorbeeld beleidsregels bevatten die diagnostische instellingen vereisen, openbare eindpunten beperken, tagging afdwingen en ontbrekende back-ups auditen. Het toewijzen van het initiatief past alle opgenomen beleidsregels in één actie toe en levert één enkel compliance-overzicht op. De ingebouwde ‘Allowed locations’-beleidsregels beperken waar resource groups en resources kunnen worden aangemaakt, wat implementatie in niet-goedgekeurde regio’s voorkomt en helpt bij dataresidentie en -soevereiniteit. Wanneer een aanmaakverzoek een verboden regio als doel heeft, blokkeert het Deny-effect de operatie voordat deze de resource provider bereikt, wat strikte compliance garandeert. Wanneer ‘drift’ wordt ontdekt, brengen hersteltaken (remediation tasks) resources op schaal weer in overeenstemming met het beleid. Voor DeployIfNotExists- en Modify-beleidsregels wordt de managed identity van een beleidstoewijzing gebruikt om niet-conforme resources opnieuw te configureren (bijvoorbeeld het inschakelen van diagnostische instellingen op storage accounts of het toevoegen van vereiste tags). Hersteltaken kunnen een beperkte scope hebben of over hele subscriptions worden uitgevoerd, en de complianceresultaten worden per beleid en per resource weergegeven voor audit-tracering.

• Doel
  • Beleidsdefinitie: Enkele regel die resource-eigenschappen evalueert
  • Initiatief (Policy Set): Bundel van beleidsdefinities met gedeelde parameters
  • Toewijzingsbereik (Scope): Management group, subscription, resource group of resource
  • Veelvoorkomende Effecten: Deny, Audit, Append, Modify, DeployIfNotExists, AuditIfNotExists
  • Vereisten voor Herstel: Managed identity op de toewijzing; van toepassing op Modify/DeployIfNotExists
• Toepassing
  • Beleidsdefinitie: Afdwingen van SKU, TLS, tags, private endpoints
  • Initiatief (Policy Set): Toepassen van een security- of governance-baseline
  • Toewijzingsbereik (Scope): Brede handhaving met overerving en uitsluitingen
  • Veelvoorkomende Effecten: Strikte handhaving of alleen-auditen voor bewijsvoering
  • Vereisten voor Herstel: Voldoende permissies om doelresources te wijzigen

Azure Blueprints: standaarden verpakken met beleid, RBAC, resource groups en templates

Azure Blueprints verpakt governance-artefacten zodat organisaties op een consistente manier conforme omgevingen kunnen ‘stempelen’ (uitrollen). Een blueprint-definitie kan beleidstoewijzingen, Azure role-based access control (RBAC)-toewijzingen, resource group-definities en implementatie-artefacten zoals ARM-templates (inclusief Bicep) bevatten om standaardinfrastructuur te provisioneren. Parameters maken maatwerk per toewijzing mogelijk, terwijl een enkele, geversioneerde ‘source of truth’ behouden blijft. Blueprints helpen bij het scheiden van “wat moet bestaan en wie wat mag doen” van de workload-code. Een baseline-blueprint kan bijvoorbeeld ‘spoke’ resource groups aanmaken, de Reader-rol toewijzen aan auditteams en de Contributor-rol aan platformteams, een hub-and-spoke netwerktemplate implementeren en initiatieven voor diagnostiek en beveiliging toewijzen. Het toewijzen van de blueprint aan een of meer subscriptions past alle artefacten in de juiste volgorde toe en registreert de compliance-status. Versiebeheer ondersteunt gecontroleerde updates, en het vergrendelen van artefacten (artifact locking) kan kritieke componenten na de implementatie beschermen.

Organisatie en standaarden: managementgroepen, abonnementen, resourcegroepen, naamgeving en tags

De beheerhiërarchie van Azure maakt het mogelijk om governance op schaal toe te passen. Managementgroepen staan boven abonnementen en bieden een plek om beleid en RBAC toe te passen die overerven naar alle onderliggende abonnementen. Abonnementen definiëren facturering, servicequota en een beveiligingsgrens voor de meeste controles. Resourcegroepen bevatten resources met een afgestemde levenscyclus, machtigingen en implementatielogica; elke resource behoort tot precies één resourcegroep en één abonnement. Standaarden voor naamgeving en tagging vertalen de intentie van governance naar operationele duidelijkheid. Namen moeten afkortingen van het resourcetype, de workload, de omgeving en de regio coderen (bijvoorbeeld kv-payroll-prod-eus2) binnen de limieten van de service. Tags voegen bedrijfscontext toe aan resources voor kostentoewijzing, eigendom, dat classificatie en automatiseringssleutels (bijvoorbeeld costCenter=FIN, owner=ops-team@contoso.com, dataSensitivity=Confidential). Azure Policy met Modify- en Append-effecten dwingt de aanwezigheid en waardepatronen van tags af, en kan tags overerven van resourcegroepen naar resources. Consistentie hierin leidt tot betrouwbare kostenrapportage, toegangsbeoordelingen en automatisering van de levenscyclus.

• Managementgroep
  • Doel: Governance op schaal toepassen over abonnementen heen
  • Veelvoorkomend gebruik: Beleid, RBAC en initiatieven toepassen op business units of omgevingen
  • Kan bevatten: Onderliggende managementgroepen en abonnementen
  • Belangrijke opmerkingen: Tot 6 niveaus diep (exclusief de root); overerving stroomt naar beneden
• Abonnement
  • Doel: Facturerings- en servicegrens
  • Veelvoorkomend gebruik: Isolatie van workloads, scheiding van kosten, quotabeheer
  • Kan bevatten: Resourcegroepen en resources
  • Belangrijke opmerkingen: Beleids-/RBAC-toewijzingen hier zijn van invloed op alle onderliggende resourcegroepen
• Resourcegroep
  • Doel: Levenscyclus- en machtigingengrens voor resources
  • Veelvoorkomend gebruik: Gerelateerde resources gezamenlijk implementeren, bijwerken en verwijderen
  • Kan bevatten: Resources
  • Belangrijke opmerkingen: Een resource kan in slechts één RG bestaan; verplaatsingen tussen RG’s/abonnementen hebben servicespecifieke beperkingen

Resource-vergrendelingen en het voorkomen van onbedoelde verwijdering

Resource-vergrendelingen bieden een laatste verdedigingslinie tegen onbedoelde wijzigingen. Vergrendelingen worden toegepast op het niveau van het abonnement, de resourcegroep of de resource en erven naar beneden over. Er bestaan twee soorten vergrendelingen: CanNotDelete voorkomt verwijdering maar staat lees- en schrijfbewerkingen toe, en ReadOnly beperkt alle schrijf- en verwijderingsbewerkingen (waardoor effectief alleen leesbewerkingen zijn toegestaan). Vergrendelingen beschermen tegen acties vanuit de portal, CLI, PowerShell, ARM/Bicep en IaC-tools van derden. Gebruik CanNotDelete op gedeelde of kritieke infrastructuur—virtuele netwerken, route tables, DNS-zones, productie Key Vaults—zodat onderhoud kan doorgaan terwijl verwijderingen worden geblokkeerd. Gebruik ReadOnly spaarzaam voor artefacten die volledig statisch moeten blijven, zoals gearchiveerde storage accounts of containers voor bewijsmateriaal voor regelgeving; veel services vereisen schrijfbewerkingen voor normale werking en zullen falen onder ReadOnly. Alleen principals met voldoende machtigingen (bijvoorbeeld Owner met Microsoft.Authorization/locks/*) kunnen een vergrendeling verwijderen, en het verwijderen van een vergrendeling is zelf een auditeerbare handeling in de Activity Log.

• CanNotDelete
  • Lezen: Toegestaan
  • Schrijven/Updates: Toegestaan
  • Verwijderen: Geblokkeerd
  • Typische use cases: Beschermen van VNet’s, route tables, productie Key Vaults, kritieke RG’s
  • Overwegingen: Staat configuratiewijzigingen toe; verwijderingsoperaties mislukken totdat de vergrendeling is verwijderd
• ReadOnly
  • Lezen: Toegestaan
  • Schrijven/Updates: Geblokkeerd
  • Verwijderen: Geblokkeerd
  • Typische use cases: Bewaren van bewijsarchieven, archiefopslag, onveranderlijke configuraties
  • Overwegingen: Veel services werken niet correct onder ReadOnly; updates en schalen zijn geblokkeerd

Auditing, inventarisatie en naleving van regelgeving: Resource Graph, Activity Log, Defender for Cloud en Microsoft Purview

Azure Resource Graph biedt snelle, grootschalige query’s voor inventarisatie en postuur over abonnementen en beheergroepen heen met behulp van Kusto Query Language (KQL). Hiermee kunnen vragen worden beantwoord zoals welke storage accounts geen encryptie hebben, welke VNets openbare IP-adressen blootstellen en welke resources niet aan het beleid voldoen. De resultaten voeden dashboards, CMDB-synchronisatie en herstelpijplijnen. Resource Graph kan ook de nalevingsstatus van beleid, tag-distributies en dimensies voor kostentoerekening zichtbaar maken in combinatie met gegevens van Cost Management. De Azure Activity Log registreert control-plane-operaties op resources, inclusief wie wat wanneer heeft gedaan, met een standaard bewaartermijn van 90 dagen. Stuur de Activity Log door naar Log Analytics, Azure Storage of Event Hubs voor langdurige bewaring, correlatie en opname in SIEM. Analyse van de wijzigingsgeschiedenis identificeert configuratie-afwijkingen, ondersteunt incidentrespons en levert bewijsmateriaal voor audits. Microsoft Defender for Cloud vertaalt de technische postuur naar overzichten van regelgeving door beoordelingen te koppelen aan standaarden zoals Azure Security Benchmark, ISO/IEC 27001, NIST SP 800-53, PCI DSS en CIS. Het dashboard voor naleving van regelgeving toont geslaagde/mislukte controles, de betreffende resources en richtlijnen voor herstel. Het inschakelen van auto-provisioning integreert agents en beleidsregels waar nodig, en de secure score biedt een invalshoek voor prioritering. Microsoft Purview ontdekt, classificeert en catalogiseert data verspreid over Azure, multicloud en on-premise bronnen. Scans identificeren gevoelige data (bijvoorbeeld financiële, PII, gezondheids-) in Azure Storage, SQL, Synapse, Power BI en vele andere, waarbij ingebouwde of aangepaste classifiers worden toegepast. De Purview Data Map en Catalog bieden herkomst (lineage), eigenaarschap en gevoeligheidslabels die integreren met Microsoft Information Protection, wat dataverliespreventie en beslissingen over toegangsbeleid mogelijk maakt die in lijn zijn met wettelijke verplichtingen.

• Primaire functie
  • Azure Resource Graph: Grootschalige query’s voor inventarisatie en postuur
  • Activity Log: Audittrail van control-plane-operaties
  • Defender for Cloud (Regulatory): Postuur koppelen aan standaarden en herstelacties prioriteren
  • Microsoft Purview: Data-ontdekking, -classificatie, -catalogus, herkomst (lineage)
• Reikwijdte
  • Azure Resource Graph: Over MG’s/abonnementen heen
  • Activity Log: Per tenant met doorsturen naar LA/Storage/Event Hub
  • Defender for Cloud (Regulatory): Per abonnement/tenant met toewijzing van initiatieven
  • Microsoft Purview: Over databronnen heen (Azure, M365, on-prem, multicloud)
• Typische outputs
  • Azure Resource Graph: KQL-queryresultaten, dashboards, exports
  • Activity Log: Wie/wat/wanneer, status, foutcodes
  • Defender for Cloud (Regulatory): Nalevingsstatus van controles, secure score, aanbevelingen
  • Microsoft Purview: Data-assets, gevoeligheidslabels, schema, herkomstgrafieken (lineage graphs)

Praktijkprobleem: Standaardiseren van compliant landing zones bij Fabrikam Retail Group

Scenario: Fabrikam Retail Group is actief in Noord-Amerika en de EU en heeft strikte verplichtingen op het gebied van dataresidentie en PCI DSS. Meerdere applicatieteams implementeren maandelijks workloads, en eerdere ad-hoc implementaties leidden tot inconsistente tagging, resources in niet-goedgekeurde regio’s en het af en toe verwijderen van gedeelde netwerkvoorzieningen. Het management eist gestandaardiseerde, compliant landing zones, continu bewijs van de effectiviteit van controles, en de detectie van gevoelige data in opslag- en analytics-platformen.

Uitdaging: Ontwerp en implementeer een Azure governance-aanpak die regiobeperkingen afdwingt, implementaties standaardiseert met beleid en RBAC, het per ongeluk verwijderen van kerninfrastructuur voorkomt, een inventaris en wijzigingsgeschiedenis bijhoudt, rapporteert conform ISO 27001 en PCI DSS, en gevoelige data detecteert en classificeert.

Aanbevolen aanpak:

1. Creëer een management group-hiërarchie: /Fabrikam root; met daaronder /Corp (gedeelde services), /NA en /EU; voeg onder elk daarvan /Prod en /NonProd toe. Verplaats subscriptions naar de juiste management groups.
2. Stel policy initiatives op op het niveau van de management group: (a) Toegestane locaties per geografie, (b) Vereiste tags (costCenter, owner, dataSensitivity) met Modify/Append, (c) Afdwingen van diagnostische instellingen naar Log Analytics voor kerndiensten, (d) SKU- en openbare netwerkbeperkingen voor PaaS-diensten. Wijs initiatieven toe aan /NA en /EU met regio-specifieke parameters en sluit break-glass subscriptions uit via notScopes.
3. Verpak een blueprint voor de standaard landing zone: artefacten omvatten het aanmaken van hub- en app-resourcegroepen, RBAC-toewijzingen (Network Contributor aan het platformteam, Reader aan audit), beleidstoewijzingen voor diagnostiek en tags, en ARM-templates om vNETs, peering, Key Vault en Log Analytics te implementeren. Versioneer de blueprint en wijs deze toe aan alle Prod- en NonProd-subscriptions.
4. Pas resource locks toe: CanNotDelete op hub-vNETs, route tables, gedeelde DNS-zones en Log Analytics-workspaces; ReadOnly op een archief-storage-account voor wettelijk verplichte exports. Valideer dat Owners van de shared services-subscriptions locks kunnen verwijderen met eigen goedkeuringen wanneer wijzigingen gepland zijn.
5. Activeer de export van het Activity Log van alle subscriptions naar een centrale Log Analytics-workspace en archiveer naar een storage-account met onveranderlijke (op tijd gebaseerde) retentie voor zeven jaar. Bouw Resource Graph-dashboards die non-compliant resources, ontbrekende tags en assets per regio en dataSensitivity-tag weergeven.
6. Activeer Microsoft Defender for Cloud voor de hele tenant. Selecteer ISO/IEC 27001 en PCI DSS als reguleringsstandaarden, schakel automatische provisioning in en controleer de aanbevelingen. Maak werkitems aan voor bevindingen met een hoge ernstgraad en volg de verbeteringen van de secure score per subscription.
7. Implementeer Microsoft Purview in de /Corp shared services-subscription. Registreer Azure SQL, Storage, Synapse en Power BI als databronnen. Configureer geplande scans met ingebouwde typen gevoelige informatie en classificeer datasets. Publiceer de datacatalogus en wijs data-eigenaren toe. Exporteer gedetecteerde gevoeligheidslabels als input voor conditional access en DLP.

Azure-onderbouwing: Deze aanpak begint met scoping via management groups zodat beleid en RBAC voorspelbaar overerven. Vervolgens worden kerncontroles afgedwongen met Azure Policy en initiatives om non-compliance bij de implementatie te voorkomen. De blueprint verpakt beleid, RBAC, resourcegroepen en infrastructuurtemplates om consistente landing zones uit te rollen, terwijl parametrisering per regio en omgeving mogelijk blijft. Resource locks beschermen kritieke gedeelde diensten tegen onbedoelde verwijdering, zonder de dagelijkse configuratie waar nodig te belemmeren. Gecentraliseerde retentie van het Activity Log en Resource Graph leveren een betrouwbare inventaris en bewijs van wijzigingen. Defender for Cloud biedt een live overzicht van reguleringscontroles en geprioriteerde herstelacties, terwijl Microsoft Purview gevoelige data detecteert en classificeert ter ondersteuning van PCI DSS en dataresidentiecontroles binnen het gehele analytics-landschap van Fabrikam.

← Kostenbeheer · Alle domeinen · Monitoring →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →

Blader door Microsoft →