Microsoft AZ-104: Maszyny wirtualne Azure i usługi obliczeniowe — Przewodnik do nauki

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Część Microsoft Azure Administrator Associate AZ-104 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów Microsoft, albo rozwiąż testy na czas na ExamRoll.io.

Przegląd

Maszyny wirtualne (VM) Azure zapewniają elastyczną moc obliczeniową dla obciążeń Windows i Linux z precyzyjną kontrolą nad rozmiarem, pamięcią masową, dostępnością, siecią, bezpieczeństwem i zarządzaniem cyklem życia. Administratorzy muszą rozumieć rodziny rozmiarów, konstrukcje dostępności, automatyzację skalowania, pojemność spot, rozszerzenia, modele pamięci masowej, hosty dedykowane, kopie zapasowe i wzorce bezpiecznego dostępu, aby osiągnąć cele w zakresie niezawodności, wydajności i kosztów.

Opcje obliczeniowe i dobór rozmiaru

Rodziny rozmiarów maszyn wirtualnych są przeznaczone dla różnych profili obciążeń. Maszyny ogólnego przeznaczenia (Dv, Ev, seria B z możliwością burstingu) równoważą stosunek vCPU do pamięci dla serwerów internetowych, małych baz danych i serwerów aplikacji. Maszyny zoptymalizowane pod kątem obliczeń (Fsv2, HB/HBv2 dla HPC ograniczonych wydajnością procesora) maksymalizują liczbę vCPU na GB i są dostrojone do wysokiej częstotliwości taktowania, co jest korzystne dla bezstanowych warstw API, zadań wsadowych i serwerów gier. Maszyny zoptymalizowane pod kątem pamięci (Ev5, Mv2/Mv3) oferują więcej pamięci na vCPU i obsługują pamięci podręczne w pamięci operacyjnej, silniki analityczne i duże bazy danych. Maszyny wirtualne z GPU (NV, NVv4 do wizualizacji; NC/ND do trenowania i wnioskowania AI z CUDA) zawierają procesory graficzne NVIDIA z partycjonowaniem vGPU w niektórych jednostkach SKU w celu zwiększenia gęstości i efektywności kosztowej; zgodność sterowników i frameworków powinna być zweryfikowana i przypinana za pomocą rozszerzeń.

Operacje uaktualniania i zmiany rozmiaru są ograniczone dostępnością sprzętu w klastrze docelowym; zmiana rozmiaru maszyny wirtualnej w zestawie dostępności (availability set) może zakończyć się niepowodzeniem z powodu błędów alokacji, jeśli pojemność jest ograniczona. Cofnięcie alokacji wszystkich maszyn wirtualnych w zestawie, a następnie zmiana ich rozmiaru często kończy się sukcesem, ponieważ pozwala na ich rozmieszczenie na różnym sprzęcie. Gdy wymagane są statyczne wewnętrzne adresy IP, przypisuje się je w konfiguracji karty sieciowej (NIC) w Azure, a nie w systemie operacyjnym gościa.

Usługa Azure Dedicated Hosts umieszcza maszyny wirtualne na fizycznych serwerach dla jednego dzierżawcy, zapewniając izolację na poziomie hosta, zgodność z przepisami i przewidywalność. Grupy hostów (Host groups) definiują zbiór hostów w regionie i mogą obejmować strefy dostępności (availability zones) oraz domeny błędów hosta, aby rozproszyć ryzyko awarii hosta i konserwacji. Domeny błędów hosta w ramach grupy hostów zapewniają, że maszyny wirtualne są rozmieszczone na różnych fizycznych szafach rack. Korzyści licencyjne obejmują możliwość przeniesienia licencji Windows Server/SQL Server z pakietem Software Assurance lub w ramach Azure Hybrid Benefit oraz opcję licencjonowania na hosta (przydatne dla SQL Enterprise/Windows Datacenter) zamiast na maszynę wirtualną, co potencjalnie obniża koszty przy gęstej konsolidacji.

Dostępność, skalowanie i optymalizacja kosztów

Zestawy dostępności (Availability sets) chronią przed awariami sprzętu i planowaną konserwacją w obrębie centrum danych. Maszyny wirtualne są rozmieszczane w domenach błędów (fault domains - osobne zasilanie/szafa rack) i domenach aktualizacji (update domains - fale konserwacji). Typowe limity to do 3 domen błędów i 20 domen aktualizacji; wdrożenie co najmniej dwóch instancji pozwala uzyskać SLA na poziomie 99,95%. Strefy dostępności (Availability zones) zapewniają wyższą odporność poprzez umieszczanie zasobów w fizycznie oddzielnych budynkach centrum danych w obrębie regionu; wdrożenie dwóch lub więcej maszyn wirtualnych w różnych strefach daje SLA dla maszyn wirtualnych na poziomie 99,99%. Strefy wymagają zasobów świadomych stref (zone-aware), a ruch między strefami wykorzystuje load balancer w wersji Standard SKU lub application gateway; należy zaplanować koszty wychodzącego ruchu danych (data egress) w obrębie regionu.

Usługa Virtual Machine Scale Sets (VMSS) orkiestruje flotami identycznych lub heterogenicznych maszyn wirtualnych ze zintegrowanym automatycznym skalowaniem i zarządzaniem kondycją. Orkiestracja jednolita (Uniform) wykorzystuje model zestawu skalowania z jednym profilem maszyny wirtualnej i integruje się natywnie z Azure Load Balancer lub Application Gateway. Orkiestracja elastyczna (Flexible) obsługuje różnorodne jednostki SKU maszyn wirtualnych i indywidualność instancji, łączy się z zestawami/strefami dostępności i jest odpowiednia dla ról stanowych lub mieszanych. Tryby uaktualniania określają zachowanie podczas wdrażania: Ręczny (Manual - administrator inicjuje uaktualnienia), Automatyczny (Automatic - platforma aktualizuje wszystkie instancje po zmianie modelu) oraz Kroczący (Rolling - partie z sondami kondycji, pauza między partiami i progi niepowodzeń). Zasady automatycznego skalowania reagują na metryki (CPU, pamięć przez AMA, długość kolejki, metryki niestandardowe), harmonogramy lub oba te czynniki; zdefiniuj minimalną/maksymalną/pożądaną pojemność, okresy ‘cooldown’ i zasady skalowania w dół (np. najpierw najnowsza maszyna wirtualna), aby kontrolować rotację. Do zarządzania ruchem przychodzącym na dużą skalę używaj pul NAT dla ruchu przychodzącego (inbound NAT pools) w publicznym lub wewnętrznym Standard Load Balancer. Sondy kondycji (Health probes) powinny być skierowane na rzeczywisty port i protokół usługi; w przypadku SQL Always On z wewnętrznym load balancerem użyj sondy TCP na porcie nasłuchującym, a nie HTTP.

Maszyny Azure Spot VMs wykorzystują niewykorzystaną pojemność Azure ze znaczącymi rabatami, ale bez gwarancji dostępności. Eksmisja (eviction) następuje, gdy pojemność zostanie odzyskana lub cena rynkowa przekroczy Twoją cenę maksymalną; można ustawić zasady eksmisji na Cofnij alokację (Deallocate - zachowuje dysk do późniejszego ponownego uruchomienia, gdy będzie dostępna) lub Usuń (Delete - całkowite usunięcie podczas eksmisji). Integrują się one z VMSS i Standard Load Balancer w celu skalowania bezstanowego. Odpowiednie przypadki użycia obejmują przetwarzanie wsadowe, runnerów CI/CD, rendering, fuzzing oraz duże, bezstanowe farmy internetowe, które mogą tolerować przerwy w działaniu. Unikaj maszyn Spot dla produkcji na pojedynczej instancji lub dla warstw stanowych bez mechanizmów checkpointingu. Limity cenowe zapobiegają płaceniu więcej niż ustalony próg; jeśli popyt gwałtownie wzrośnie, należy spodziewać się wyższych wskaźników eksmisji.

Pamięć masowa, kopie zapasowe i zarządzanie obrazami

Każda maszyna wirtualna ma dysk systemu operacyjnego (dysk zarządzany, z pamięcią podręczną zoptymalizowaną pod kątem rozruchu) oraz opcjonalne dyski danych na potrzeby aplikacji. Dysk tymczasowy (Windows D:, w Linuksie często /dev/sdb) znajduje się na hoście i nie jest trwały; należy go używać wyłącznie do efemerycznych pamięci podręcznych lub pliku stronicowania/swap. Dyski zarządzane abstrahują konta magazynu, oferują opcje redundancji strefowej/regionalnej, upraszczają skalowanie i poprawiają dystrybucję w zestawach dostępności. Dyski niezarządzane, umieszczane na kontach magazynu klienta, są przestarzałe i należy ich unikać ze względu na limity skalowania i dławienia (throttlingu). Wybierz jednostki SKU dysków w zależności od wydajności i kosztu: Premium SSD i Premium SSD v2 dla obciążeń transakcyjnych o niskim opóźnieniu, Ultra Disk dla ekstremalnej przepustowości/IOPS z regulowaną wydajnością, Standard SSD do ogólnego użytku oraz Standard HDD dla zimnych obciążeń (cold workloads).

Odłączenie dysku danych od jednej maszyny wirtualnej przed podłączeniem go do innej minimalizuje przestoje i zachowuje spójność danych. Operacje zmiany rozmiaru dysków zazwyczaj wymagają rozszerzenia partycji/systemu plików wewnątrz systemu gościa; duże zmiany rozmiaru maszyny wirtualnej mogą wymagać cofnięcia alokacji.

Usługa Azure Backup chroni maszyny wirtualne za pomocą magazynu Recovery Services. Włącz kopię zapasową na maszynie wirtualnej lub na dużą skalę poprzez przypisanie zasad. Zasady tworzenia kopii zapasowych definiują harmonogramy (dzienne/tygodniowe), przechowywanie (krótko- i długoterminowe) oraz parametry Instant Restore (przechowywanie migawek lokalnie w celu szybkiego odzyskiwania plików). Kopie zapasowe spójne z aplikacją są dostępne za pośrednictwem VSS dla systemu Windows lub skryptów pre/post w systemie Linux. Przywracanie może dotyczyć całej maszyny wirtualnej (zazwyczaj do nowej maszyny), dysków (w celu ponownego podłączenia/szybkiego odzyskania) lub plików (przywracanie na poziomie plików do dowolnej maszyny wirtualnej w subskrypcji z bezpiecznym montowaniem). Kopie zapasowe działają dla maszyn wirtualnych uruchomionych i zatrzymanych (w tym z cofniętą alokacją). Zapewnij zgodność szyfrowania: klucze zarządzane przez platformę są domyślnie obsługiwane, a Azure Disk Encryption wymaga dodatkowych kroków w celu wykonania kopii zapasowej. Rozważ przywracanie międzyregionowe, jeśli Twój magazyn ma włączony magazyn geograficznie redundantny, a Twoje wymogi zgodności na to pozwalają.

Dla złotych obrazów użyj Azure Compute Gallery do wersjonowania i replikowania obrazów między regionami; przesyłanie uogólnionych dysków VHD z środowiska on-premises można wykonać za pomocą narzędzi takich jak Add-AzVhd, a następnie przechwycić je do galerii w celu zapewnienia spójnego provisioningu.

Sieć, dostęp i obserwowalność

Każda maszyna wirtualna wymaga co najmniej jednego interfejsu sieciowego (NIC), który zawiera jedną lub więcej konfiguracji IP. Pojedynczy NIC może mieć podstawowy prywatny adres IP oraz dodatkowe, pomocnicze prywatne adresy IP; powiąż publiczny adres IP z konfiguracją IP, aby udostępnić usługi. Większość obciążeń potrzebuje tylko jednego interfejsu NIC na maszynę wirtualną; rozmiary maszyn określają limity NIC. Wdrażając pięć maszyn wirtualnych, z których każda potrzebuje zarówno publicznego, jak i prywatnego adresu IP o identycznej konfiguracji bezpieczeństwa, utwórz jeden NIC na maszynę i jedną grupę Network Security Group zastosowaną na poziomie podsieci (lub NIC), aby wymusić jednolite reguły przychodzące/wychodzące. Przypisanie prywatnego adresu IP powinno być statyczne na poziomie NIC w Azure, aby zachować ciągłość adresacji; nie ustawiaj statycznych adresów IP wewnątrz systemu gościa. Publiczne adresy IP powinny używać jednostki SKU Standard w celu obsługi stref i zestawów skalowania; w środowisku produkcyjnym połącz je z usługą Standard Load Balancer.

Funkcja Accelerated Networking wykorzystuje SR-IOV do ominięcia ścieżki danych hosta i zmniejszenia opóźnień, jittera oraz obciążenia procesora. Jest obsługiwana w wybranych rozmiarach maszyn wirtualnych i obrazach systemu operacyjnego oraz wymaga zgodnego interfejsu vNIC w momencie tworzenia (lub zatrzymania/cofnięcia alokacji w celu włączenia). Używaj jej dla usług o wysokiej przepustowości i niskim opóźnieniu oraz dla obciążonych warstw bram.

Usługa Azure Bastion zapewnia bezpieczne połączenia RDP/SSH przez TLS bezpośrednio z portalu Azure lub klienta natywnego, bez konieczności udostępniania publicznych adresów IP na maszynach wirtualnych. Wdróż hosta Bastion w docelowej sieci wirtualnej, w dedykowanej podsieci o nazwie AzureBastionSubnet z prefiksem /26 lub większym, i powiąż publiczny adres IP w wersji Standard z zasobem Bastion. Dostępne jednostki SKU to Basic i Standard; wersja Standard dodaje funkcje takie jak ręczne skalowanie (instancje), połączenia oparte na IP (do dowolnego osiągalnego prywatnego adresu IP, w tym w ramach połączonych sieci VNet), obsługę klienta natywnego, integrację z nagrywaniem sesji oraz linki do udostępniania. Użyj usługi Bastion, aby zapewnić administracyjny dostęp w modelu zero-trust, unikając jednocześnie publicznych punktów końcowych dla każdej maszyny wirtualnej i reguł NAT dla ruchu przychodzącego.

Rozszerzenia maszyn wirtualnych automatyzują konfigurację i telemetrię. Rozszerzenie Custom Script Extension uruchamia skrypty PowerShell lub Bash podczas lub po provisioningu, aby inicjować oprogramowanie lub wstrzykiwać pliki konfiguracyjne; projektuj skrypty idempotentne i przechowuj artefakty w bezpiecznym magazynie z tokenami SAS. Rozszerzenie PowerShell DSC stosuje Desired State Configuration, aby doprowadzić węzły Windows do zadeklarowanego stanu; do zarządzania na dużą skalę używaj serwerów pull lub Azure Automation State Configuration. Agent Azure Monitor Agent (instalowany za pomocą rozszerzenia) przesyła strumieniowo metryki i logi gościa do obszarów roboczych Log Analytics w ramach reguł zbierania danych (Data Collection Rules); preferuj agenta AMA nad starszym agentem Log Analytics/MMA ze względu na granularne kierowanie danych, multihoming i skalowalność.

Konstrukcje dostępności w praktyce i umowy SLA

Wybierz zestawy dostępności, gdy potrzebujesz redundancji wewnątrz centrum danych ze współdzielonymi backendami pamięci masowej i nie wymagasz rozmieszczenia strefowego. Wybierz strefy dostępności dla usług o znaczeniu krytycznym, które wymagają izolacji od awarii na poziomie budynku i wyższej umowy SLA. W przypadku usług skalowalnych w poziomie połącz VMSS ze strefami, aby uzyskać równomierne rozłożenie i automatyczne leczenie; przypnij sondy kondycji do portów obciążenia roboczego i wykorzystaj aktualizacje stopniowe, aby ograniczyć ryzyko. Pamiętaj, że pojedyncze maszyny wirtualne, nawet z dyskami Premium SSD, oferują niższą umowę SLA niż wdrożenia wieloinstancyjne. W przypadku wrażliwych na koszty warstw bezstanowych, włącz pulę maszyn wirtualnych Spot za usługą Standard Load Balancer i ustaw konserwatywne zasady eksmisji i skalowania w dół, aby chronić pojemność bazową.

Praktyczny scenariusz problemowy

Firma Contoso Ltd. obsługuje wielowarstwową aplikację internetową z bezstanowym API, stanową pamięcią podręczną Redis oraz grupą dostępności SQL Server Always On. Muszą poprawić odporność na awarie strefowe, zmniejszyć koszty zasobów obliczeniowych dla warstwy API, zabezpieczyć dostęp administracyjny bez publicznych adresów IP oraz ustandaryzować monitorowanie i tworzenie kopii zapasowych.

Utwórz trzy podsieci w topologii hub-spoke: współdzieloną podsieć zarządzania (hub), podsieć web/API (spoke) oraz podsieć danych (spoke). Wdróż usługę Azure Bastion Standard w podsieci AzureBastionSubnet (/26) w hubie ze standardowym publicznym adresem IP. Uzasadnienie: Bastion umożliwia połączenia RDP/SSH przez TLS bez wystawiania publicznych adresów IP na żadnej maszynie wirtualnej, a jednostka SKU Standard obsługuje połączenia oparte na IP między równorzędnymi sieciami VNet, centralizując dostęp administracyjny.
Wdróż warstwę API jako VM Scale Set (Uniform) w Strefach Dostępności 1, 2 i 3 z usługą Standard Load Balancer. Włącz przyspieszoną sieć i ustaw reguły automatycznego skalowania, aby dodawać instancje, gdy średnie użycie procesora > 65% przez 10 minut, i usuwać, gdy < 35%, z okresem schładzania. Dodaj drugorzędną pulę maszyn wirtualnych Spot w ramach tego samego zestawu skalowania, używając orkiestracji Flexible lub towarzyszącego zestawu skalowania, konfigurując maksymalną cenę i zasady eksmisji Deallocate. Uzasadnienie: VMSS w połączeniu ze strefami zapewnia SLA na poziomie 99,99% i automatyczne leczenie; pojemność Spot obniża koszty dla obciążeń szczytowych, podczas gdy zasada Deallocate zachowuje dyski w celu szybkiego ponownego użycia.
Wdróż maszyny wirtualne pamięci podręcznej Redis w zestawie dostępności z co najmniej 2 instancjami i dyskami Premium SSD. Przypnij domeny błędów do 2 i polegaj na 20 domenach aktualizacji platformy. Uzasadnienie: Pamięć podręczna jest stanowa, ale może się replikować; zestawy dostępności zapewniają izolację na poziomie szafy serwerowej i konserwacji bez kar za opóźnienia między strefami.
Wdróż dwie maszyny wirtualne SQL Server w każdej strefie (Strefy 1 i 2) uczestniczące w grupie dostępności Always On. Umieść je na hostach dedykowanych Azure Dedicated Hosts w ramach grupy hostów obejmującej dwie strefy i dwie domeny błędów hosta. Skonfiguruj wewnętrzny Standard Load Balancer z sondą TCP na porcie nasłuchu (np. 1433) dla odbiornika grupy dostępności. Uzasadnienie: Hosty dedykowane zapewniają izolację na poziomie hosta i efektywność licencyjną (licencjonowanie SQL na hosta), podczas gdy rozmieszczenie strefowe i sondowanie kondycji TCP są zgodne z wymaganiami odbiornika SQL.
Standaryzuj obrazy za pomocą Azure Compute Gallery zawierającej wzmocnione obrazy systemu operacyjnego. Użyj rozszerzenia Custom Script Extension do instalacji wymagań wstępnych aplikacji oraz rozszerzenia DSC do wymuszania stanu funkcji systemu Windows i bazowych ustawień rejestru. Uzasadnienie: Obrazy z galerii zapewniają spójne udostępnianie; rozszerzenia umożliwiają powtarzalną konfigurację i kontrolę nad zmianami (drift control).
Skonfiguruj agenta Azure Monitor Agent za pomocą reguł zbierania danych (Data Collection Rules), aby wysyłać metryki i logi gościa do obszaru roboczego Log Analytics. Włącz monitorowanie połączeń i mapy zależności w razie potrzeby. Uzasadnienie: AMA to aktualny agent, obsługuje szczegółowy routing i jest wymagany dla nowoczesnych funkcji monitorowania oraz automatycznego skalowania VMSS opartego na metrykach innych niż użycie procesora.
Zabezpiecz wszystkie maszyny wirtualne za pomocą Azure Backup w magazynie Recovery Services vault, używając dwóch zasad: zasady Tier-1 z codziennymi kopiami zapasowymi i 30-dniowym przechowywaniem dla API/pamięci podręcznej oraz zasady Tier-0 z codziennym oraz tygodniowym/miesięcznym przechowywaniem dla SQL z migawkami spójnymi z aplikacją. Testuj odzyskiwanie, wykonując odzyskiwanie na poziomie plików na maszynę wirtualną typu jump VM oraz pełne przywracanie maszyny wirtualnej do sieci tymczasowej (staging network). Uzasadnienie: Oddzielne zasady odpowiadają krytyczności danych oraz celom RPO/RTO; odzyskiwanie plików i przywracanie maszyn wirtualnych obejmuje scenariusze ataków ransomware i awarii.
Przypisz statyczne prywatne adresy IP do kart sieciowych (NIC) maszyn SQL i Redis na poziomie Azure NIC; instancje API pozostaw z dynamicznymi adresami za modułem równoważenia obciążenia. Zastosuj pojedynczą grupę NSG na każdej podsieci, aby wymusić jednolite reguły. Włącz przyspieszoną sieć na obciążonych warstwach. Uzasadnienie: Statyczne przypisanie na poziomie karty sieciowej zachowuje adresację dla warstw stanowych; grupy NSG na poziomie podsieci minimalizują rozrost reguł; przyspieszona sieć zmniejsza opóźnienia i obciążenie procesora.

Ten projekt spełnia cele w zakresie dostępności, kosztów, bezpieczeństwa i operacji poprzez odpowiednie połączenie stref i zestawów dostępności, wykorzystanie maszyn Spot do skalowania warstw bezstanowych, wymuszenie administracyjnego dostępu opartego na zasadzie zero-trust za pomocą usługi Bastion oraz standaryzację konfiguracji, monitorowania i tworzenia kopii zapasowych we wszystkich warstwach.

← Subskrypcje Azure · Wszystkie domeny · Sieci wirtualne Azure →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →