Microsoft AZ-500: Bezpieczeństwo Compute, kontenerów i punktów końcowych — Przewodnik do nauki

By Laurynas Brazys · 11 August 2026 · #microsoft #az-500 #certification #exam-prep #study-guide

Część Microsoft Azure Security Engineer Associate AZ-500 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów Microsoft, albo rozwiąż testy na czas na ExamRoll.io.

Przegląd

Ta sekcja stanowi operacyjny przewodnik po zabezpieczaniu zasobów obliczeniowych, kontenerów i punktów końcowych Azure w modelach IaaS i PaaS. Skupia się na tym, jak konfigurować zabezpieczenia, dlaczego są one ważne oraz jak egzekwować je w spójny sposób za pomocą natywnych mechanizmów kontroli Azure.

Bezpieczeństwo zasobów obliczeniowych i punktów końcowych

Ochrona platformy maszyn wirtualnych Azure i opcje szyfrowania są fundamentalne.

• Secure Boot, vTPM i Trusted Launch: Trusted Launch wzmacnia zabezpieczenia maszyn wirtualnych generacji 2 (Gen2) poprzez włączenie UEFI Secure Boot i wirtualnego modułu TPM (vTPM). Secure Boot zapobiega uruchamianiu niepodpisanych bootloaderów/rootkitów. vTPM zapewnia odporny na manipulacje magazyn kluczy (np. dla BitLocker) i wspiera funkcję Measured Boot, dzięki czemu platforma może poświadczyć integralność łańcucha rozruchowego systemu operacyjnego. Operacyjnie, włącz Trusted Launch podczas wdrażania i wymuszaj jego stosowanie za pomocą polityk, aby zapewnić, że wszystkie nowe maszyny wirtualne uzyskują sprzętowe sprawdzanie integralności bez konieczności ręcznego zarządzania statycznymi ustawieniami BIOS/UEFI przez administratorów.

• Maszyny wirtualne typu Confidential: Używaj serii maszyn wirtualnych typu confidential opartych na technologii AMD SEV-SNP lub Intel TDX (np. DCasv5/DCadsv5), aby szyfrować pamięć maszyn wirtualnych i zapewniać atestację. Chroni to obciążenia robocze przed złośliwym hostem/hiperwizorem oraz atakami typu side-channel. Operacyjnie, wybieraj jednostki SKU typu confidential dla scenariuszy z wysoce wrażliwymi danymi w użyciu, integruj atestację w swoim potoku wdrożeniowym i preferuj efemeryczne dyski systemu operacyjnego, gdy potrzebujesz szybkich wdrożeń bez konieczności zachowywania danych.

• Opcje szyfrowania dysków:

  • Azure Disk Encryption (ADE): BitLocker (Windows) lub DM-Crypt (Linux) wewnątrz systemu gościa, klucze w Key Vault (BEK/KEK). Przydatne, gdy potrzebujesz domen kryptograficznych opartych na systemie gościa, sprawdzania zgodności wewnątrz systemu operacyjnego lub wykorzystania BitLocker powiązanego z vTPM. Wymaga agenta i operacji związanych z cyklem życia w celu utrzymania kondycji rozszerzenia.
  • Server-Side Encryption (SSE) z kluczami zarządzanymi przez klienta (CMK): Szyfrowanie na poziomie magazynu dla dysków zarządzanych przy użyciu kluczy z Key Vault lub Managed HSM. Brak agentów w systemie gościa, pełne pokrycie platformy (dyski, migawki, obrazy), minimalny narzut operacyjny. Zalecane jako domyślne rozwiązanie dla większości przypadków użycia; połącz z Trusted Launch lub Confidential VMs dla silniejszej obrony w głąb (defense-in-depth).

• Microsoft Defender for Servers:

  • Plan 1: Microsoft Defender for Endpoint (MDE) do ochrony EDR/punktów końcowych na serwerach. Wybierz ten plan, jeśli posiadasz już dojrzałe narzędzia do zarządzania podatnościami i konfiguracją, a potrzebujesz głównie EDR.
  • Plan 2: Dodaje agentową/bezagentową ocenę podatności, dostęp do maszyn wirtualnych just-in-time (JIT), adaptacyjne kontrole aplikacji, adaptacyjne wzmacnianie zabezpieczeń sieci oraz monitorowanie integralności plików (FIM). Wybierz ten plan, gdy chcesz redukcji ekspozycji na zagrożenia sterowanej przez platformę i aktywnego nadzoru bez konieczności integrowania wielu narzędzi.
  • Ochrona punktów końcowych: Wdróż MDE za pomocą rozszerzeń maszyn wirtualnych lub przez Arc dla serwerów spoza Azure, aby ustandaryzować telemetrię, ochronę przed manipulacją i scenariusze reagowania (playbooks) w środowiskach hybrydowych.
  • Ocena podatności: Użyj sygnału z modułu Threat & Vulnerability Management w MDE lub zintegrowanego skanera (np. Qualys) do inwentaryzacji CVE, priorytetyzacji według możliwości wykorzystania luki i orkiestracji procesu łatania. Operacyjnie, najpierw ustal stan bazowy (baseline) dla krytycznych serwerów wystawionych do internetu; powiąż działania naprawcze z oknami serwisowymi.
  • Monitorowanie integralności plików: Śledź zmiany w wrażliwych plikach/kluczach rejestru, aby wykrywać podejrzane manipulacje i spełniać wymagania zgodności. Skonfiguruj zawężone ścieżki monitorowania, aby uniknąć szumu informacyjnego, i przesyłaj alerty do swojego systemu SIEM.

• Redukcja ekspozycji na zagrożenia z Defender for Cloud:

  • Dostęp do maszyn wirtualnych Just-in-Time: Zamyka przychodzący ruch RDP/SSH. Administratorzy żądają dostępu ograniczonego czasowo; Defender otwiera regułę w NSG lub Azure Firewall i rejestruje aktywność. Rezultatem jest drastycznie zmniejszona powierzchnia ataku z audytowalnymi wyjątkami.
  • Adaptacyjne kontrole aplikacji: Uczy się normalnych procesów i tworzy listy dozwolonych aplikacji (AppLocker w systemie Windows, reguły audytu dla Linuksa). Blokuje to niezatwierdzone pliki binarne i skrypty — jest to szczególnie skuteczne przeciwko atakom bezplikowym lub typu LOLBin.
  • Adaptacyjne wzmacnianie zabezpieczeń sieci: Wykorzystuje analizę ruchu i analizę zagrożeń (threat intelligence) do proponowania zaostrzenia reguł NSG. Przyjmij cykliczny proces przeglądu i wdrażania, aby iteracyjnie ograniczać ekspozycję, unikając jednocześnie przerw w działaniu usług.
  • Konfiguracja gościa: Azure Policy do audytu/naprawy wewnątrz systemu gościa (Windows i Linux) za pośrednictwem agenta lub Azure Arc. Użyj tej funkcji do egzekwowania bazowych konfiguracji systemu operacyjnego, polityk haseł i ustawień zgodnych z benchmarkami CIS, gdy potrzebujesz weryfikowalnego stanu konfiguracji, a nie tylko oceny stanu platformy.

Usługi obliczeniowe PaaS: App Service i Functions

Wzorce typu secure-by-default zmniejszają powierzchnię ataku na usługi PaaS.

• Azure App Service:

  • Uwierzytelnianie/Autoryzacja: Włącz App Service Authentication, aby przenieść uwierzytelnianie do Microsoft Entra ID lub innych dostawców. Użyj Easy Auth dla standardowych przepływów OIDC/OAuth2, a następnie wymuś logowanie na wszystkich ścieżkach, aby wyeliminować dostęp bez uwierzytelnienia.
  • Ograniczenia dostępu: Zezwalaj na ruch lub blokuj go na podstawie adresów IP/CIDR, tagów usług lub ruchu z sieci wirtualnej za pośrednictwem prywatnych punktów końcowych (private endpoints). Utrzymuj oddzielne reguły dla punktu końcowego scm i punktu końcowego aplikacji, aby niezależnie chronić płaszczyznę wdrożenia.
  • Prywatne punkty końcowe (Private Endpoints): Udostępnij aplikację za pośrednictwem prywatnego adresu IP w Twojej sieci VNet i opcjonalnie wyłącz dostęp publiczny. Używaj prywatnych stref DNS i ograniczaj zależności wychodzące za pomocą VNet Integration oraz centralnego zapory sieciowej dla ruchu wychodzącego.
  • Tożsamości zarządzane (Managed Identities): Preferuj tożsamości przypisane przez system lub przez użytkownika, aby uzyskiwać dostęp do Key Vault, Storage i innych usług. Eliminuje to osadzone klucze tajne i umożliwia scentralizowane przypisywanie ról oraz rotację kluczy.

• Azure Functions:

  • Zarządzanie kluczami: Usługa Functions używa kluczy funkcji, kluczy hosta i klucza głównego (master key). Regularnie rotuj klucze i przechowuj klucze używane zewnętrznie w usłudze Key Vault lub, jeśli to możliwe, zastąp je odpowiednimi przepływami OAuth.
  • Integracja sieciowa: Używaj prywatnych punktów końcowych (private endpoints) dla dostępu przychodzącego do aplikacji Function oraz regionalnej integracji VNet (VNet Integration) do kontroli ruchu wychodzącego. Ogranicz dostęp do konta Storage używanego przez Functions tylko do wybranych sieci i dodaj prywatny punkt końcowy funkcji do dozwolonych sieci.
  • Tożsamości: Używaj tożsamości zarządzanych do uwierzytelniania między usługami zamiast kluczy lub parametrów połączenia (connection strings). Stosuj zasadę najmniejszych uprawnień poprzez przypisania RBAC o wąskim zakresie.
  • Kontrola wdrożeń: Wymuszaj użycie tylko FTPS, wyłącz uwierzytelnianie podstawowe (basic auth) dla witryny scm, ogranicz adresy IP dla scm i używaj opcji Run From Package, aby zapewnić niezmienność wdrożeń. Zintegruj CI/CD z federacją tożsamości obciążeń (workload identity federation), aby wyeliminować długoterminowe klucze tajne.

Kubernetes i bezpieczeństwo kontenerów

Wzmacniaj klastry i łańcuchy dostaw od początku do końca (end-to-end).

• Tożsamość i autoryzacja w AKS:

  • Integracja z Microsoft Entra: Włącz zarządzaną integrację AAD dla AKS, aby uwierzytelniać kubectl za pomocą tokenów i grup z Entra. Centralizuje to cykl życia użytkownika oraz mechanizmy MFA/Conditional Access.
  • Kubernetes RBAC: Mapuj użytkowników/grupy z Entra na role i powiązania ról (role bindings) w Kubernetes, aby uzyskać najmniejsze uprawnienia w zakresie przestrzeni nazw (namespace).
  • Azure RBAC dla Kubernetes: Używaj wbudowanych ról (np. Azure Kubernetes Service RBAC Viewer/Admin), gdy chcesz, aby Azure RBAC bezpośrednio autoryzował akcje na API Kubernetes. Ujednolica to autoryzację i audyt z płaszczyzną sterowania Azure.

• Sieć i prywatność w AKS:

  • Polityki sieciowe: Wymuszaj reguły ruchu między podami oraz między podami a usługami za pomocą Azure NPM lub Calico. Stosuj zasadę domyślnego blokowania (deny by default) i jawnie zezwalaj na wymagany ruch wychodzący; podejście policy-as-code zapobiega ruchowi bocznemu (lateral movement).
  • Klastry prywatne: Ustaw serwer API jako prywatny, dostępny tylko przez prywatne punkty końcowe (private endpoints). Połącz to z Azure Bastion/Private Link i strategią dla ruchu wychodzącego przez zaporę sieciową (NAT Gateway + UDRs), aby utrzymać płaszczyznę zarządzania z dala od publicznego internetu.

• Bezpieczeństwo Container Registry (ACR):

  • RBAC: Przypisz rolę AcrPull do obciążeń, które muszą tylko pobierać obrazy, a AcrPush do potoków budujących; unikaj nadmiarowo uprzywilejowanej roli Owner. Role AcrPull i AcrPush są zgodne z zasadą najmniejszych uprawnień.
  • Zaufanie do treści i podpisywanie: Podpisuj obrazy za pomocą cosign i wymuszaj weryfikację za pomocą kontroli dostępu (admission control) (Gatekeeper + Ratify) przed uruchomieniem podów. Chroni to przed zmodyfikowanymi obrazami.
  • Skanowanie obrazów: Włącz Microsoft Defender for Cloud, aby skanować ACR podczas operacji push/import oraz zgodnie z harmonogramem. Blokuj wdrażanie obrazów z krytycznymi, niezałatanymi podatnościami CVE za pomocą polityk dostępu (admission policies).
  • Wzorzec kwarantanny: Przekierowuj nowe obrazy do repozytorium lub tagu kwarantanny, uruchamiaj skanowanie i sprawdzanie polityk, a następnie promuj je poprzez ponowne otagowanie po zatwierdzeniu.
  • Dostęp prywatny: Wyłącz publiczny dostęp sieciowy i używaj prywatnych punktów końcowych oraz reguł zapory dla rejestru. Połącz AKS z ACR za pomocą przypisania roli na poziomie zasobu, a nie roli katalogowej.

Krótki przykład połączenia ACR z AKS przy użyciu tożsamości zarządzanej klastra:

az aks update -g rg-aks -n myAKS --attach-acr myAcrName

• Microsoft Defender for Containers: Wdraża sensor na płaszczyźnie danych w AKS, monitoruje logi audytowe Kubernetes i sygnały w czasie rzeczywistym, a także koreluje je z wynikami skanowania obrazów. Wykrywa podejrzane polecenia exec wewnątrz podów, kopanie kryptowalut, udostępnione publicznie pulpity nawigacyjne i ryzykowne operacje na płaszczyźnie sterowania. Włącz automatyczne udostępnianie (auto-provisioning) i połącz alerty z systemem SIEM/SOAR w celu ich analizy.

Zarządzanie, zasady i egzekwowanie

Spójna kontrola wymaga stosowania zasad na etapie wdrażania i w czasie działania.

• Azure Policy dla zasobów obliczeniowych i dysków:
  • Blokuj tworzenie maszyn wirtualnych bez funkcji trusted launch lub bez SSE z kluczem zarządzanym przez klienta (CMK).
  • Wymuszaj stosowanie rozszerzeń VM do ochrony punktów końcowych za pomocą DeployIfNotExists, aby automatycznie instalować wymagane agenty.
  • Audytuj zgodność konfiguracji gościa; naprawiaj odchylenia (drift) zgodnie z harmonogramem.

Krótki fragment zasady wdrażającej wymagane rozszerzenie VM, jeśli go brakuje:

"policyRule": {
  "if": { "field": "type", "equals": "Microsoft.Compute/virtualMachines" },
  "then": {
    "effect": "DeployIfNotExists",
    "details": {
      "type": "Microsoft.Compute/virtualMachines/extensions",
      "name": "MDE.Windows"
    }
  }
}

• Kontrole dostępu (admission controls) w Kubernetes:
  • Dodatek Azure Policy dla AKS wykorzystuje Gatekeeper (OPA) do oceny specyfikacji podów przy ich przyjmowaniu (admission). Wymuszaj reguły takie jak „pobieraj obrazy tylko z ACR”, „brak uprzywilejowanych kontenerów” i „wymagaj podpisów obrazów”.
  • Utrzymuj oddzielne inicjatywy dla poziomu podstawowego (wymaganego) i wzmocnionego (dla wrażliwych przestrzeni nazw), aby umożliwić stopniowe utwardzanie (hardening).

Krótkie ograniczenie (constraint) Gatekeepera do limitowania rejestrów:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sAllowedRepos
metadata:
  name: allowed-acr-only
spec:
  parameters:
    repos:
    - myacr.azurecr.io/

• Rytm operacyjny:
  • Wykrywaj: Używaj rekomendacji i alertów z Defender for Cloud jako sygnałów o odchyleniach (drift) i zagrożeniach.
  • Decyduj: Przeprowadzaj ocenę (triage) na podstawie wpływu na biznes i możliwości wykorzystania luki; przypisuj właścicieli za pomocą tagów.
  • Egzekwuj: Przekształcaj udane wdrożenia pilotażowe w zasady typu deny / ograniczenia dostępu (admission constraints); mierz zablokowane próby, aby wykrywać zjawisko shadow IT.

Praktyczny scenariusz problemowy

Firma Adobe Inc. migruje mikrousługę płatności do Azure. Wymagania bezpieczeństwa nakazują zerową ekspozycję publiczną, używanie wyłącznie podpisanych obrazów oraz ograniczony czasowo dostęp administracyjny do starszych maszyn wirtualnych podczas okresu przejściowego (cutover).

1. Ustaw płaszczyznę sterowania AKS jako prywatną i zablokuj ruch wychodzący (egress).

• Uzasadnienie: Prywatny serwer API AKS usuwa płaszczyznę zarządzania z publicznego internetu. NAT Gateway w połączeniu z Azure Firewall i jawnymi regułami ruchu wychodzącego zapewnia, że obciążenia robocze komunikują się tylko z zatwierdzonymi punktami końcowymi (ACR, Key Vault, repozytoria pakietów Microsoft).

2. Wymuszaj używanie podpisanych obrazów i ogranicz rejestry.

• Uzasadnienie: Skonfiguruj Gatekeeper z ograniczeniami, które zezwalają na obrazy tylko z myacr.azurecr.io i wymagają podpisów cosign weryfikowanych przez Ratify. Zapobiega to uruchamianiu zmodyfikowanych lub niezaufanych obrazów, zamykając poważne ryzyko w łańcuchu dostaw.

3. Zabezpiecz ACR za pomocą prywatnych punktów końcowych i ról o najniższych uprawnieniach.

• Uzasadnienie: Wyłącz publiczny dostęp sieciowy i udostępnij ACR przez prywatny punkt końcowy w sieci wirtualnej (VNet) klastra AKS. Nadaj tożsamości zarządzanej AKS tylko rolę AcrPull, a potokowi (pipeline) budowania rolę AcrPush. Jest to zgodne z zasadą najniższych uprawnień i eliminuje zależność od internetu.

4. Włącz Defender for Containers i skanowanie obrazów w ACR.

• Uzasadnienie: Ciągłe skanowanie obrazów przy operacji push oraz wykrywanie zagrożeń w czasie rzeczywistym zapewniają wielowarstwową ochronę. Alerty unifikują informacje o błędnych konfiguracjach, znanych podatnościach i podejrzanych zachowaniach, umożliwiając szybką reakcję.

5. Chroń narzędzia administracyjne oparte na App Service za pomocą uwierzytelniania i dostępu prywatnego.

• Uzasadnienie: Użyj App Service Authentication z Microsoft Entra ID, aby wymusić MFA i Conditional Access. Utwórz prywatny punkt końcowy dla aplikacji administracyjnej i osobno ogranicz dostęp do scm. Tożsamości zarządzane eliminują potrzebę przechowywania sekretów do dostępu do Key Vault.

6. Użyj dostępu Just-in-Time (JIT) do maszyn wirtualnych dla starszych hostów podczas okresu przejściowego.

• Uzasadnienie: JIT domyślnie zamyka porty RDP/SSH i otwiera je tylko na zatwierdzone żądania na ograniczony czas. To ściśle ogranicza okna czasowe ekspozycji, zachowując jednocześnie dostęp awaryjny.

7. Standaryzuj wybór szyfrowania: SSE z CMK dla dysków; Trusted Launch dla maszyn wirtualnych.

• Uzasadnienie: SSE z CMK minimalizuje obciążenie operacyjne i centralizuje cykl życia kluczy w Key Vault, podczas gdy Trusted Launch/vTPM dodaje integralność rozruchu i ochronę kluczy. ADE jest zarezerwowane tylko dla przypadków, w których kontraktowo wymagany jest dowód domeny kryptograficznej opartej na systemie gościa.

8. Zastosuj Azure Policy i kontrole dostępu (admission control) jako bariery ochronne (guardrails).

• Uzasadnienie: Inicjatywy Azure Policy wymuszają stosowanie trusted launch, wymaganych rozszerzeń VM oraz blokują publiczny dostęp do ACR/Function. Ograniczenia Gatekeeper implementują kontrole dostępu w czasie rzeczywistym dla AKS. Razem zapewniają, że konfiguracje pozostają zgodne w miarę iteracji zespołów.

9. Weryfikuj i działaj w oparciu o ciągłe zarządzanie (governance).

• Uzasadnienie: Zintegruj alerty z Defender for Cloud i MDE z systemem SIEM firmy Adobe, mierz efektywność zasad (deny vs. audit) i co miesiąc przeglądaj wyjątki. Przekształca to jednorazowe kontrole w trwały model operacyjny bezpieczeństwa.

← Architektura bezpieczeństwa sieci · Wszystkie domeny · Bezpieczeństwo danych →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →

Przeglądaj Microsoft →