Microsoft AZ-305: 監控、成本最佳化與維運 — 學習指南

By Laurynas Brazys · 11 August 2026 · #microsoft #az-305 #certification #exam-prep #study-guide

屬於 Microsoft Azure Solutions Architect Expert AZ-305 — 學習指南. 使用經過驗證的解答練習： Microsoft 考試中心, 或參加限時模擬考試： ExamRoll.io.

總覽

一個穩健的 Azure 監控與維運設計，旨在建立單一的遙測結構、可採取行動的警示、受治理的成本，以及全機隊的合規性報告。此解決方案涵蓋了 Azure Monitor 的指標與日誌、Log Analytics 與 Kusto 查詢語言 (KQL)、用於應用程式遙測的 Application Insights，以及透過 Azure Policy、Azure Resource Graph 和 Advisor 實現的維運治理。成本控制透過 Azure Cost Management 來強化，而平台可靠性與變更感知則仰賴 Azure Service Health。Azure Automation 透過可重複的修復與更新協作來形成閉環。Workbooks 則整合這些服務的洞察，以提供維運可視性。

使用 Azure Monitor、Application Insights 與 Workbooks 實現可觀察性

Azure Monitor 蒐集跨平台與工作負載的遙測資料，並儲存時間序列指標與日誌資料。指標是輕量、近乎即時的值，適合用於閾值與 SLO 追蹤（例如：CPU、HTTP 5xx 錯誤率）。日誌則擷取結構化、可查詢的遙測資料，支援關聯性與根本原因分析。設計指標警示以快速偵測症狀，並使用 KQL 設計日誌警示以進行更豐富、基於條件的偵測。

動作群組將偵測與回應解耦。可關聯電子郵件/簡訊/語音、推播通知、安全的 webhook、ITSM 連接器、Azure Functions、Logic Apps 與 Automation runbooks。針對生產與非生產環境使用不同的動作群組，並在計劃性維護期間套用抑制排程。將警示以一致的酬載路由至事件管理系統，並包含資源情境與 runbook 連結。

診斷設定是實現完整可視性的必要條件。在資源、資源群組與訂用帳戶範圍啟用它們，以將指標與資源日誌（例如：Activity、Administrative、Policy、Security、NetworkSecurityGroupFlowEvent）匯出至 Log Analytics 以供查詢、至儲存體以進行冷儲存，以及至 Event Hubs 以串流至 SIEMs。務必在 Activity Log 上設定訂用帳戶層級的診斷設定，以便您能報告部署與原則評估，並建立每月變更報告。

Application Insights 新增了深度的應用程式可觀察性。使用 SDK 或 OpenTelemetry 進行檢測，以取得分散式追蹤、相依性、請求、例外狀況與自訂事件。在支援的情況下，透過 Azure Monitor agent 在 App Services、Functions、AKS 與 VM/VMSS 上進行自動檢測，以盡量減少程式碼變更。可用性測試從多個區域模擬使用者流量；設定頻率、測試地點、SSL/HTTP 檢查與成功標準。Smart Detection 使用內建分析來標記異常模式，例如突發的失敗高峰與效能下降。取樣在保留統計保真度的同時，控制擷取量與成本；對於動態流量使用調適性取樣，或對於確定性分析使用固定速率取樣，並在合規性要求完整擷取的情況下，將關鍵交易從取樣中排除。

Azure Monitor Workbooks 提供互動式、參數化的儀表板，將指標、日誌與成本信號整合在一個成品中。使用訂用帳戶、區域、環境與時間範圍等參數，以實現跨落地區域的重複使用性。將視覺化與敘述性文字結合，以標準化維運劇本與「單頁式 runbook」。將 workbooks 儲存在資源群組中，套用 RBAC 進行存取控制，並將 JSON 範本化以用於基礎設施即程式碼的部署。

大規模使用 Log Analytics 與 KQL

Log Analytics 工作區是 Azure Monitor Logs 的中央彙總點。根據資料落地需求選擇一個區域性的集中式工作區，或在需要嚴格的資料主權或 RBAC 分割時，採用每個落地區域一個工作區的聯合式設計。對於大型企業，偏好採用一個中樞（共享工作區）加上針對敏感或高流量領域的選擇性輪輻工作區。使資料表方案與資料價值對齊：Analytics 資料表用於高價值的安全性與維運資料；Basic Logs 用於僅供搜尋存取的詳細、低價值日誌；Archive 用於長期、低成本的保留，並透過 Search Jobs 擷取。

資料收集規則 (DCRs) 定義了 Azure Monitor Agent (AMA) 蒐集的內容，包括 syslog/事件日誌、效能計數器、Windows 事件通道與自訂文字日誌。每個作業系統類型與角色使用不同的 DCR，並透過 VMSS、擴展集與用於混合雲的 Azure Arc 管理其範圍。為了治理與一致性，偏好使用基於 DCR 的自訂資料表，而非舊版的擷取 API。

保留期必須在調查窗口與成本之間取得平衡。對於日常維運中使用的熱資料套用每個資料表的保留期（例如：30–90 天），並將長尾資料（例如：6–24 個月）封存，以符合合規性與威脅獵捕的需求。監控擷取量、最吵雜的資料表，並在 DCRs 套用取樣或篩選，以避免蒐集多餘的日誌。在可預測的情況下，使用承諾層級來優化擷取成本。

KQL 是維運的通用語言。精通篩選 (where)、轉換 (extend, project)、時間分箱 (bin/1m)、彙總 (summarize by)、聯結 (inner/leftouter) 與呈現 (render timechart)。建立用於日誌警示的排程查詢，並具備節流控制、用於高基數警示的 split-by 維度，以及用於基準化警示的動態閾值。具體化檢視與查詢效能調校（例如：提早捨棄未使用的欄位、縮小時間窗口）可確保查詢的成本效益。對於 ARM 部署報告，查詢 AzureActivity 或匯出至 Log Analytics 的 Azure Resource Graph 變更歷史記錄，並與 Policy 事件關聯以進行治理分析。

成本、健康狀態、Advisor、Resource Graph 與原則合規性

Azure Cost Management 可實現主動式治理。範圍設定在訂用帳戶、資源群組或管理群組的預算，會在達到累計閾值 (例如 50%、80%、100%) 時觸發警示。將預算警示連結到動作群組，以執行 Logic Apps 或 Functions 來標記、縮減，甚至隔離非關鍵資源。使用成本分析 (Cost Analysis) 來建立攤銷檢視、依標籤 (成本中心、擁有者) 分組，並依服務或區域識別異常狀況。保留 (Reservation) 與節省方案 (Savings Plan) 的建議會呈現 VM、SQL、Cosmos DB 等服務的承諾購買機會。評估購買範圍 (單一訂用帳戶或共用)、期限 (1 年或 3 年)，以及涵蓋範圍的匹配度 (執行個體大小彈性、Azure Hybrid Benefit)。

Azure Advisor 持續評估訂用帳戶和資源，並在成本 (適當調整大小、閒置資源、保留)、安全性 (透過 Defender for Cloud)、可靠性 (區域備援、備份/還原狀態)、效能 (擴展、SKU 指引) 和卓越營運 (標籤健康度、原則採用情況) 等方面，產生具優先順序的建議。追蹤 Advisor 分數以量化整體狀態，並推動工程待辦事項的處理。

Azure Service Health 將平台感知能力付諸實踐。「服務問題」會捕捉即時事件；「計劃性維護」會溝通即將到來的平台變更；「健康狀態建議」則包含淘汰通知和最佳實務。設定服務健康狀態警示時可搭配動作群組，並依訂用帳戶、區域和服務進行篩選。將 Service Health 與 Resource Health 搭配使用，以區分平台故障與工作負載問題，從而進行準確的事件分類處理。

Azure Resource Graph 使用類似 KQL 的語法，透過低延遲、大規模的查詢，提供租用戶範圍的資源清查與合規性分析。跨越數千個訂用帳戶進行查詢，以列舉資源漂移、未標記的資產、不安全的組態或不支援的 SKU。將 Resource Graph 的結果與原則合規性資源進行聯結 (join)，以產生管理群組的彙總報告，其中包含例外狀況和上次評估時間。使用變更追蹤 (change tracking) 功能 (若可用) 來捕捉屬性差異，以進行鑑識分析。

Azure Policy 強制執行護欄並衡量合規性。在管理群組、訂用帳戶或資源群組的範圍指派原則 (policy) 和計劃 (initiative)。了解合規性狀態：合規、不合規、衝突、錯誤和已豁免。使用具備理由和到期日的豁免 (exemption)，來模擬風險接受，而不會扭曲合規性指標，並且只排除最小的必要範圍。對於 deployIfNotExists 和 modify 效果，請設定由具備最低權限許可的受控識別 (managed identity) 所支援的修復工作。在合規性儀表板和活動記錄 (Activity Log) 中監控修復工作的狀態、失敗和操作；針對持續性的不合規設定警示。結合 Policy 評估與 Resource Graph 和 Workbooks，以呈現高階主管層級的治理儀表板。

自動化與修補程式管理

Azure Automation 可協調重複性的任務。您可以用 PowerShell 或 Python 編寫 Runbook，並透過排程、webhook、事件型觸發器或警示來觸發。使用 Hybrid Runbook Workers，在私有網路或其他雲端中，靠近資源的地方執行自動化，並由 Azure Arc 進行治理。實作標準化的模組和錯誤處理，並將祕密儲存在 Key Vault 中。

Update Management 確保作業系統的更新狀態。組織可以使用 Azure Automation Update Management (舊版) 或 Azure Update Manager，進行大規模的修補程式協調，包含評估、核准、維護期間和動態群組。整合警示以捕捉失敗的部署，並依訂用帳戶、作業系統和嚴重性產生合規性報告。對於組態漂移，Azure Automation State Configuration (DSC) 會套用宣告式組態、追蹤合規性並修復偏差。將組態模型化為程式碼 (as code)、進行版本控制，並分階段部署到不同環境。

整合警示以觸發 Runbook，用於自動修復情境：在 CPU 飽和時擴增、在心跳遺失時重啟失敗的服務，或隔離由 Policy 偵測到的不合規資源。透過 ITSM 連接器建立事件來完成整個流程，並透過嵌入在 Runbook 中的 Log Analytics 查詢，包含修復前後的證據。

實務問題情境

Tailwind Traders 在六個訂用帳戶中，於 AKS、App Service 和 Azure SQL Database 上營運一個多區域的電子商務平台。領導團隊要求 99.9% 的服務可用性、每月部署變更報告、透過承諾方案降低 20% 的成本，以及對標籤和網路原則的可稽核合規性。

1. 建立集中式遙測

• 建立兩個 Log Analytics 工作區 (美國、歐盟)，以滿足資料落地和 RBAC 的需求。在訂用帳戶、資源群組和所有關鍵資源上設定診斷設定，將計量/資源記錄和活動記錄傳送到區域性工作區。選擇此方案是因為區域性的雙工作區模型能在不產生跨境資料移動的情況下，平衡主權、效能和集中式分析。

2. 檢測應用程式

• 在支援的情況下，為 App Service 和 AKS sidecar 啟用具備自動檢測功能的 Application Insights；對於以 Go 語言編寫的服務，則使用 OpenTelemetry。設定調適性取樣和分散式追蹤。選擇此方案是為了以最少的程式碼變更和可控的擷取成本，獲得對請求、相依性和例外狀況的深度可見性。

3. 可採取行動的警示

• 針對 SLO 症狀 (p95 延遲、5xx 錯誤率、佇列深度) 實作計量警示，並針對錯誤爆量和自訂 KQL 偵測實作記錄警示。將警示路由到角色型動作群組：維運待命團隊 (PagerDuty + 電子郵件)、SRE 自動化 (Logic App) 和領導團隊 (電子郵件摘要)。這樣可以將偵測與回應分離，並實現客製化、可靠的事件路由。

4. 可用性與使用者體驗

• 針對店面和結帳 API 設定多區域的 Application Insights 可用性測試，並採用嚴格的 SSL 和內容斷言。選擇此方案是為了能獨立於內部計量，偵測到影響外部客戶的問題。

5. 營運儀表板

• 建立帶有參數 (訂用帳戶、區域、環境) 的 Azure Monitor Workbooks，結合計量、KQL 圖表以及指向追蹤和記錄的鑽研連結。採用 IaC 方式部署 workbook 的 JSON。Workbooks 為 NOC 和 SRE 提供了共享的、互動式的「單頁式執行手冊」。

6. 成本治理

• 依訂用帳戶和部門標籤設定預算，並在達到 50/80/100% 時發出警示，觸發 Logic App 通知擁有者並開設 ITSM 工單。使用 Cost Analysis 的攤銷檢視，並啟用保留方案與節省方案的建議；為穩定的 SQL MI 工作負載購買 3 年期保留方案，並為高突發性的運算購買節省方案。這能透過自動化護欄直接達成降低 20% 成本的目標。

7. Advisor 與 Service Health

• 每週檢視 Azure Advisor；為適當調整大小和區域備援建立待辦項目。針對使用中的區域和服務設定 Service Health 警示，並將其流向待命動作群組。這些措施確保了持續改進和對平台事件的快速感知能力。

8. 合規性與機群報告

• 指派一個 Azure Policy 方案，強制要求必要的標籤、不允許在 NIC 上使用公用 IP，並要求啟用診斷設定。對經核准的例外情況使用具到期日的豁免。使用受控識別設定補救工作。使用 Azure Resource Graph 查詢所有訂用帳戶的原則合規性和未標記的資產，並在 Workbooks 中呈現結果以供稽核。這創建了可稽核、可衡量合規性的自動化治理。

9. 部署變更報告

• 在 Log Analytics 中查詢 AzureActivity 以取得 ARM 部署資訊，並與原則評估記錄相互關聯，以產生每月報告，再透過 Logic App 以電子郵件寄出。這利用了活動記錄作為部署事件的權威來源，無需自訂代理程式。

10. 自動化修復與修補

• 當心跳警示觸發時，使用 Azure Automation Runbook 透過 AKS API 重新啟動不健康的 Pod，並輪替來自 Key Vault 的祕密。啟用 Azure Update Manager 以透過維護期間和動態群組來達成修補程式合規性。Hybrid Runbook Workers 能安全地執行受網路限制的任務。這完成了從偵測到解決的閉環，並保持機群的更新狀態。

每個選擇的服務都將客製化開發降至最低，可跨訂用帳戶擴展，並與治理、成本和可靠性目標保持一致，同時維持清晰的營運所有權。

← 整合與訊息傳遞架構 · 所有領域 · 遷移與現代化 →

練習這些題目 → · 在 ExamRoll.io 上限時練習 →

瀏覽 Microsoft →