Microsoft Windows Server Hybrid Administrator Associate AZ-801 — 學習指南

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

邊學邊練。 每個概念都對應 Microsoft 考試中心中附有驗證解答的真實考題，或在 ExamRoll.io 上透過限時練習演練整場考試。

本指南深入講解每個 AZ-801 領域。選擇一個領域深入學習，或依序逐一學習。

領域

• Windows Server 安全性與強化 — 透過 Group Policy 啟用 Credential Guard：電腦設定 > 系統管理範本 > 系統 > Device Guard > 開啟虛擬化型安全性。將「程式碼完整性的虛擬化型保護」設定為「已啟用」，並選擇「Credential Guard
• Microsoft Defender for Cloud 與端點安全性 — Defender for Servers 透過兩種方案提供分層式保護： - 方案 1 (約 5 美元/伺服器/月，區域價格可能不同) 專注於端點層級的保護，其包含了適用於伺服器的 Microsoft Defender for Endpoint Plan 2。它提供具備行為偵測的
• Microsoft Sentinel 與安全性監控 — 透過 AMA 收集的 Syslog 可從支援 Syslog 的 Linux 伺服器和網路設備收集資料。在 Linux 主機 (或專用的 Linux 收集器) 上安裝 AMA，並設定 DCR 來指定要擷取的 facility 和 severity。事件會被寫入 Syslog
• Active Directory Domain Services 安全性 — Protected Users 安全性群組透過移除舊式且有風險的驗證行為，來強化高價值帳戶。其成員： - 無法使用 NTLM、Digest 或 CredSSP - 在 Kerberos 中被拒絕使用 RC4 與 DES - 無法透過 Kerberos 進行委派 (非限制性或限制性委派) -
• Azure Arc 與混合式伺服器管理 — - 指令碼互動式上線 是最快的入門方式。從 Azure 入口網站產生「新增伺服器」指令碼並在本機執行。該指令碼會下載並安裝代理程式，然後使用裝置代碼流程 (device code flow) 向 Azure Resource Manager 驗證您的使用者身分，並建立
• 加密、憑證與 PKI — 次級 (發行) CA 是已加入網域、線上運作且生命週期較短（例如 3-5 年）的 CA，並具有受限制的金鑰用途與 EKU。它們負責發行電腦、使用者及服務憑證，並頻繁且重疊發布 CRL，以避免因發布延遲而導致服務中斷。建議在發行 CA 上使用由 HSM
• Windows Server 更新與修補程式管理 — 核准規則將通道 (rings) 付諸實行。自動核准規則可以為預備生產環境群組立即核准安全性更新 (以及可選的重大更新)，而其他通道則延遲數天或數週。對於大規模部署，請使用帶有期限的明確核准；期限會強制在指定時間前完成安裝，無論用戶端的「使用時間」為何。電腦群組定義了通道與工作負載層級
• Hyper-V、虛擬化與儲存 — 網狀架構和租用戶的角色被刻意分離。網狀架構管理員管理主機、叢集、儲存和網路，但被禁止檢查受防護 VM 的磁碟、附加偵錯工具，或使用主控台/PowerShell Direct。租用戶管理員則負責建置 VM、擁有作業系統認證，並建立防護資料 (shielding data) (一個包含
• 災害復原與業務連續性 — Hyper-V 保護 - 複寫原則：定義 RPO 閾值、復原點保留期和應用程式一致性快照的頻率。例如，將 RPO 閾值設為 15 分鐘，保留 24–72 小時的復原點以供時間點復原，並每 1–4 小時擷取一次應用程式一致性快照。原則可控制頻寬節流和壓縮；可為相關的 VM 啟用多重 VM
• 混合式環境的身分識別與存取管理 — 加入流程仰賴裝置透過「設定」分割區中的 SCP 來探索租用戶、聯繫 enterpriseregistration 端點、使用電腦帳戶進行驗證，並在 Entra 中註冊一個裝置物件。成功註冊後會產生一個「主要重新整理權杖 (Primary Refresh Token,

準備好練習了嗎？

• 瀏覽所有附驗證解答的題目 → — 免費，含解析。
• 在 ExamRoll.io 上開始限時模擬考試 → — 完整題庫，支援 20 多種語言。

瀏覽 Microsoft →