Muchas respuestas incorrectas en AZ-104 no se deben a desconocer un concepto, sino a elegir por error una función parecida. RBAC, Azure Policy y los bloqueos de recursos "bloquean algo", los puntos de conexión de servicio y los privados incluso suenan igual, y tanto los almacenes de Recovery Services como los almacenes de Backup guardan copias de seguridad. Cuando dos o tres opciones aparecen juntas, conocer cada definición no basta; hay que poder decir en una frase qué las separa.
Este artículo es la entrega de repaso de la serie de estudio de AZ-104. De las funciones explicadas en los artículos de cada dominio, escoge solo los grupos que suelen aparecer como respuesta incorrecta unos de otros en el examen y los resume con el criterio que los separa y las pistas que aparecen en las preguntas.
---
Tres Preguntas que Separan Funciones Parecidas
Cuando te encuentras con dos funciones parecidas, hacer estas tres preguntas en orden separa la mayoría.
| Pregunta | Qué separa | Ejemplo | |------|------|------| | ¿Qué controla? | Las acciones de las personas o el estado de los recursos | RBAC es lo que pueden hacer las personas; Policy es cómo deben ser los recursos | | ¿Hasta dónde llega? | Un recurso, una subred o una región frente a una suscripción o todo el mundo | Load Balancer es regional; Front Door es global | | ¿Qué recupera? | Un momento pasado de los datos o el funcionamiento de todo el servicio | Azure Backup restaura datos; Site Recovery sigue funcionando en otra región |
Las cuatro herramientas de gobernanza se confunden con especial frecuencia. Basta con recordar que cada una responde a una pregunta distinta.
!RBAC, las directivas, los bloqueos y las etiquetas responden a preguntas distintas
---
Dominio 1: Identidad y Gobernanza
RBAC vs Azure Policy vs Bloqueos de Recursos
| Elemento | Azure RBAC | Azure Policy | Bloqueo de recursos | |------|------|------|------| | Qué controla | Operaciones que puede hacer una persona (entidad de seguridad) | Propiedades y configuración de los recursos | Eliminar o cambiar el propio recurso | | ¿Detiene a un Owner? | Depende del rol | Sí (Deny) | Sí | | Pistas en la pregunta | "administrar solo VM" | "solo regiones aprobadas", "si falta la etiqueta" | "evitar eliminaciones accidentales" |
Grupos de Seguridad vs Grupos de Microsoft 365
| Elemento | Grupo de seguridad | Grupo de Microsoft 365 | |------|------|------| | Uso | Roles de RBAC, asignación de aplicaciones, licencias | Buzón, sitio de equipo y calendario compartidos | | Miembros | Usuarios, dispositivos, otros grupos | Solo usuarios | | Pistas en la pregunta | "agrupar dispositivos para aplicar una directiva" | "correo y archivos que comparte el equipo" |
La pertenencia asignada o dinámica es un eje distinto del tipo de grupo. Los grupos dinámicos se administran solos con reglas de atributos, así que no se pueden agregar miembros directamente, y los grupos dinámicos de dispositivos deben ser grupos de seguridad.
---
Dominio 2: Almacenamiento
LRS vs ZRS vs GRS vs GZRS
| Elemento | LRS | ZRS | GRS | GZRS | |------|------|------|------|------| | Alcance de la replicación | 3 copias en un centro de datos | 3 zonas de disponibilidad de una región | LRS en la región primaria + LRS en la secundaria | ZRS en la región primaria + LRS en la secundaria | | Fallos que soporta | Fallos de disco y de bastidor | Fallo de un centro de datos (zona) | Fallo de una región | Fallos de zona y de región | | Pistas en la pregunta | "lo más barato" | "seguir escribiendo aunque falle una zona" | "prepararse para un desastre regional" | "máxima durabilidad y disponibilidad" |
Cuando el nombre lleva RA- delante (RA-GRS, RA-GZRS), puedes leer los datos de la región secundaria en todo momento. Sin él, la región secundaria no se puede leer hasta que haya una conmutación por error.
Eliminación Temporal vs Control de Versiones vs Instantáneas
| Elemento | Eliminación temporal | Control de versiones de blobs | Instantánea | |------|------|------|------| | Cuándo se crea | Al eliminar, se conserva durante el período de retención | Automáticamente en cada sobrescritura o modificación | A mano, cuando el usuario quiere | | De qué protege | Blobs y contenedores eliminados por error | Contenido sobrescrito por error | Conservar el estado de un momento concreto | | Pistas en la pregunta | "recuperar archivos eliminados en 14 días" | "volver a una versión anterior" | "una copia de solo lectura antes de cambiarlo" |
Niveles de Acceso: Frecuente vs Esporádico vs Poco Frecuente vs Archivo
| Elemento | Frecuente (Hot) | Esporádico (Cool) | Poco frecuente (Cold) | Archivo (Archive) | |------|------|------|------|------| | Retención mínima | Ninguna | 30 días | 90 días | 180 días | | Lectura | Inmediata | Inmediata | Inmediata | Sin conexión; la rehidratación tarda horas | | Pistas en la pregunta | "acceso frecuente" | "acceso ocasional" | "acceso raro pero lectura inmediata" | "casi nunca se lee, se puede esperar horas" |
Eliminar un blob o moverlo a otro nivel antes de que termine la retención mínima genera un cargo por eliminación anticipada por los días restantes.
---
Dominio 3: Proceso
Conjuntos de Disponibilidad vs Zonas de Disponibilidad vs Virtual Machine Scale Sets
| Elemento | Conjunto de disponibilidad | Zonas de disponibilidad | Virtual Machine Scale Sets | |------|------|------|------| | Fallo del que protege | Fallos de bastidor y mantenimiento planificado dentro de un centro de datos | Fallo de un centro de datos (zona) completo | Cambios de carga (se combina con zonas o conjuntos) | | SLA de VM (2 o más VM) | 99,95 % | 99,99 % | Depende de la colocación | | Pistas en la pregunta | "dominios de error y de actualización" | "aunque se detenga un centro de datos" | "ajustar automáticamente el número de VM según la carga" |
ACI vs Container Apps vs App Service
| Elemento | Azure Container Instances | Azure Container Apps | Azure App Service | |------|------|------|------| | Naturaleza | La forma más rápida de ejecutar un contenedor | Plataforma de aplicaciones de contenedores sin servidor | Plataforma de hospedaje de aplicaciones web | | Escalado | Sin orquestación | Escalado automático basado en KEDA, hasta cero | Escalado vertical y horizontal por plan | | Pistas en la pregunta | "ejecutar un proceso por lotes sencillo un rato" | "escalar a cero según eventos", "revisiones" | "ranuras de implementación", "aplicación web con dominio personalizado" |
---
Dominio 4: Redes
NSG vs ASG vs Azure Firewall
| Elemento | NSG | ASG | Azure Firewall | |------|------|------|------| | Naturaleza | Reglas de permitir y denegar de capa 4 asociadas a subredes y NIC | Agrupación de VM por función que se usa en reglas de NSG | Firewall central administrado (con estado, filtrado por FQDN, inteligencia sobre amenazas) | | Uso por sí solo | Sí | No (solo como origen o destino de reglas de NSG) | Sí, normalmente en una VNet concentradora | | Pistas en la pregunta | "bloquear el puerto 3389" | "escribir reglas para el grupo de servidores web en vez de IP" | "controlar en un solo lugar y por FQDN la salida de muchas VNet" |
Puntos de Conexión de Servicio vs Puntos de Conexión Privados
| Elemento | Punto de conexión de servicio | Punto de conexión privado | |------|------|------| | Dirección | El servicio sigue usando su punto de conexión público | Se crea una IP privada dentro de la VNet | | Alcance | Una ruta optimizada desde una subred hacia todo el servicio | Una instancia de recurso concreta | | Acceso desde la red local | No se admite | IP privada accesible por VPN o ExpressRoute | | Pistas en la pregunta | "permitir solo una subred concreta, costo adicional mínimo" | "deshabilitar el acceso público y usar solo una IP privada" |
Emparejamiento de VNet vs VPN Gateway vs ExpressRoute
| Elemento | Emparejamiento de VNet | VPN Gateway | ExpressRoute | |------|------|------|------| | Qué conecta | VNet de Azure entre sí | Una VNet con la red local (u otra VNet) | Una VNet con la red local | | Ruta | Red troncal de Microsoft | Túnel cifrado por internet (IPsec) | Circuito dedicado a través de un proveedor de conectividad, sin pasar por internet | | Pistas en la pregunta | "las VM de dos VNet se comunican por IP privadas" | "conectar una sucursal de forma segura por internet" | "ancho de banda predecible, sin pasar por internet" |
La comparación de los cuatro servicios de equilibrio de carga (Load Balancer, Application Gateway, Front Door, Traffic Manager) está en IP Públicas y Cómo Elegir un Servicio de Equilibrio de Carga en AZ-104.
---
Dominio 5: Supervisión y Copias de Seguridad
Métricas vs Registros, Registro de Actividad vs Registros de Recursos
| Elemento | Métricas | Registro de actividad | Registros de recursos | |------|------|------|------| | Qué contiene | Series temporales numéricas (CPU, número de solicitudes) | Operaciones del plano de control de la suscripción (quién creó o eliminó qué) | Operaciones del plano de datos dentro de un recurso | | Recopilación | Automática | Automática, se conserva 90 días | Solo después de crear una configuración de diagnóstico | | Pistas en la pregunta | "alertar cuando la CPU supere el 80 %" | "¿quién eliminó la VM?" | "¿quién leyó el secreto de Key Vault?" |
Reglas de Alerta vs Grupos de Acciones vs Reglas de Procesamiento de Alertas
| Elemento | Regla de alerta | Grupo de acciones | Regla de procesamiento de alertas | |------|------|------|------| | Qué decide | Cuándo se dispara una alerta (ámbito + condición) | A quién avisar y qué hacer cuando se dispara | Agrega o suprime grupos de acciones en alertas ya disparadas | | Pistas en la pregunta | "CPU al 80 % durante 5 minutos" | "correo, SMS, ejecutar un runbook" | "silenciar notificaciones durante el mantenimiento" |
Almacén de Recovery Services vs Almacén de Backup
| Elemento | Almacén de Recovery Services | Almacén de Backup | |------|------|------| | Destinos | VM de Az