Muitas respostas erradas no AZ-104 não vêm de desconhecer um conceito, mas de escolher por engano um recurso parecido. RBAC, Azure Policy e bloqueios de recursos "bloqueiam alguma coisa", pontos de extremidade de serviço e privados até soam iguais, e tanto os cofres dos Serviços de Recuperação quanto os cofres de Backup guardam backups. Quando duas ou três opções aparecem juntas, conhecer cada definição não basta; é preciso conseguir dizer em uma frase o que as separa.
Este artigo é a parte de revisão da série de estudo do AZ-104. Dos recursos explicados nos artigos de cada domínio, ele escolhe só os grupos que costumam aparecer como resposta errada um do outro no exame e os resume com o critério que os separa e as pistas que aparecem nas questões.
---
Três Perguntas que Separam Recursos Parecidos
Quando você encontra dois recursos parecidos, fazer estas três perguntas em ordem separa a maioria deles.
| Pergunta | O que separa | Exemplo | |------|------|------| | O que controla? | As ações das pessoas ou o estado dos recursos | RBAC é o que as pessoas podem fazer; Policy é como os recursos devem ser | | Até onde vai? | Um recurso, sub-rede ou região vs uma assinatura ou o mundo todo | Load Balancer é regional; Front Door é global | | O que recupera? | Um ponto passado dos dados ou o funcionamento do serviço inteiro | Azure Backup restaura dados; Site Recovery continua em outra região |
As quatro ferramentas de governança se confundem com frequência especial. Basta lembrar que cada uma responde a uma pergunta diferente.
!RBAC, políticas, bloqueios e marcas respondem a perguntas diferentes
---
Domínio 1: Identidade e Governança
RBAC vs Azure Policy vs Bloqueios de Recursos
| Item | Azure RBAC | Azure Policy | Bloqueio de recurso | |------|------|------|------| | O que controla | Operações que uma pessoa (entidade de segurança) pode fazer | Propriedades e configurações dos recursos | Excluir ou alterar o próprio recurso | | Barra um Owner? | Depende da função | Sim (Deny) | Sim | | Pistas na questão | "gerenciar só VMs" | "só regiões aprovadas", "se faltar a marca" | "evitar exclusão acidental" |
Grupos de Segurança vs Grupos do Microsoft 365
| Item | Grupo de segurança | Grupo do Microsoft 365 | |------|------|------| | Uso | Funções do RBAC, atribuição de apps, licenças | Caixa de correio, site de equipe e calendário compartilhados | | Membros | Usuários, dispositivos, outros grupos | Só usuários | | Pistas na questão | "agrupar dispositivos para aplicar uma política" | "e-mail e arquivos que a equipe compartilha" |
A associação atribuída ou dinâmica é um eixo separado do tipo de grupo. Grupos dinâmicos são gerenciados automaticamente por regras de atributos, então não dá para adicionar membros diretamente, e grupos dinâmicos de dispositivos precisam ser grupos de segurança.
---
Domínio 2: Armazenamento
LRS vs ZRS vs GRS vs GZRS
| Item | LRS | ZRS | GRS | GZRS | |------|------|------|------|------| | Alcance da replicação | 3 cópias em um datacenter | 3 zonas de disponibilidade de uma região | LRS na região primária + LRS na secundária | ZRS na região primária + LRS na secundária | | Falhas que suporta | Falhas de disco e de rack | Falha de um datacenter (zona) | Falha de uma região | Falhas de zona e de região | | Pistas na questão | "o mais barato" | "continuar gravando mesmo com falha de zona" | "preparar para desastre regional" | "máxima durabilidade e disponibilidade" |
Quando o nome tem RA- na frente (RA-GRS, RA-GZRS), você pode ler os dados da região secundária a qualquer momento. Sem ele, a região secundária só pode ser lida depois de um failover.
Exclusão Temporária vs Controle de Versão vs Instantâneos
| Item | Exclusão temporária | Controle de versão de blobs | Instantâneo | |------|------|------|------| | Quando é criado | Ao excluir, mantido durante o período de retenção | Automaticamente a cada substituição ou alteração | Manualmente, quando o usuário quiser | | Do que protege | Blobs e contêineres excluídos por engano | Conteúdo substituído por engano | Guardar o estado de um ponto específico | | Pistas na questão | "recuperar arquivos excluídos em até 14 dias" | "voltar para uma versão anterior" | "uma cópia somente leitura antes de alterar" |
Camadas de Acesso: Frequente vs Esporádica vs Fria vs Arquivo
| Item | Frequente (Hot) | Esporádica (Cool) | Fria (Cold) | Arquivo (Archive) | |------|------|------|------|------| | Retenção mínima | Nenhuma | 30 dias | 90 dias | 180 dias | | Leitura | Imediata | Imediata | Imediata | Offline; a reidratação leva horas | | Pistas na questão | "acesso frequente" | "acesso ocasional" | "acesso raro, mas leitura imediata" | "quase nunca lido, pode esperar horas" |
Excluir um blob ou movê-lo para outra camada antes do fim da retenção mínima gera uma cobrança de exclusão antecipada pelos dias restantes.
---
Domínio 3: Computação
Conjuntos de Disponibilidade vs Zonas de Disponibilidade vs Virtual Machine Scale Sets
| Item | Conjunto de disponibilidade | Zonas de disponibilidade | Virtual Machine Scale Sets | |------|------|------|------| | Falha da qual protege | Falhas de rack e manutenção planejada dentro de um datacenter | Falha de um datacenter (zona) inteiro | Mudanças de carga (combina com zonas ou conjuntos) | | SLA de VM (2 ou mais VMs) | 99,95% | 99,99% | Depende do posicionamento | | Pistas na questão | "domínios de falha e de atualização" | "mesmo que um datacenter pare" | "ajustar o número de VMs automaticamente com a carga" |
ACI vs Container Apps vs App Service
| Item | Azure Container Instances | Azure Container Apps | Serviço de Aplicativo do Azure | |------|------|------|------| | Natureza | O jeito mais rápido de rodar um contêiner | Plataforma de aplicativos de contêiner sem servidor | Plataforma de hospedagem de aplicativos web | | Escala | Sem orquestração | Escala automática baseada em KEDA, até zero | Escala vertical e horizontal por plano | | Pistas na questão | "rodar um job em lote simples por pouco tempo" | "escalar a zero com base em eventos", "revisões" | "slots de implantação", "app web com domínio personalizado" |
---
Domínio 4: Rede
NSG vs ASG vs Azure Firewall
| Item | NSG | ASG | Azure Firewall | |------|------|------|------| | Natureza | Regras de permitir e negar de camada 4 associadas a sub-redes e NICs | Agrupamento de VMs por função, usado em regras de NSG | Firewall central gerenciado (com estado, filtragem por FQDN, inteligência contra ameaças) | | Uso sozinho | Sim | Não (só como origem ou destino de regras de NSG) | Sim, normalmente em uma VNet hub | | Pistas na questão | "bloquear a porta 3389" | "escrever regras para o grupo de servidores web em vez de IPs" | "controlar em um só lugar e por FQDN a saída de várias VNets" |
Pontos de Extremidade de Serviço vs Pontos de Extremidade Privados
| Item | Ponto de extremidade de serviço | Ponto de extremidade privado | |------|------|------| | Endereço | O serviço continua usando seu ponto de extremidade público | Um IP privado é criado dentro da VNet | | Alcance | Uma rota otimizada de uma sub-rede para o serviço inteiro | Uma instância de recurso específica | | Acesso local | Não suportado | IP privado acessível por VPN ou ExpressRoute | | Pistas na questão | "permitir só uma sub-rede específica, custo extra mínimo" | "desabilitar o acesso público e usar só IP privado" |
Emparelhamento de VNet vs VPN Gateway vs ExpressRoute
| Item | Emparelhamento de VNet | VPN Gateway | ExpressRoute | |------|------|------|------| | O que conecta | VNets do Azure entre si | Uma VNet com a rede local (ou outra VNet) | Uma VNet com a rede local | | Caminho | Backbone da Microsoft | Túnel criptografado pela internet (IPsec) | Circuito dedicado por meio de um provedor de conectividade, sem passar pela internet | | Pistas na questão | "VMs de duas VNets se comunicam por IPs privados" | "conectar uma filial com segurança pela internet" | "largura de banda previsível, sem passar pela internet" |
A comparação dos quatro serviços de balanceamento de carga (Load Balancer, Application Gateway, Front Door, Traffic Manager) está em IPs Públicos e Como Escolher um Serviço de Balanceamento de Carga no AZ-104.
---
Domínio 5: Monitoramento e Backup
Métricas vs Logs, Log de Atividades vs Logs de Recursos
| Item | Métricas | Log de atividades | Logs de recursos | |------|------|------|------| | O que guarda | Séries temporais numéricas (CPU, número de solicitações) | Operações do plano de controle da assinatura (quem criou ou excluiu o quê) | Operações do plano de dados dentro de um recurso | | Coleta | Automática | Automática, mantido por 90 dias | Só depois de criar uma configuração de diagnóstico | | Pistas na questão | "alertar quando a CPU passar de 80%" | "quem excluiu a VM?" | "quem leu o segredo do Key Vault?" |
Regras de Alerta vs Grupos de Ações vs Regras de Processamento de Alertas
| Item | Regra de alerta | Grupo de ações | Regra de processamento de alertas | |------|------|------|------| | O que decide | Quando disparar um alerta (escopo + condição) | Quem avisar e o que fazer quando o alerta dispara | Adiciona ou suprime grupos de ações em alertas já disparados | | Pistas na questão | "CPU em 80% por 5 minutos" | "e-mail, SMS, executar um runbook" | "silenciar notificações durante a manutenção" |
Cofre dos Serviços de Recuperação vs Cofre de Backup
| Item | Cofre dos Serviços de Recuperação | Cofre de Backup | |------|------|------| | Alvos | VMs do Azure, SQL Server e SAP HANA em VMs, Azure Files, ambiente local (MARS) | Azure Disks, Azure Blob, Azure Database for PostgreSQL e outras cargas mais novas | | Site Recovery | Usa | Não usa | | Pistas na questão | "backup de VMs", "backup do Azure Files" | "backup de instantâneos de discos gerenciados", "backup operacional de blobs" |
Azure Backup vs Azure Site Recovery
| Item | Azure Backup | Azure Site Recovery | |------|------|------| | Finalidade | Re