O Microsoft Certified: Azure Administrator Associate (AZ-104) é a certificação de nível Associate para administradores que implementam e operam ambientes Azure por conta própria. Ela vai além de explicar conceitos e pergunta o que é preciso configurar, e como, para atender a um requisito específico, de modo que a experiência prática com os recursos no portal e na CLI é o que decide o resultado.
Este artigo é o guia da nossa série de 16 análises aprofundadas por domínio do AZ-104. Antes de entrar em cada tema, ele traça o mapa completo: a estrutura do exame, para quem ele é indicado e onde esta certificação se encaixa em uma carreira em Azure.
---
Para quem é o AZ-104?
Se o AZ-900 é sobre ler o mapa do metrô, o AZ-104 é sobre conduzir o trem. Você precisa conseguir, de fato, segmentar uma rede virtual, restringir o acesso ao armazenamento e aplicar uma política de backup.
Esta certificação é especialmente indicada para os seguintes perfis.
| Público-alvo | Por que faz sentido | |------|------| | Engenheiros de operações e infraestrutura do Azure | Validação formal do trabalho do dia a dia, como gerenciar VMs, armazenamento, redes e identidades | | Administradores de sistemas e redes on-premises | Um ponto de referência para levar a experiência operacional existente para o Azure | | Quem já tem o AZ-900 | O próximo passo: de entender conceitos a configurar e operar de fato | | Engenheiros de DevOps e de plataforma | Uma certificação prévia válida para o AZ-400 (DevOps Engineer Expert) | | Futuros arquitetos de soluções | A certificação prévia exigida para o AZ-305 (Solutions Architect Expert) |
Não há certificação prévia, então você pode fazer o AZ-104 sem ter o AZ-900. Ainda assim, a Microsoft pressupõe que o candidato conhece sistemas operacionais, redes, servidores e virtualização, e que já trabalhou com PowerShell, Azure CLI, o portal do Azure, modelos do ARM ou Bicep e Microsoft Entra ID. A certificação precisa ser renovada todo ano, mas isso pode ser feito com uma avaliação online gratuita no Microsoft Learn, sem refazer o exame.
---
Informações Gerais do Exame
| Item | Detalhe | |------|------| | Código do exame | AZ-104 | | Nome completo | Microsoft Certified: Azure Administrator Associate | | Nível | Associate (intermediário) | | Pontuação de aprovação | 700 (de 1.000) | | Duração | 100 minutos (120 minutos de tempo de assento, com instruções e termos) | | Questões | Varia (a Microsoft não divulga o número exato de questões) | | Taxa | Varia conforme o país (US$ 165 nos Estados Unidos) | | Validade | 1 ano (renovada por uma avaliação online gratuita no Microsoft Learn) | | Idiomas | 10 idiomas, incluindo português (Brasil) | | Modalidade | Centro de testes Pearson VUE ou exame supervisionado online | | Pré-requisitos | Nenhum (recomenda-se conhecer sistemas operacionais, redes e virtualização, além de experiência operando o Azure) |
Cem minutos parecem suficientes, mas o tempo passa rápido nas questões em que é preciso raciocinar sobre a ordem das etapas de configuração ou o resultado de uma implantação. Marque para revisão as que gerarem dúvida, siga em frente e volte depois. Se você for reprovado, pode refazer o exame após 24 horas; a partir daí cada tentativa exige 14 dias de espera, com o máximo de cinco tentativas em um período de 12 meses.
---
Distribuição de Domínios
O AZ-104 é composto por cinco domínios, e o peso de cada um é publicado como uma faixa. A distribuição abaixo segue o conteúdo oficial revisado em 17 de abril de 2026.
| Domínio | Tópico | Peso | Artigos | |------|------|------|------| | Domínio 1 | Gerenciar identidades e governança do Azure | 20–25% | 4 artigos | | Domínio 2 | Implementar e gerenciar o armazenamento | 15–20% | 2 artigos | | Domínio 3 | Implantar e gerenciar recursos de computação do Azure | 20–25% | 5 artigos | | Domínio 4 | Implementar e gerenciar redes virtuais | 15–20% | 3 artigos | | Domínio 5 | Monitorar e manter os recursos do Azure | 10–15% | 2 artigos |
O Domínio 1 (identidades e governança) e o Domínio 3 (computação) são os de maior peso, com 20–25% cada, seguidos de armazenamento e redes, com 15–20%. Os cinco domínios são distribuídos de forma bem equilibrada, então se aprofundar em apenas uma área não basta para passar. Redes, em particular, é cheia de coisas que só se entendem configurando por conta própria, como a avaliação de regras de NSG e o roteamento, então reserve bastante tempo de prática.
!Peso dos 5 domínios do exame AZ-104
Domínio 1: Gerenciar identidades e governança do Azure (20–25%)
Este domínio cobre quem pode fazer o quê e como as regras da organização são impostas.
Tópicos principais: Gerenciamento de usuários, grupos e licenças do Microsoft Entra; usuários externos; redefinição de senha self-service (SSPR); funções internas e atribuição de funções em diferentes escopos; Azure Policy; bloqueios de recursos; marcas (tags); grupos de gerenciamento, assinaturas e grupos de recursos; controle de custos com orçamentos e alertas.
Dica: As atribuições de função são herdadas de grupo de gerenciamento → assinatura → grupo de recursos → recurso. Diante de um requisito como "que só possam gerenciar VMs em um grupo de recursos", atribua Virtual Machine Contributor no escopo desse grupo de recursos: escolha o escopo mais restrito e o menor conjunto de permissões que resolva.
Posts relacionados: Identidade e Governança, Gerenciamento de Usuários e Grupos do Entra, Como Interpretar Atribuições de Função do Azure RBAC, Hierarquia de Governança e Gerenciamento de Custos
Domínio 2: Implementar e gerenciar o armazenamento (15–20%)
Este domínio cobre como criar contas de armazenamento, controlar o acesso a elas e proteger seus dados.
Tópicos principais: Firewalls de armazenamento e redes virtuais; tokens SAS e políticas de acesso armazenadas; chaves de acesso; acesso baseado em identidade para o Azure Files; opções de redundância e replicação de objetos; criptografia; Storage Explorer e AzCopy; camadas de acesso; exclusão temporária, instantâneos e controle de versão; gerenciamento do ciclo de vida de blobs.
Dica: "Dar a um terceiro acesso temporário com tempo e permissões limitados" → token SAS. "Precisamos poder revogar de uma vez os SAS já emitidos" → emiti-los associados a uma política de acesso armazenada. "Mover automaticamente os blobs para uma camada mais barata após certo período" → gerenciamento do ciclo de vida.
Posts relacionados: Guia Completo de Gerenciamento de Armazenamento, Acesso e Segurança do Armazenamento
Domínio 3: Implantar e gerenciar recursos de computação do Azure (20–25%)
Este domínio cobre como implantar e operar máquinas virtuais, contêineres e App Service, e como automatizar esse trabalho com modelos.
Tópicos principais: Leitura, modificação e implantação de modelos do ARM e arquivos Bicep; criação de VMs e gerenciamento de tamanhos e discos; criptografia no host; zonas de disponibilidade e conjuntos de disponibilidade; Virtual Machine Scale Sets; Azure Container Registry, Container Instances e Container Apps; planos do App Service e escala; TLS e domínios personalizados; slots de implantação.
Dica: "Precisa resistir à queda de um datacenter inteiro" → zonas de disponibilidade. "Proteger-se contra falhas de rack e manutenção planejada dentro de um datacenter" → conjuntos de disponibilidade. "Aumentar e reduzir automaticamente o número de VMs idênticas conforme a carga" → Virtual Machine Scale Sets.
Posts relacionados: Máquinas Virtuais e Automação de Implantação, Operações de VM: Redimensionamento, Discos, Criptografia no Host e Movimentações, Como Ler Modelos ARM e Arquivos Bicep, Dominando Contêineres do Azure e App Service, Operações do App Service: Planos, Dimensionamento, Domínios, TLS e Backup
Domínio 4: Implementar e gerenciar redes virtuais (15–20%)
Este domínio cobre como projetar redes virtuais, controlar o tráfego e configurar a resolução de nomes e o balanceamento de carga.
Tópicos principais: Redes virtuais e sub-redes; emparelhamento (peering); endereços IP públicos; rotas definidas pelo usuário; NSGs e grupos de segurança de aplicativos; avaliação das regras de segurança efetivas; Azure Bastion; pontos de extremidade de serviço e pontos de extremidade privados; Azure DNS; balanceadores de carga internos e públicos.
Dica: As regras de NSG são avaliadas a partir do menor número de prioridade, e a avaliação para na primeira correspondência. "Acessar um serviço PaaS por um IP privado da rede virtual" → ponto de extremidade privado. "Manter o ponto de extremidade público do serviço, mas permitir apenas o tráfego de sub-redes específicas" → ponto de extremidade de serviço.
Posts relacionados: VNet, NSG, DNS e Load Balancer Explicados para Iniciantes, IPs Públicos e Como Escolher um Serviço de Balanceamento de Carga, Solução de Problemas de Rede: Quando uma VM Não Conecta
Domínio 5: Monitorar e manter os recursos do Azure (10–15%)
Este domínio cobre como observar a integridade dos recursos e configurar backup e recuperação para o caso de falhas. É o menor domínio, mas aparece entrelaçado com recursos dos outros domínios.
Tópicos principais: Métricas e logs do Azure Monitor; consultas de log; regras de alerta e grupos de ações; Insights para VMs, armazenamento e redes; Network Watcher e Connection monitor; cofres dos Serviços de Recuperação e cofres de Backup; políticas de backup; Azure Site Recovery e failover.
Dica: "Restaurar para um ponto no tempo um arquivo ou uma VM excluídos por engano" → Azure Backup. "Manter o serviço a partir de outra região mesmo que uma região inteira caia" → Azure Site Recovery. Diferencie-os pelo propósito: o Backup serve para restaurar dados, o Site Recovery para a continuidade do serviço.
Posts relacionados: Entenda o Estado Atual da Sua Nuvem de Forma Clara, Guia Completo de Backup e Recuperação de Desastres no Azure
---
Onde o AZ-104 se encaixa na trilha de certificação do Azure
O AZ-104 fica no meio da trilh