O item "gerenciar assinaturas e governança do Azure" do domínio 1 do AZ-104 (20–25%) reúne Azure Policy, bloqueios de recursos, marcas, grupos de recursos, assinaturas, grupos de gerenciamento e "gerenciar custos com alertas, orçamentos e recomendações do Azure Advisor". Nosso banco de questões tem mais de 20 questões nessa área, e a resposta costuma depender de uma regra de comportamento: "Essa configuração é herdada pelos escopos inferiores?", "Ela vale para recursos que já existem?", "Ela barra também um Owner?".
Este artigo primeiro desenha a hierarquia de governança dos grupos de gerenciamento até os recursos e depois explica como o Azure Policy, os bloqueios de recursos e as marcas se comportam sobre ela. Por fim, cobre o gerenciamento de custos com orçamentos, alertas de custo e o Azure Advisor. O RBAC, que decide o que as pessoas podem fazer, está em Como Interpretar Atribuições de Função do Azure RBAC no AZ-104, e o básico de políticas e bloqueios em Identidade e Governança.
---
A Hierarquia de Governança: dos Grupos de Gerenciamento aos Recursos
Uma empresa coloca diretorias sob a matriz, equipes sob as diretorias e funcionários sob as equipes. As regras definidas pela matriz valem para todas as diretorias e equipes. O Azure também agrupa os recursos em quatro níveis, grupo de gerenciamento → assinatura → grupo de recursos → recurso, e faz descer para os níveis inferiores as configurações aplicadas acima.
| Nível | Papel | O que lembrar | |------|------|------| | Grupo de gerenciamento | Agrupa assinaturas para aplicar políticas e funções de uma vez | Até 10.000 por diretório, árvore de até seis níveis, um grupo de gerenciamento raiz no topo | | Assinatura | Limite de cobrança e de acesso | Pertence a um único grupo de gerenciamento; transferi-la para outro locatário do Entra exclui todas as atribuições de função | | Grupo de recursos | Agrupamento lógico de recursos que compartilham ciclo de vida | Um recurso pertence a um único grupo, grupos não se aninham, excluir o grupo exclui tudo que há nele | | Recurso | Serviços reais como VMs, contas de armazenamento e VNets | Pode estar em uma região diferente da do seu grupo de recursos |
Cada grupo de gerenciamento e cada assinatura pode ter um único pai. Quando você move uma assinatura para outro grupo de gerenciamento, ela passa a receber as políticas e atribuições de função do novo pai e perde o que herdava do anterior.
!Na hierarquia de governança, RBAC, políticas e bloqueios são herdados, mas as marcas não
Dica para o exame: "Aplicar a mesma política a várias assinaturas de uma vez" significa atribuir a política a um grupo de gerenciamento. Se "os usuários não conseguem acessar os recursos depois que uma assinatura foi transferida para outro locatário", é porque a transferência excluiu permanentemente as atribuições de função, que precisam ser refeitas no novo locatário.
---
Azure Policy: Regras que os Recursos Precisam Seguir
Se o RBAC decide "quem pode fazer o quê", o Azure Policy decide "como os recursos devem ser". Ele pode impedir até um Owner de criar um recurso que viola a política.
| Componente | Significado | |------|------| | Definição de política | Uma única regra (condição + efeito) | | Iniciativa | Um conjunto que agrupa várias definições de política | | Atribuição | Aplica uma definição ou iniciativa a um escopo, com escopos filhos excluídos opcionais | | Isenção | Tira recursos específicos da avaliação, mas mantém o registro |
O efeito decide o que uma política faz quando encontra um recurso que atende à condição.
| Efeito | Comportamento | Pistas na questão | |------|------|------| | Deny | Rejeita solicitações de criação ou atualização que violam a regra | "permitir criação só em regiões aprovadas" | | Audit | Permite a solicitação, mas registra como não conforme | "não bloquear, só relatar" | | Append | Adiciona campos na criação ou atualização | "acrescentar um valor de configuração à solicitação" | | Modify | Adiciona, altera ou remove propriedades como marcas; recursos existentes são corrigidos com uma tarefa de correção | "adicionar a marca automaticamente se faltar" | | DeployIfNotExists | Implanta um recurso relacionado se ele não existir | "implantar as configurações de diagnóstico automaticamente se faltarem" | | AuditIfNotExists | Registra a não conformidade se um recurso relacionado não existir | "relatar VMs sem a extensão" | | DenyAction | Bloqueia uma ação específica (como excluir) | "bloquear a exclusão de recursos críticos" | | Disabled | A política está desligada | Manter a atribuição, mas desligá-la por enquanto |
As políticas são avaliadas quando um recurso é criado ou atualizado e quando uma atribuição é criada, e depois reavaliadas a cada 24 horas. Atribuir uma nova política Deny não exclui nem altera os recursos existentes; só os marca como não conformes. Para corrigir recursos existentes, você executa uma tarefa de correção de uma política DeployIfNotExists ou Modify, e a identidade gerenciada da atribuição precisa ter a função necessária.
Dica para o exame: "Aplicar a marca também aos recursos existentes não conformes" significa atribuir uma política Modify e depois executar uma tarefa de correção. Uma opção que só atribui uma política Deny bloqueia os recursos futuros e mais nada.
---
Bloqueios de Recursos: Evitando Exclusões Acidentais
Um bloqueio de recurso é como uma segunda fechadura em um cofre. Mesmo quem tem permissão precisa remover o bloqueio antes de excluir ou alterar o recurso.
| Bloqueio | Nome no portal | O que bloqueia | |------|------|------| | CanNotDelete | Excluir | Bloqueia só a exclusão; leitura e alteração são permitidas | | ReadOnly | Somente leitura | Bloqueia exclusão e alteração (parecido com limitar todos os usuários a Reader) |
Um bloqueio em um escopo pai é herdado por todos os recursos abaixo, inclusive os adicionados depois O bloqueio mais restritivo da cadeia de herança prevalece Os bloqueios valem para todos os usuários, inclusive Owners; criar ou excluir um bloqueio exige permissões Microsoft.Authorization/locks, como as de Owner ou User Access Administrator Os bloqueios valem só para operações do plano de controle (Azure Resource Manager) e não bloqueiam operações do plano de dados Se um recurso tem um bloqueio de exclusão, a exclusão do grupo de recursos inteiro falha (não há exclusão parcial)
Os bloqueios ReadOnly barram algumas operações inesperadas, porque bloqueiam solicitações POST ao ARM.
| Onde está o bloqueio ReadOnly | O que fica bloqueado | |------|------| | Conta de armazenamento | Listar as chaves da conta (os usuários precisam acessar os dados com credenciais do Entra) | | Grupo de recursos que contém uma VM | Iniciar e reiniciar a VM | | Conta de armazenamento | Criar um contêiner de blobs pelo plano de controle (a criação pelo plano de dados continua funcionando) |
Dica para o exame: Se "um Owner não consegue excluir um recurso", suspeite de um bloqueio. "As VMs de um grupo de recursos não iniciam" é causado por um bloqueio ReadOnly no grupo de recursos.
---
Marcas: Etiquetas para Acompanhar Custos e Responsáveis
Uma marca é um par nome-valor associado a um recurso (por exemplo, CostCenter = 1001, Environment = Prod). Use marcas para agrupar custos na análise de custos e para encontrar responsáveis ou ambientes.
Até 50 pares de marcas por recurso, grupo de recursos e assinatura As marcas de um grupo de recursos ou assinatura não são herdadas pelos recursos de dentro Quando a herança for necessária, atribua uma política interna Modify como "Herdar uma marca do grupo de recursos" A função Tag Contributor gerencia marcas sem acesso aos próprios recursos
Dica para o exame: "Uma marca Department foi adicionada ao grupo de recursos, mas não aparece nas VMs de dentro" é o comportamento esperado. A solução é uma política de herança de marcas mais uma tarefa de correção.
---
Gerenciamento de Custos: Orçamentos, Alertas e Azure Advisor
Um orçamento é como o limite de gastos mensal do controle financeiro da casa. Ele avisa quando você está chegando perto, mas não bloqueia o cartão.
| Ferramenta | O que faz | O que lembrar | |------|------|------| | Orçamento | Define um valor por mês, trimestre ou ano e alerta em limites de custo real e previsto | Não para recursos, avaliado a cada 24 horas, redefine automaticamente a cada período | | Vínculo com grupo de ações | Envia e-mail ou push, executa um aplicativo lógico, um runbook da Automação e mais ao atingir um limite | Só para orçamentos no escopo de assinatura ou grupo de recursos | | Alertas de custo | Alertas de orçamento, de crédito, de cota de gastos do departamento e de anomalias | Vistos juntos no Cost Management | | Análise de custos | Divide o custo por serviço, grupo de recursos ou marca | A análise por departamento só é fácil com marcas | | Azure Advisor | Recomendações personalizadas em cinco categorias: confiabilidade, segurança, desempenho, custo e excelência operacional | Redimensionar ou desligar VMs subutilizadas, comprar reservas e mais |
Dica para o exame: "Avisar o administrador quando o custo mensal atingir 80% do orçamento e parar automaticamente as VMs de desenvolvimento em 100%" significa alertas de orçamento mais um grupo de ações (como um runbook da Automação). Um orçamento sozinho nunca para recursos. "Encontrar formas de reduzir o custo de VMs subutilizadas" aponta para as recomendações de custo do Azure Advisor.
---
Referência Rápida do Exame
Pontos-chave para revisar uma última vez antes do exame.
| Tema | O que lembrar | |------|------| | Hierarquia | Grupo de gerenciamento → assinatura → grupo de recursos → recurso | | Grupos de gerenciamento | Até 10.000, seis níveis de profundidade, um único pai | | Transferência de assinatura entre locatários | As atribuições de função são excluídas permanentemente; refazer no novo locatário | | Herança | RBAC, políticas e bloqueios são herdados; marcas não | | Políti