2026年微软AzureAZ-900认证考试真题题库

2026年微软AzureAZ-900认证考试真题题库1.某企业计划将其本地数据中心迁移至Azure。在评估云计算的财务模型时，该企业希望将传统的资本支出转换为运营支出。Azure云计算模型的哪项特征最符合这一需求？A.资源的弹性伸缩B.按需使用和按量付费C.资源的高可用性D.负载均衡机制答案：B解析：云计算的核心财务特征之一是将资本支出（CapEx，如购买物理服务器硬件）转换为运营支出（OpEx，如按月支付云资源使用费）。“按需使用和按量付费”允许企业仅为其实际使用的计算、存储和网络资源付费，从而完美契合了将CapEx转换为OpEx的需求。弹性伸缩主要指根据需求自动增加或减少资源；高可用性指服务持续运行的能力；负载均衡则是流量分发机制，这三者均非直接描述财务模型的转换。2.关于Azure公有云、私有云和混合云的描述，以下哪项是正确的？A.公有云必须由单一企业独占使用，不与其他租户共享硬件。B.私有云只能部署在企业本地的数据中心内，无法托管在第三方服务商处。C.混合云允许数据和应用在本地数据中心与Azure公有云之间进行流动和控制。D.AzureStackHub是Azure公有云的延伸，其本质是一种公有云服务。答案：C解析：混合云是一种结合了公有云和私有云（通常是本地数据中心）的环境，允许数据和应用程序在两者之间进行编排和共享，因此C正确。A错误，公有云是多租户共享硬件资源；B错误，私有云可以部署在本地，也可以托管在第三方服务提供商的数据中心；D错误，AzureStackHub属于混合云解决方案，允许在本地运行Azure服务，并非纯粹的公有云服务。3.您正在为一家跨国公司设计Azure架构。为了满足数据驻留和合规性要求，您需要确保虚拟机的数据仅存储在特定的地理位置，同时该区域发生灾难时能够自动故障转移到同一地理区域内的另一个配对区域。您应该使用以下哪种概念来满足这一需求？A.可用性集B.可用性区域C.区域对D.资源组答案：C解析：Azure区域对是将同一地理位置内的两个区域进行配对。当主区域发生故障时，配对区域将成为故障转移的目标，且区域对之间的数据复制通常是异步的，这满足了数据驻留在特定地理位置（如欧洲、北美等）的合规性需求。可用性集用于保护硬件故障；可用性区域用于保护数据中心级别的故障，但不涉及跨地理区域的合规性数据驻留；资源组是逻辑容器，不提供物理层面的故障转移机制。4.某开发团队需要在Azure中部署一个Web应用程序。为了降低成本，团队希望该Web应用在无人访问时能够自动缩容到零实例，并在有请求时自动启动。以下哪种Azure计算服务最符合该需求？A.Azure虚拟机B.AzureKubernetesService(AKS)C.AzureAppServiceD.AzureFunctions答案：D解析：AzureFunctions是一种无服务器计算服务，支持基于事件的自动缩放。在消耗计划下，当没有事件触发时，AzureFunctions会自动缩容到零，从而不产生计算费用，这完美符合“缩容到零”的需求。Azure虚拟机需要持续运行并计费，除非手动关机；AKS和AppService虽然支持自动缩放，但通常会保留至少一个实例以应对基础请求，无法真正实现缩容到零。5.在Azure基础架构中，资源组是一个核心概念。关于资源组的特征，以下说法正确的是？A.一个资源组可以跨越多个Azure订阅。B.一个资源只能存在于一个资源组中。C.资源组内的所有资源必须位于同一个地理区域。D.删除资源组时，仅会删除资源组本身，其中的资源会被保留并转移至默认资源组。答案：B解析：资源组是AzureResourceManager(ARM)的逻辑容器，一个资源只能存在于一个且仅一个资源组中，因此B正确。A错误，资源组不能跨订阅，一个资源组只能属于一个订阅；C错误，资源组内的资源可以位于不同的区域；D错误，删除资源组会默认删除该资源组内的所有资源，这是一种级联删除机制，旨在方便资源生命周期的管理。6.某企业需要在Azure中部署一组虚拟机以运行高可用性应用程序。为了确保在机架级别的硬件故障（如网络交换机或电源故障）时，至少有一台虚拟机能够正常运行，您应该如何配置这些虚拟机？A.将虚拟机部署在同一个可用性集中的不同容错域中。B.将虚拟机部署在同一个可用性集中的不同更新域中。C.将虚拟机部署在不同区域的可用性区域中。D.将虚拟机部署在同一个子网中的相同容错域中。答案：A解析：容错域定义了一组共享底层硬件（如同一机架的电源和网络交换机）的虚拟机组。将虚拟机部署在不同的容错域中，可以确保在机架级硬件故障时，不会所有虚拟机同时宕机，因此A正确。更新域用于在计划内维护时，确保不会所有虚拟机同时重启，不符合题意；可用性区域保护的是数据中心级别的故障，而非单纯的机架级故障；部署在相同容错域反而增加了单点故障的风险。7.Azure虚拟机提供了多种存储选项。关于虚拟机磁盘的描述，以下哪一项是正确的？A.操作系统磁盘默认支持跨虚拟机的共享挂载。B.临时磁盘提供数据的持久化存储，适合存放关键数据库文件。C.标准SSD适合运行对延迟敏感的企业级生产应用。D.Azure托管磁盘的生命周期独立于虚拟机，即使删除虚拟机，托管磁盘仍可保留。答案：D解析：Azure托管磁盘是独立的存储资源，其生命周期不与虚拟机绑定。在删除虚拟机时，可以选择保留托管磁盘，因此D正确。A错误，操作系统磁盘通常不能被多台虚拟机同时共享挂载（需使用专门的共享磁盘功能，且通常用于数据盘）；B错误，临时磁盘不提供持久化存储，其数据在虚拟机重启或解除分配时会丢失，严禁存放关键数据；C错误，标准SSD适合Web服务器等低IOPS场景，对延迟敏感的企业级应用应使用高级SSD。8.某企业需要将本地网络与Azure虚拟网络进行安全且私密的连接，要求通信流量不经过公共互联网。以下哪种Azure服务能够最好地满足此需求？A.Azure应用程序网关B.Azure负载均衡器C.AzureVPN网关D.AzureExpressRoute答案：D解析：AzureExpressRoute允许企业在本地网络与Azure之间建立私有、专用的连接，其流量不经过公共互联网，提供了更高的安全性、可靠性和更低的延迟，因此D正确。AzureVPN网关虽然也能建立连接，但其流量是经过加密的公共互联网传输的，不符合“不经过公共互联网”的要求；应用程序网关和负载均衡器主要用于Azure内部或入站流量的分发，不用于建立跨界私有连接。9.在Azure网络服务中，网络安全组（NSG）用于过滤网络流量。关于NSG的规则，以下描述正确的是？A.NSG规则只能应用于子网，不能直接应用于网络接口。B.NSG规则按照优先级从100到4096进行评估，优先级数字越小，优先级越高。C.NSG默认允许所有入站流量，需要手动添加拒绝规则。D.NSG无法针对特定的IP地址范围进行流量过滤。答案：B解析：NSG规则按照优先级数字评估，数字越小（如100）优先级越高，数字越大（如4096）优先级越低，因此B正确。A错误，NSG可以应用于子网，也可以直接应用于网络接口（NIC）；C错误，NSG默认拒绝所有入站流量，仅允许虚拟网络内的入站流量和Azure负载均衡器的探针流量；D错误，NSG可以通过源IP和目标IP地址范围进行精确的流量过滤。10.Azure提供了多种存储服务以适应不同的应用场景。如果您需要使用SMB协议将文件共享挂载到多台Windows和Linux虚拟机上，并且要求支持并发访问，应选择哪种Azure存储服务？A.AzureBlob存储B.Azure磁盘存储C.Azure文件存储D.Azure队列存储答案：C解析：Azure文件存储提供完全托管的文件共享服务，支持SMB和NFS协议，可以像在本地一样在云端挂载文件共享，并支持多台虚拟机并发访问，因此C正确。Blob存储用于非结构化数据，不提供SMB挂载；磁盘存储通常绑定到单一虚拟机；队列存储用于在应用程序组件之间进行异步消息传递。11.某企业需要存储海量的日志文件，这些文件在创建后的前30天访问频繁，30天后很少被访问，但在需要时必须在几小时内检索到。为了实现成本最优化，应该如何配置AzureBlob存储的访问层？A.将所有日志文件保存在热访问层。B.将所有日志文件保存在冷访问层。C.使用生命周期管理策略，30天后将文件从热层移动到冷层。D.使用生命周期管理策略，30天后将文件从热层移动到归档层。答案：C解析：冷访问层专为不常访问但必须立即可用（几小时属于立即可用范围，冷层通常在毫秒级到几小时内可用）的数据设计，存储成本低于热层但检索成本略高，符合题意，因此C正确。归档层虽然存储成本最低，但检索时间可能长达数小时，不满足“几小时内检索到”的时效性要求（归档层重新水化到热/冷层通常需要数小时到15小时不等），因此D不合适。全放热层成本过高，全放冷层不利于前30天的频繁访问。12.关于AzureCosmosDB，以下哪项描述是其特有的核心优势之一？A.仅支持关系型数据模型。B.提供有界陈旧度、会话、一致前缀和强一致性等多重一致性模型供选择。C.仅支持单一区域部署，无法实现全球分布。D.无法与AzureFunctions进行原生集成。答案：B解析：AzureCosmosDB提供五种明确界定的一致性模型（强、有界陈旧度、会话、一致前缀、最终），这是它区别于许多其他NoSQL数据库的重要特征，可以在一致性与性能之间取得平衡，因此B正确。A错误，CosmosDB是多模型数据库，支持文档、图形、键值等；C错误，CosmosDB支持全球分布，可一键跨多区域复制；D错误，CosmosDB可以与AzureFunctions原生紧密集成，支持变更源功能。13.在Azure标识和访问管理中，MicrosoftEntraID（原AzureAD）扮演着核心角色。关于EntraID的描述，以下哪项是正确的？A.EntraID主要是一种用于管理本地WindowsServerActiveDirectory域的协议。B.EntraID主要提供基于HTTP/HTTPS的Web协议（如SAML、OAuth）进行身份验证。C.EntraID强制要求所有用户必须从本地数据中心域控制器进行身份验证。D.EntraID不支持多因素身份验证（MFA）。答案：B解析：MicrosoftEntraID是一种基于云的标识和访问管理服务，主要使用现代Web协议（如SAML、OAuth2.0、OpenIDConnect）进行身份验证，因此B正确。A错误，本地AD使用的是LDAP、Kerberos等协议；C错误，EntraID在云端进行身份验证，不需要依赖本地域控制器；D错误，EntraID原生支持MFA，且在安全默认值中往往强制管理员启用MFA。14.某企业需要严格控制其Azure环境中的资源合规性，要求阻止某些特定区域（如非北美区域）的资源创建，并确保所有虚拟机都打上特定的标签。您应该使用以下哪种Azure服务？A.Azure蓝图B.AzurePolicyC.AzureRBACD.Azure资源管理器答案：B解析：AzurePolicy是一项评估Azure资源合规性的服务，允许管理员创建策略定义来强制执行规则（如限制部署区域、强制要求标签等），因此B正确。Azure蓝图虽然也可以打包策略，但它是用于构建可重复部署的环境模板；RBAC用于管理身份权限，不负责资源属性的合规性检查；AzureResourceManager是部署服务，不执行合规性评估。15.在Azure中，基于角色的访问控制（RBAC）是管理资源权限的基础。以下关于RBAC的描述，正确的是？A.RBAC允许授予用户对同一资源组内不同资源的不同权限。B.RBAC权限定义仅能应用于订阅级别，无法细化到单个资源。C.RBAC可以管理用户在MicrosoftEntraID中创建其他用户的权限。D.拒绝分配无法被覆盖，即使拥有所有者权限。答案：A解析：AzureRBAC支持继承机制，但也可以在资源组、单个资源等不同作用域进行精细化授权，因此A正确，B错误。C错误，管理EntraID中用户创建权限的是EntraID角色，而非AzureRBAC，两者是不同的权限体系；D错误，虽然RBAC默认有拒绝优先的原则，但通过特定策略或特权标识管理（PIM）可以修改某些行为，且基础的RBAC拒绝分配主要是在资源层面起作用，不能一概而论说所有者权限无法在某些高级管理流程中被覆盖。16.关于Azure成本管理，以下哪一项功能可以最有效地帮助财务部门预测未来的云支出，并在超出预算时自动触发告警？A.Azure定价计算器B.Azure顾问C.Azure成本管理中的预算和预警功能D.Azure监视器答案：C解析：Azure成本管理允许用户创建预算，并配置在消费达到特定阈值时（如实际成本达到80%或预测成本达到100%）触发预警通知，这最符合财务部门预测和告警的需求，因此C正确。A定价计算器仅用于部署前的静态价格估算；B顾问提供最佳实践建议，不具备预算告警功能；D监视器主要用于性能和运行状况监控，虽然可以记录指标，但并非专为财务预算预测设计。17.某企业正在评估使用Azure云服务。开发团队需要了解在特定区域部署标准配置的虚拟机、存储和网络资源的预计每月费用，但在部署前不需要实际创建任何资源。他们应该使用哪种Azure工具？A.Azure顾问B.Azure定价计算器C.AzureMigrateD.Azure成本管理+计费答案：B解析：Azure定价计算器允许用户选择所需的云服务产品、配置和区域，在购买或部署前估算每月的成本，无需实际创建资源，因此B正确。AzureMigrate主要用于评估本地服务器到云端的迁移readiness，虽然有成本评估功能，但主要针对迁移场景；成本管理用于已部署资源的成本分析；顾问不提供新资源的成本估算。18.Azure为云服务提供了不同级别的服务等级协议（SLA）。如果一个应用程序由一个单一的虚拟机承担，通常其SLA为99.9%。如果要提升该应用程序的SLA至99.99%，在架构上通常需要采取哪种措施？A.将虚拟机磁盘升级为高级SSD。B.将虚拟机部署在可用性集中，并使用两台虚拟机进行冗余。C.将虚拟机部署在可用性区域中，并使用两台或两台以上的虚拟机进行冗余。D.增加虚拟机的CPU和内存配置。答案：C解析：根据Azure的SLA规定，如果在单一虚拟机上使用高级SSD，SLA通常为99.9%。要达到99.99%的虚拟机SLA，必须将两台或两台以上虚拟机部署在两个不同的可用性区域中，并通过负载均衡器分发流量，因此C正确。可用性集最多只能提供99.95%的SLA；升级磁盘或增加配置无法提高架构层面的SLA百分比。19.在Azure订阅中，如果您需要查看过去三个月的资源消耗详细记录，并进行多维度的成本分析（如按资源组、按标签进行分类），应该使用哪种工具？A.AzureMonitor指标B.Azure成本管理中的成本分析C.Azure网络观察程序D.Azure活动日志答案：B解析：Azure成本管理的“成本分析”功能允许用户查看历史消耗记录，并支持按资源组、订阅、标签、服务等多个维度进行切分和聚合，最适合财务成本分析，因此B正确。AzureMonitor用于性能指标；网络观察程序用于网络诊断；活动日志记录的是对资源执行的操作（创建、修改等），不记录详细的费用消耗金额。20.某企业希望优化其Azure环境中的资源成本，要求在非工作时间（如晚上10点到早上6点）自动关闭开发测试环境的虚拟机，并在工作开始前自动启动。哪种Azure服务最适合实现此自动化操作？A.Azure自动化RunbookB.Azure逻辑应用C.AzurePolicyD.AzureFunctions答案：A解析：Azure自动化提供了专门的“在非工作时间启动/停止虚拟机”的解决方案，通过AutomationAccount和Runbook可以实现基于时间表的VM自动启停，并且原生集成了成本优化的最佳实践，因此A正确。虽然逻辑应用和函数也能编写自定义脚本实现该功能，但Azure自动化提供了开箱即用的模板，最适合此场景；AzurePolicy无法执行定时的启停操作。21.关于Azure云服务中“共享责任模型”的描述，以下哪项在“平台即服务”部署模型中是正确的？A.云提供商负责管理操作系统、应用程序和用户数据。B.云提供商负责管理物理主机、物理网络和数据中心。C.客户负责管理应用程序和操作系统。D.客户负责管理物理数据中心的电力供应。答案：B解析：在PaaS模型中，责任划分如下：云提供商负责底层物理基础设施（物理主机、物理网络、数据中心）以及操作系统、中间件、运行时环境等。客户仅负责管理应用程序和数据，以及访问控制。因此B正确。A错误，客户需要负责应用程序和数据；C错误，PaaS中操作系统由云提供商管理；D错误，物理数据中心电力由云提供商负责。22.某应用程序每天午夜会产生一批交易数据，处理这些数据通常需要大量的计算能力，但耗时仅需约30分钟。为了实现成本最优化，您建议客户使用哪种Azure虚拟机购买选项？A.即时VMB.保留实例(1年)C.现收现付D.专用主机答案：A解析：AzureSpotVM允许用户利用Azure未使用的闲置计算容量，价格极低（最高可享受90%的折扣），非常适合可中断、无时间严格约束的后台批处理作业。虽然题目提到“午夜”和“30分钟”，但只要设置好失败重试机制，SpotVM是成本最低的选择。保留实例适合长期稳定运行的工作负载；现收现付适合短期但不可中断的临时需求；专用主机成本最高，用于合规性要求极高的场景。因此A最符合成本优化原则。23.Azure提供了多种高级网络服务。如果一家企业需要将其Web应用程序向全球用户分发，并希望通过边缘节点缓存内容以提高响应速度，同时减轻源服务器的负载，应该使用以下哪种服务？A.Azure应用程序网关B.Azure流量管理器C.Azure内容分发网络D.AzureExpressRoute答案：C解析：AzureCDN将静态和动态Web内容缓存在全球各地的边缘节点服务器上，当用户访问时，从距离用户最近的边缘节点提供内容，从而大幅提高响应速度并减轻源站负载，因此C正确。应用程序网关是应用层（HTTP/HTTPS）负载均衡器，主要在单一区域内部署；流量管理器是基于DNS的流量路由服务，不缓存内容；ExpressRoute是专线连接，不用于公网内容分发。24.在Azure监控和诊断工具中，如果您需要对应用程序的性能进行深度的代码级监控（如检测执行缓慢的具体方法或SQL查询），应使用哪种服务？A.AzureLogAnalyticsB.AzureServiceHealthC.ApplicationInsightsD.Azure顾问答案：C解析：ApplicationInsights是AzureMonitor的一个功能，专为应用程序性能管理（APM）设计。它可以自动检测性能异常，提供代码级别的诊断（如依赖项跟踪、慢SQL查询定位），因此C正确。LogAnalytics主要用于日志数据的查询和分析；ServiceHealth用于了解影响Azure区域或订阅的服务状态；顾问提供成本、安全等方面的建议，不提供代码级监控。25.某企业在Azure中部署了多个关键业务应用。为了防止恶意攻击者利用公开的IP地址进行暴力破解，管理员希望隐藏后端虚拟机的真实IP，并通过Web应用防火墙（WAF）检查入站HTTP/HTTPS请求。以下哪种Azure服务能提供此功能？A.Azure标准负载均衡器B.Azure应用程序网关C.Azure防火墙D.AzureDDoS保护答案：B解析：Azure应用程序网关是一种Web流量负载均衡器，支持第7层路由。它可以隐藏后端池中虚拟机的真实IP，并且内置了Web应用防火墙（WAF）功能，能够对HTTP/HTTPS请求进行深度检查，防御常见的Web攻击（如SQL注入、XSS），因此B正确。标准负载均衡器是L4负载均衡器，不提供WAF功能；Azure防火墙主要用于控制出站和东西向流量，支持网络层和应用规则，但不如应用程序网关在处理入站HTTP流量时功能丰富；DDoS保护主要用于防范大规模流量攻击，不提供应用层的WAF功能。26.关于Azure订阅管理的描述，以下哪些是正确的？（多选）A.一个Azure订阅可以与多个MicrosoftEntraID租户进行信任关联。B.一个MicrosoftEntraID租户可以与多个Azure订阅进行关联。C.Azure订阅是Azure中计费和资源管理的边界。D.如果取消了订阅，与其关联的MicrosoftEntraID租户也会被自动删除。E.跨订阅的资源通常无法直接进行通信，除非显式配置对等连接等网络机制。答案：B,C,E解析：B正确，一个EntraID租户可以关联多个订阅，这是大型企业常见的架构；C正确，订阅是计费和管理的基本单位；E正确，不同订阅属于不同的安全和管理边界，要实现网络通信必须建立VNet对等互连。A错误，一个订阅只能信任一个EntraID租户；D错误，删除或取消订阅不会删除其关联的EntraID租户，租户是独立存在的标识容器。27.在Azure的零信任安全模型中，以下哪些原则是必须遵循的？（多选）A.始终显式验证B.尽可能使用最少特权访问C.假设存在数据泄露情况D.默认情况下信任企业网络内部的所有流量E.持续监控和评估答案：A,B,C解析：零信任安全模型的核心原则包括：始终显式验证（A，不再默认信任内部网络）、使用最少特权访问（B，限制用户的权限范围）、假设存在数据泄露情况（C，即承认防御可能会被突破，需做好横向移动限制和加密）。D是传统边界安全模型的做法，正好与零信任相反；E虽然是一种良好的实践，但并不是零信任三大基本原则之一。28.以下关于Azure计算服务的适用场景描述，正确的有哪些？（多选）A.AzureKubernetesService(AKS)适用于需要大规模编排和管理容器化微服务的场景。B.Azure虚拟机适用于需要完全控制操作系统并运行自定义第三方软件的场景。C.AzureAppService适用于无需管理底层基础设施的Web应用托管场景。D.AzureBatch适用于处理大规模并行计算和批处理作业的场景。E.AzureContainerInstances(ACI)适用于需要长期运行并保持高可用集群状态的场景。答案：A,B,C,D解析：A正确，AKS是托管的Kubernetes服务，专用于容器编排；B正确，虚拟机提供IaaS服务，客户拥有OS级别的完全控制权；C正确，AppService是PaaS服务，屏蔽了底层OS管理；D正确，AzureBatch专为大规模并行和高性能计算（HPC）批处理设计。E错误，ACI是一种按需启动的无服务器容器方案，不具备集群状态管理和高可用编排特性，这通常由AKS负责。29.在Azure存储账户的安全配置中，以下哪些方法可以有效提高数据的安全性？（多选）A.为存储账户配置防火墙和虚拟网络规则，仅允许特定子网访问。B.使用共享访问签名（SAS）为客户端授予有时间限制和权限限制的访问令牌。C.在存储账户设置中启用“需要安全传输”以强制所有连接使用HTTPS。D.将所有存储账户的访问密钥公开在代码仓库中以便程序调用。E.使用AzureKeyVault来管理和轮换存储账户的访问密钥。答案：A,B,C,E解析：A、B、C、E都是保护存储账户的标准安全最佳实践，包括网络限制、SAS限时令牌、强制HTTPS以及使用KeyVault托管密钥。D严重错误，将访问密钥硬编码在代码库中是极大的安全隐患，一旦泄露将导致数据暴露，应始终通过KeyVault或托管标识安全地访问密钥。30.Azure为资源提供了多种管理工具，关于这些工具的描述，正确的有哪些？（多选）A.AzureCLI是一个跨平台的命令行程序，可以在Windows、macOS和Linux上运行。B.AzurePowerShell模块专为Windows环境设计，无法在Linux上运行。C.Azure门户提供了一个直观的图形用户界面，适合初学者和执行一次性管理任务。D.Azure资源管理器（ARM）模板使用JSON或Bicep语言，可实现基础设施即代码的声明式部署。E.使用AzureCLI和PowerShell执行操作时，可以通过脚本实现自动化任务。答案：A,C,D,E解析：A正确，AzureCLI基于Python，跨平台；C正确，门户适合GUI操作；D正确，ARM支持JSON和Bicep；E正确，两者皆支持脚本自动化。B错误，虽然PowerShell起源于Windows，但AzurePowerShell模块现在基于.NETCore，完全支持在macOS和Linux上通过PowerShellCore运行。31.判断题：Azure订阅是Azure资源的逻辑容器，一个组织只能拥有一个Azure订阅，无法创建多个订阅。答案：错误解析：一个组织可以拥有多个Azure订阅。通常，企业会为了隔离环境（如开发、测试、生产）、部门计费或合规性要求而创建多个订阅，这些订阅可以关联到同一个MicrosoftEntraID租户下。32.判断题：Azure区域由一组数据中心组成，每个Azure区域都至少配对一个距离较远的区域，以便在发生区域级灾难时提供数据恢复和业务连续性。答案：正确解析：Azure在地理区域内通常建立区域对。区域内的两个区域相隔一定距离以避免区域性灾难影响，同时又足够近以提供低延迟的复制。这种机制确保了在区域级别的灾难发生时，业务能够顺利故障转移到配对区域。33.判断题：使用AzureBlob存储的“热访问层”时，存储成本最低，但访问数据时的读取和写入费用最高。答案：错误解析：热访问层针对频繁访问的数据进行了优化，其存储成本最高，但访问费用（读取/写入）最低。冷访问层或归档层才具有较低的存储成本和较高的访问费用。34.判断题：MicrosoftEntraID支持对本地ActiveDirectory的同步，这意味着用户可以使用同一套凭据（如用户名和密码）登录本地网络应用和基于云的Azure服务。答案：正确解析：通过使用MicrosoftEntraConnect工具，企业可以将本地ActiveDirectory的标识同步到云端的EntraID。这实现了混合身份验证，用户可以使用同一组凭据访问本地和云端资源，极大地方便了用户体验和统一管理。35.判断题：AzurePolicy可以在资源创建前进行检查并阻止不合规资源的创建，也可以对已存在但不符合策略的资源进行标记或修改。答案：正确解析：AzurePolicy不仅在部署前评估资源的合规性（例如拒绝在非允许区域创建资源），还能通过“DeployIfNotExists”或“Modify”等内置效果，对已经存在的资源自动执行配置修正或强制打上特定标签。36.判断题：Azure负载均衡器可以工作在第7层（应用层），支持基于HTTP请求的URL路径或主机头将流量路由到不同的后端服务器池。答案：错误解析：Azure标准负载均衡器是第4层（传输层）的负载均衡器，仅基于IP地址、端口和协议进行流量分发，不感知HTTP内容。能够在第7层基于URL路径或主机头进行路由的是Azure应用程序网关。37.判断题：在“基础设施即服务”模型中，云提供商负责管理虚拟机底层的硬件和虚拟化平台，而客户需要负责操作系统层面的补丁更新和安全配置。答案：正确解析：在IaaS模型中，责任划分界限在Hypervisor层。云提供商负责物理硬件、电力、网络及Hypervisor本身的管理；客户拥有从操作系统开始的控制权，包括OS的安装、打补丁、安装应用程序及数据管理。38.判断题：Azure保留实例购买可以适用于任何虚拟机系列，并且在使用过程中如果业务需求变化，可以无条件申请全额退款。答案：错误解析：Azure预留计算（保留实例）具有一定的灵活性，可以调整预留大小（在同一系列内），但退款是有条件的。通常如果退订，会收取提前终止费，且退款金额有上限，并非“无条件全额退款”。39.判断题：Azure云解决方案提供商（CSP）计划允许合作伙伴将Azure服务与自己的增值服务打包，并使用合作伙伴的计费系统向最终客户收费。答案：正确解析：CSP计划设计用于合作伙伴。在CSP模式下，合作伙伴通过微软采购Azure资源，然后自主定价并销售给最终客户，提供统一账单，甚至可以结合自身的托管服务或咨询支持。40.判断题：Azure中的资源组是一个逻辑管理单位，它决定了其内部资源的物理部署位置。如果一个资源组位于美国东部，则其内部的虚拟机、存储等所有资源都必须位于美国东部。答案：错误解析：资源组是一个逻辑容器，它的元数据存储在某个区域，但资源组内的物理资源可以位于不同的区域。例如，可以在位于美国东部的资源组中创建一个位于西欧的存储账户。不过通常为了管理方便，建议将同一区域的资源放在同一资源组中。41.判断题：Azure活动日志记录了订阅级别的事件，而Azure诊断日志记录了特定资源（如特定虚拟机或存储账户）内部的运行状态和指标。答案：正确解析：活动日志是控制平面日志，记录“谁在何时对什么资源执行了什么操作（如创建、删除）”。诊断日志是数据平面日志，记录了资源自身的运行细节（如存储账户的读写日志、Web应用的访问日志等）。42.判断题：通过AzureExpressRoute建立的私有专线连接，其网络流量默认会自动加密，以确保数据在传输过程中的机密性。答案：错误解析：ExpressRoute提供的是私有的物理/逻辑专线连接，流量不经过公共互联网，但它本身并不自动提供数据加密功能。如果需要数据在传输中加密，客户必须在两端配置IPsec等协议来建立加密隧道。43.判断题：AzureCosmosDB的分区键设计非常关键，它决定了数据在物理节点上的分布以及吞吐量的分配。答案：正确解析：CosmosDB使用分区键对数据进行水平切分。选择合适的分区键可以确保数据和请求均匀分布，避免产生“热点”分区。所有与同一分区键关联的数据必须在一个逻辑分区内，且吞吐量是分配给容器并在分区之间划分的。44.判断题：在Azure中，托管标识允许应用程序在无需在代码中硬编码凭据的情况下，安全地访问支持EntraID身份验证的Azure服务。答案：正确解析：Azure托管标识（ManagedIdentity）实际上是EntraID中自动管理的服务主体。Azure底层会自动为其颁发和轮换令牌，应用程序只需调用本地元数据端点获取令牌，即可访问AzureKeyVault、AzureStorage等服务，从根本上消除了密钥泄露的风险。45.判断题：AzureDDoS保护标准版能够保护部署在虚拟网络中的资源免受网络层和应用层的大规模DDoS攻击，且防护是自动开启和自适应的。答案：正确解析：AzureDDos保护标准版基于机器学习自动调整防护策略，能够在攻击发生时即时启动缓解措施，保护虚拟网络内的公网IP资源，不仅针对L3/L4网络层攻击，也针对部分L7应用层攻击提供防护，且无需人工干预。46.场景题：某企业拥有多个业务部门（研发、市场、财务），每个部门都需要独立的Azure环境进行管理。为了实现严格的管理隔离并防止跨部门的资源误操作，同时方便财务部门分别计费，该企业应如何设计Azure订阅和资源组的层次结构？答案：该企业应设计如下的层次结构：1.首先，在MicrosoftEntraID下为整个企业创建一个根管理组。2.在根管理组下，为研发、市场、财务三个部门分别创建子管理组。3.在每个子管理组下，为每个部门创建独立的Azure订阅（如研发订阅、市场订阅、财务订阅）。这样可以实现物理上的计费隔离和管理边界隔离。4.在各自的订阅内，根据环境（如开发、测试、生产）或应用项目的不同，进一步创建多个资源组。5.在每个管理组或订阅级别应用AzurePolicy和RBAC权限，确保财务部门的人只能访问财务订阅，研发人员只能访问研发订阅。解析：这种设计符合Azure企业规模登陆区域的最佳实践。利用管理组可以统一下发策略和权限，使用独立订阅可以实现强隔离和独立的财务账单，资源组则用于应用生命周期的分组管理。47.场景题：某企业开发了一个基于Azure虚拟机的三层架构应用（Web层、业务逻辑层、数据库层）。为了保障系统的高可用性和安全性，网络架构应如何配置？请写出至少四点关键的网络配置要求。答案：1.子网划分：在虚拟网络（VNet）中创建三个独立的子网，分别用于Web层、业务逻辑层和数据库层。2.网络安全组（NSG）配置：Web层子网NSG：仅允许来自互联网的入站HTTP/HTTPS流量（或仅允许来自Azure前端IP的流量），允许出站到业务逻辑层子网。业务逻辑层子网NSG：仅允许来自Web层子网的入站流量，允许出站到数据库层子网。严格禁止互联网入站流量。数据库层子网NSG：仅允许来自业务逻辑层子网的入站流量，拒绝所有互联网流量。3.负载均衡配置：在Web层前端部署Azure应用程序网关或负载均衡器，将流量分发到Web层虚拟机；业务逻辑层和数据库层内部配置内部负载均衡器。4.服务终结点或专用链接：配置数据库层访问AzurePaaS数据库（如AzureSQL）时，使用虚拟网络服务终结点或AzurePrivateLink，确保数据库流量不经过公网。解析：三层架构的核心理念在于“最小特权”和“深度防御”。通过子网和NSG的结合，可以有效限制爆炸半径，防止攻击者从Web层直接穿透到数据库层。后端层必须屏蔽公网访问，这是架构安全的基础。48.场景题：某SaaS服务商需要为众多客户在Azure上托管应用程序。每个客户的数据必须严格隔离，且服务商