Examen Blanc AZ-104 Gratuit 2026 (10 Questions + Corrigés) — Administrateur Azure Associate

Q: [OVERVIEW]Alpine Ski House exécute un pool de 18 machines virtuelles de traitement API dans un sous-réseau privé (`snet-workers`, `10.20.4.0/24`) au sein de `vnet-prod-weu`.[/OVERVIEW] [ENVIRONMENT]• Posture Sécurité : La conformité interdit d'attribuer des adresses IP publiques aux cartes réseau des VMs, et aucune connexion entrante non sollicitée depuis Internet ne doit être acceptée. • Télémétrie : Lors des pics de téléchargement de mises à jour, les logs signalent des erreurs `SNAT port exha

B. Une passerelle NAT Azure (Azure NAT Gateway) — Azure NAT Gateway fournit une connectivité sortante sécurisée vers Internet sans autoriser de flux entrant, avec une allocation dynamique des ports SNAT empêchant l'épuisement des ports.

Q: [OVERVIEW]Tailspin Toys héberge ses machines virtuelles SQL Server critiques dans la région primaire Azure `East US`, sauvegardées quotidiennement vers un coffre Recovery Services jumelé avec `West US`.[/OVERVIEW] [ENVIRONMENT]• Coffre : `rsv-prod-eastus` (Réplication de stockage : Géo-redondant / GRS). • Situation : Une panne réseau majeure frappe `East US`, mais Microsoft n'a PAS encore déclaré officiellement la perte complète de la région ni déclenché de basculement géré. • SLA Reprise : RPO

D. Coffre Recovery Services avec stockage géo-redondant (GRS) et restauration interrégionale (Cross-Region Restore - CRR) activée — La restauration interrégionale (CRR) sur un coffre GRS permet de restaurer des sauvegardes dans la région jumelée secondaire à tout moment, sans attendre que Microsoft n'initie un basculement de région.

Q: [SCENARIO]Vous auditez les permissions Azure RBAC sur le groupe de ressources `rg-compute-prod` pour vérifier si `User1` dispose ou non du droit de supprimer des machines virtuelles en production.[/SCENARIO] [SOLUTION]Un administrateur attribue à `User1` DEUX rôles sur `rg-compute-prod` : 1. Un rôle personnalisé `VM-Safe-Operator` : `Actions = ["Microsoft.Compute/virtualMachines/*"]`, `NotActions = ["Microsoft.Compute/virtualMachines/delete"]` 2. Le rôle intégré `Contributeur` (`Contributor`) su

D. Oui, car NotActions n'est pas un refus explicite (deny) ; le rôle Contributeur accorde le droit de suppression, ce qui valide l'action — Dans Azure RBAC, les droits sont cumulatifs (additifs). NotActions n'est pas un refus explicite (Deny Assignment), mais une simple soustraction dans la liste Actions de ce rôle. Le rôle Contributeur accordant la suppression, l'action est autorisée.

Q: [SCENARIO]Trois réseaux virtuels (`VNet1`, `VNet2`, `VNet3`) coexistent dans le même abonnement Azure. Des serveurs situés dans `VNet1` doivent communiquer en IP privée avec des serveurs situés dans `VNet3`.[/SCENARIO] [SOLUTION]Vous créez un appairage standard (`VNet Peering`) entre `VNet1 VNet2` ainsi qu'un second appairage entre `VNet2 VNet3`, sans déployer d'appliance réseau (NVA / Azure Firewall) ni de table de routage UDR dans `VNet2`.[/SOLUTION] [QUESTION]Par défaut, les machines

A. Non, car l'appairage de réseaux virtuels (VNet Peering) n'est pas transitif par défaut ; le trafic ne traverse pas VNet2 sans passerelle/NVA — L'appairage VNet n'est pas transitif. Pour relier deux réseaux spoke via un hub intermédiaire, il est nécessaire de déployer une appliance de routage (NVA/Azure Firewall) et des tables de routage (UDR).

Q: Vous disposez d'une application multi-tiers dans un VNet Azure comprenant des VM Web et des VM Base de données dans le même sous-réseau. Vous devez restreindre le trafic pour que les VM Base de données n'acceptent que le trafic entrant sur le port TCP 1433 provenant des VM Web. Quels DEUX composants devez-vous configurer avec un minimum de complexité d'administration ? (Choisissez deux réponses.)

A. Créer une règle de sécurité entrante NSG avec Source : asg-Web, Destination : asg-DB, Protocole : TCP, Port de destination : 1433, Action : Autoriser. & B. Créer deux groupes de sécurité d'application (ASG) : asg-Web et asg-DB, et y rattacher les interfaces réseau des VM respectives. — CORRECT : Options B et C. - Les groupes de sécurité d'application (ASG) permettent de regrouper les cartes réseau des VM par rôle métier (Web, Base de données) sans gérer les adresses IP individuelles. - La règle NSG utilise ensuite directement les ASG comme source et destination. DISTRACTEURS INCORRECTS : - Option A : Devient ingérable lors de l'ajout ou du remplacement de VM. - Options D et E : Impossibles ou contraires aux règles de sécurité.

Q: Vous configurez Azure Backup pour des machines virtuelles IaaS Windows et Linux critiques dans un coffre Recovery Services. Vous devez protéger les sauvegardes contre la suppression accidentelle ou les ransomwares tout en garantissant des restaurations opérationnelles immédiates. Quelles DEUX fonctionnalités devez-vous activer ? (Choisissez deux réponses.)

C. La suppression réversible (Soft delete) pour le coffre Recovery Services (conservant les données supprimées pendant 14 jours supplémentaires). & D. La rétention des instantanés de restauration instantanée (Instant Restore) dans la stratégie de sauvegarde (1 à 5 jours). — CORRECT : Options A et E. - La suppression réversible (Soft delete) conserve les sauvegardes supprimées pendant 14 jours, neutralisant les suppressions malveillantes par ransomware. - Instant Restore conserve des instantanés locaux de 1 à 5 jours pour permettre une restauration immédiate sans attendre le rapatriement depuis le coffre. DISTRACTEURS INCORRECTS : - Options B, C et D : Affaiblissent la sécurité et détruisent la résilience.

Q: Vous devez activer l'authentification SMB basée sur l'identité pour un partage de fichiers Azure Files afin que les postes clients Windows 11 joints au domaine hybride puissent accéder aux fichiers avec leurs identifiants Active Directory locaux (AD DS). Quelles DEUX étapes sont obligatoires ? (Choisissez deux réponses.)

B. Joindre le compte de stockage Azure au domaine Active Directory AD DS local à l'aide d'un compte d'ordinateur ou de service. & E. Attribuer les autorisations de partage Azure (ex. Contributeur de partage SMB de données de fichier de stockage) aux groupes synchronisés dans Entra ID. — CORRECT : Options B et D. - Le compte de stockage doit être joint au domaine AD DS local pour faire approuver les tickets Kerberos. - Les autorisations RBAC de niveau partage (Share-level permissions) doivent être attribuées aux identités Entra ID synchronisées avant l'évaluation des ACL NTFS. DISTRACTEURS INCORRECTS : - Option A : Non pris en charge. - Option C : Faille de sécurité critique (port 445 non chiffré sur Internet). - Option E : Les ACL NTFS sont indispensables pour la granularité des dossiers.

Q: Vous déployez une zone DNS privée Azure nommée "corp.contoso.internal". Vous possédez deux réseaux virtuels : VNet-App et VNet-DB. Vous devez permettre aux VM de VNet-App de résoudre les noms des VM de VNet-DB, et vous voulez que les VM de VNet-DB enregistrent automatiquement leurs enregistrements d'hôte DNS. Quelles DEUX configurations devez-vous effectuer sur la zone DNS privée ? (Choisissez deux réponses.)

A. Ajouter un lien de réseau virtuel pour VNet-App vers la zone DNS privée. & C. Ajouter un lien de réseau virtuel pour VNet-DB avec la case "Activer l'inscription automatique" cochée. — CORRECT : Options A et C. - Le lien de réseau virtuel vers VNet-DB avec 'Activer l'inscription automatique' crée automatiquement les enregistrements DNS des machines de VNet-DB. - Le lien de réseau virtuel vers VNet-App permet aux machines de VNet-App d'interroger et résoudre les enregistrements de la zone privée. DISTRACTEURS INCORRECTS : - Option B : Exposerait des noms internes sur Internet. - Options D et E : Inutiles et invalides.

Q: Vous configurez une règle d'alerte dans Azure Monitor pour avertir l'ingénieur d'astreinte lorsque l'utilisation du processeur d'une base Azure SQL dépasse 90 %. Vous créez un groupe d'actions (Action Group). Quels DEUX types de notifications et d'actions peuvent être configurés directement dans un groupe d'actions Azure Monitor ? (Choisissez deux réponses.)

B. E-mail / Message SMS / Notification Push (application Azure) / Appel vocal. & D. Déclencheur d'automatisation Webhook / Azure Function / Logic App. — CORRECT : Options B et E. - Les groupes d'actions Azure Monitor prennent en charge les notifications humaines (SMS, E-mail, Appel vocal, Push) et l'automatisation technique (Webhook, Azure Function, Logic App, Runbook). DISTRACTEURS INCORRECTS : - Options A, C et D : Fictifs et impossibles.

Q: Vous devez activer l'administration sécurisée (RDP et SSH) de machines virtuelles Azure dans un VNet sans attribuer d'adresses IP publiques aux VM et sans établir de tunnel VPN site à site. Vous décidez de déployer Azure Bastion. Quelles DEUX exigences préalables doivent être remplies avant de déployer Azure Bastion ? (Choisissez deux réponses.)

A. Une adresse IP publique de SKU Standard doit être créée et attribuée à l'hôte Azure Bastion. & D. Un sous-réseau dédié nommé exactement "AzureBastionSubnet" d'au moins /26 doit exister dans le réseau virtuel. — CORRECT : Options A et D. - Azure Bastion requiert un sous-réseau dédié nommé obligatoirement AzureBastionSubnet (masque minimum /26). - Azure Bastion a besoin d'une adresse IP publique de SKU Standard pour recevoir les flux HTTPS (port 443) depuis les navigateurs des administrateurs. DISTRACTEURS INCORRECTS : - Option B : Contredit l'objectif même de Bastion (les VM cibles n'ont besoin d'aucune IP publique). - Options C et E : Fausses et obsolètes.

Q1 / 10 CASE STUDY Moderate

Configure and Manage Virtual Networking

[OVERVIEW]Alpine Ski House exécute un pool de 18 machines virtuelles de traitement API dans un sous-réseau privé (`snet-workers`, `10.20.4.0/24`) au sein de `vnet-prod-weu`.[/OVERVIEW] [ENVIRONMENT]• Posture Sécurité : La conformité interdit d'attribuer des adresses IP publiques aux cartes réseau des VMs, et aucune connexion entrante non sollicitée depuis Internet ne doit être acceptée. • Télémétrie : Lors des pics de téléchargement de mises à jour, les logs signalent des erreurs `SNAT port exhaustion` (épuisement des ports SNAT).[/ENVIRONMENT] [REQUIREMENTS]Fournir une connectivité sortante uniquement, hautement évolutive et résistante à la saturation SNAT pour `snet-workers`, sans jamais exposer de flux entrant.[/REQUIREMENTS] [QUESTION]Quel service réseau Azure managé devez-vous associer directement au sous-réseau `snet-workers` ?[/QUESTION]

Q2 / 10 CASE STUDY Expert

Monitor and Maintain Azure Resources

[OVERVIEW]Tailspin Toys héberge ses machines virtuelles SQL Server critiques dans la région primaire Azure `East US`, sauvegardées quotidiennement vers un coffre Recovery Services jumelé avec `West US`.[/OVERVIEW] [ENVIRONMENT]• Coffre : `rsv-prod-eastus` (Réplication de stockage : Géo-redondant / GRS). • Situation : Une panne réseau majeure frappe `East US`, mais Microsoft n'a PAS encore déclaré officiellement la perte complète de la région ni déclenché de basculement géré. • SLA Reprise : RPO < 24h ; RTO < 2h en région secondaire `West US`.[/ENVIRONMENT] [REQUIREMENTS]Les ingénieurs doivent immédiatement restaurer les machines virtuelles sauvegardées dans la région jumelée `West US` sans attendre que Microsoft déclenche un basculement régional.[/REQUIREMENTS] [QUESTION]Quelle configuration du coffre Recovery Services permet cette restauration immédiate dans la région secondaire jumelée ?[/QUESTION]

Q3 / 10 YES NO Expert

Manage Azure Identities and Governance

[SCENARIO]Vous auditez les permissions Azure RBAC sur le groupe de ressources `rg-compute-prod` pour vérifier si `User1` dispose ou non du droit de supprimer des machines virtuelles en production.[/SCENARIO] [SOLUTION]Un administrateur attribue à `User1` DEUX rôles sur `rg-compute-prod` : 1. Un rôle personnalisé `VM-Safe-Operator` : `Actions = ["Microsoft.Compute/virtualMachines/*"]`, `NotActions = ["Microsoft.Compute/virtualMachines/delete"]` 2. Le rôle intégré `Contributeur` (`Contributor`) sur le même groupe de ressources.[/SOLUTION] [QUESTION]User1 peut-il supprimer des machines virtuelles dans ce groupe de ressources, et pourquoi ?[/QUESTION]

Q4 / 10 YES NO Moderate

Configure and Manage Virtual Networking