AZ-104 教科書

Azure の操作はすべて「誰が」から始まる。この部では、ID を作り（第 1 章）、その ID に権限を渡し（第 2 章）、組織として何を許すかを決める（第 3 章）という順で進む。配点は 20〜25% で、第 3 部と並んで最も大きい。

この部の勘所

• RBAC・Policy・リソースロックの役割分担が第 1 部の背骨。「誰が操作できるか」「どんな構成を許すか」「そもそも消させない」の 3 つは重ねて効く
• 継承は上から下への一方向。管理グループ → サブスクリプション → リソースグループ → リソース
• Azure RBAC と Microsoft Entra ロールは別系統で交わらない。全体管理者でも既定では Azure リソースを管理できない
• 数字は少ない。タグ 50 個、Advisor の柱 5 つ、くらい

ストレージは入口を絞り（第 4 章）、器の性質を決め（第 5 章）、中身の置き方と守り方を決める（第 6 章）という順で見ていく。この部はとにかく数字が問われる。

この部の勘所

• アクセスはネットワークの門と認可の門の 2 枚を通る。片方だけ直しても通れない
• SAS は 3 種類。推奨はユーザー委任 SAS、ストアドアクセスポリシーを使えるのはサービス SAS だけ
• 冗長性は G が付けば別リージョン、Z が入ればゾーン分散、RA- が付けばセカンダリを読める
• アクセス層の最小保持期間（クール 30 日 / コールド 90 日 / アーカイブ 180 日）は頻出
• 論理的な削除は 2 種類（BLOB とコンテナー）。片方では他方を復元できない

作り方を宣言し（第 7 章）、VM を置き（第 8 章）、コンテナーと PaaS という別の形でも動かす（第 9・10 章）。この部は「できないこと」を覚える部だと思ってほしい。× が付く組み合わせが、そのまま答えを決める。

この部の勘所

• 完全（Complete）モードはテンプレートに無いリソースを削除する。既定は増分
• Ultra Disk は OS ディスク不可・可用性セット不可・ディスクキャッシュ不可
• VMSS 均一モードは Azure Backup / Site Recovery に非対応、しかもオーケストレーションモードは後から変えられない
• App Service のスロット・自動スケール・バックアップはすべて Standard 以上
• ネットワーク設定は向きで選ぶ。VNet 統合は送信、プライベートエンドポイントは受信

道を作り（第 11 章）、通す相手を絞り（第 12 章）、名前と分散を決める（第 13 章）。暗記項目が多いように見えて、実際に問われるのは数と順序に集中している。

この部の勘所

• サブネットは 5 アドレスを Azure が予約する。/24 で使えるのは 251
• ピアリングは推移しない。A–B と B–C があっても A–C は通らない
• ルートの優先順位は UDR → BGP → システムルート。同じ種類なら最長プレフィックス一致
• NSG は既定で受信が全部拒否、送信インターネットは許可。優先度は 100〜4096 で小さいほど先
• オンプレから PaaS へ到達させたいならプライベートエンドポイント（サービスエンドポイントでは届かない）。プライベート DNS ゾーンを忘れない

見えるようにして（第 14 章）、戻せるようにする（第 15 章）。配点は最小だが、覚える対比が少ないぶん取りこぼしにくい部でもある。

この部の勘所

• メトリックは自動で集まる。ログは診断設定を作らないと集まらない。この非対称が最頻出
• 診断設定の送り先は 3 つ（Log Analytics / ストレージ / イベントハブ）
• 計画メンテナンス中に通知だけ止めるのはアラート処理ルール。ルール自体を無効にしない
• コンテナーは 2 種類。Blob / Disk / PostgreSQL / AKS が Backup コンテナー、それ以外は Recovery Services
• ストレージ冗長性は最初のバックアップ後に変更できない
• Backup は「戻す」、Site Recovery は「別の場所で動かし続ける」