Fiche de révision : Révision d’architecture Azure AZ-305

📋 Plan du Cours

1. Identités et tenant Microsoft Entra
2. Applications et identités de workload
3. Authentification et accès conditionnel
4. Risque d’identité et privilèges
5. Autorisations et gouvernance des accès
6. Gouvernance des ressources Azure
7. Coûts et inventaire Azure
8. Collecte et analyse de télémétrie
9. Alertes, applications et réseau
10. Optimisation et sécurité cloud
11. Sauvegarde et reprise après sinistre
12. Disponibilité et résilience multirégion

📖 1. Identités et tenant Microsoft Entra

🔑 Notions clés & Définitions

• Tenant Entra : Instance dédiée de l’annuaire qui contient notamment les utilisateurs, groupes et applications d’une organisation.

★ À maîtriser

• Une subscription Azure est un conteneur de facturation et de ressources ; elle fait confiance à un seul tenant, tandis qu’un tenant peut avoir plusieurs subscriptions.

• Les rôles Entra administrent l’annuaire, tandis que les rôles Azure RBAC administrent les ressources Azure ; ces deux systèmes d’autorisation sont distincts.

• Entra External ID B2B sert aux partenaires invités dans un tenant, tandis que le tenant clients External ID sert à l’inscription et à la connexion des clients d’une application.

Compléments

📌 Les utilisateurs membres sont des comptes internes, tandis que les utilisateurs invités B2B sont des partenaires ou externes qui se connectent avec leur propre identité.

💡 Astuce mémo

Tenant = annuaire ; subscription = ressources et facturation

📖 2. Applications et identités de workload

★ À maîtriser

• Une app registration définit l’application dans son tenant d’origine, tandis qu’une enterprise application est sa représentation dans un tenant et correspond au service principal.

• Les permissions API déléguées agissent au nom d’un utilisateur connecté, tandis que les permissions d’application permettent à un service d’agir sans utilisateur.

• Une managed identity évite de gérer des secrets parce qu’Azure gère ses credentials, tandis qu’un service principal utilisant un secret ou un certificat exige leur gestion et leur rotation.

• Une identité managée system-assigned suit le cycle de vie de sa ressource et ne sert qu’à celle-ci, tandis qu’une user-assigned est indépendante et peut être partagée par plusieurs ressources.

Compléments

• La fédération d’identité de workload permet notamment aux pipelines GitHub Actions et aux workloads Kubernetes d’éviter de stocker un secret en établissant une confiance par jeton OIDC.

📌 Entra Cloud Sync est présenté comme une option légère et gérée depuis le cloud pour des forêts déconnectées, tandis qu’Entra Connect Sync convient aux environnements complexes nécessitant notamment filtrage avancé ou writeback.

💡 Astuce mémo

App registration = plan ; service principal = instance dans un tenant

📖 3. Authentification et accès conditionnel

★ À maîtriser

• L’authentification détermine qui est l’utilisateur, tandis que l’autorisation détermine ce qu’il peut faire.

• Les méthodes FIDO2, Windows Hello for Business et l’authentification par certificat sont résistantes au phishing, contrairement au SMS, à l’appel vocal et aux codes OATH TOTP.

• Les security defaults fournissent gratuitement des protections de base adaptées aux petits tenants sans licence P1, tandis que Conditional Access nécessite au minimum Entra ID P1.

• Une politique Conditional Access combine des affectations d’utilisateurs, d’applications et de conditions avec des contrôles d’octroi ou de session ; les comptes break-glass doivent être exclus.

Compléments

📌 L’activation de Conditional Access désactive les security defaults, de sorte que ces deux dispositifs ne se combinent pas.

• Le mode report-only permet d’évaluer l’impact d’une politique Conditional Access sans l’appliquer.

📖 4. Risque d’identité et privilèges

★ À maîtriser

• Identity Protection détecte les risques liés aux identités, Defender for Identity surveille l’Active Directory on-premises, et Sentinel corrèle les données de sécurité.

• Les politiques Conditional Access basées sur le risque nécessitent Entra ID P2 ; le cours recommande MFA dès un risque de connexion moyen et changement de mot de passe ou blocage pour un risque utilisateur élevé.

• Dans PIM, un rôle eligible peut être activé à la demande, tandis qu’un rôle active est actuellement utilisable de façon permanente ou temporaire.

• Le flux PIM décrit rend un administrateur éligible, recueille sa demande d’activation et les contrôles requis, active le rôle pour une durée limitée, puis le laisse expirer automatiquement.

Compléments

• PIM gère les rôles Entra, les rôles Azure RBAC et les groupes via PIM for Groups.

• Les bonnes pratiques d’accès privilégié comprennent le moindre privilège, des comptes d’administration séparés, des postes PAW/SAW et l’absence de privilèges permanents hors comptes break-glass.

💡 Astuce mémo

Identity Protection détecte le risque ; PIM élève le privilège

📖 5. Autorisations et gouvernance des accès

★ À maîtriser

• Une affectation Azure RBAC associe un principal de sécurité, une définition de rôle et un scope.

• Les scopes Azure RBAC suivent la hiérarchie management group, subscription, resource group puis ressource, et les affectations sont héritées vers le bas.

• Les Actions concernent la gestion des ressources, tandis que les DataActions concernent l’accès à leur contenu, comme les blobs ou les secrets.

• Un rôle Contributor permet de créer et modifier des ressources sans attribuer de rôles, tandis qu’Owner peut aussi attribuer des rôles.

• Access Reviews vérifie périodiquement si les accès restent nécessaires, tandis qu’Entitlement Management organise leur demande et leur attribution via des access packages.

Compléments

📌 Azure Lighthouse permet à un prestataire de gérer les ressources de plusieurs clients depuis son propre tenant avec un accès RBAC délégué, tandis que B2B invite des personnes dans le tenant client.

💡 Astuce mémo

Access Reviews vérifie ; Entitlement Management accorde ; PIM limite dans le temps

📖 6. Gouvernance des ressources Azure

★ À maîtriser

• Les management groups organisent les subscriptions ; les rôles RBAC et Azure Policies appliqués à un management group sont hérités par les éléments situés en dessous.

📌 Azure Policy définit des règles de conformité sur les ressources, tandis que RBAC détermine qui peut effectuer des actions.

📌 L’effet Deny bloque une création ou modification non conforme, tandis qu’Audit signale la non-conformité sans bloquer l’opération.

Compléments

• Une hiérarchie Azure peut compter jusqu’à 6 niveaux de profondeur hors racine ; un management group a un seul parent et une subscription appartient à un seul management group.

📌 Modify peut ajouter ou modifier des tags ou propriétés, tandis que DeployIfNotExists déploie une ressource liée lorsqu’elle est absente ; les deux peuvent nécessiter une tâche de remédiation pour les ressources existantes.

• Une initiative Azure Policy regroupe plusieurs policies poursuivant un objectif commun.

📖 7. Coûts et inventaire Azure

★ À maîtriser

• Les tags sont des paires nom:valeur utilisées pour organiser les ressources, répartir les coûts et filtrer l’inventaire, mais ils ne sont pas hérités automatiquement du resource group aux ressources.

📌 Un lock CanNotDelete autorise la lecture et la modification mais bloque la suppression, tandis qu’un lock ReadOnly limite les opérations à la lecture, y compris pour les Owners tant que le lock n’est pas retiré.

• Azure Cost Management propose notamment l’analyse des coûts, les budgets avec alertes et les exports ; un budget n’arrête pas les ressources par défaut.

Compléments

• Les leviers de réduction des coûts cités sont :

  • les réservations de 1 ou 3 ans
  • les Savings Plans
  • Azure Hybrid Benefit
  • les instances Spot
  • le redimensionnement
  • l’extinction automatique

• Azure Resource Graph interroge rapidement, en KQL, l’inventaire des ressources de plusieurs subscriptions.

📖 8. Collecte et analyse de télémétrie

★ À maîtriser

📌 Azure Monitor Metrics fournit des données numériques légères et quasi temps réel, tandis que Logs fournit des événements détaillés interrogeables dans Log Analytics avec KQL.

📌 L’Activity Log décrit les opérations du plan de contrôle d’une subscription et est conservé environ 90 jours, tandis que les resource logs décrivent les opérations internes d’une ressource et nécessitent des diagnostic settings.

• Azure Monitor Agent collecte les données des machines virtuelles selon des Data Collection Rules qui définissent quoi collecter, comment transformer les données et où les envoyer.

Compléments

📌 Un workspace Log Analytics unique simplifie la corrélation et mutualise les coûts, tandis que plusieurs workspaces répondent notamment à des exigences de résidence régionale, de séparation de sécurité, de facturation ou de tenant.

• Les opérateurs KQL cités sont : where, project, summarize by, count(), top, join, extend, render timechart

• La rétention interactive Log Analytics est de 30 jours par défaut et peut aller jusqu’à 2 ans ; l’archivage peut aller jusqu’à 12 ans.

💡 Astuce mémo

Metrics = mesures numériques ; Logs = événements détaillés interrogeables

📖 9. Alertes, applications et réseau

🔑 Notions clés & Définitions

• Application Insights : Surveille les performances et la disponibilité d’une application en collectant notamment les requêtes, dépendances, exceptions et temps de réponse.

★ À maîtriser

📌 Une alerte définit une condition à détecter, tandis qu’un Action Group définit les actions de notification ou de réponse et peut être réutilisé par plusieurs alertes.

Compléments

• Les types d’alertes cités sont : alertes de métriques, alertes de recherche dans les logs, alertes d’Activity Log, alertes de Service Health, alertes de détection intelligente App Insights

📌 Service Health signale les incidents Azure pouvant affecter les services d’un client, tandis que Resource Health indique l’état d’une ressource particulière et Azure Status l’état global d’Azure.

• Network Watcher comprend notamment Connection Monitor pour la connectivité et la latence, IP flow verify pour vérifier l’effet d’une règle NSG sur un paquet, et Next hop pour identifier la route suivante.

📖 10. Optimisation et sécurité cloud

★ À maîtriser

📌 Azure Advisor analyse la configuration et l’usage pour recommander des optimisations, Defender for Cloud évalue la posture et protège les charges de travail, tandis que Sentinel corrèle les données pour détecter, investiguer et répondre aux incidents.

📌 Defender for Cloud associe les fonctions CSPM de gestion de la posture cloud et CWPP de protection des charges de travail, et couvre Azure, l’on-premises et les environnements multicloud.

• Le flux Sentinel relie l’ingestion par connecteurs de données, la détection par règles analytiques, la création d’incidents, leur investigation, puis la réponse automatisée par règles d’automatisation et playbooks Logic Apps.

Compléments

• Les catégories de recommandations d’Advisor sont :

  • coût
  • sécurité
  • fiabilité
  • excellence opérationnelle
  • performance

• Le Secure Score indique en pourcentage la posture de sécurité et augmente lorsque des recommandations sont corrigées.

📌 Sentinel joue le rôle de SIEM pour collecter et corréler les données, tandis que les playbooks Logic Apps réalisent l’orchestration SOAR des réponses.

💡 Astuce mémo

Advisor optimise ; Defender protège ; Sentinel détecte et répond

📖 11. Sauvegarde et reprise après sinistre

★ À maîtriser

• Azure Backup restaure des données depuis un point de récupération, tandis qu’Azure Site Recovery réplique des charges de travail et permet leur basculement vers un site ou une région secondaire.

• Le RPO représente la perte maximale de données acceptable exprimée en temps, tandis que le RTO représente la durée maximale d’indisponibilité acceptable.

• Le Recovery Services vault protège notamment les VM, SQL Server ou SAP HANA en VM, Azure Files et les sauvegardes on-premises, tandis que le Backup vault protège notamment les blobs, disques managés, PostgreSQL et AKS.

Compléments

• Les coffres Azure Backup peuvent utiliser LRS, ZRS ou GRS ; GRS permet notamment Cross Region Restore vers la région secondaire.

• Les protections de sauvegarde citées comprennent :

  • soft delete
  • immutable vault
  • Multi-User Authorization via Resource Guard
  • chiffrement
  • rôles RBAC dédiés

💡 Astuce mémo

Backup restaure un point ; ASR bascule une charge de travail

📖 12. Disponibilité et résilience multirégion

★ À maîtriser

📌 Une disponibilité élevée au niveau d’un datacenter peut s’appuyer sur des Availability Sets contre les pannes de rack et la maintenance, tandis que les Availability Zones protègent contre la panne d’un datacenter dans une région.

📌 La réplication dans une région secondaire, notamment via ASR, GRS/GZRS ou des solutions de bases multirégion, protège contre une panne régionale que les zones seules ne couvrent pas.

Compléments

• La résilience du stockage suit l’ordre croissant LRS, ZRS, GRS puis GZRS ; les options RA- permettent la lecture de la région secondaire.

• Les solutions de routage global citées sont :

  • Traffic Manager pour le DNS
  • Front Door pour le trafic HTTP de couche 7
  • Cross-region Load Balancer

• Les options de reprise des bases citées sont : groupes de basculement automatique Azure SQL ou SQL MI, géoréplication active, écritures multirégion Cosmos DB, restauration PITR

💡 Astuce mémo

Rack → zone → région : la panne couverte s’élargit

📊 Tableaux de synthèse

Services de gouvernance des accès