企业官网建设流程全解析

简介：AZ-104认证备考者可将这份题库型PDF作为考前冲刺的核心工具。它面向准备参加微软MCP认证中Azure管理员方向的IT专业人士，重点覆盖Azure资源管理、资源标签使用、Azure AD条件访问策略等核心知识，帮助考生从题目中理解不同方案的正误差异。MCP认证是微软技术能力的重要证明，通过这套题库练习也能进一步理解Azure资源治理与条件访问策略的设计思路。整个资源包仅含1个PDF文件，压缩后约45.55MB，内容经Expert Verified验证，支持自定义视图设置，便于按Topic逐题练习或反复自测。目前已有120人学习这套题库。题库收录了类似“为不同部门虚拟机分配标签以建立关联”的典型题目，也深入考查全局管理员从不受信任位置连接Azure AD时必须启用MFA和Azure AD已加入设备等条件访问配置；每道题均给出正确答案、参考文档链接和社区投票分布，便于考生对照解析、识别常见误选，从而高效补足Azure管理与身份安全方面的薄弱环节。

1. 从文件名看 AZ-104：这不是题库答案，是一份需要二次加工的备考素材

拿到AZ-104 Exam微软ET_202409.pdf这个文件名，先别急着当题库刷。AZ-104 是微软 Azure Administrator 认证的考试代码，全称 Exam AZ-104: Microsoft Azure Administrator，202409 是这份 PDF 的整理时间，ET 大概率是培训机构或题库站的缩写。这类 PDF 在圈子里流传很广，里面通常是按知识点整理的真题回忆、模拟题和答案，价值在于帮你快速摸清考点分布，坑在于题目质量参差、答案可能过时，尤其 2023 年后微软把 Azure AD 更名为 Microsoft Entra ID，很多老题库的术语还没改过来。

这份 PDF 适合两类人：一类是已经在做 Azure 运维、想拿证书换项目资质的从业者，另一类是刚接触 Azure、需要一份考点地图来规划学习路径的新手。前者可以拿它查漏补缺，后者必须配合官方文档和动手实验一起用。我的建议很直接：把这 PDF 当作索引，用它确定考试范围，再回微软官方学习路径和文档里补细节，最后必须切到真实环境里敲命令。纯背 PDF 想过 AZ-104 基本不可能，因为考试里有大量基于场景的拖拽题和案例题，背答案救不了你。

2. AZ-104 到底在考什么：五大能力域、三种题型与 202409 版的变化

2.1 能力域占比怎么读：别把时间花在平均分配上

AZ-104 的官方考试大纲把内容分成五个能力域，每个域的题目占比不同。这部分信息在 PDF 里通常有一页考试技能概览，但很多人直接翻过去看题，等于把最重要的地图扔了。占比不是题目的精确数量，而是分数权重的近似值，直接影响复习时间和精力分配。

注意，第 5 章监控维护占比最低，但几乎是每个案例题里都会出现的配角。比如给你一个 VM 故障场景，答案里常混着恢复服务备份和日志诊断的选项。我见过很多人因为这章占比低就草草过一遍，结果在案例题里被这些选项干扰，丢分丢在配角上。

身份和虚拟网络是这考试里最容易挂人的两个域。身份域的题偏概念和命令记忆，网络域的题则喜欢把多个服务串成一个拓扑图让你判断问题出在哪层。PDF 里如果某个域下的题明显多于其他域，大概率是培训机构重点收录的，这也能侧面印证考点密度。

2.2 三种题型里最阴的是案例研究题

AZ-104 的题型不只单选多选，还有三类：普通选择题、拖拽题（把步骤按顺序拖到对应位置）、案例研究题。案例研究题是目前挂人最多的地方，形式是给你一段两三页的企业场景描述，包含一家公司的现有架构、痛点、约束条件，然后连续出 5 到 10 道小题，每道题的答案都要基于这个场景来判断。

这种题的难点不在知识点本身，而在于信息量超载。场景描述里会有大量无关细节，比如公司规模、部门结构、合规要求，真正影响答案的可能就两句话。很多人刷 PDF 里的普通选择题习惯了只看题干最后一句，到了案例题里还这么干，轻则选错作用域，重则整组题连错。刷 PDF 时遇到案例题，我的做法是把它当作阅读理解训练：先不看题目，只看场景描述，自己列出场景里涉及哪些 Azure 服务、有哪些约束，再逐题作答。这个习惯能明显提升考场上读案例的速度。

另外注意，案例研究题是共享场景的，检查时不要因为改了前一题的答案，连带把后面的逻辑也推翻了。改答案前先在草稿纸上确认新答案和场景约束不冲突。

2.3 202409 版相比老题库的差异点

2024 年 9 月的 AZ-104 考纲，相比 2021 到 2023 年的版本有一些明显变化，主要体现在术语和新增服务上。最大的变化是 Entra ID 全面取代 Azure AD 的叫法，题目里如果还出现 Azure Active Directory 字样，要么是旧题，要么是故意挖坑的干扰项。其次是 Microsoft Entra ID Governance 相关能力（访问评审、特权身份管理 PIM）在身份域里的权重有所提升，老题库里这部分通常只有一两道题，现在可能占三到四道。

另外，202409 版的案例题更倾向于混合场景，比如本地服务器迁移到 Azure VM 时如何规划存储、备份策略、可用性选项的组合方案。老题库的答案往往只考单个服务的使用，新版更看重多个服务之间的配合。刷 PDF 时如果发现某些题的四个选项里有两到三个都是正确做法，只是成本和复杂度不同，这种题要特别留心，它考的不再是概念对错，而是在约束条件下选最优解。PDF 里没有讲解，但你的判断标准是：满足需求的前提下，哪个选项用的 Azure 资源最少、运维成本最低，就是答案。

3. 把题库 PDF 变成学习路径：先搭知识骨架再刷题

3.1 用能力域反向建知识目录

拿到 PDF 后的第一步不是从第一页开始看，而是先把它拆成五摞。按 PDF 的目录或题目标签，把每一道题归到五个能力域里，归不进去的单独放一边。这个过程本身就是一次复习，相当于在大脑里建立了知识点到考点的初步映射。

建目录时不要用 Excel 记，太慢。我的习惯是直接建五个 Markdown 文件，文件名分别是identity.md、storage.md、compute.md、network.md、monitor.md，每个文件里按子主题再分小节。比如compute.md下面拆成虚拟机、VMSS、容器、可用性四个二级标题，把 PDF 里对应题目编号填进去。之后每做一道 PDF 里的题，就更新对应文件。这样坚持两三周，你脑子里会自然形成一个知识地图：看到题就知道它考的是哪个子主题，以及这个子主题还有哪些没覆盖的点。

这里的关键是，PDF 里没有但考纲里有的子主题，你要主动补进去。比如考纲里提到 Azure Virtual Desktop（AVD）属于计算资源域，很多 PDF 只有一两道题甚至没有，但真实考试确实出现过。把知识骨架建立起来之后，缺口一目了然，学的时候就知道往哪儿用力。

3.2 对照微软官方学习路径做逐项勾选

PDF 能告诉你考点有哪些，但不能告诉你每个考点的深度和正确做法。这部分的补全工作，需要回到微软官方文档和 Microsoft Learn 的 AZ-104 学习路径。去搜az-104 learn path，找到微软官方那张学习路径总览，把 PDF 里拆出来的子主题和官方模块一一对照。

官方文档不需要整页通读，抓住三个部分就行：概念说明（理解服务是什么、解决什么问题）、限制与配额（很多题目考的是边界值，比如存储账户命名规则、NSG规则数量上限）、CLI/PowerShell 命令示例（和考试拖拽题高度相关）。这个过程注定比直接刷题慢，但它是把陌生题变成熟悉题的必经之路。

有个偷懒但高效的方法是给五个能力域各建一张卡片，每张卡片正面写子主题名称，反面写该子主题在官方文档里和 PDF 里给出的关键参数差异。比如 PDF 里说存储账户要选冗余级别，官方文档里则告诉你冗余级别还分为主区域、从区域、访问频率三个参数组合。刷题时遇到这类题，你的信息量明显比对手大。

3.3 刷题的正确姿势：错题归档而不是追求遍数

很多人刷 PDF 喜欢从头到尾做一遍，对答案，把错题标记，然后来第二遍，这叫被刷题。真正有效的是错题归档。每次做题，不要只标记对错，要把错的题按失分原因分类：是概念记错了，还是限制条件没看到，还是命令参数混了，还是场景理解偏了。

我一般会在 Markdown 知识文件里做一个错题登记表格，字段是题号、能力域、错误选项、正确选项、失分原因、对应官方文档链接。每道错题都要写一句失分原因，这句话绝对不能是“粗心大意”，必须具体到知识点。比如误选了 StorageV2 账户，实际场景要求不支持 Blob 分层存储的旧版本——这才叫原因。

错题归档后，每周复习一次，只复习原因，不重看题目。原因是知识点的压缩包，看原因比重做一遍题效率高很多。二刷 PDF 时，只刷错题，不再做对的题，把省下来的时间拿去查官方文档。这样两遍下来，你的知识闭合程度比三遍全刷高得多。

3.4 PDF 里答案与官方文档冲突时，以文档为准

题库 PDF 最大的风险不在于错题多，而在于你看完非常顺畅、理所当然。培训机构收录的题通常都附答案，但答案未必是官方标准。遇到冲突时，唯一权威的来源是 Microsoft Learn 的官方文档。比如某 PDF 里说存储账户生成 SAS 必须使用 AzCopy，而官方文档明确告诉你使用 Azure CLI 的az storage container generate-sas也能生成。这种情况下就以官方文档为准，考试评分以官方行为为准。

还有一种常见的冲突是术语版本。老 PDF 写 Azure AD，新考试叫 Entra ID。如果你不确定当前考纲名字，直接打开微软官方学习路径页面，以页面上的名词为准。我在备考群里见过有人因为死记旧术语，在身份管理题里直接排除掉正确答案，理由是“这个词没见过”。这是最亏的丢分方式。

4. 用免费额度搭一套可操作的实验环境：az CLI 与模板的最小上手组合

4.1 为什么必须动手：纯背题在考场会翻车的三个地方

背题通过 AZ-104 的概率正在逐年降低，原因有三个：第一，拖拽题考的是操作步骤顺序，比如把一处 VM 从可用性集 A 移到可用性集 B，四个动作的先后顺序错了就不得分，这种题的正确答案必须在环境里做过才有肌肉记忆。第二，案例研究题里经常出现“你执行了某个命令后发现报错，现在需要判断下一步操作”的提问方式，没接触过真实 CLI 报错的人基本凭蒙。第三，最近几个版本的考题加入了命令补全或参数匹配类题目，比如给定四个选项，问哪个命令能从存储账户删除空目录。

动手实验的成本没那么高，个人订阅新账号可以领取免费试用额度，足够撑两个月的基础练习。关键是别把实验环境做得太重，只要覆盖身份、存储、计算、网络、监控五个能力域的最小场景即可。

4.2 五分钟跑通的 az CLI 最小组合

实验环境的第一步是安装 Azure CLI。Windows 上用 MSI 安装包，macOS 上用 Homebrew，Linux 用官方源。安装完成后首先要做的事是登录和确认订阅：

# 登录 Azure 账号，浏览器会自动弹出认证页面 az login # 列出当前账号可见的订阅，确认自己有权限操作 az account list --output table # 指定要操作的订阅，后续命令都基于这个订阅执行 az account set --subscription "Pay-As-You-Go" # 列出指定区域的可用 VM 大小,验证区域资源充足性 az vm list-sizes --location eastasia --output table

登录后要把订阅名称替换成你账号里实际的订阅名。这一步如果漏了，后面所有命令都可能执行在默认订阅上，造成资源建错地方。列出可用 VM 大小很重要，因为免费订阅在某些区域对特定型号不开放，提前查清楚能避免创建 VM 时不停报错。

接着建资源组，资源组是 Azure 里所有资源的容器，后续实验里的 VM、存储、网络都必须依托资源组存在：

# 创建资源组，名字要全局唯一且在区域内唯一 az group create --name rg-az104-lab --location eastasia # 验证资源组是否创建成功，并查看其基本信息 az group show --name rg-az104-lab --output json

资源组的命名建议带上用途前缀。eastasia 不一定适合你，请换成离你最近的可用区域。区域选错了不影响功能，但网络延迟会让后续操作体感变差。做完这两组命令，你的实验环境骨架就搭好了。

创建一台最小规格的 Linux VM，是熟悉计算资源域最快的方法：

# 创建 VM，自动生成 SSH 密钥并保存在本地 az vm create \ --resource-group rg-az104-lab \ --name vm-lab-001 \ --image UbuntuLTS \ --size Standard_B1s \ --admin-username labadmin \ --generate-ssh-keys \ --public-ip-sku Basic # 查看 VM 运行状态和公网 IP az vm show \ --resource-group rg-az104-lab \ --name vm-lab-001 \ --query "{powerState:powerState, publicIP:publicIpAddress}" \ --output table # 查看 VM 使用的托管磁盘和 SKU 信息 az vm list \ --resource-group rg-az104-lab \ --output table

--size Standard_B1s是最低等级的 VM，适合做实验但生产环境不推荐。--admin-username不能是admin或root等保留字，否则直接报错。SSH 密钥生成后保存在本地~/.ssh目录，后续登录不需要密码。VM 创建完成后，它的托管磁盘和虚拟网络也一并创建，这一串资源以后删除时要一起处理。

存储域的最小实验只需要一个存储账户和容器：

# 存储账户名必须全局唯一，且只能使用小写字母和数字 az storage account create \ --resource-group rg-az104-lab \ --name stlab001202409 \ --location eastasia \ --sku Standard_LRS \ --kind StorageV2 # 在存储账户里创建名为 upload 的 Blob 容器 az storage container create \ --account-name stlab001202409 \ --name upload \ --auth-mode login

存储账户名的长度是 3 到 24 位且只能小写字母数字，stlab001202409这种后缀加日期的命名方式能大幅降低冲突概率。--auth-mode login表示用当前登录身份操作容器，而不是用访问密钥，这是当前推荐的安全做法。容器创建完成后可以再补一条az storage blob upload，随便传一个本地文件进去，就能完整体验一次上传链路。

网络域的最小实验是建一套带网络安全组（NSG）的虚拟网络：

# 创建虚拟网络，并指定子网地址段 az network vnet create \ --resource-group rg-az104-lab \ --name vnet-lab-001 \ --address-prefix 10.0.0.0/16 \ --subnet-name subnet-001 \ --subnet-prefix 10.0.1.0/24 # 创建网络安全组并绑定到子网 az network nsg create \ --resource-group rg-az104-lab \ --name nsg-lab-001 az network vnet subnet update \ --resource-group rg-az104-lab \ --vnet-name vnet-lab-001 \ --name subnet-001 \ --network-security-group nsg-lab-001 # 添加一条允许 SSH 入站流量的规则 az network nsg rule create \ --resource-group rg-az104-lab \ --nsg-name nsg-lab-001 \ --name Allow-SSH \ --priority 100 \ --direction Inbound \ --protocol Tcp \ --source-address-prefixes 10.0.0.0/24 \ --source-port-ranges '*' \ --destination-address-prefixes '*' \ --destination-port-ranges 22 \ --access Allow

地址前缀10.0.0.0/16划分子网时，10.0.1.0/24能提供 251 个可用地址，对实验绰绰有余。NSG 规则优先级数值越小越优先，这里设 100 表示高于默认规则。安全组的核心概念是：默认拒绝所有入站，你显式放行什么才通什么。做完这组命令，你已经把网络域的大部分考点亲手过了一遍。

4.3 不踩费用坑的 ARM 模板部署：参数与配额检查

现代 Azure 运维里，直接命令行建资源是少数场景，更多时候用 ARM 模板（基础设施即代码）。考试里的拖拽题经常涉及 ARM 模板参数的写法，PDF 里通常只给一段模板让你判断哪里错了。这里给出一个最小 ARM 模板的骨架，使用前注意参数和配额检查。

{ "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#", "contentVersion": "1.0.0.0", "parameters": { "storageAccountName": { "type": "string", "metadata": { "description": "存储账户名，全局唯一" } }, "location": { "type": "string", "defaultValue": "eastasia", "allowedValues": [ "eastasia", "southeastasia", "japaneast" ], "metadata": { "description": "部署区域" } } }, "resources": [ { "type": "Microsoft.Storage/storageAccounts", "apiVersion": "2023-05-01", "name": "[parameters('storageAccountName')]", "location": "[parameters('location')]", "sku": { "name": "Standard_LRS" }, "kind": "StorageV2", "properties": { "minimumTlsVersion": "TLS1_2" } } ] }

模板里的parameters块定义输入参数，模板部署时传入不同的参数值就能在不同环境复建同样的资源。allowedValues限定了可选区域，能有效防止部署时手滑选错区域。minimumTlsVersion: TLS1_2是企业里常见的合规要求，考试时会拿这种细节做选项区分。

模板写好后，同目录建一个parameters.json：

{ "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#", "contentVersion": "1.0.0.0", "parameters": { "storageAccountName": { "value": "stlabarm001" }, "location": { "value": "eastasia" } } }

然后执行部署命令：

az deployment group create \ --resource-group rg-az104-lab \ --template-file storage-template.json \ --parameters storage-template.parameters.json

部署命令里的--template-file和--parameters分别是模板和参数文件路径。如果模板里有语法错误，命令会立即报错并指出错误行号，这是排查模板问题最快的方式。配额检查在部署前用az vm list-usage --location eastasia --output table查看所选区域的 VM 总配额和已用数量。免费订阅的 vCPU 配额通常是 4 到 8 个，如果连续创建多台 VM 或碰到大规格，容易触发配额不足错误。遇到QuotaExceeded不是模板写错了，是账号配额到了上限，只能删掉旧资源或换区域。

4.4 用成本估计来验证实验合理性

实验做得越贴近考试越好，但费用是真实存在的。Azure 官方有定价计算器，但实验过程中更实用的是一条命令查本月预估成本：

az cost management query \ --type ActualCost \ --timeframe MonthToDate \ --dataset-usage '{"granularity": {"type": "Daily"}}' \

如果你的订阅不支持成本查询接口，也可以在 Azure 门户的“成本管理 + 计费”里看当月账单。我建议每周查一次：如果当月预估超过 100 元人民币，就该考虑删除 VM、缩容存储账户 SKU 或停止某些非关键资源。实验的最终目的是让考点在脑子里留下肌肉记忆，烧钱烧得太猛会让人半途而废。实验里 VM 用完就deallocate（关机不释放），它只收磁盘费用。不要直接删除资源组里所有资源，因为有些资源重建起来很繁琐。

5. 避坑：题库对不上新版考纲、实验环境欠费、删除后还在计费

5.1 题库答案过时：碰到 Azure AD 术语直接警惕

现象：做 PDF 里的身份管理题，四个选项里出现了 Azure Active Directory 的完整名称，你按照老题库选了它，结果考试里对答案时发现该选项被替换成了 Microsoft Entra ID。原因：微软从 2023 年下半年开始逐步停用 Azure AD 名称，考试题目已经同步更新。解决：刷题时遇到 Azure AD 字样先画个问号；去 Microsoft Learn 搜索确认当前术语；所有身份相关概念整理到identity.md时把新旧名词对照写一遍，防止考场上条件反射选旧词。

5.2 QuotaExceeded：模板没写错，是订阅配额到了上限

现象：部署 ARM 模板创建 VM 时命令报错，错误信息里有QuotaExceeded，你检查模板语法没有错误。原因：订阅在当前区域对 vCPU 或公网 IP 数量有限制，免费试用账号配额更低。解决：先执行az vm list-usage --location eastasia --output table查看配额剩余。如果 vCPU 不够，删除不用的 VM（不只是停止，必须删除才能释放配额）。如果公网 IP 不够，给 VM 更换成StandardSKU，或使用 NAT 网关减少公网 IP 占用。这条坑在考试案例题里出现过类似的，题干描述为“部署模板成功但始终报配额错误”，很多人的第一反应是改模板，正确思路是查订阅配额。

5.3 删除 VM 不等于停止计费：托管磁盘和公共 IP 还在扣钱

现象：月底看账单发现比预期高，检查后发现明明删掉了创建的三台 VM，费用还在走。原因：VM 删除后，托管磁盘、公共 IP、虚拟网络等附属资源不会自动删除。VM 释放是基于计算资源的计费，磁盘是按存储容量计费，公共 IP 是独立计费项，三者的生命周期都独立于 VM。解决：删除 VM 时用az vm delete --resource-group rg-az104-lab --name vm-lab-001 --yes，这条命令只删 VM 本身，不是整个资源组。完整清理用az group delete --resource-group rg-az104-lab --yes，把资源组里所有资源一并删除。改过 VM 的大小或 SKU 后，旧磁盘可能成为游离资源，需要手动az disk list排查并删除。这是考场上易混淆的知识点：停用 VM 和删除 VM 的区别，停止 VM 只省计算费用，磁盘网络费用照收。

5.4 只看题库不碰环境：案例题的时间根本不够用

现象：做案例研究题时感觉每个字都认识，但要花很长时间在四个选项里权衡，最后做到一半发现时间过半。原因：案例题是场景驱动，不是概念驱动。只看 PDF 里的人没有在真实环境里操作过，对服务之间如何配合缺乏直觉，每道题都在用排除法。解决：实验环境里把每个能力域的最小场景完整走一遍，留意各服务创建时的前置条件和默认行为。比如在实验里创建 VM 后访问它的临时磁盘，你会发现临时磁盘的空间大小和 VM 规格绑定，重启后数据丢失，但数据盘不会丢。这种体感是背题无法替代的。考场上遇到案例题，先通读场景再做题，不要在不确定的单题上耗时超过 90 秒。

5.5 模拟题分数虚高：评测结果不等于考试结果

现象：用某机构的模拟考试成绩衡量备考状态，模拟考 80 分以上但真实考试只考了 600 多分（通过线是 700）。原因：模拟题库的难度和分布未必对照最新考纲，有些机构只收录简单题或老题。特别是 PDF 里的自测题，很多是概念直给型，无法模拟案例研究题的读题压力。解决：对模拟分要有感知上的打折，用错题归档结果作为真实依据；对照本章前面的知识目录，看还有哪些子主题的官方文档没查完；如果一套题做三遍以上还能错同一道题，说明该知识点有根本性误解，要回到文档看概念，不要靠刷题去猜。

6. 六周备考节奏与三遍刷题法：从 PDF 到考场的最后十米

拿到 PDF 后我建议排一个六周计划，前两周建骨架，中两周做实验，后两周刷题库和案例题。具体节奏可以按你的空闲时间调整，但三条原则不能破：每周至少三次动手敲命令，错题原因必须写满三十字以上，考前一天只复盘知识地图不再做新题。

三遍刷题法的核心是每一遍的侧重点不同。第一遍只做不看答案，把所有题目过一遍，把不确定的题目标记出来，这一遍不追求正确率，只建立题感。第二遍只看错题和不确定的题，对照官方文档纠正，把失分原因写进归档表格。第三遍只做案例研究题和拖拽题，每道题尝试先不看选项、自己口述解题步骤，再和正确答案比对。三遍下来，PDF 的价值才算真正榨干——第一遍解决见多识广，第二遍解决知识盲区，第三遍解决解题逻辑。

考前一天的任务是看五个能力域的错题归档表格，快速检查所有子主题的官方文档链接是否都能定位到。如果哪条链接点开自己都觉得陌生，说明那个知识点还没稳固，临时记一下再放下。晚上保证睡眠，别熬夜冲刺，因为这考试考的不只是记忆，还有案例题里的信息筛选效率，精神状态直接影响读题速度。

考试当天先快速浏览一遍案例研究题的场景描述，不用急着做题，先在草稿纸上画出资源拓扑和约束条件。普通选择题遇到两道题答案高度相似的情况，对照题目问的是“哪种方案成本最低”还是“哪种方案立即生效”，选项描述里出现部署期间、立即、最终一致这类词的优先级不同。这是很多老考生考完对答案时最容易拍大腿的地方。

考完记得把 PDF 里的错题归档表格留好，大多数情况下你不会只考一次就能达到预期分数，这些记录是二战的起点。我个人第一次考就栽在案例题速度上，后来重新翻归档表时，才发现那些错题原因早已经在提示我读题太慢。从那以后我每做一道案例题都计时，控制在 90 秒内，第二次顺利通过。希望这套方法能帮你在 AZ-104 上少走一段弯路，祝顺利。

本文还有配套的精品资源，点击获取