企业官网建设流程全解析

简介：面向备考微软 AZ-204 Azure 开发人员认证的考生，这份 2022 年题库以 PDF 形式整理了认证考试的核心考点与真题演练，覆盖 Azure 资源管理、虚拟机迁移、ARM 模板部署、Key Vault 安全存储密码、AKS 容器部署、监控与身份访问管理等关键领域，适合处于冲刺阶段、需要熟悉题型与解题思路的中级开发者。资源包共 1 个 PDF 文件，约 221KB，轻量便携，便于在电脑或移动设备上随时翻阅。内容以 Topic 与 Question 编号组织，每题附选项、正确答案及官方文档参考链接，并保留社区投票分布与考生讨论，帮助读者理解答案依据而非死记结论。目前已有 341 人学习下载，可配合 Azure PowerShell、CLI 与门户实操对照练习，用于查漏补缺、强化薄弱知识点，提升应试与实战能力。

1. 先看清 AZ-204 到底考什么：从一道“迁移虚拟机”题说起

AZ-204 的题面有个很坑的特点：它不问你“这个服务叫什么”，而是把你扔进一个具体操作场景，问你“下一步该点哪个”。比如题库第一题，两台 Hyper-V 主机、一台用 ARM 模板部署的 VM，要把它从 Host1 挪到 Host2，选项里摆着 Update management、改订阅、Redeploy、改 usage location。很多人第一反应是“迁移嘛，肯定换订阅或者换主机”，结果翻车——正确答案是 Redeploy，因为重新部署会把 VM 挪到 Azure 基础设施里的新节点并保留全部配置。这类题考的不是记忆，是你对“每个刀片到底干什么”的边界感。

这场考试面向的是用 Azure 开发、部署、维护解决方案的人，核心盘在计算、存储、身份与访问、监控、资源管理几块。拿分逻辑很直接：题干给场景，选项给动作，你要判断哪个动作真正解决了问题、且没有副作用。适合已经上手过 Azure 门户、写过 ARM 模板、碰过 AKS 和 Key Vault 的备考者；零基础硬背题库，遇到变形题就露馅。下面按考点模块拆，每块都配真题和答题思路，能直接拿去练。

2. 计算与部署考点：VM 重部署、AKS 清单、容器命令三件套

计算这块是 AZ-204 的高频区，题库前四题全落在这里。它的出题套路是“给你一个看似合理的操作，问它是否达成目标”，答案往往取决于命令或刀片是否真的作用在目标资源上。备考时别只记答案字母，要记“这个动作做了什么、没做什么”。

2.1 VM 迁移题：为什么答案是 Redeploy 而不是换订阅

题干里 VM1 是用自定义 ARM 模板部署的，要从 Host1 移到 Host2。四个选项分别对应四种完全不同的语义：Update management 是打补丁的，改订阅是换计费归属，Redeploy 是把 VM 重新分配到新节点，改 usage location 是管许可证地理位置的。只有 Redeploy 会触发“在 Azure 基础设施内换节点并重新开机”，同时保留配置和关联资源。

答题时抓两个关键词：一是“同一订阅内换物理节点”，二是“保留配置”。只要题干出现“硬件/节点/主机层面出问题，想换个地方跑但不想重建”，基本锁定 Redeploy。反过来，如果题干说“要换计费或隔离资源”，才轮到订阅或资源组操作。这类题面试官最想听的是你能说清“Redeploy 不会动你的磁盘和网络配置，它只是重新调度”，而不是背一个 C。

提示：Redeploy 常用于解决 VM 连不上、宿主机异常这类“玄学”故障，但它不是迁移到指定主机的工具——你无法指定目标 Host2，只能让平台重新调度。题干写 Host2 只是干扰项。

2.2 ARM 模板密码题：Key Vault + 访问策略的固定搭配

第二题是拖拽题：模板要部署多台 VM，密码不能明文，问你创建什么组件。标准答案是 Key Vault 存 secret，再配 Access Policy 授权模板/部署身份读取。这里考的是“敏感信息不落模板”的原则：模板里只放 Key Vault 的引用（比如Microsoft.KeyVault/vaults/secrets的 URI 或参数引用），真实密码存在 secret 里。

答题思路分三层：第一层，密码属于 secret，归 Key Vault 管；第二层，模板部署时需要有权读这个 secret，靠访问策略或 RBAC 授权；第三层，模板参数用reference指向 Key Vault，而不是写死字符串。面试里被追问“为什么不用 App Settings 或变量组”，你要答：那些地方仍是配置明文或半明文，Key Vault 才有审计、轮换和细粒度授权。

{ "parameters": { "adminPassword": { "reference": { "keyVault": { "id": "/subscriptions/<sub-id>/resourceGroups/<rg>/providers/Microsoft.KeyVault/vaults/<kv-name>" }, "secretName": "vmAdminPassword" } } } }

这段模板参数的关键在reference块：它告诉 ARM 部署时去指定 Key Vault 取vmAdminPassword这个 secret，模板文件本身不含密码。keyVault.id要写完整资源 ID，secretName与 Key Vault 里的 secret 名一致。失败时先看两点：部署身份有没有该 secret 的 get 权限，以及 Key Vault 的网络规则是否放行了部署来源。很多人只配了 Access Policy 却忘了 secret 权限里要勾 Get，部署直接报无权读取。

2.3 AKS 部署题：kubectl apply 与 docker run 的本质区别

第三、四题是一对镜像题。第三题说装了 Azure CLI 后跑kubectl apply -f myapp.yaml，问是否达成部署 YAML 清单的目标；第四题说装 docker 客户端跑docker run -it microsoft/azure-cli:...，问是否达成。答案分别是 Yes 和 No。核心判断标准只有一个：这个命令是不是在跟 Kubernetes API 交互。

kubectl apply -f解析清单文件并把配置提交给集群，是标准部署动作；docker run只是启动一个容器，哪怕容器里是 Azure CLI 镜像，也没有对 AKS 集群执行任何部署。题库评论区吵得凶，有人说 Azure CLI 不含 kubectl、要az aks install-cli，这属于把“工具是否预装”和“命令语义是否正确”混为一谈。考试问的是“这个 solution 是否达成 goal”，只要命令本身是部署清单的正确手段，环境准备属于前置条件，不改变答案。

# 正确：把清单提交给当前 kubeconfig 指向的集群 kubectl apply -f myapp.yaml # 错误示范：只是跑起一个 CLI 容器，没有部署任何东西 docker run -it microsoft/azure-cli:0.10.17

第一行命令依赖本机 kubeconfig 已指向目标 AKS 集群（通常由az aks get-credentials生成），-f指定清单路径。第二行即使容器里能敲 az 命令，也没有 apply 动作。答题时遇到“solution 是否满足”的判断题，先问自己：这个动作的最终作用对象是不是目标资源？是，选 Yes；只是准备了工具或环境，选 No。

3. 身份、安全与资源配置考点：从 Key Vault 权限到资源组边界

AZ-204 的安全题不爱考概念定义，爱考“谁能读、谁不能读、授权加在哪一层”。身份与访问管理和资源配置经常混在同一道题里，因为 Key Vault、托管标识、资源组边界本来就是一套治理体系。这一章把高频的授权与边界题拆开讲。

3.1 托管标识与访问策略：别把两种授权模型搞混

Key Vault 有两种授权模型：Vault access policy 和 Azure RBAC。老题库里大量出现“创建访问策略允许访问 secret”，这是 access policy 模型；新题可能问“用托管标识读 secret 要配什么”，答案会落到给托管标识授予 Key Vault 的 RBAC 角色，或在 access policy 里加该标识的 Get 权限。答题时先看题干用的是哪种模型，别把 RBAC 角色名往 access policy 里塞。

典型问法：“应用部署在 App Service，需要用托管标识读取 Key Vault 中的连接字符串，最少权限怎么给？”思路是：启用系统分配托管标识 → 在 Key Vault 授权层给该标识 secret 的 get 权限（access policy 模型）或授予 Key Vault Secrets User 角色（RBAC 模型）→ 应用代码用DefaultAzureCredential或托管标识端点取 secret。面试官想听的是“不给应用存凭据，让平台身份去换 token”，而不是“把连接字符串写进配置”。

3.2 资源组与订阅边界：移动资源的限制条件

资源配置题常考“能不能移动、移动后什么会变”。资源组是生命周期和权限边界，订阅是计费和配额边界。把资源从一个资源组移到另一个，资源 ID 会变，依赖它的角色分配、锁、某些诊断设置可能失效；跨订阅移动还受资源类型支持列表限制。题干如果问“移动 VM 到另一订阅后，原角色分配还有效吗”，答案通常是否定的，因为作用域变了。

答题模板可以固定成三句：先判断资源类型是否支持移动，再判断目标作用域是否满足依赖（比如目标订阅要有对应资源提供程序注册），最后提醒移动后要复核 RBAC、锁和监控配置。这类题不要求你背全支持列表，但要求你知道“移动不是复制，ID 和作用域会变，依赖要重建”。

3.3 真题演练：一道“是否达成目标”的授权判断题

假设题干：某应用需要从 Key Vault 读取 secret，方案是“给应用的托管标识在 Key Vault 的 access policy 中勾选 List 权限”，问是否达成读取目标。答题思路：List 只能列 secret 名称，不能读值，读值需要 Get。所以答案是 No。这类题的错误选项往往给一个“看起来相关但动作不对”的权限，比如只给 List、只给 Delete、或把权限加在错误的作用域上。

注意：权限题先分清“操作对象”和“操作动作”。对象是 secret、key 还是 certificate，动作是 get、list、set 还是 delete，两个维度都对上才算达成目标。

4. 易错点集中营：这五类题最容易把会做的人带沟里

题库刷多了会发现，丢分往往不是因为不会，而是因为题干里埋了语义陷阱。下面五类是按错误率排的，每条按“错在哪、为什么错、怎么答对”拆。

第一类，把“重新部署”当成“迁移到指定主机”。错在以为 Redeploy 能选目标 Host2；实际它只让平台重新调度，不指定节点。为什么错：把“换节点”理解成“换到你指定的节点”。怎么答对：看到“同一订阅内、保留配置、换基础设施节点”选 Redeploy，看到“指定目标主机”则要意识到平台不提供该能力，题干多半在考你是否知道这个限制。

第二类，把“装了工具”当成“执行了操作”。AKS 那对题里，有人因为 Azure CLI 默认不带 kubectl 就选 No。错在把环境前置条件当成 solution 是否达成的判断依据。为什么错：题目问的是这个方案动作是否完成部署，不是问环境是否开箱即用。怎么答对：盯住命令的最终作用对象，kubectl apply作用在集群上就是 Yes，docker run作用在本地容器上就是 No。

第三类，Key Vault 权限只给 List 不给 Get。错在把“能看到 secret 列表”当成“能读取 secret 值”。为什么错：List 和 Get 是两个独立权限，很多人扫一眼“有权限”就选了。怎么答对：读值必须 Get，列名才用 List，配置里两个都要按需勾。

第四类，模板里用参数默认值存密码。错在以为“参数化了就不算明文”。为什么错：默认值仍写在模板文件里，随代码库泄露。怎么答对：敏感值一律走 Key Vault reference，模板里不出现真实密码，连默认值都不给。

第五类，移动资源后假设角色分配自动跟随。错在以为资源 ID 变了权限还在。为什么错：RBAC 作用域绑的是资源 ID 或资源组，移动后旧作用域失效。怎么答对：移动后复核角色分配、资源锁和诊断设置，必要时在新作用域重建。

5. 考场答题节奏：一套能直接套用的三步判断法

到了考场，题干长、选项像、时间紧，靠临场推理容易乱。我习惯把每道场景题压成三步：第一步定作用对象，第二步定动作语义，第三步查副作用。这三步走完，大部分“是否达成目标”和“选哪个操作”的题都能收敛。

拿题库里的题套一遍：VM 迁移题，对象是 VM，动作是调度，副作用是保留配置，锁定 Redeploy；AKS 题，对象是集群，动作是提交清单，kubectl apply命中，docker run出局；Key Vault 题，对象是 secret，动作是读值，权限必须是 Get。三步里任何一步对不上，选项就不可选。

再补一个押题方向：AZ-204 近年的场景题越来越爱把“安全”和“部署”缝在一起，比如“用托管标识从 Key Vault 取密码注入 ARM 模板部署 VM”“AKS 用 workload identity 拉取 secret”。遇到这种复合题，先拆成两个子问题分别判断，再合起来看依赖顺序——通常是先授权、再引用、最后部署。别一上来就选最长的那个选项，长选项经常是把你绕进去的。

血泪经验是：题库里的社区投票只能当参考，评论区吵翻天的题恰恰是语义陷阱最密的地方。我后来每次刷到争议题，都强制走一遍“对象—动作—副作用”，把每个错误选项为什么错写一行，而不是只记正确字母。这样遇到变形题，判断依据还在。希望帮到你，把这份题库当练语义的素材，而不是背答案的清单，上岸会稳很多。

本文还有配套的精品资源，点击获取