2.4 - Bases de données, identité et sécurité (Cosmos DB, Entra, Key Vault)
L'objectif 2.4 de l'AZ-900 couvre les services de bases de données, d'identité et de sécurité d'Azure. Azure Cosmos DB est une base NoSQL distribuée mondialement qui réplique entre continents avec des lectures de quelques millisecondes, et les écritures multi-régions permettent de lire et écrire un réplica local sur plusieurs continents avec gestion automatique des conflits. Côté identité, l'authentification vérifie qui est un utilisateur, les clés de sécurité FIDO2 offrent une connexion sans mot de passe impossible à hameçonner via USB ou NFC, et Microsoft Entra ID ajoute la collaboration B2B pour inviter un consultant externe comme invité avec ses propres identifiants. Attribuer les permissions à un groupe et gérer son appartenance maintient les accès à jour. Pour la sécurité, Microsoft Defender for Cloud combine la gestion de posture (CSPM) et la protection des charges (CWP) pour serveurs, conteneurs et bases, et Azure Key Vault stocke les secrets au lieu de coder en dur mots de passe et clés d'API. Sous la responsabilité partagée, tu gères toujours tes données, comptes et identités. Attends-toi à des mises en situation qui demandent quel service de base de données, d'identité ou de sécurité convient.
NoSQL mondial avec lectures de quelques millisecondes = Cosmos DB ; lecture et écriture locales partout = écritures multi-régions. Clé sans mot de passe impossible à hameçonner = FIDO2. Stockage central des secrets au lieu du code en dur = Key Vault.
Questions d'entraînement
1. Une équipe sécurité veut renforcer les connexions afin que les utilisateurs prouvent leur identité d'une seconde manière et que les connexions risquées depuis des lieux inattendus puissent être bloquées. Quelles DEUX fonctionnalités Microsoft Entra s'appliquent ? (Choisissez DEUX réponses.)
- L'authentification multifacteur (MFA) (bonne réponse)
- Les politiques d'accès conditionnel (bonne réponse)
- La journalisation des flux des groupes de sécurité réseau
- Azure DDoS Protection activé sur le réseau de périmètre
- Des verrous de ressources appliqués aux ressources d'identité
La MFA exige une seconde preuve d'identité (application, code, clé), et l'accès conditionnel évalue des signaux comme le lieu, l'appareil et le risque pour autoriser, bloquer ou exiger la MFA. Les journaux de flux NSG enregistrent le trafic réseau, DDoS Protection défend contre les attaques volumétriques et les verrous empêchent la suppression - aucun ne contrôle les connexions.
2. Une application a besoin d'un emplacement central pour stocker chaînes de connexion, certificats et clés de chiffrement, avec un accès strictement contrôlé et audité. Quel service utiliser ?
- Azure Key Vault (bonne réponse)
- Des groupes de sécurité réseau appliqués au sous-réseau de l'application
- Microsoft Defender for Cloud avec les fonctionnalités de sécurité renforcées
- Des conteneurs de compte de stockage Azure avec l'accès public désactivé
Key Vault est le service dédié aux secrets, clés et certificats, avec des politiques d'accès fines et une journalisation d'audit complète. Les NSG filtrent le trafic réseau, Defender for Cloud évalue et protège les charges de travail, et un conteneur de stockage n'est pas conçu pour garder des secrets avec un contrôle d'accès par secret.
3. Une société de jeux a besoin d'une base NoSQL qui réplique les données sur plusieurs continents et garantit des lectures en quelques millisecondes pour les joueurs partout. Quel service Azure convient ?
- Azure SQL Database avec sa géoréplication active configurée sur un réplica
- Azure Database for PostgreSQL serveur flexible avec plusieurs réplicas en lecture configurés
- Azure Table Storage déployé dans un compte de stockage distinct pour chaque continent
- Azure Cosmos DB (bonne réponse)
Cosmos DB est la base NoSQL mondialement distribuée d'Azure : on ajoute des régions en un clic, et elle garantit par SLA une latence de quelques millisecondes. SQL Database et PostgreSQL sont relationnelles, et des comptes Table Storage séparés par continent laisseraient l'application gérer elle-même la réplication et la cohérence.
4. Une équipe qui bâtit une nouvelle application cloud veut une base relationnelle compatible SQL Server en service PaaS entièrement géré, sans administration d'OS, de correctifs ni de sauvegardes. Quelle option doit-elle choisir ?
- Azure SQL Database (bonne réponse)
- SQL Server installé sur une machine virtuelle Azure administrée par l'équipe elle-même
- Azure Cosmos DB configuré pour accepter nativement des instructions Transact-SQL relationnelles
- Azure Database for MySQL serveur flexible exécutant le moteur Microsoft SQL Server
Azure SQL Database est l'offre PaaS entièrement gérée bâtie sur le dernier moteur SQL Server stable : Microsoft s'occupe de l'OS, des correctifs, des sauvegardes et de la haute disponibilité. SQL sur VM laisse tout ce travail à l'équipe, Cosmos DB n'est pas une base relationnelle T-SQL, et le service MySQL exécute MySQL, jamais le moteur SQL Server.
5. Une entreprise migre un SQL Server sur site qui dépend de travaux SQL Server Agent et de requêtes entre bases. Elle veut une compatibilité moteur proche de 100 pour cent tout en restant sur un service PaaS géré. Quelle option convient le MIEUX ?
- Des bases uniques Azure SQL Database, une créée par base de données de l'ancien serveur
- SQL Server sur machine virtuelle Azure, car les travaux d'agent ne tournent jamais en PaaS
- Azure SQL Managed Instance (bonne réponse)
- Azure Database for PostgreSQL serveur flexible avec une extension de compatibilité SQL Server
SQL Managed Instance offre une compatibilité proche de 100 pour cent avec SQL Server sur site, y compris SQL Server Agent et les requêtes entre bases, tout en restant un service PaaS géré - le choix classique de migration telle quelle. Les bases uniques n'ont pas ces fonctionnalités de niveau instance, une VM abandonne inutilement le PaaS, et aucune extension PostgreSQL n'apporte la compatibilité SQL Server.
6. Quelles DEUX raisons justifient de choisir SQL Server sur une machine virtuelle Azure plutôt que les options PaaS ? (Choisissez DEUX réponses.)
- Un contrôle administratif complet du système d'exploitation est requis (bonne réponse)
- L'application dépend d'une version précise et ancienne de SQL Server (bonne réponse)
- L'entreprise veut que Microsoft corrige automatiquement l'OS et le moteur de base à sa place
- C'est la seule option de déploiement dans Azure qui prend en charge les sauvegardes automatisées
- Elle retire toute responsabilité de haute disponibilité à l'équipe d'exploitation du client
SQL Server sur VM est de l'IaaS : on garde le contrôle total de l'OS et on peut installer la version exacte de SQL Server exigée par une application. Les correctifs automatiques et la HA intégrée sont des arguments POUR les options PaaS, et les sauvegardes automatisées existent aussi dans les offres Azure SQL PaaS, donc aucun de ces distracteurs ne favorise la VM.