简介面向备考微软AZ-104认证的IT专业人士这份PDF题库围绕Azure管理员核心技能展开内容涵盖资源组管理、虚拟机标签、Azure Active Directory条件访问策略等高频考点并配有专家验证的答案与解析。资源为1个PDF文件压缩包约45.55MB适合集中阅读、反复刷题目前已有120人浏览学习。题库按Topic组织题目还原实际业务场景如将不同部门的虚拟机通过标签关联、要求全局管理员从不受信任位置连接时必须使用MFA和Azure AD加入设备等每道题均给出正确选项及社区投票分布便于了解不同解法的认可度同时支持自定义视图可按需筛选题目与答案。通过逐题演练可以快速定位自身薄弱点深入理解资源标签、条件访问策略、会话与授予控制等细节为通过AZ-104及MCP认证提供扎实准备。1. 备考 AZ-104 的主刷材料为什么我选这份带投票分布的官方样式题库备考 AZ-104 的人大多卡在同一个地方概念都懂资源组、条件访问、存储冗余这些名词张口就来真做起题来却发现四个选项个个像正确答案。原因在于考试不考概念本身考的是「在同一个需求描述里你能不能从四个操作路径里挑出唯一合规的那条」。我手里这份 AZ-104 题库 PDF 正好把这个特点暴露得最彻底——每道题都是官方考试样式带专家验证过的标答还附带社区投票分布能直接看到哪些选项是多数人踩进去的坑。这也解释了为什么老牌 MCP 体系下大量准备 Azure Administrator Associate 认证的人把这套题当考前主刷材料用它来判断自己到底是「会了」还是「只会背名词」。2. 把题库拆成考点图Tag、条件访问、存储冗余与部署模板的四种考法这套题库虽然看起来就是几十道题的堆积但实际命题方向非常集中。我从 Topic 1 的前十六道题里拆出了四个反复出现的考法资源组织选型、条件访问策略改哪个环节、存储冗余等级怎么挑、ARM 模板去哪看。下面逐一拆开每道题都按「题干需求 → 选项差异 → 为什么是这个答案」的思路走一遍这是比背标答更值钱的提炼。2.1 资源组织与标记Tags、资源组、管理组到底差在哪第一题给了一个特别典型的场景公司有多个部门每个部门一批虚拟机所有虚拟机都在同一个资源组 RG1 里现在要把 VM 和各自的部门关联起来。四个选项分别是建管理组、建资源组、给虚拟机打标签、修改虚拟机设置。正确答案是 C给虚拟机分配标签。这个题很多人第一眼会选资源组理由是「一个部门一个资源组不是更清晰吗」。但注意题干措辞所有 VM 已经在 RG1 里要求是「关联」而不是「隔离」。资源组本质是权限和生命周期边界一个 VM 只能属于一个资源组如果按部门拆组等于把原有组结构推翻重做还要重新调整 RBAC。管理组是订阅层级的容器用于把多个订阅组织成层级结构往下一层还能继承策略但它管不到订阅内部的单个 VM粒度完全不对。修改 VM 设置更不用说和分类没有关系。Tags 才是 ARM 体系里的原生元数据key-value 形式可以挂到任意资源上。给 VM 打上DepartmentIT这样的标签后可以按标签筛选资源、生成分部门成本报告、驱动自动化策略而且不影响已有的资源组结构。下面是几类资源组织手段的对比手段作用粒度核心用途本题适用度管理组 Management Group订阅层级跨订阅的权限继承与策略叠加不适用管不到 VM资源组 Resource Group订阅内资源容器RBAC 边界、生命周期管理不适用VM 已在同一组标签 Tag任意资源维度分类、成本分摊、筛选查询适用轻量且可批量修改 VM 设置单台 VM配置变更不适用与分类无关做题时我习惯先在题干里划需求词。这道题要的是 associate关联不是 isolate隔离看到关联类需求优先想 tags。以后遇到「按部门/环境/项目给资源分类」的题Tag 几乎是标准答案资源组只有在题目明确要求「拆权限边界」时才优先。2.2 条件访问三连题同样是 MFAGrant 和 Session 改错地方就全错第二、三、四题共用同一个小场景要求 Global Admins 组成员从不受信任位置访问 Azure AD 时必须用多因素认证 Azure AD 加入设备。三题的区别只在 Solution 改的地方——第一题改 MFA 用户设置页面错第二题改条件访问策略的会话控制错第三题改条件访问策略的授权控制对。这道题组其实是在考 Conditional Access 策略的组成结构尤其区分 Grant controls 和 Session controls。条件访问策略由三个主要段落构成Assignments 负责选人、选应用、选条件比如位置Access controls 里 Grant 负责「允不允许过」Session 负责「过了之后按什么会话规则走」最后还有一个 Enable policy 的开关。要求用户做 MFA 并且用已加入 Azure AD 的设备这属于登录时的访问前提必须落在 Grant 段里。具体配置时在 Grant 里勾选 Require multi-factor authentication 和 Require device to be Azure AD joined还要注意勾选For all the conditions要求全部满足而不是 For one of the selected controls。只改 MFA 用户设置页不行那是老的 per-user MFA 开关只能设这个用户用不用 MFA根本感知不到「不受信任位置」。改 Session 也不行会话控制负责登录频率、应用强制限制这类登录后策略跟「要不要 MFA」是两回事。Solution 改哪里属于策略哪一段是否能满足需求原因多因素认证页修改用户设置非条件访问范畴否per-user MFA 无法按位置与设备判定Azure 门户改会话控制Session controls否会话控制不承担访问准入Azure 门户改授权控制Grant controls是MFA 与设备要求都属于 Grant 条件条件访问页禁用策略Enable policy否直接停用整个策略等于不设防这类三连题是 AZ-104 的保留节目官方题库经常把同一个需求换三个改法。我的判断顺序是先看 Solution 动的是哪一层再看这一层在条件访问策略里承担什么职责。只要养成了「动哪层、对应什么含义」的习惯三连题基本就是送分。2.3 存储冗余选型RA 这两个字母决定题目答案第十二题是存储层面的经典选型题数据中心在洛杉矶和纽约要做站群集灾备要求数据存多个节点、节点要跨地理位置、其次可以从次要位置读取数据。答案是 B读访问地理冗余存储RA-GRS。这类题最容易翻车的地方是把 GRS 和 RA-GRS 搞混。标准 GRS 是数据从主区域同步复制到次要区域但次要区域平时不能用于读取只有等 Microsoft 发起故障转移之后才能读。RA-GRS 在 GRS 的基础上开放了冗余位置的读取权限RA 就是 Read Access 的意思正好对题干的第三句话「可以从次要位置读取数据」。LRS 是单区域三副本只满足多个节点这一条ZRS 是同区域跨可用区的三副本满足多节点但不跨地理区域GRS 满足跨区域但平时不可读只有 RA-GRS 把三条需求全部命中。选择题里这种需求点对照非常机械把每一条要求列出来跟各冗余等级的特性逐项匹配就行。冗余等级副本分布次要位置可读适用场景LRS单个数据中心内 3 份无次要位置成本敏感、可接受单数据中心故障ZRS同一区域内 3 个可用区无次要位置单区域内的可用区级容错GRS主区域 次要区域否只能故障转移后读取跨区域容灾读取要求不高RA-GRS主区域 次要区域是随时可读高可用 备区读需求我一般把「可以从冗余位置读取」当成题目里的信号词看到这个需求答案直接锁定 RA-GRS。要是题干里把「读取」换成「故障转移」那就要落到 GRS 上一字之差答案就变了。2.4 ARM 模板与自定义 VM导出模板去哪看cloud-init 到底怎么传第十三到十五题是同一场景的变体同事用 ARM 模板部署了 VM 和存储账户现在要审查他用的模板三个选项分别是去看 VM 的边栏、看资源组的边栏、看容器的边栏。答案是资源组边栏。这个考点是「从部署历史里导出模板」入口在资源组 - 部署Deployments- 选择某次部署 - 查看模板View template。模板是部署行为产生的产物不是 VM 或者存储账户这类资源自带的属性所以从单个资源的边栏永远看不到容器边栏更是指向错误。第五题则是自定义 VM 部署的考法要给 Ubuntu Server 部署自定义配置加入一个受信任根 CA。这里用到的机制是 cloud-init。cloud-init 是 Linux 发行版通用的云初始化工具Azure 上创建 VM 时可以通过--custom-data参数投递初始化配置。下面是一个能完成「写入根证书并刷新 CA 证书库」的最小 cloud-init 文件#cloud-config write_files: - path: /usr/local/share/ca-certificates/weretail-ca.crt content: | -----BEGIN CERTIFICATE----- MIIBxTCCAWigAwIBAgIJALiLa... -----END CERTIFICATE----- runcmd: - update-ca-certificates这段配置的逻辑是先通过write_files把自定义 CA 证书写到系统的 ca-certificates 目录再通过runcmd调用update-ca-certificates命令刷新证书库。参数path必须指向/usr/local/share/ca-certificates/这个目录扩展名必须是.crt否则update-ca-certificates不会识别。部署时用 Azure CLI 把文件路径传给--custom-dataCLI 会自动做 base64 编码az vm create \ --resource-group rg1 \ --name vm-department \ --image UbuntuLTS \ --admin-username azadmin \ --generate-ssh-keys \ --custom-data ./cloud-init.txt--custom-data接收的是本地文件路径不是文件内容本身这是新手最容易错的地方。如果你在本地已经手工 base64 编码过传进去反而会重复编码导致 cloud-init 解析失败。这套命令执行后VM 创建完成时 cloud-init 文件已经生效之后想验证是否成功SSH 登录后查看/usr/local/share/ca-certificates/下是否有文件并执行update-ca-certificates 21看有没有证书入库。注意题库里这道题的正确选项标的是Create-AzVM社区投票却有 99% 选了az vm create这个矛盾点我在第四章专门讲做题时先按「cloud-init 投递用az vm create」的技术事实记别急着背标答。3. 用题库反推备考流程投票分布读法、官方学习路径与三个最小实验题库刷一遍不是目的目的是通过它知道自己缺在哪。相比其他模拟题这份题库有一个独特优势每道题都附社区投票分布这让我能判断「某道题是大多数人共享的盲区还是少数人不小心踩坑」。把投票分布和标答对照起来看其实就是在做一次免费的考试分析。3.1 先用投票分布给题目分类别盲刷投票分布不是摆设。我的读法是分三类处理。第一类是标答和投票高度一致的题比如第一题 C93%、第二题 B100%这类属于基础送分题错一次说明概念有硬伤需要回看对应章节而不是继续往下刷。第二类是标答在少数派的题比如第五题标答 C 但 99% 投票 D这是争议题数量极少但值得单独拉出来研究因为考试里遇到类似选项时按照当前官方文档的技术事实去选才最稳妥。第三类是分布接近的题比如第九题 B65%对 A34%考生在这个选项上纠结说明题干里有干扰信息。我一般给这些题做三个轮次。第一轮按 Topic 顺序全部过一遍只做标记不纠结对错。第二轮只重做第一轮错题里投票支持率低于 80% 的题这些题才是你能通过刷题提分的部分。第三轮把「标答与最高票选项不一致」的题找出来逐一去官方文档核对当前推荐做法。这套方法对任何带投票分布的题库都适用核心思路是让数据告诉你该往哪使劲而不是平均用力刷每一道。3.2 把题目映射回官方学习路径按模块补课AZ-104 对应的官方认证是 Microsoft Certified: Azure Administrator Associate微软 Learn 平台上有完整的 Azure Administrator 学习路径。我的习惯不是按题库顺序硬背而是先做一次「题目到学习路径」的映射然后哪块弱就补哪块。下面是对这套题第一套题集的映射示例题号考点对应官方学习路径模块建议动手实验第 1 题资源标记与组织管理 Azure 标识与治理给 VM 批量打标签并筛选第 2-4、6-8 题条件访问、MFA 用法模型管理 Azure 标识与治理配置条件访问策略与 What If 验证第 9-11 题混合身份同步管理 Azure 标识与治理手动触发 AD Connect 同步第 12 题存储冗余实现 Azure 存储创建不同 SKU 存储账户并对比可用性第 13-15 题ARM 模板部署历史部署和管理 Azure 计算资源从资源组导出模板并修改重部署做完映射你会发现这份题库看似散实际大量题目都集中在身份治理和计算资源部署两块这两块恰恰是 AZ-104 考试比例最重的部分。做题错的题回到对应模块重读官方文档尤其是题目答案下面给的 Reference 链接那些链接指向 docs.microsoft.com 的原始文档比自己乱搜要权威得多。3.3 三个最小实验把答案变成肌肉记忆刷题只能解决「见过」解决不了「会做」。对题库里反复出现的考点我建议在 Azure 免费订阅或试用订阅里各做一次最小实验十分钟一个做完记忆远超刷三遍题。第一个实验是标签管理。用 PowerShell 给 VM 打标签再查标签命令如下# 给指定 VM 设置标签注意 Tag 参数是哈希表 Set-AzResource -ResourceId $vm.Id -Tag {DepartmentIT; EnvProd} -Force # 按标签名筛选出所有 IT 部门资源 Get-AzResource -TagName Department -TagValue IT这段代码里Set-AzResource的-Tag参数接收哈希表多个标签用分号隔开。一个我自己踩过的坑是这个命令是整体覆盖式更新如果你想给已有标签的资源再加一个新标签必须把原有标签全部带上再执行一次否则旧的会被清空。所以实际工作里我习惯先Get-AzResource拿现有标签合并进哈希表再写回。第二个实验是存储冗余。创建存储账户时把 SKU 指定为Standard_RAGRS然后进门户看冗余配置和次要区域读取状态。这个实验的目的不是背 SKU 名而是亲眼看到「次要区域只读」在门户里长什么样下次遇到选型题脑子里有画面。第三个实验是可用性集缩放。在门户里建一个包含三台 VM 的可用性集尝试直接 resize 其中一台会看到分配失败的错误然后把三台全部停止再 resize 目标 VM就能成功。这个实验复现了第十六题的完整过程失败信息里会明确提示「availability set 中的其他 VM 必须保持停止状态」做过一次就再也不会忘。4. 避坑指南标答冲突、过期指令、乱码正文与 Note 干扰的复盘题库类资源最大的问题不是题不够好而是整理过程会引入各种噪声。这套 PDF 我从头到尾过了一遍挑出四个高频翻车点每个都按「现象 → 原因 → 解决」写清楚刷题前先看一眼能省不少时间。4.1 标答与社区投票冲突第五题到底选 C 还是 D现象第五题要求用自定义数据方式部署 Ubuntu VM标答标的是 CCreate-AzVM但社区投票 99% 选 Daz vm create参考答案链接指向的也是az vm create的 cloud-init 教程。原因这道题的标答和解析很可能混入了不同版本的材料。Create-AzVM并不是 Az PowerShell 模块里的标准 cmdlet标准写法是New-AzVM而az vm create --custom-data才是 Azure CLI 里真正支持投递 cloud-init 文件的命令。题库整理时选项和解析跨了 PowerShell 与 CLI 两个体系导致标答和社区经验打架。解决遇到这种矛盾我的处理原则是「以当前官方文档的技术事实为准」。题目考的是「哪个命令能实现 cloud-init 自定义部署」那答案是az vm create --custom-data因为这条命令在当前环境下可执行、可验证。标答 C 在真实环境里跑不通我不会为了标答去背一个不存在的 cmdlet。这类冲突题在题库里极少遇到先标记去官方文档核对后再决定背不背。4.2 题库里混入旧版 cmdletNew-AzureRmVm 这类选项怎么判断现象有些题目的选项里会出现New-AzureRmVm这种带 AzureRM 前缀的命令看起来和New-AzVM很像容易混淆。原因这份题库的部分题目取材时间较早当时 PowerShell 模块还叫 AzureRM后来微软在 2018 年前后把 AzureRM 全面迁移到 Az旧模块已经停止维护且考试早已不涉及。题库整理时没有把旧选项替换成新模块写法。解决我的判断标准很简单选项里只要出现AzureRM前缀的 cmdlet先当过期选项处理。考试环境现在只认 Az 模块、Azure CLI 和门户操作三种方式。如果题干描述的也是旧版操作路径比如老式经典部署模型同样按过期权处理不必深究。4.3 PDF 乱码字符题干里的 ¢€™ 和奇怪引号是什么现象PDF 正文里经常出现¢€™、、ג€这类乱码尤其出现在题干描述和参考链接附近看起来像文件损坏。原因这是典型的 PDF 编码问题。题库原文从网页端复制时保留了非标准字符生成 PDF 时编码转换不完整导致单引号、破折号变成了乱码符号。这类字符不影响选项内容也不影响答案判断但会在阅读时打断思路。解决我的做法是看见乱码段直接跳过转而看该题的正确选项和参考链接。如果一道题的题干乱码严重到影响理解去链接里的官方文档找原文对照。顺带提醒这类字符还会出现在题干首句的固定模板里不要因为乱码就误判题目有缺失。4.4 Note 开头整段是干扰信息别把它当题目条件现象第二至第十一题里有多道题题干开头都有一整段 «Note: The question is included in a number of questions that depicts the identical set-up...»这不是题目条件而是官方出题模板的说明文字意思是「本题属于一组相同场景的不同变体题每题的结论不同」。原因官方考试系统会在变体题前显示这段说明题库整理时原样保留下来了。第一次刷到的人很容易误以为这是什么附加条件于是反复读这段文字找线索浪费了不少时间。解决见到这段 Note 直接跳过题干真正的起点是「Your company has...」。这类变体题的出题规律反而是优势同一个场景连着考好几道每道只改一个动作正好用来训练「对比解法差异」的能力。我刷的时候会把同一场景的题摆在一起看重点比较它们 Solution 部分动词的区别十秒就能看出命题人想考哪个环节。5. 把错题变成知识卡用 Python 脚本做一套自己的复盘闭环刷题到最后阶段真正能提分的不是再看一遍正确答案而是把错题变成一份属于自己的复盘清单。我习惯把 PDF 里复制出的题目文本按题号切分用脚本提取标答和投票分布生成一张表格然后每天只刷这张表里标红的部分。下面这个脚本是我一直在用的简化版输入是从 PDF 复制出来、按每道题以 Question #N 开头的纯文本文件输出是一张 Markdown 表格直接标注每道题的标答、最高投票和「是否一致」。import re def parse_questions(text: str): # 按 Question #编号 切块偶数位是正文 blocks re.split(rQuestion #(\d), text) questions [] for i in range(1, len(blocks), 2): num blocks[i] body blocks[i 1] correct re.search(rCorrect Answer:\s*([A-D]), body) vote re.search(rCommunity vote distribution\s*\n([A-D])\s*\((\d)%\), body) if correct: questions.append({ no: num, answer: correct.group(1), vote: vote.groups() if vote else None, }) return questions if __name__ __main__: raw_text open(az104_questions.txt, encodingutf-8).read() rows parse_questions(raw_text) with open(az104_review.md, w, encodingutf-8) as f: f.write(| 题号 | 标答 | 最高投票 | 一致性 |\n) f.write(|---|---|---|---|\n) for q in rows: if q[vote]: agree 一致 if q[vote][0] q[answer] else 不一致 vote f{q[vote][0]}{q[vote][1]}% else: agree, vote 待查, - f.write(f| {q[no]} | {q[answer]} | {vote} | {agree} |\n) print(f已生成 {len(rows)} 道题的复盘卡az104_review.md)脚本里的正则说的是Correct Answer:\s*([A-D])抓标题行的标答字母Community vote distribution\s*\n([A-D])\s*\((\d)%\)抓投票最高的选项和百分比。因为 PDF 复制出来的文本可能带乱码但字母和数字不会被干扰所以正则基本稳定。生成的表格里「一致性」列是核心。标答和最高投票一致的题说明这是「多数人共识题」错误只需回看一次不一致的题才是你真正要反复研究的对象——它可能像第五题那样存在版本争议也可能就是题目本身反直觉。我还会在表格后面手动补一列「错误原因」写上自己当时的判断思路比如「选了资源组没注意题干说的是关联不是隔离」。从那以后我每次刷这套 AZ-104 题库都会强制走一遍「标答 → 投票 → 官方文档 → 动手验证」四步尤其是标答和投票不一致的题不再迷信任何一个答案而是到文档里找技术依据再在订阅里跑一遍命令确认。这套做法帮我稳住了考试里最容易失分的那几道反直觉题也希望帮到你。本文还有配套的精品资源点击获取 AZ-104备考：官方题库考点拆解与避坑指南
简介面向备考微软AZ-104认证的IT专业人士这份PDF题库围绕Azure管理员核心技能展开内容涵盖资源组管理、虚拟机标签、Azure Active Directory条件访问策略等高频考点并配有专家验证的答案与解析。资源为1个PDF文件压缩包约45.55MB适合集中阅读、反复刷题目前已有120人浏览学习。题库按Topic组织题目还原实际业务场景如将不同部门的虚拟机通过标签关联、要求全局管理员从不受信任位置连接时必须使用MFA和Azure AD加入设备等每道题均给出正确选项及社区投票分布便于了解不同解法的认可度同时支持自定义视图可按需筛选题目与答案。通过逐题演练可以快速定位自身薄弱点深入理解资源标签、条件访问策略、会话与授予控制等细节为通过AZ-104及MCP认证提供扎实准备。1. 备考 AZ-104 的主刷材料为什么我选这份带投票分布的官方样式题库备考 AZ-104 的人大多卡在同一个地方概念都懂资源组、条件访问、存储冗余这些名词张口就来真做起题来却发现四个选项个个像正确答案。原因在于考试不考概念本身考的是「在同一个需求描述里你能不能从四个操作路径里挑出唯一合规的那条」。我手里这份 AZ-104 题库 PDF 正好把这个特点暴露得最彻底——每道题都是官方考试样式带专家验证过的标答还附带社区投票分布能直接看到哪些选项是多数人踩进去的坑。这也解释了为什么老牌 MCP 体系下大量准备 Azure Administrator Associate 认证的人把这套题当考前主刷材料用它来判断自己到底是「会了」还是「只会背名词」。2. 把题库拆成考点图Tag、条件访问、存储冗余与部署模板的四种考法这套题库虽然看起来就是几十道题的堆积但实际命题方向非常集中。我从 Topic 1 的前十六道题里拆出了四个反复出现的考法资源组织选型、条件访问策略改哪个环节、存储冗余等级怎么挑、ARM 模板去哪看。下面逐一拆开每道题都按「题干需求 → 选项差异 → 为什么是这个答案」的思路走一遍这是比背标答更值钱的提炼。2.1 资源组织与标记Tags、资源组、管理组到底差在哪第一题给了一个特别典型的场景公司有多个部门每个部门一批虚拟机所有虚拟机都在同一个资源组 RG1 里现在要把 VM 和各自的部门关联起来。四个选项分别是建管理组、建资源组、给虚拟机打标签、修改虚拟机设置。正确答案是 C给虚拟机分配标签。这个题很多人第一眼会选资源组理由是「一个部门一个资源组不是更清晰吗」。但注意题干措辞所有 VM 已经在 RG1 里要求是「关联」而不是「隔离」。资源组本质是权限和生命周期边界一个 VM 只能属于一个资源组如果按部门拆组等于把原有组结构推翻重做还要重新调整 RBAC。管理组是订阅层级的容器用于把多个订阅组织成层级结构往下一层还能继承策略但它管不到订阅内部的单个 VM粒度完全不对。修改 VM 设置更不用说和分类没有关系。Tags 才是 ARM 体系里的原生元数据key-value 形式可以挂到任意资源上。给 VM 打上DepartmentIT这样的标签后可以按标签筛选资源、生成分部门成本报告、驱动自动化策略而且不影响已有的资源组结构。下面是几类资源组织手段的对比手段作用粒度核心用途本题适用度管理组 Management Group订阅层级跨订阅的权限继承与策略叠加不适用管不到 VM资源组 Resource Group订阅内资源容器RBAC 边界、生命周期管理不适用VM 已在同一组标签 Tag任意资源维度分类、成本分摊、筛选查询适用轻量且可批量修改 VM 设置单台 VM配置变更不适用与分类无关做题时我习惯先在题干里划需求词。这道题要的是 associate关联不是 isolate隔离看到关联类需求优先想 tags。以后遇到「按部门/环境/项目给资源分类」的题Tag 几乎是标准答案资源组只有在题目明确要求「拆权限边界」时才优先。2.2 条件访问三连题同样是 MFAGrant 和 Session 改错地方就全错第二、三、四题共用同一个小场景要求 Global Admins 组成员从不受信任位置访问 Azure AD 时必须用多因素认证 Azure AD 加入设备。三题的区别只在 Solution 改的地方——第一题改 MFA 用户设置页面错第二题改条件访问策略的会话控制错第三题改条件访问策略的授权控制对。这道题组其实是在考 Conditional Access 策略的组成结构尤其区分 Grant controls 和 Session controls。条件访问策略由三个主要段落构成Assignments 负责选人、选应用、选条件比如位置Access controls 里 Grant 负责「允不允许过」Session 负责「过了之后按什么会话规则走」最后还有一个 Enable policy 的开关。要求用户做 MFA 并且用已加入 Azure AD 的设备这属于登录时的访问前提必须落在 Grant 段里。具体配置时在 Grant 里勾选 Require multi-factor authentication 和 Require device to be Azure AD joined还要注意勾选For all the conditions要求全部满足而不是 For one of the selected controls。只改 MFA 用户设置页不行那是老的 per-user MFA 开关只能设这个用户用不用 MFA根本感知不到「不受信任位置」。改 Session 也不行会话控制负责登录频率、应用强制限制这类登录后策略跟「要不要 MFA」是两回事。Solution 改哪里属于策略哪一段是否能满足需求原因多因素认证页修改用户设置非条件访问范畴否per-user MFA 无法按位置与设备判定Azure 门户改会话控制Session controls否会话控制不承担访问准入Azure 门户改授权控制Grant controls是MFA 与设备要求都属于 Grant 条件条件访问页禁用策略Enable policy否直接停用整个策略等于不设防这类三连题是 AZ-104 的保留节目官方题库经常把同一个需求换三个改法。我的判断顺序是先看 Solution 动的是哪一层再看这一层在条件访问策略里承担什么职责。只要养成了「动哪层、对应什么含义」的习惯三连题基本就是送分。2.3 存储冗余选型RA 这两个字母决定题目答案第十二题是存储层面的经典选型题数据中心在洛杉矶和纽约要做站群集灾备要求数据存多个节点、节点要跨地理位置、其次可以从次要位置读取数据。答案是 B读访问地理冗余存储RA-GRS。这类题最容易翻车的地方是把 GRS 和 RA-GRS 搞混。标准 GRS 是数据从主区域同步复制到次要区域但次要区域平时不能用于读取只有等 Microsoft 发起故障转移之后才能读。RA-GRS 在 GRS 的基础上开放了冗余位置的读取权限RA 就是 Read Access 的意思正好对题干的第三句话「可以从次要位置读取数据」。LRS 是单区域三副本只满足多个节点这一条ZRS 是同区域跨可用区的三副本满足多节点但不跨地理区域GRS 满足跨区域但平时不可读只有 RA-GRS 把三条需求全部命中。选择题里这种需求点对照非常机械把每一条要求列出来跟各冗余等级的特性逐项匹配就行。冗余等级副本分布次要位置可读适用场景LRS单个数据中心内 3 份无次要位置成本敏感、可接受单数据中心故障ZRS同一区域内 3 个可用区无次要位置单区域内的可用区级容错GRS主区域 次要区域否只能故障转移后读取跨区域容灾读取要求不高RA-GRS主区域 次要区域是随时可读高可用 备区读需求我一般把「可以从冗余位置读取」当成题目里的信号词看到这个需求答案直接锁定 RA-GRS。要是题干里把「读取」换成「故障转移」那就要落到 GRS 上一字之差答案就变了。2.4 ARM 模板与自定义 VM导出模板去哪看cloud-init 到底怎么传第十三到十五题是同一场景的变体同事用 ARM 模板部署了 VM 和存储账户现在要审查他用的模板三个选项分别是去看 VM 的边栏、看资源组的边栏、看容器的边栏。答案是资源组边栏。这个考点是「从部署历史里导出模板」入口在资源组 - 部署Deployments- 选择某次部署 - 查看模板View template。模板是部署行为产生的产物不是 VM 或者存储账户这类资源自带的属性所以从单个资源的边栏永远看不到容器边栏更是指向错误。第五题则是自定义 VM 部署的考法要给 Ubuntu Server 部署自定义配置加入一个受信任根 CA。这里用到的机制是 cloud-init。cloud-init 是 Linux 发行版通用的云初始化工具Azure 上创建 VM 时可以通过--custom-data参数投递初始化配置。下面是一个能完成「写入根证书并刷新 CA 证书库」的最小 cloud-init 文件#cloud-config write_files: - path: /usr/local/share/ca-certificates/weretail-ca.crt content: | -----BEGIN CERTIFICATE----- MIIBxTCCAWigAwIBAgIJALiLa... -----END CERTIFICATE----- runcmd: - update-ca-certificates这段配置的逻辑是先通过write_files把自定义 CA 证书写到系统的 ca-certificates 目录再通过runcmd调用update-ca-certificates命令刷新证书库。参数path必须指向/usr/local/share/ca-certificates/这个目录扩展名必须是.crt否则update-ca-certificates不会识别。部署时用 Azure CLI 把文件路径传给--custom-dataCLI 会自动做 base64 编码az vm create \ --resource-group rg1 \ --name vm-department \ --image UbuntuLTS \ --admin-username azadmin \ --generate-ssh-keys \ --custom-data ./cloud-init.txt--custom-data接收的是本地文件路径不是文件内容本身这是新手最容易错的地方。如果你在本地已经手工 base64 编码过传进去反而会重复编码导致 cloud-init 解析失败。这套命令执行后VM 创建完成时 cloud-init 文件已经生效之后想验证是否成功SSH 登录后查看/usr/local/share/ca-certificates/下是否有文件并执行update-ca-certificates 21看有没有证书入库。注意题库里这道题的正确选项标的是Create-AzVM社区投票却有 99% 选了az vm create这个矛盾点我在第四章专门讲做题时先按「cloud-init 投递用az vm create」的技术事实记别急着背标答。3. 用题库反推备考流程投票分布读法、官方学习路径与三个最小实验题库刷一遍不是目的目的是通过它知道自己缺在哪。相比其他模拟题这份题库有一个独特优势每道题都附社区投票分布这让我能判断「某道题是大多数人共享的盲区还是少数人不小心踩坑」。把投票分布和标答对照起来看其实就是在做一次免费的考试分析。3.1 先用投票分布给题目分类别盲刷投票分布不是摆设。我的读法是分三类处理。第一类是标答和投票高度一致的题比如第一题 C93%、第二题 B100%这类属于基础送分题错一次说明概念有硬伤需要回看对应章节而不是继续往下刷。第二类是标答在少数派的题比如第五题标答 C 但 99% 投票 D这是争议题数量极少但值得单独拉出来研究因为考试里遇到类似选项时按照当前官方文档的技术事实去选才最稳妥。第三类是分布接近的题比如第九题 B65%对 A34%考生在这个选项上纠结说明题干里有干扰信息。我一般给这些题做三个轮次。第一轮按 Topic 顺序全部过一遍只做标记不纠结对错。第二轮只重做第一轮错题里投票支持率低于 80% 的题这些题才是你能通过刷题提分的部分。第三轮把「标答与最高票选项不一致」的题找出来逐一去官方文档核对当前推荐做法。这套方法对任何带投票分布的题库都适用核心思路是让数据告诉你该往哪使劲而不是平均用力刷每一道。3.2 把题目映射回官方学习路径按模块补课AZ-104 对应的官方认证是 Microsoft Certified: Azure Administrator Associate微软 Learn 平台上有完整的 Azure Administrator 学习路径。我的习惯不是按题库顺序硬背而是先做一次「题目到学习路径」的映射然后哪块弱就补哪块。下面是对这套题第一套题集的映射示例题号考点对应官方学习路径模块建议动手实验第 1 题资源标记与组织管理 Azure 标识与治理给 VM 批量打标签并筛选第 2-4、6-8 题条件访问、MFA 用法模型管理 Azure 标识与治理配置条件访问策略与 What If 验证第 9-11 题混合身份同步管理 Azure 标识与治理手动触发 AD Connect 同步第 12 题存储冗余实现 Azure 存储创建不同 SKU 存储账户并对比可用性第 13-15 题ARM 模板部署历史部署和管理 Azure 计算资源从资源组导出模板并修改重部署做完映射你会发现这份题库看似散实际大量题目都集中在身份治理和计算资源部署两块这两块恰恰是 AZ-104 考试比例最重的部分。做题错的题回到对应模块重读官方文档尤其是题目答案下面给的 Reference 链接那些链接指向 docs.microsoft.com 的原始文档比自己乱搜要权威得多。3.3 三个最小实验把答案变成肌肉记忆刷题只能解决「见过」解决不了「会做」。对题库里反复出现的考点我建议在 Azure 免费订阅或试用订阅里各做一次最小实验十分钟一个做完记忆远超刷三遍题。第一个实验是标签管理。用 PowerShell 给 VM 打标签再查标签命令如下# 给指定 VM 设置标签注意 Tag 参数是哈希表 Set-AzResource -ResourceId $vm.Id -Tag {DepartmentIT; EnvProd} -Force # 按标签名筛选出所有 IT 部门资源 Get-AzResource -TagName Department -TagValue IT这段代码里Set-AzResource的-Tag参数接收哈希表多个标签用分号隔开。一个我自己踩过的坑是这个命令是整体覆盖式更新如果你想给已有标签的资源再加一个新标签必须把原有标签全部带上再执行一次否则旧的会被清空。所以实际工作里我习惯先Get-AzResource拿现有标签合并进哈希表再写回。第二个实验是存储冗余。创建存储账户时把 SKU 指定为Standard_RAGRS然后进门户看冗余配置和次要区域读取状态。这个实验的目的不是背 SKU 名而是亲眼看到「次要区域只读」在门户里长什么样下次遇到选型题脑子里有画面。第三个实验是可用性集缩放。在门户里建一个包含三台 VM 的可用性集尝试直接 resize 其中一台会看到分配失败的错误然后把三台全部停止再 resize 目标 VM就能成功。这个实验复现了第十六题的完整过程失败信息里会明确提示「availability set 中的其他 VM 必须保持停止状态」做过一次就再也不会忘。4. 避坑指南标答冲突、过期指令、乱码正文与 Note 干扰的复盘题库类资源最大的问题不是题不够好而是整理过程会引入各种噪声。这套 PDF 我从头到尾过了一遍挑出四个高频翻车点每个都按「现象 → 原因 → 解决」写清楚刷题前先看一眼能省不少时间。4.1 标答与社区投票冲突第五题到底选 C 还是 D现象第五题要求用自定义数据方式部署 Ubuntu VM标答标的是 CCreate-AzVM但社区投票 99% 选 Daz vm create参考答案链接指向的也是az vm create的 cloud-init 教程。原因这道题的标答和解析很可能混入了不同版本的材料。Create-AzVM并不是 Az PowerShell 模块里的标准 cmdlet标准写法是New-AzVM而az vm create --custom-data才是 Azure CLI 里真正支持投递 cloud-init 文件的命令。题库整理时选项和解析跨了 PowerShell 与 CLI 两个体系导致标答和社区经验打架。解决遇到这种矛盾我的处理原则是「以当前官方文档的技术事实为准」。题目考的是「哪个命令能实现 cloud-init 自定义部署」那答案是az vm create --custom-data因为这条命令在当前环境下可执行、可验证。标答 C 在真实环境里跑不通我不会为了标答去背一个不存在的 cmdlet。这类冲突题在题库里极少遇到先标记去官方文档核对后再决定背不背。4.2 题库里混入旧版 cmdletNew-AzureRmVm 这类选项怎么判断现象有些题目的选项里会出现New-AzureRmVm这种带 AzureRM 前缀的命令看起来和New-AzVM很像容易混淆。原因这份题库的部分题目取材时间较早当时 PowerShell 模块还叫 AzureRM后来微软在 2018 年前后把 AzureRM 全面迁移到 Az旧模块已经停止维护且考试早已不涉及。题库整理时没有把旧选项替换成新模块写法。解决我的判断标准很简单选项里只要出现AzureRM前缀的 cmdlet先当过期选项处理。考试环境现在只认 Az 模块、Azure CLI 和门户操作三种方式。如果题干描述的也是旧版操作路径比如老式经典部署模型同样按过期权处理不必深究。4.3 PDF 乱码字符题干里的 ¢€™ 和奇怪引号是什么现象PDF 正文里经常出现¢€™、、ג€这类乱码尤其出现在题干描述和参考链接附近看起来像文件损坏。原因这是典型的 PDF 编码问题。题库原文从网页端复制时保留了非标准字符生成 PDF 时编码转换不完整导致单引号、破折号变成了乱码符号。这类字符不影响选项内容也不影响答案判断但会在阅读时打断思路。解决我的做法是看见乱码段直接跳过转而看该题的正确选项和参考链接。如果一道题的题干乱码严重到影响理解去链接里的官方文档找原文对照。顺带提醒这类字符还会出现在题干首句的固定模板里不要因为乱码就误判题目有缺失。4.4 Note 开头整段是干扰信息别把它当题目条件现象第二至第十一题里有多道题题干开头都有一整段 «Note: The question is included in a number of questions that depicts the identical set-up...»这不是题目条件而是官方出题模板的说明文字意思是「本题属于一组相同场景的不同变体题每题的结论不同」。原因官方考试系统会在变体题前显示这段说明题库整理时原样保留下来了。第一次刷到的人很容易误以为这是什么附加条件于是反复读这段文字找线索浪费了不少时间。解决见到这段 Note 直接跳过题干真正的起点是「Your company has...」。这类变体题的出题规律反而是优势同一个场景连着考好几道每道只改一个动作正好用来训练「对比解法差异」的能力。我刷的时候会把同一场景的题摆在一起看重点比较它们 Solution 部分动词的区别十秒就能看出命题人想考哪个环节。5. 把错题变成知识卡用 Python 脚本做一套自己的复盘闭环刷题到最后阶段真正能提分的不是再看一遍正确答案而是把错题变成一份属于自己的复盘清单。我习惯把 PDF 里复制出的题目文本按题号切分用脚本提取标答和投票分布生成一张表格然后每天只刷这张表里标红的部分。下面这个脚本是我一直在用的简化版输入是从 PDF 复制出来、按每道题以 Question #N 开头的纯文本文件输出是一张 Markdown 表格直接标注每道题的标答、最高投票和「是否一致」。import re def parse_questions(text: str): # 按 Question #编号 切块偶数位是正文 blocks re.split(rQuestion #(\d), text) questions [] for i in range(1, len(blocks), 2): num blocks[i] body blocks[i 1] correct re.search(rCorrect Answer:\s*([A-D]), body) vote re.search(rCommunity vote distribution\s*\n([A-D])\s*\((\d)%\), body) if correct: questions.append({ no: num, answer: correct.group(1), vote: vote.groups() if vote else None, }) return questions if __name__ __main__: raw_text open(az104_questions.txt, encodingutf-8).read() rows parse_questions(raw_text) with open(az104_review.md, w, encodingutf-8) as f: f.write(| 题号 | 标答 | 最高投票 | 一致性 |\n) f.write(|---|---|---|---|\n) for q in rows: if q[vote]: agree 一致 if q[vote][0] q[answer] else 不一致 vote f{q[vote][0]}{q[vote][1]}% else: agree, vote 待查, - f.write(f| {q[no]} | {q[answer]} | {vote} | {agree} |\n) print(f已生成 {len(rows)} 道题的复盘卡az104_review.md)脚本里的正则说的是Correct Answer:\s*([A-D])抓标题行的标答字母Community vote distribution\s*\n([A-D])\s*\((\d)%\)抓投票最高的选项和百分比。因为 PDF 复制出来的文本可能带乱码但字母和数字不会被干扰所以正则基本稳定。生成的表格里「一致性」列是核心。标答和最高投票一致的题说明这是「多数人共识题」错误只需回看一次不一致的题才是你真正要反复研究的对象——它可能像第五题那样存在版本争议也可能就是题目本身反直觉。我还会在表格后面手动补一列「错误原因」写上自己当时的判断思路比如「选了资源组没注意题干说的是关联不是隔离」。从那以后我每次刷这套 AZ-104 题库都会强制走一遍「标答 → 投票 → 官方文档 → 动手验证」四步尤其是标答和投票不一致的题不再迷信任何一个答案而是到文档里找技术依据再在订阅里跑一遍命令确认。这套做法帮我稳住了考试里最容易失分的那几道反直觉题也希望帮到你。本文还有配套的精品资源点击获取