Облачный архитектор Azure (профессиональный уровень)

import logging
import azure.functions as func
import os
from azure.cosmos import CosmosClient

def main(myblob: func.InputStream, doc: func.Out[func.Document]):
    logging.info(f"New blob: {myblob.name}")
    
    # Подключение к Cosmos DB
    client = CosmosClient.from_connection_string(os.environ['COSMOS_DB_CONN_STR'])
    database = client.get_database_client('mydb')
    container = database.get_container_client('items')
    
    # Запись метаданных файла
    container.upsert_item({
        "id": myblob.name,
        "size": myblob.length,
        "timestamp": func.datetime.utcnow().isoformat()
    })

Билет №4

Теоретическая часть

1. Как организовать гео-избыточность для Azure SQL Database?
   Ответ:
   Включить Active Geo-Replication (до 4 вторичных реплик в разных регионах) или Auto-Failover Groups (автоматический переход при сбое).

2. Какие преимущества у Azure Kubernetes Service (AKS) перед Azure Container Instances (ACI)?
   Ответ:

   • AKS: Оркестрация сложных микросервисов, автоскейлинг, сетевые политики.

   • ACI: Serverless-подход для краткосрочных задач (без управления кластером).

Практическая часть

Задание:
Разверните кластер AKS с 2 нодами (Standard_D2s_v3) и включенным мониторингом в Azure Monitor.

Ответ (Azure CLI):

az aks create \
  --name myAKSCluster \
  --resource-group myResourceGroup \
  --node-count 2 \
  --node-vm-size Standard_D2s_v3 \
  --enable-addons monitoring \
  --generate-ssh-keys

Билет №5

Теоретическая часть

1. Как Azure Policy отличается от Azure Blueprints?
   Ответ:

   • Azure Policy: Применяет правила к ресурсам (например, "все Storage Accounts должны использовать TLS 1.2").

   • Azure Blueprints: Пакетное развертывание инфраструктуры с политиками, RBAC и шаблонами ARM.

2. Какие методы защиты данных в Cosmos DB вы знаете?
   Ответ:

   • Шифрование на rest (Service-Managed Keys или CMK в Key Vault).

   • RBAC и Private Endpoints.

   • Аудит через Diagnostic Logs.

Практическая часть

Задание:
Настройте Private Endpoint для Azure SQL Database и отключите публичный доступ.

Ответ (Azure CLI):

# Создание Private Endpoint
az network private-endpoint create \
  --name sql-private-endpoint \
  --resource-group myResourceGroup \
  --vnet-name myVNet \
  --subnet mySubnet \
  --private-connection-resource-id $(az sql server show --name myserver --resource-group myResourceGroup --query id -o tsv) \
  --group-id sqlServer \
  --connection-name myConnection

# Отключение публичного доступа
az sql server update \
  --name myserver \
  --resource-group myResourceGroup \
  --public-network-access Disabled

Билет №6

Теоретическая часть

1. Объясните принцип работы Azure Traffic Manager и его отличия от Azure Load Balancer
   Ответ:
   Azure Traffic Manager — DNS-балансировщик, распределяющий трафик между регионами на основе выбранного метода маршрутизации (приоритет, взвешенное распределение, географическое).
   Отличие от Load Balancer:

   • Traffic Manager работает на уровне DNS (L7), а Load Balancer — на уровне сети (L4).

   • Traffic Manager обеспечивает глобальную балансировку, Load Balancer — региональную.

2. Какие типы репликации доступны в Azure Storage и когда их использовать?
   Ответ:

   • LRS (локально избыточное): 3 копии в одном дата-центре. Для временных данных.

   • ZRS (зонально избыточное): 3 копии в разных зонах доступности. Для региональной отказоустойчивости.

   • GRS (геоизбыточное): 6 копий (3 в основном регионе + 3 в парном). Для аварийного восстановления.

Практическая часть

Задание:
Настройте георепликацию для Azure SQL Database между регионами West Europe и North Europe с автоматическим переходом при сбое.

Ответ (Azure CLI):

# Создание группы аварийного перехода
az sql failover-group create \
  --name myFailoverGroup \
  --server myserver-we \
  --resource-group myRG \
  --partner-server myserver-ne \
  --failover-policy Automatic \
  --grace-period 1

Билет №7

Теоретическая часть

1. Как работает Azure Front Door и в каких сценариях его предпочесть Application Gateway?
   Ответ:
   Azure Front Door — глобальный балансировщик с защитой от DDoS и кэшированием.
   Сценарии выбора:

   • Глобальные приложения с CDN.

   • Мультирегионные deployment.
     Application Gateway лучше для:

   • Балансировки внутри региона.

   • WAF для конкретных приложений.

2. Что такое Azure Policy Guest Configuration и для чего используется?
   Ответ:
   Позволяет аудировать настройки внутри виртуальных машин (например, проверка установленных приложений, параметров реестра Windows).

Практическая часть

Задание:
Создайте политику Azure, требующую шифрования всех дисков VM с тегом env=prodОтвет (JSON):

{
  "if": {
    "allOf": [
      {
        "field": "type",
        "equals": "Microsoft.Compute/virtualMachines"
      },
      {
        "field": "tags.env",
        "equals": "prod"
      },
      {
        "field": "Microsoft.Compute/virtualMachines/osDisk.encryptionSettings.enabled",
        "notEquals": true
      }
    ]
  },
  "then": {
    "effect": "deny"
  }
}

Билет №8

Теоретическая часть

1. Объясните архитектуру Hub-Spoke в Azure
   Ответ:

   • Hub: Центральная VNet с общими сервисами (Firewall, VPN Gateway).

   • Spoke: Периферийные VNets, подключенные к Hub через пиринг.
     Преимущества: изоляция workload, централизованное управление.

2. Как Azure Monitor собирает метрики с гибридных серверов?
   Ответ:
   Через Azure Arc и Log Analytics агент, который отправляет данные в рабочую область Log Analytics.

Практическая часть

Задание:
Разверните Azure Firewall в Hub VNet и настройте правила для запрета исходящего трафика Spoke VNet, кроме порта 443.

Ответ (Bicep):

resource firewall 'Microsoft.Network/azureFirewalls@2023-03-01' = {
  name: 'hub-firewall'
  location: location
  properties: {
    sku: {
      name: 'AZFW_VNet'
      tier: 'Standard'
    }
    ipConfigurations: [{
      name: 'ipconfig'
      properties: {
        subnet: {
          id: subnet.id
        }
        publicIPAddress: {
          id: pip.id
        }
      }
    }]
    networkRuleCollections: [{
      name: 'deny-all-except-https'
      properties: {
        priority: 100
        action: {
          type: 'Deny'
        }
        rules: [{
          name: 'allow-https-only'
          protocols: ['TCP']
          sourceAddresses: ['*']
          destinationAddresses: ['*']
          destinationPorts: ['443']
        }]
      }
    }]
  }
}

Билет №9

Теоретическая часть

1. Какие методы аутентификации поддерживает Azure AD B2C?
   Ответ:

   • Социальные сети (Google, Facebook).

   • Локальные аккаунты (email/пароль).

   • OAuth 2.0/OpenID Connect.

   • Многофакторная аутентификация.

2. Как работает Azure Private Link?
   Ответ:
   Предоставляет приватный IP-адрес для доступа к PaaS-сервисам (например, Storage, SQL DB) внутри VNet, минуя публичный интернет.

Практическая часть

Задание:
Настройте Azure AD B2C с пользовательским потоком для регистрации через email.

Ответ (Azure Portal):

1. Создайте Tenant B2C.

2. В User flows → New user flow → Sign up and sign in.

3. Включите Email signup.

4. Добавьте claims (имя, фамилия).
   
   

Билет №10

Теоретическая часть

1. Что такое Azure Blueprints и как они помогают в compliance?
   Ответ:
   Blueprints — пакеты для стандартизированного развертывания ресурсов с предопределенными:

   • Политиками Azure.

   • Шаблонами ARM.

   • RBAC-ролями.
     Пример: шаблон для PCI DSS-совместимой среды.

2. Как организовать backup для Azure Files?
   Ответ:

   • Встроенные snapshots.

   • Azure Backup (для автоматического управления).

Практическая часть

Задание:
Настройте ежедневный backup для Azure File Share с хранением копий 30 дней.

Ответ (PowerShell):

$vault = Get-AzRecoveryServicesVault -Name "myVault"
Enable-AzRecoveryServicesBackupProtection `
  -StorageAccountName "mystorage" `
  -Name "myFileShare" `
  -Policy (Get-AzRecoveryServicesBackupProtectionPolicy -Name "DailyPolicy")

Билет №11

Теоретическая часть

1. Какие механизмы безопасности доступны в Azure Kubernetes Service (AKS)?
   Ответ:

   • Pod Security Policies (или заменяющие их Azure Policies)

   • Azure Defender для Kubernetes (сканирование образов и runtime-защита)

   • Network Policies (Calico для микросегментации)

   • RBAC + интеграция с Azure AD

   • Managed Identities для безопасного доступа подов к другим сервисам

2. Как Azure Cost Management помогает оптимизировать расходы?
   Ответ:

   • Визуализация затрат по ресурсам/тегам/подпискам

   • Рекомендации по оптимизации (неиспользуемые диски, oversized VM)

   • Настройка бюджетов и алертов

   • Анализ резервирований (RI Utilization)

Практическая часть

Задание:
Настройте Azure Policy, требующий наличия тега CostCenter для всех ресурсов в подписке.

Ответ (Bicep):

resource policy 'Microsoft.Authorization/policyDefinitions@2021-06-01' = {
  name: 'require-costcenter-tag'
  properties: {
    policyType: 'Custom'
    mode: 'Indexed'
    parameters: {}
    policyRule: {
      if: {
        field: 'tags.CostCenter'
        exists: false
      }
      then: {
        effect: 'deny'
      }
    }
  }
}

Билет №12

Теоретическая часть

1. Как работает Azure Sentinel и какие данные он может анализировать?
   Ответ:
   Azure Sentinel — это SIEM-решение, которое:

   • Агрегирует логи из Azure (Activity Log, Defender for Cloud), локальных систем (через агентов) и сторонних сервисов

   • Использует ML для обнаружения аномалий

   • Поддерживает KQL для кастомных запросов

   • Автоматизирует реагирование через Playbooks

2. Какие методы защиты данных в Azure Data Lake Storage Gen2?
   Ответ:

   • Шифрование (SSE с ключами Microsoft или CMK)

   • RBAC + POSIX-like ACLs

   • Private Endpoints

   • Immutable Blob Storage (WORM)

Практическая часть

Задание:
Создайте Playbook в Azure Sentinel, который отправляет уведомление в Teams при обнаружении подозрительных входов в Azure AD.

Ответ (Logic Apps):

1. В Sentinel → Automation → Create Playbook

2. Триггер: When a response to an Azure Sentinel alert is triggered

3. Действие: Teams - Post message (выбрать канал и текст сообщения)

Билет №13

Теоретическая часть

1. Как организовать гибридное подключение к Azure с использованием Azure Virtual WAN?
   Ответ:

   • Создать Virtual WAN Hub в Azure

   • Подключить локальные ЦОДы через ExpressRoute или VPN Site-to-Site

   • Настроить SD-WAN через партнерские устройства (если требуется)

   • Управлять маршрутизацией через Azure Portal

2. Какие типы согласованности доступны в Cosmos DB и как они влияют на производительность?
   Ответ:

   • Strong: Линейная запись, высокая задержка

   • Bounded Staleness: Задержка + ограниченное отставание реплик

   • Session: Гарантия чтения своих записей

   • Consistent Prefix: Чтение в порядке записи

   • Eventual: Минимальная задержка, возможны неконсистентные данные

Практическая часть

Задание:
Разверните Azure IoT Hub с Device Provisioning Service (DPS), поддерживающий X.509-сертификаты.

Ответ (Azure CLI):

# Создание IoT Hub
az iot hub create --name myIoTHub --resource-group myRG --sku S1

# Создание DPS
az iot dps create --name myDPS --resource-group myRG

# Линковка DPS и IoT Hub
az iot dps linked-hub create \
  --dps-name myDPS \
  --resource-group myRG \
  --connection-string $(az iot hub connection-string show -n myIoTHub --policy-name iothubowner -o tsv) \
  --location eastus

Билет №14

Теоретическая часть

1. Как Azure Synapse Analytics интегрируется с другими сервисами данных?
   Ответ:

   • Azure Data Lake Storage Gen2: Основное хранилище

   • Azure Databricks: Для Spark-обработки

   • Azure Machine Learning: Интеграция моделей ML

   • Power BI: Встроенная визуализация

   • Azure Purview: Метаданные и governance

2. Какие стратегии кэширования эффективны для Azure API Management?
   Ответ:

   • Внутренний кэш (до 10 МБ на единицу)

   • Внешний кэш (Redis)

   • Политики caching (настраиваемые TTL)

   • Фрагментация ответов (для больших данных)

Практическая часть

Задание:
Настройте Azure Data Factory для копирования данных из Blob Storage в Azure SQL Database с преобразованием формата CSV → Parquet.

Ответ (JSON-конвейер):

{
  "name": "BlobToSQLPipeline",
  "properties": {
    "activities": [
      {
        "name": "CopyData",
        "type": "Copy",
        "inputs": [
          {
            "referenceName": "InputBlob",
            "type": "DatasetReference"
          }
        ],
        "outputs": [
          {
            "referenceName": "OutputSQL",
            "type": "DatasetReference"
          }
        ],
        "typeProperties": {
          "source": {
            "type": "DelimitedTextSource",
            "formatSettings": {
              "type": "DelimitedTextReadSettings"
            }
          },
          "sink": {
            "type": "ParquetSink",
            "storeSettings": {
              "type": "AzureBlobStorageWriteSettings",
              "formatSettings": {
                "type": "ParquetWriteSettings"
              }
            }
          }
        }
      }
    ]
  }
}

Билет №15

Теоретическая часть

1. Как реализовать Disaster Recovery для Azure VMware Solution?
   Ответ:

   • Azure Site Recovery: Репликация VM в другой регион

   • Zerto: Стороннее решение для непрерывной репликации

   • Резервное копирование: Azure Backup для VMware VM

2. Какие преимущества у Azure Arc-enabled Servers?
   Ответ:

   • Единое управление локальными и облачными серверами

   • Применение Azure Policy

   • Мониторинг через Azure Monitor

   • Обновления через Azure Automation

Практическая часть

Задание:
Настройте Azure Policy для автоматического применения тега Environment: Production ко всем новым ресурсам в подписке.

Ответ (Azure CLI):

az policy definition create \
  --name 'auto-tag-production' \
  --rules '{
    "if": {
      "allOf": [
        {
          "field": "tags.Environment",
          "exists": false
        }
      ]
    },
    "then": {
      "effect": "modify",
      "details": {
        "operations": [
          {
            "operation": "add",
            "field": "tags.Environment",
            "value": "Production"
          }
        ]
      }
    }
  }'