Ngân hàng đề — Microsoft Azure Fundamentals

Đáp án

C — Azure Storage Service Encryption (SSE)

Vì sao đúng

SSE mã hoá tự động và mặc định mọi dữ liệu ghi vào Azure Storage, rồi giải mã khi có yêu cầu hợp lệ. Điểm quan trọng là nó hoàn toàn trong suốt với ứng dụng: không phải sửa mã, không phải quản lý gì, và không thể tắt.

Vì sao các phương án khác sai

• A. Azure Key Vault — lưu khoá dùng cho việc mã hoá (khi bạn chọn dùng khoá của mình), chứ bản thân nó không mã hoá dữ liệu trong Blob Storage. Đây là cặp khái niệm hay bị lẫn: Key Vault giữ khoá, SSE thực hiện mã hoá.
• D. Azure Disk Encryption — mã hoá đĩa của máy ảo, không áp cho Blob Storage.
• B. Azure Information Protection — gắn nhãn và bảo vệ tài liệu và email, thuộc lĩnh vực khác.

Đáp án

A — Truy cập tới dịch vụ ở chế độ private preview bị GIỚI HẠN và thường cần được Microsoft PHÊ DUYỆT hoặc MỜI.

Vì sao đúng

⚠ Azure có ba giai đoạn phát hành: | Giai đoạn | Đặc điểm | |---|---| | ⚠ Private preview | ⚠ cần MỜI hoặc đăng ký được duyệt, không SLA | | ⚠ Public preview | ⚠ ai cũng bật được, vẫn KHÔNG SLA | | ⚠ Generally Available (GA) | ⚠ có SLA, hỗ trợ đầy đủ, dùng cho production |

⚠ Private preview
   ⚠ số lượng khách hàng hạn chế
   ⚠ Microsoft thu thập phản hồi
        ↓
⚠ Public preview
   ⚠ mở cho mọi người thử
        ↓
⚠ GA
   ⚠ sẵn sàng cho môi trường thật

Vì sao các phương án khác sai

• B (đã GA và dùng được cho production) — ⚠ SAI hoàn toàn: ⚠ preview ⚠ không dành cho production.

• C (có SLA và hỗ trợ như dịch vụ GA) — ⚠ SAI: ⚠ preview ⚠ KHÔNG có SLA.

• D (mọi khách hàng Azure tự động có quyền) — ⚠ đó là PUBLIC preview, không phải private.

Ghi nhớ

⚠ Điều khoản Preview — những gì cần biết: | Điều | Nội dung | |---|---| | ⚠ KHÔNG có SLA | | | ⚠ Có thể ĐỔI hoặc BỎ bất cứ lúc nào | | | ⚠ Hỗ trợ hạn chế | | | ⚠ Không nên dùng cho môi trường thật | | | ⚠ Có thể không có ở mọi vùng | | | ⚠ Giá có thể thay đổi khi lên GA | |

Từ khoá nhận diện:

"cần được mời hoặc duyệt" → ⚠ private preview "ai cũng bật được, chưa có SLA" → ⚠ public preview "có SLA, dùng cho production" → ⚠ GA "sắp ngừng" → ⚠ deprecated hoặc retirement

Ba việc kiểm chứng: | Việc | Cách | |---|---| | Có dùng tính năng preview nào trong production không | | | Có theo dõi thông báo ngừng dịch vụ không | | | Có phương án dự phòng nếu preview bị bỏ không | |

Và bài học mà rất nhiều câu hỏi trong các lô trước đã minh hoạ, giờ được đúc kết ở câu này: dịch vụ đám mây có vòng đời. Từ preview tới GA rồi tới ngừng hoạt động — và biết mình đang ở đâu trên vòng đời đó là một phần của việc thiết kế hệ thống bền vững.

Đáp án

C — Microsoft Azure.

Vì sao đúng

⚠ Azure có SỐ VÙNG công khai nhiều nhất trong ba nhà cung cấp lớn: | Nhà cung cấp | Quy mô vùng | |---|---| | ⚠ Microsoft Azure | ⚠ NHIỀU NHẤT — hơn 60 vùng | | ⚠ Amazon AWS | ⚠ ít vùng hơn nhưng nhiều AZ mỗi vùng | | ⚠ Google Cloud | ⚠ ít nhất trong ba |

⚠ Chiến lược khác nhau
   ⚠ Azure: NHIỀU vùng, phủ rộng địa lý
   ⚠ AWS: ít vùng hơn, mỗi vùng nhiều zone
        ↓
⚠ Azure mạnh ở yêu cầu dữ liệu phải ở trong nước

Vì sao các phương án khác sai

• A (AWS) — ⚠ lớn nhất về THỊ PHẦN nhưng ⚠ ít vùng hơn Azure.

• B (Google Cloud) — ⚠ ít vùng nhất.

Ghi nhớ

⚠ Phân cấp địa lý của Azure: | Cấp | Nội dung | |---|---| | ⚠ Geography | ⚠ khu vực địa lý, thường theo ranh giới quốc gia | | ⚠ Region | ⚠ một hoặc nhiều trung tâm dữ liệu gần nhau | | ⚠ Region pair | ⚠ cặp vùng ghép đôi cố định, cùng geography | | ⚠ Availability Zone | ⚠ trung tâm dữ liệu tách biệt trong một vùng |

Từ khoá nhận diện:

"nhiều vùng nhất" → ⚠ Azure "cặp vùng ghép đôi" → ⚠ region pair, Microsoft định sẵn "trung tâm dữ liệu tách biệt trong vùng" → ⚠ availability zone "ranh giới tuân thủ dữ liệu" → ⚠ geography

Ba việc kiểm chứng: | Việc | Cách | |---|---| | Dữ liệu có ràng buộc phải ở trong nước không | | | Vùng đã chọn có availability zone không | | | Vùng ghép đôi nằm ở đâu | |

Và lý do khiến số lượng vùng trở thành yếu tố cạnh tranh thật sự, chứ không chỉ là con số quảng cáo: nhiều quốc gia yêu cầu dữ liệu công dân phải nằm trong lãnh thổ, và điều đó chỉ khả thi khi nhà cung cấp có vùng ở đó.

Đáp án

C — Microsoft Defender for Cloud.

Vì sao đúng

⚠ Defender for Cloud là bảng điều khiển bảo mật tập trung của Azure: | Năng lực | Nội dung | |---|---| | ⚠ Secure Score | ⚠ điểm đánh giá tư thế bảo mật | | ⚠ Khuyến nghị | ⚠ việc cần làm để cải thiện | | ⚠ Bảo vệ khối lượng công việc | ⚠ VM, container, CSDL, storage | | ⚠ Đánh giá tuân thủ | ⚠ theo các chuẩn như PCI DSS, ISO | | ⚠ Cảnh báo mối đe doạ | | | ⚠ Tên cũ | ⚠ Azure Security Center |

Vì sao các phương án khác sai

• A (Azure Monitor) — ⚠ giám sát HIỆU NĂNG và log, không phải tư thế bảo mật.

• B (Portal Dashboard) — ⚠ màn hình tuỳ biến, không phân tích gì.

• D (Key Vault) — ⚠ lưu bí mật.

Ghi nhớ

⚠ Các dịch vụ quản trị và bảo mật — phân biệt: | Dịch vụ | Việc | |---|---| | ⚠ Defender for Cloud | ⚠ tư thế bảo mật và bảo vệ khối lượng công việc | | ⚠ Microsoft Sentinel | ⚠ SIEM và SOAR — điều tra sự cố | | ⚠ Azure Monitor | ⚠ giám sát hiệu năng và log | | ⚠ Azure Policy | ⚠ cưỡng chế quy tắc cấu hình | | ⚠ Azure Advisor | ⚠ khuyến nghị chi phí, hiệu năng, bảo mật |

Từ khoá nhận diện:

"Secure Score, tư thế bảo mật" → ⚠ Defender for Cloud "SIEM, điều tra sự cố" → ⚠ Sentinel "hiệu năng và log" → ⚠ Azure Monitor "khuyến nghị giảm chi phí" → ⚠ Advisor

Ba việc kiểm chứng: | Việc | Cách | |---|---| | Secure Score hiện tại là bao nhiêu | | | Có ai xem khuyến nghị định kỳ không | | | Defender plan đã bật cho tài nguyên trọng yếu chưa | |

Và giá trị thật của Secure Score, khác với cách nhiều người dùng nó: nó là danh sách việc cần làm được xếp theo mức tác động, chứ không phải một điểm số để khoe.

Đáp án

A — Azure Pricing Calculator.

Vì sao đúng

⚠ Pricing Calculator cho phép ước tính chi phí TRƯỚC khi triển khai:

⚠ Thêm dịch vụ vào "giỏ hàng"
   ⚠ VM, storage, băng thông...
        ↓
⚠ Chọn vùng, kích cỡ, số lượng
        ↓
⚠ Ra con số ước tính hằng tháng
        ↓
⚠ Lưu và chia sẻ được

Vì sao các phương án khác sai

• C (Azure Advisor) — ⚠ phân tích tài nguyên ĐANG CHẠY để khuyến nghị, ⚠ không ước tính cho thứ chưa có.

• B (Microsoft Docs) — ⚠ tài liệu kỹ thuật.

Ghi nhớ

⚠ Bốn công cụ chi phí — theo THỜI ĐIỂM dùng: | Thời điểm | Công cụ | |---|---| | ⚠ TRƯỚC khi lên đám mây | ⚠ TCO Calculator | | ⚠ TRƯỚC khi triển khai một dịch vụ | ⚠ Pricing Calculator | | ⚠ TRONG khi vận hành | ⚠ Cost Management + Budgets | | ⚠ Tối ưu định kỳ | ⚠ Azure Advisor |

Từ khoá nhận diện:

"ước tính trước, giỏ hàng" → ⚠ Pricing Calculator "so sánh với chi phí tại chỗ" → ⚠ TCO Calculator "theo dõi chi tiêu thực tế" → ⚠ Cost Management "gợi ý tiết kiệm" → ⚠ Advisor

Ba việc kiểm chứng: | Việc | Cách | |---|---| | Đã tính phí băng thông ra chưa | ⚠ khoản hay bị quên nhất | | Có budget alert cho subscription chưa | | | Chi phí thực tế so với ước tính chênh bao nhiêu | |

Và khoản chi phí bị bỏ sót nhiều nhất trong mọi bản ước tính đám mây: phí truyền dữ liệu ra ngoài. Nó không xuất hiện trong danh sách dịch vụ mà bạn thêm vào giỏ hàng.

Đáp án

B — Azure Advisor.

Vì sao đúng

⚠ Advisor phân tích tài nguyên thực tế của bạn và đưa khuyến nghị theo NĂM trụ cột: | Trụ cột | Ví dụ khuyến nghị | |---|---| | ⚠ Chi phí | ⚠ VM chạy không tải, mua reserved instance | | ⚠ Bảo mật | ⚠ lấy từ Defender for Cloud | | ⚠ Độ tin cậy | ⚠ thiếu availability set, thiếu sao lưu | | ⚠ Hiệu năng | ⚠ nâng bậc, thêm chỉ mục | | ⚠ Xuất sắc vận hành | ⚠ thiếu thẻ, thiếu giám sát |

⚠ Advisor QUÉT tài nguyên đang chạy
        ↓
⚠ So với thực hành tốt của Microsoft
        ↓
⚠ Đưa danh sách việc nên làm, có ước tính tiết kiệm

Vì sao các phương án khác sai

• C (Defender for Cloud) — ⚠ chuyên về BẢO MẬT; ⚠ khuyến nghị bảo mật của Advisor lấy từ đây, ⚠ nhưng nó không lo chi phí.

• D (Service Health) — ⚠ thông báo sự cố của dịch vụ Azure.

• A (Azure Dashboard) — ⚠ màn hình hiển thị.

Ghi nhớ

⚠ Ghi nhớ về chất lượng câu hỏi: ⚠ câu này ⚠ là cặp với #22062 và #22063 trong cùng lô.

⚠ Khuyến nghị chi phí thường gặp của Advisor: | Khuyến nghị | Nội dung | |---|---| | ⚠ VM chạy không tải hoặc thấp tải | ⚠ thu nhỏ hoặc tắt | | ⚠ Mua Reserved Instance | ⚠ tiết kiệm tới 70% | | ⚠ Xoá IP công khai không dùng | | | ⚠ Xoá đĩa mồ côi | ⚠ VM xoá rồi mà đĩa còn | | ⚠ Xoá ExpressRoute circuit không dùng | | | ⚠ Khoản lãng phí phổ biến nhất | ⚠ đĩa mồ côi và VM quá khổ |

Từ khoá nhận diện:

"khuyến nghị theo năm trụ cột" → ⚠ Advisor "tư thế bảo mật" → ⚠ Defender for Cloud "sự cố dịch vụ Azure" → ⚠ Service Health "theo dõi chi tiêu" → ⚠ Cost Management

Ba việc kiểm chứng: | Việc | Cách | |---|---| | Có đĩa mồ côi nào không | ⚠ lãng phí phổ biến nhất | | Có VM nào chạy dưới 5% CPU không | | | Đã cân nhắc reserved instance cho tải ổn định chưa | |

Và khoản lãng phí âm thầm nhất trên mọi subscription Azure, mà Advisor luôn chỉ ra đầu tiên: đĩa của những máy ảo đã bị xoá từ lâu. Chúng không xuất hiện ở đâu ngoài hoá đơn.

Đáp án

B — Hybrid cloud (đám mây lai).

Vì sao đúng

⚠ Mô hình lai là kết hợp hạ tầng TẠI CHỖ với đám mây công cộng:

⚠ Phần lớn tài nguyên ở trung tâm dữ liệu riêng
        ↓ ⚠ kết nối qua VPN hoặc ExpressRoute
⚠ Dùng Azure cho phần bổ sung
   ⚠ lưu trữ, sao lưu, khôi phục thảm hoạ
   ⚠ mở rộng khi cần công suất

Vì sao các phương án khác sai

• A (private cloud) — ⚠ CHỈ hạ tầng riêng, không dùng đám mây công cộng.

• C (public cloud) — ⚠ CHỈ đám mây công cộng, không có phần tại chỗ.

Ghi nhớ

⚠ Ghi nhớ về chất lượng câu hỏi: ⚠ câu này ⚠ bổ sung cho #22056 ở lô trước.

⚠ Công cụ hỗ trợ mô hình lai của Azure: | Công cụ | Việc | |---|---| | ⚠ Azure Arc | ⚠ quản lý máy chủ và Kubernetes ngoài Azure như tài nguyên Azure | | ⚠ Azure Stack HCI / Azure Local | ⚠ chạy dịch vụ Azure ngay tại chỗ | | ⚠ VPN Gateway | ⚠ kết nối qua Internet có mã hoá | | ⚠ ExpressRoute | ⚠ kết nối RIÊNG, không qua Internet | | ⚠ Azure Backup và Site Recovery | ⚠ bảo vệ máy chủ tại chỗ | | ⚠ Azure File Sync | ⚠ đồng bộ file server |

Từ khoá nhận diện:

"kết hợp tại chỗ và đám mây" → ⚠ hybrid "dùng nhiều nhà cung cấp đám mây" → ⚠ multi-cloud, KHÁC hybrid "chỉ hạ tầng riêng" → ⚠ private "quản lý máy ngoài Azure" → ⚠ Azure Arc

Ba việc kiểm chứng: | Việc | Cách | |---|---| | Kết nối giữa hai môi trường là gì | ⚠ VPN hay ExpressRoute | | Dữ liệu nào bắt buộc phải ở tại chỗ | | | Có đang là hybrid hay multi-cloud | ⚠ hai khái niệm khác nhau |

Và lý do mô hình lai là thực tế phổ biến nhất trong doanh nghiệp, chứ không phải một bước đệm tạm thời: nó cho phép chuyển đổi dần và giữ lại những gì buộc phải ở tại chỗ.

Đáp án

B — Microsoft Entra ID Single Sign-On (SSO)

Vì sao đúng

SSO cho phép người dùng xác thực một lần rồi truy cập nhiều ứng dụng mà không phải nhập lại thông tin đăng nhập. Sau lần đăng nhập đầu, Entra ID cấp token và các ứng dụng tin token đó thay vì tự hỏi mật khẩu.

Lợi ích không chỉ là tiện: ít lần nhập mật khẩu nghĩa là ít cơ hội bị đánh cắp qua trang giả mạo, và tổ chức có một chỗ duy nhất để thu hồi quyền khi ai đó nghỉ việc.

Vì sao các phương án khác sai

• A. Azure Policy — ràng buộc cấu hình tài nguyên, không liên quan tới xác thực.
• C. Azure Key Vault — lưu bí mật và khoá.
• D. Microsoft Defender for Cloud — quản lý tư thế bảo mật và phát hiện mối đe doạ.

Đáp án

D — Mặc định là 200 đô la Mỹ.

Vì sao đúng

⚠ Tài khoản Azure miễn phí gồm ba phần: | Phần | Nội dung | |---|---| | ⚠ Tín dụng 200 USD | ⚠ dùng trong 30 ngày đầu | | ⚠ Dịch vụ miễn phí 12 tháng | ⚠ VM, storage, CSDL ở mức giới hạn | | ⚠ Dịch vụ miễn phí VĨNH VIỄN | ⚠ hơn 25 dịch vụ ở mức nhất định |

⚠ 30 ngày đầu: 200 USD tín dụng
        ↓
⚠ 12 tháng: một số dịch vụ miễn phí
        ↓
⚠ Mãi mãi: các dịch vụ luôn miễn phí ở mức thấp

Vì sao các phương án khác sai

• B (50 USD mỗi tháng trong một năm) — ⚠ đó là quyền lợi của gói Visual Studio subscription, không phải tài khoản miễn phí.

• C (chỉ có VM và dịch vụ miễn phí, không có tín dụng) — ⚠ mô tả THIẾU phần tín dụng.

• A (không có tín dụng nào) — ⚠ SAI.

Ghi nhớ

⚠ Ba loại quyền lợi miễn phí — đừng lẫn: | Loại | Thời hạn | |---|---| | ⚠ Tín dụng 200 USD | ⚠ 30 ngày | | ⚠ Dịch vụ phổ biến miễn phí | ⚠ 12 tháng | | ⚠ Dịch vụ luôn miễn phí | ⚠ vĩnh viễn, ở mức giới hạn |

Từ khoá nhận diện:

"200 USD, 30 ngày" → ⚠ tín dụng tài khoản miễn phí "12 tháng" → ⚠ dịch vụ miễn phí có thời hạn "luôn miễn phí" → ⚠ always free tier "tín dụng hằng tháng cho nhà phát triển" → ⚠ Visual Studio subscription

Ba việc kiểm chứng: | Việc | Cách | |---|---| | Còn tài nguyên thử nghiệm nào đang chạy không | | | Đã đặt budget alert chưa | | | Có dịch vụ nào dùng được ở bậc luôn miễn phí không | |

Và điều làm tài khoản Azure miễn phí an toàn cho người mới học: hết tín dụng thì tài khoản tạm dừng chứ không tự chuyển sang tính tiền. Bạn phải chủ động nâng cấp mới bắt đầu trả phí.

Đáp án

A — Microsoft Entra ID.

Vì sao đúng

⚠ Entra ID (tên cũ Azure AD) là dịch vụ định danh của Azure: | Việc | Nội dung | |---|---| | ⚠ Xác thực người dùng | ⚠ ai là ai | | ⚠ Xác thực đa yếu tố (MFA) | ⚠ thêm lớp thứ hai | | ⚠ Truy cập có điều kiện | ⚠ theo vị trí, thiết bị, mức rủi ro | | ⚠ Đăng nhập một lần (SSO) | ⚠ một lần cho nhiều ứng dụng | | ⚠ Quản lý ứng dụng doanh nghiệp | ⚠ ai được vào ứng dụng nào |

⚠ Người dùng đăng nhập
        ↓
⚠ Entra ID xác thực  →  ⚠ MFA nếu chính sách yêu cầu
        ↓
⚠ Cấp token  →  ⚠ ứng dụng tin token đó

Vì sao các phương án khác sai

• B (Azure Monitor) — ⚠ giám sát và thu thập nhật ký, không quản lý định danh.

• C (Azure Policy) — ⚠ áp luật lên cấu hình TÀI NGUYÊN, không xác thực người dùng.

• D (Azure Blueprint) — ⚠ đóng gói mẫu môi trường, cũng không phải định danh.

Ghi nhớ

⚠ Phân biệt xác thực và uỷ quyền: | Khái niệm | Câu hỏi | |---|---| | ⚠ Authentication — xác thực | ⚠ bạn là ai | | ⚠ Authorization — uỷ quyền | ⚠ bạn được làm gì | | ⚠ Entra ID | ⚠ lo cả hai, nhưng nổi bật ở xác thực | | ⚠ Azure RBAC | ⚠ lo phần uỷ quyền trên tài nguyên Azure |

Từ khoá nhận diện:

"MFA, SSO, đăng nhập" → ⚠ Entra ID "quyền trên tài nguyên Azure" → ⚠ RBAC "buộc tài nguyên phải có thẻ" → ⚠ Azure Policy "nhật ký, cảnh báo, chỉ số" → ⚠ Azure Monitor

Ba việc kiểm chứng: | Việc | Cách | |---|---| | Tài khoản quản trị đã bật MFA chưa | ⚠ đây là việc đầu tiên | | Có chính sách truy cập có điều kiện nào không | | | Ai đang giữ vai Global Administrator | ⚠ càng ít càng tốt |

Và điều đáng nhớ nhất về Entra ID: nó là biên giới bảo mật thật của đám mây. Khi mọi thứ đều truy cập qua Internet, định danh thay thế vai trò của tường lửa mạng ngày xưa.