Ngân hàng đề — Microsoft Azure Fundamentals

Đáp án

A — Không

Vì sao đúng

Subscription không lồng vào nhau được. Trong cây tài nguyên Azure, subscription nằm ở một tầng cố định:

Tenant (Entra ID)
  └── Management group gốc
        └── Management group con     ← lồng được, tới 6 tầng
              └── Subscription       ← KHÔNG lồng được
                    └── Resource group
                          └── Resource

Muốn tạo cấu trúc phân cấp cho nhiều subscription thì dùng management group — đó chính là lý do tầng này tồn tại.

Vì sao phương án còn lại sai

• B. Có — nhầm subscription với management group, vốn là thứ lồng được.

Đáp án

D — Azure Virtual Machines

Vì sao đúng

Máy ảo là ví dụ điển hình nhất của IaaS: Microsoft cung cấp phần cứng ảo hoá — CPU, bộ nhớ, đĩa, mạng — còn từ hệ điều hành trở lên là của bạn. Bạn chọn hệ điều hành, cài phần mềm, cấu hình, và tự vá lỗi bảo mật.

Vì sao các phương án khác sai

Ba phương án còn lại đều là PaaS, tức là Microsoft đã lo phần hệ điều hành và thời gian chạy:

• B. App Service — nền tảng chạy ứng dụng web.
• A. Azure SQL Database — cơ sở dữ liệu được quản lý.
• C. Azure Functions — nền tảng chạy hàm theo sự kiện, thậm chí còn trừu tượng hơn nữa.

Cách phân biệt nhanh: hỏi xem ai vá hệ điều hành. Bạn thì là IaaS, nhà cung cấp thì là PaaS.

Đáp án

B — Bằng cách khiến kẻ tấn công phải phá qua nhiều lớp bảo mật

Vì sao đúng

Phòng thủ nhiều lớp dựa trên một giả định thực tế: mọi lớp bảo vệ đều có thể bị phá. Vì vậy thay vì dồn hết vào một lớp, người ta xếp nhiều lớp độc lập chồng lên nhau — an ninh vật lý, bảo vệ vành đai, phân đoạn mạng, bảo mật máy chủ, bảo mật ứng dụng, và mã hoá dữ liệu.

Kẻ tấn công phá được một lớp vẫn gặp lớp tiếp theo, nên thời gian và công sức tăng lên, đồng thời bạn có thêm cơ hội phát hiện.

Lớp trong cùng và quan trọng nhất luôn là dữ liệu — nếu nó được mã hoá và phân quyền chặt thì kẻ tấn công vào được tới đó cũng khó khai thác.

Vì sao các phương án khác sai

• C. Đơn giản hoá hạ tầng bảo mật — ngược hẳn: nhiều lớp thì phức tạp hơn, đó là cái giá.
• A. Giảm nhu cầu cập nhật bảo mật — không lớp nào thay được việc vá lỗi.
• D. Loại bỏ nhu cầu đào tạo người dùng — con người vẫn là một lớp, và thường là lớp yếu nhất.

Đáp án

C — Có nhiều bản sao của một tài nguyên để bảo đảm tính sẵn sàng

Vì sao đúng

Dư thừa nghĩa là nhân bản — nhiều bản sao của cùng một thứ, đặt ở những nơi không cùng chịu một rủi ro. Nhờ vậy một bản hỏng thì các bản còn lại vẫn phục vụ được.

Trên Azure, nguyên tắc này lặp lại ở mọi tầng: dữ liệu giữ ba bản trở lên trong Storage, máy ảo trải qua nhiều fault domain, ứng dụng chạy nhiều bản qua nhiều availability zone.

Vì sao các phương án khác sai

• B. Chuyển đổi dự phòng sang trung tâm dữ liệu thứ hai khi có thảm hoạ — đó là failover, một cơ chế dựa trên dư thừa chứ không phải bản thân dư thừa. Dư thừa là điều kiện cần; failover là hành động khi sự cố xảy ra.
• A. Dùng một bản duy nhất để tránh lỗi — mâu thuẫn nội tại: một bản chính là điểm hỏng duy nhất.
• D. Giám sát để phát hiện và ngăn vấn đề — thuộc về quan sát hệ thống.

Đáp án

B — Governance (quản trị)

Vì sao đúng

Đề mô tả đúng hoạt động quản trị: rà soát định kỳ việc sử dụng tài nguyên để bảo đảm tuân thủ quy định và chuẩn nội bộ. Quản trị bao gồm cả việc đặt ra luật lẫn việc kiểm tra xem luật có được tuân thủ hay không.

Trên Azure, hai vế đó tương ứng với: Azure Policy để áp ràng buộc, và bảng đánh giá tuân thủ cùng Azure Activity Log để kiểm tra lại.

Vì sao các phương án khác sai

• A. Reliability — nói về việc hệ thống có chạy hay không, một trụ cột kỹ thuật khác.
• D. Scalability — nói về khả năng co giãn theo tải.
• C. "Reactive Approach" — không phải khái niệm trong khung này; và bản chất của quản trị là chủ động chứ không phải phản ứng.

Đáp án

C — Azure File Storage

Vì sao đúng

Từ khoá quyết định là SMB và NFS — hai giao thức chia sẻ tệp tiêu chuẩn. Azure Files là dịch vụ duy nhất trong Azure Storage nói được hai giao thức đó, nên máy Windows, Linux hay macOS gắn nó như một ổ đĩa mạng và ứng dụng đọc ghi theo đường dẫn tệp như bình thường.

Đây chính là điều làm nó khác Blob Storage: ứng dụng cũ không phải sửa mã để dùng.

Vì sao các phương án khác sai

• B. Blob Storage — truy cập qua HTTP/HTTPS và REST API, không gắn được như ổ đĩa mạng (trừ khi dùng thêm công cụ như BlobFuse).
• A. Table Storage — kho khoá–giá trị cho dữ liệu có cấu trúc.
• D. General Purpose V2 — là loại tài khoản lưu trữ chứa cả bốn dịch vụ, không phải một dịch vụ riêng.

Đáp án

A — Cung cấp dư thừa và khả năng chịu lỗi

Vì sao đúng

Availability Zone là các cơ sở vật lý tách biệt trong cùng một khu vực, mỗi zone có nguồn điện, hệ thống làm mát và mạng riêng. Trải tài nguyên qua nhiều zone nghĩa là mất trọn một toà nhà — cháy, mất điện, sự cố mạng cục bộ — thì dịch vụ vẫn chạy.

Vì sao các phương án khác sai

• C. Cho phép truy cập dịch vụ Azure ở các vị trí địa lý cụ thể và D. Bảo đảm tuân thủ về nơi lưu trữ dữ liệu — cả hai đều là vai trò của region, không phải của zone. Zone nằm bên trong một region, nên mọi zone của một region đều ở cùng một quốc gia.
• B. Giảm giá cho khách hàng ở một số khu vực — không có cơ chế nào như vậy; trải qua nhiều zone thường còn tốn thêm phí truyền dữ liệu.

Đáp án

C — 5 Petabyte

Vì sao đúng

Một tài khoản Azure Storage chứa tối đa khoảng 5 PB. Con số này đủ lớn để phần lớn tổ chức không bao giờ chạm tới, nhưng nó là một giới hạn thật và cần biết khi thiết kế hệ thống dữ liệu lớn.

Ngoài dung lượng, tài khoản lưu trữ còn có giới hạn về thông lượng và số yêu cầu mỗi giây — và trên thực tế, giới hạn thông lượng thường bị chạm trước giới hạn dung lượng. Đó là lý do người ta phân tán dữ liệu qua nhiều tài khoản.

Vì sao các phương án khác sai

• B. Không có giới hạn — mọi dịch vụ đám mây đều có hạn mức; đây là hiểu nhầm phổ biến.
• A. 5 Terabyte và D. 5 Gigabyte — nhỏ hơn thực tế hàng nghìn lần.

Đáp án

B — Nhà cung cấp, ví dụ Microsoft Azure hay Amazon AWS

Vì sao đúng

Đây là đặc điểm định danh của điện toán đám mây: hạ tầng vật lý thuộc về nhà cung cấp. Họ mua máy chủ, xây trung tâm dữ liệu, lo điện và làm mát, thay phần cứng hỏng; còn bạn thuê năng lực từ đó.

Hệ quả trực tiếp là mô hình tài chính đổi hẳn: không có khoản đầu tư ban đầu, không có tài sản phải khấu hao, và không có chu kỳ thay máy sau vài năm.

Vì sao phương án còn lại sai

• A. Khách hàng — đúng với mô hình tại chỗ hoặc đám mây riêng tự vận hành, chính là thứ đám mây công cộng thay thế.

Đáp án

A — Sang khu vực ghép cặp của nó, cách ít nhất khoảng 300 dặm và nằm trong cùng vùng địa lý

Vì sao đúng

Azure ghép các khu vực thành cặp (region pair), và cách ghép này có ba đặc điểm đều có chủ ý:

• Cách nhau ít nhất khoảng 300 dặm — đủ xa để một thiên tai khó ảnh hưởng cả hai.
• Cùng vùng địa lý — dữ liệu không rời khỏi ranh giới pháp lý, điều bắt buộc với nhiều quy định về chủ quyền dữ liệu.
• Không cập nhật đồng thời — Microsoft triển khai bản vá nền tảng lần lượt, không bao giờ cùng lúc cho cả hai khu vực trong một cặp.

Vì sao các phương án khác sai

• C. Sang khu vực khác, thường ở vùng địa lý khác — sai đúng ở điểm quan trọng nhất: cùng vùng địa lý mới là quy tắc, và đó là vì lý do pháp lý.
• D. Phần lớn chuyển sang US East — không có quy tắc nào như vậy.
• B. Không có dịch vụ nào tự chuyển đổi — sai; các tuỳ chọn dư thừa như GRS dựa chính vào cơ chế này.