Ngân hàng đề — Microsoft Azure Fundamentals

Đáp án

A — Từ chối quyền truy cập của một cá nhân cụ thể

Vì sao đúng

Câu này tìm thứ không phải công dụng của Azure Policy, và nó chạm đúng ranh giới hay bị lẫn nhất:

Chặn một người cụ thể là việc của RBAC — bạn không gán vai cho họ, hoặc gỡ vai đã gán. Policy không làm việc với danh tính; nó đánh giá thuộc tính của tài nguyên: khu vực, loại, cấu hình, tag.

Vì sao các phương án khác sai (chúng là công dụng của Policy)

• B. Bắt buộc gắn tag để quy chi phí — dùng hiệu ứng Deny hoặc Modify.
• C. Áp chuẩn bảo mật mạng — ví dụ cấm mở cổng quản trị ra Internet.
• D. Chặn tạo tài nguyên ở một số khu vực — trường hợp dùng phổ biến nhất.

Đáp án

D — Azure Disks

Vì sao đúng

Azure Disk là ổ đĩa ở mức khối (block-level) gắn vào máy ảo, và hệ điều hành nhìn nó như một ổ cứng bình thường. Đây là điểm phân biệt cốt lõi so với hai loại lưu trữ kia:

Vì ở mức khối, đĩa là nơi duy nhất trong ba loại dùng được để chứa ổ hệ điều hành của máy ảo.

Vì sao các phương án khác sai

• C. File Storage — chia sẻ được cho nhiều máy cùng lúc, nhưng ở mức tệp chứ không phải khối.
• A. Blob Storage — kho đối tượng, không gắn vào máy ảo được theo cách này.
• B. General Purpose V2 — là loại tài khoản lưu trữ, không phải một loại lưu trữ.

Đáp án

D — ZRS (Zone-Redundant Storage)

Vì sao đúng

Ba dữ kiện trong đề đều khớp đúng ZRS: ba bản sao, ba availability zone, trong một khu vực duy nhất.

Đây là điểm cân bằng đáng chú ý: nó chịu được mất trọn một trung tâm dữ liệu — hơn hẳn LRS — nhưng dữ liệu vẫn ở lại trong cùng một khu vực, nên thoả được yêu cầu chủ quyền dữ liệu mà GRS không thoả.

Vì sao các phương án khác sai

• A. LRS — cũng ba bản nhưng trong cùng một trung tâm dữ liệu; mất cơ sở đó là mất hết.
• C. GRS — sáu bản (3 ở mỗi khu vực), nhân bản sang khu vực khác.
• B. GZRS — kết hợp cả hai: ZRS ở khu vực chính cộng bản sao ở khu vực phụ; bảo vệ tốt nhất và đắt nhất.

Đáp án

A — Tiết kiệm chi phí đáng kể

Vì sao đúng

Spot instance dùng năng lực dư thừa của Azure, nên giá rẻ hơn rất nhiều so với máy thường — thường tới 80–90%. Đó là lợi ích duy nhất và cũng là lý do tồn tại của nó.

Cái giá phải trả — điều quan trọng nhất

Azure thu hồi máy bất cứ lúc nào khi cần năng lực đó cho khách hàng trả giá đầy đủ, với thông báo trước chỉ khoảng 30 giây. Vì vậy spot chỉ hợp với khối lượng công việc chịu được gián đoạn: xử lý theo lô, dựng và kiểm thử, huấn luyện mô hình có checkpoint.

Vì sao các phương án khác sai

• D. Luôn sẵn sàng — sai hoàn toàn: tính sẵn sàng là điểm yếu nhất của spot.
• B. Lý tưởng cho ứng dụng đòi hiệu năng nghiêm ngặt — sai vì lý do trên.
• C. Cho hiệu năng cao nhất — cùng loại phần cứng như máy thường; giá khác chứ hiệu năng không khác.

Đáp án

C — Mở rộng AD DS ra đám mây

Vì sao đúng

Entra Domain Services dựng một domain được quản lý trên đám mây, tương thích với Active Directory truyền thống: hỗ trợ LDAP, Kerberos, NTLM và cho máy tham gia domain — những thứ mà Entra ID không hỗ trợ.

Nó giải bài toán rất cụ thể: ứng dụng cũ chuyển lên Azure nhưng vẫn cần các giao thức đó, mà bạn không muốn tự dựng và vá domain controller trên máy ảo.

Danh tính được đồng bộ một chiều từ Entra ID sang, nên người dùng dùng cùng một bộ thông tin đăng nhập.

Vì sao các phương án khác sai

• A. Thay thế hoàn toàn AD DS — không: nó không hỗ trợ một số tính năng của AD DS đầy đủ, ví dụ mở rộng lược đồ hay quan hệ tin cậy giữa các rừng.
• D. Cung cấp hệ danh tính hoàn toàn tách biệt khỏi AD DS — sai: nó đồng bộ từ Entra ID chứ không độc lập.
• B. Chỉ hỗ trợ ứng dụng trên đám mây — sai: chính ứng dụng cũ mới là đối tượng phục vụ.

Đáp án

B — Subnet

Vì sao đúng

Subnet là phân đoạn logic của mạng ảo: bạn chia không gian địa chỉ của VNet thành nhiều dải nhỏ hơn, mỗi dải là một subnet.

Việc chia này phục vụ hai mục đích thực tế: tổ chức (mỗi tầng ứng dụng một subnet) và kiểm soát (gắn NSG hoặc route table vào từng subnet để quyết định lưu lượng nào đi được đâu).

Một lưu ý về địa chỉ: Azure giữ lại 5 địa chỉ trong mỗi subnet, nên một /28 không cho bạn 16 máy mà chỉ 11.

Vì sao các phương án khác sai

• C. Network Security Group — bộ luật gắn vào subnet để lọc lưu lượng, không phải bản thân sự phân chia.
• A. Firewall — dịch vụ lọc lưu lượng, được triển khai vào một subnet.
• D. Địa chỉ IP — là một giá trị đơn lẻ, không phải một phân đoạn.

Đáp án

A — Khả năng hệ thống xử lý được tải tăng lên bằng cách thêm tài nguyên một cách linh động

Vì sao đúng

Đây là định nghĩa của khả năng co giãn: hệ thống thêm năng lực để đáp ứng tải tăng. Nó có hai hướng — thêm bản chạy (chiều ngang) hoặc dùng máy to hơn (chiều dọc) — và chữ "linh động" hàm ý việc đó diễn ra khi cần chứ không phải dựng sẵn từ đầu.

Vì sao các phương án khác sai

Ba phương án còn lại mô tả ba thuộc tính khác của hệ thống, và đây chính là điều câu hỏi kiểm tra:

• B. Hệ thống hoạt động và truy cập được trong phần lớn thời gian — đó là tính sẵn sàng.
• C. Mức độ dễ quản lý và bảo trì — đó là khả năng quản lý.
• D. Khả năng dự báo hiệu năng và nhu cầu tài nguyên — đó là tính đoán trước được.

Đáp án

C — Shared responsibility (trách nhiệm chung)

Vì sao đúng

Mô hình trách nhiệm chung xác định rõ ranh giới trách nhiệm giữa nhà cung cấp và khách hàng, và ranh giới đó dịch chuyển theo mô hình dịch vụ:

Hàng cuối là điều quan trọng nhất: dữ liệu và danh tính luôn thuộc về bạn, bất kể mô hình nào.

Vì sao các phương án khác sai

• A. GDPR — là quy định về bảo vệ dữ liệu, không phải khung phân chia trách nhiệm.
• B. Serverless và D. Pay-as-you-go — một cái là mô hình tính toán, một cái là mô hình tính tiền.

Đáp án

B — Thời gian dừng có kế hoạch

Vì sao đúng

Update domain và fault domain bảo vệ khỏi hai loại sự cố khác nhau, và đây là cặp khái niệm phải phân biệt rõ:

Khi Azure cần bảo trì, nó xử lý lần lượt từng update domain và chờ nhóm đó khoẻ lại rồi mới sang nhóm kế tiếp — nên không bao giờ toàn bộ máy cùng dừng.

Vì sao phương án còn lại sai

• A. Thời gian dừng ngoài kế hoạch — đó là việc của fault domain.

Đáp án

A — Phải thêm một dịch vụ khác như Load Balancer hoặc Application Gateway

Vì sao đúng

Scale set lo việc tạo và quản lý số lượng máy ảo, nhưng nó không tự phân phối lưu lượng. Đó là hai việc khác nhau và do hai dịch vụ khác nhau đảm nhiệm.

Vì vậy kiến trúc đầy đủ luôn gồm hai phần:

Người dùng → Load Balancer (hoặc Application Gateway) → Scale set (nhiều máy ảo)

Chọn cái nào tuỳ tầng: Load Balancer làm việc ở tầng 4 (TCP/UDP), còn Application Gateway ở tầng 7 nên định tuyến được theo đường dẫn và có tường lửa ứng dụng web.

Vì sao phương án còn lại sai

• B. Scale set đã bao gồm cân bằng tải — sai. Khi tạo scale set qua cổng quản trị, Azure gợi ý tạo kèm một load balancer, nên nhiều người tưởng nó là một phần của scale set. Thực ra đó là hai tài nguyên riêng biệt, và bạn trả tiền riêng cho load balancer.