Laboratório prático — AZ-305 Microsoft Azure Solutions Architect Expert

Visão geral

Pré-requisitos

Passos

1. 1.Provedor, Grupo de Recursos, nomeação

   Início padrão do Azure. O AZ-305 espera que você utilize o par eastus / westus para qualquer pergunta sobre "duas regiões" — eles são o par de regiões canônico do AZ-305 para testes de latência e cenários de failover de regiões emparelhadas.

   Copiar

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       random  = { source = "hashicorp/random",  version = "~> 3.6" }
     }
   }
   
   provider "azurerm" {
     features {
       key_vault {
         purge_soft_delete_on_destroy = true
       }
     }
   }
   
   resource "random_id" "suffix" {
     byte_length = 3
   }
   
   data "azurerm_client_config" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-az-305"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-az-305-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.Construir uma topologia VNet hub-spoke com emparelhamento

   Provisiona:

   • Azure Virtual Network

   Hub-spoke é o design de rede de referência do AZ-305: uma VNet hub central hospeda serviços compartilhados (firewall, gateway VPN, DNS), e VNets spoke hospedam cargas de trabalho. Os spokes se emparelham com o hub bidirecionalmente; o tráfego spoke-to-spoke transita pelo hub. O exame testa essa topologia incansavelmente porque é a base de qualquer zona de aterragem Azure com múltiplas cargas de trabalho.

   Construímos o hub-spoke mais simples possível: uma VNet hub (10.0.0.0/16), uma spoke (10.1.0.0/16), emparelhamento bidirecional. Designs reais de hub-spoke adicionam o Azure Firewall no hub e tabelas de rotas next_hop_in_ip_address forçando o tráfego do spoke através dele — isso é abordado conceitualmente, mas omitido aqui por questões de custo (o Azure Firewall custa ~$1/hora ocioso).

   Copiar

   resource "azurerm_virtual_network" "hub" {
     name                = "certlabpro-az-305-hub"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     address_space       = ["10.0.0.0/16"]
     tags                = local.tags
   }
   
   resource "azurerm_subnet" "hub_shared" {
     name                 = "shared"
     resource_group_name  = azurerm_resource_group.main.name
     virtual_network_name = azurerm_virtual_network.hub.name
     address_prefixes     = ["10.0.1.0/24"]
   }
   
   resource "azurerm_virtual_network" "spoke" {
     name                = "certlabpro-az-305-spoke"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     address_space       = ["10.1.0.0/16"]
     tags                = local.tags
   }
   
   resource "azurerm_subnet" "spoke_app" {
     name                 = "app"
     resource_group_name  = azurerm_resource_group.main.name
     virtual_network_name = azurerm_virtual_network.spoke.name
     address_prefixes     = ["10.1.1.0/24"]
   }
   
   resource "azurerm_virtual_network_peering" "hub_to_spoke" {
     name                      = "hub-to-spoke"
     resource_group_name       = azurerm_resource_group.main.name
     virtual_network_name      = azurerm_virtual_network.hub.name
     remote_virtual_network_id = azurerm_virtual_network.spoke.id
     allow_forwarded_traffic   = true
   }
   
   resource "azurerm_virtual_network_peering" "spoke_to_hub" {
     name                      = "spoke-to-hub"
     resource_group_name       = azurerm_resource_group.main.name
     virtual_network_name      = azurerm_virtual_network.spoke.name
     remote_virtual_network_id = azurerm_virtual_network.hub.id
     allow_forwarded_traffic   = true
   }

3. 3.Provisionar um Key Vault com autorização RBAC para segredos e certificados

   Provisiona:

   • Azure Key Vault

   O Key Vault é a primitiva de segredos e certificados do AZ-305. Duas grandes decisões arquitetônicas que o exame testa: RBAC vs Políticas de Acesso (RBAC é o padrão moderno; Políticas de Acesso são legadas), e soft-delete + proteção contra purga (o soft-delete está ativado por padrão; a proteção contra purga torna a janela de soft-delete não substituível — necessária para alguns regimes de conformidade).

   Habilitamos a autorização RBAC e atribuímos o principal atual do Terraform como Administrador do Key Vault para que os recursos subsequentes de segredos/certificados funcionem. Perguntas do AZ-305 sobre "o aplicativo não consegue ler a senha do banco de dados" 90% das vezes terminam com "porque a identidade gerenciada não tinha o papel de Usuário de Segredos do Key Vault no cofre".

   Copiar

   resource "azurerm_key_vault" "main" {
     name                          = "kv-az305-${random_id.suffix.hex}"
     resource_group_name           = azurerm_resource_group.main.name
     location                      = azurerm_resource_group.main.location
     tenant_id                     = data.azurerm_client_config.current.tenant_id
     sku_name                      = "standard"
   
     enable_rbac_authorization     = true
     soft_delete_retention_days    = 7  # 7 minimum; 90 for purge protection in production
     purge_protection_enabled      = false # set true for production / compliance
     public_network_access_enabled = true
   
     tags = local.tags
   }
   
   resource "azurerm_role_assignment" "kv_admin_self" {
     scope                = azurerm_key_vault.main.id
     role_definition_name = "Key Vault Administrator"
     principal_id         = data.azurerm_client_config.current.object_id
   }

4. 4.Configurar o Azure Front Door como ponto de entrada HTTPS global

   Provisiona:

   • Azure Front Door

   O Front Door é a resposta para o AZ-305 em cenários de balanceador de carga global + WAF + CDN. O exame o testa contra três alternativas: Application Gateway (camada 7 regional), Traffic Manager (baseado em DNS, sem trânsito de tráfego) e Load Balancer (camada 4 regional). O Front Door é a resposta certa para qualquer cenário de "usuários globalmente distribuídos + HTTPS + WAF + cache".

   Provisionamos um perfil Front Door + endpoint + um grupo de origem stub. Em produção, você conectaria um Web App ou ingresso AKS como origem; para o laboratório, a forma da topologia é o que as perguntas do AZ-305 testam. A camada Standard suporta os recursos de segurança e roteamento que o exame espera (WAF, regras personalizadas, afinidade de sessão); a Premium adiciona origens de link privado para acesso de backend totalmente privado.

   Copiar

   resource "azurerm_cdn_frontdoor_profile" "main" {
     name                = "certlabpro-az-305-fd"
     resource_group_name = azurerm_resource_group.main.name
     sku_name            = "Standard_AzureFrontDoor"
   
     tags = local.tags
   }
   
   resource "azurerm_cdn_frontdoor_endpoint" "main" {
     name                     = "certlabpro-az-305-${random_id.suffix.hex}"
     cdn_frontdoor_profile_id = azurerm_cdn_frontdoor_profile.main.id
   
     tags = local.tags
   }
   
   resource "azurerm_cdn_frontdoor_origin_group" "main" {
     name                     = "app-origins"
     cdn_frontdoor_profile_id = azurerm_cdn_frontdoor_profile.main.id
     session_affinity_enabled = false
   
     load_balancing {
       sample_size                 = 4
       successful_samples_required = 3
     }
   
     health_probe {
       path                = "/"
       request_type        = "HEAD"
       protocol            = "Https"
       interval_in_seconds = 30
     }
   }

5. 5.Enviar diagnósticos do Front Door + Key Vault para o Log Analytics

   Provisiona:

   • Azure Monitor

   O domínio Design de armazenamento e integração de dados do AZ-305, juntamente com o Design de continuidade de negócios, dependem da observabilidade em torno das peças da arquitetura. Criamos um workspace do Log Analytics e conectamos os logs de acesso do Front Door + logs de auditoria do Key Vault a ele.

   Com a infraestrutura de diagnóstico em vigor, a arquitetura de referência do AZ-305 é moldada: ingresso global (Front Door) → rede hub-spoke → spoke de carga de trabalho → camada de segredos (Key Vault) → malha de observabilidade (Log Analytics). Cada adição arquitetônica (Application Gateway atrás do Front Door, Cosmos DB no spoke, Logic Apps no hub) se conecta a esta base.

   Copiar

   resource "azurerm_log_analytics_workspace" "main" {
     name                = "certlabpro-az-305-logs"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     sku                 = "PerGB2018"
     retention_in_days   = 30
   
     tags = local.tags
   }
   
   resource "azurerm_monitor_diagnostic_setting" "key_vault" {
     name                       = "diag"
     target_resource_id         = azurerm_key_vault.main.id
     log_analytics_workspace_id = azurerm_log_analytics_workspace.main.id
   
     enabled_log {
       category = "AuditEvent"
     }
   
     metric {
       category = "AllMetrics"
       enabled  = true
     }
   }
   
   resource "azurerm_monitor_diagnostic_setting" "front_door" {
     name                       = "diag"
     target_resource_id         = azurerm_cdn_frontdoor_profile.main.id
     log_analytics_workspace_id = azurerm_log_analytics_workspace.main.id
   
     enabled_log {
       category = "FrontDoorAccessLog"
     }
   
     enabled_log {
       category = "FrontDoorHealthProbeLog"
     }
   }

Limpeza