AZ-104: Praktische gids voor het Microsoft Azure Administrator-examen

Azure-beheer betekent in de praktijk het gezamenlijk aansturen van identiteit, netwerkbeveiliging, governance en monitoring als één operationeel geheel. Daardoor vraagt AZ-104 minder om losse feitenkennis en meer om het herkennen van de juiste beheeraanpak in realistische Azure-scenario’s.

AZ-104 is het Microsoft-examen voor de rol van Azure Administrator. Kandidaten moeten laten zien dat zij Azure-resources kunnen beheren, identiteiten kunnen configureren, virtuele netwerken kunnen onderhouden, opslag kunnen beveiligen, workloads kunnen beheren en monitoring kunnen toepassen in een operationele omgeving.

Wat AZ-104 in de praktijk toetst

De officiële AZ-104-examengids op Microsoft Learn blijft het vertrekpunt voor elke voorbereiding, omdat de skills measured periodiek worden bijgewerkt. Dat betekent niet dat de kern van het examen voortdurend verandert, maar wel dat kandidaten alert moeten blijven op verschuivingen in nadruk, nieuwe naamgeving en wijzigingen in Azure-services. Een studieplan dat gebaseerd is op oude samenvattingen kan daardoor gaten bevatten, vooral rond identity, networking en governance.

De inhoud draait om het dagelijkse werk van een Azure-beheerder. Identity en governance gaan over Microsoft Entra ID, RBAC, subscriptions, management groups, policies en resource locks. Networking omvat onder meer Virtual Network, Network Security Group, Azure Firewall, peering, Azure DNS, Azure Private DNS, VPN, ExpressRoute, route tables en Private Endpoints. Storage en compute vragen om kennis van storage accounts, access tiers, lifecycle management, Azure Files, managed disks, virtual machines, VM scale sets en App Service. Monitoring behandelt Azure Monitor, alerts, Log Analytics en Network Watcher.

Een nuttige manier om de examendomeinen te benaderen is niet als een woordenlijst, maar als een beheercyclus. Een beheerder maakt toegang mogelijk, begrenst privileges, verbindt netwerken, beschermt data, houdt workloads beschikbaar en onderzoekt afwijkingen via logs en metrics. Wie die samenhang begrijpt, kan examenvragen beter ontleden dan iemand die alleen definities uit het hoofd kent.

Examenvorm: lees de instructies, niet alleen de vraag

AZ-104 kan verschillende vraagvormen bevatten, zoals meerkeuzevragen, scenario’s, volgorde- of configuratievragen en case-studyachtige onderdelen. Microsoft kan examenvormen aanpassen, dus de actuele examengids en de instructies op het scherm zijn belangrijker dan ervaringen van eerdere kandidaten. Kandidaten moeten bovendien rekening houden met secties waarin terugnavigeren beperkt kan zijn. Dat verandert de tijdstrategie: het is veiliger om per blok te plannen dan om één vast tempo per vraag aan te houden.

Bij scenario’s is de eerste taak niet om direct naar een bekende Azure-service te zoeken, maar om de randvoorwaarden te lezen. Staat er dat beheer minimaal privilege moet volgen? Dan is een ingebouwde RBAC-rol of een zorgvuldig gescoped custom role waarschijnlijker dan brede eigenaarstoegang. Staat er dat verkeer privé moet blijven? Dan moet het onderscheid tussen Private Endpoint, Service Endpoint, VPN, ExpressRoute en public access helder zijn. Staat er dat beheer schaalbaar en afdwingbaar moet zijn? Dan komen Azure Policy, management groups of platform-native automatisering eerder in beeld dan handmatige scripts.

Een sterke antwoordstrategie kiest waar mogelijk voor least privilege, platform-native beheer en duidelijke operationele controle. Managed identities zijn vaak veiliger dan geheimen in scripts. Azure Policy is geschikter voor afdwingbare governance dan een losse controle achteraf. Routeprioriteiten, NSG-regels en firewallregels moeten in samenhang worden bekeken, omdat een correct antwoord op papier kan falen als de verkeersstroom verkeerd wordt geïnterpreteerd.

Een scenario dat veel AZ-104-vaardigheden samenbrengt

Consider een organisatie met een hub-spoke-netwerk: een hub-VNet bevat gedeelde netwerkdiensten, een spoke-VNet bevat een applicatie-VM en een storage account wordt ontsloten via een Private Endpoint. De kandidaat krijgt de opdracht om beheerrechten toe te kennen, netwerkcommunicatie mogelijk te maken en te voorkomen dat opslag publiek bereikbaar is. Dit soort scenario dwingt tot het combineren van RBAC, VNet-peering, DNS, NSG’s en Private Endpoints.

De eerste stap is het scheiden van identiteits- en netwerkvragen. RBAC bepaalt wie resources mag beheren; het bepaalt niet automatisch of netwerkverkeer mogelijk is. VNet-peering maakt communicatie tussen VNets mogelijk, maar vervangt geen DNS-configuratie voor een Private Endpoint. Een NSG kan verkeer toestaan of blokkeren op subnet- of NIC-niveau, maar als de naamresolutie nog naar een publiek storage-endpoint wijst, is het ontwerp niet af.

In een examenvraag kan een plausibel maar fout antwoord zijn om een gebruiker Contributor op de hele subscription te geven en public network access op het storage account open te laten. Een beter antwoord beperkt rechten tot de relevante resource group of resource, gebruikt Private Endpoint voor private toegang en controleert DNS-resolutie via Azure Private DNS. Als er centrale inspectie nodig is, komt Azure Firewall in beeld; als alleen subnetverkeer begrensd moet worden, kan een NSG voldoende zijn.

Onderstaand voorbeeld is geen volledige referentiearchitectuur, maar een korte Azure CLI-oefening om het verschil tussen netwerkstructuur en beveiligingsconfiguratie tastbaar te maken. Gebruik dit soort opdrachten in een tijdelijk lab en ruim resources daarna op om kosten te beperken.

Example — basis voor een klein hub-spoke-lab

az group create --name rg-az104-lab --location westeurope

az network vnet create \
  --resource-group rg-az104-lab \
  --name vnet-hub \
  --address-prefix 10.10.0.0/16 \
  --subnet-name snet-shared \
  --subnet-prefix 10.10.1.0/24

az network vnet create \
  --resource-group rg-az104-lab \
  --name vnet-spoke \
  --address-prefix 10.20.0.0/16 \
  --subnet-name snet-workload \
  --subnet-prefix 10.20.1.0/24

az network vnet peering create \
  --resource-group rg-az104-lab \
  --name hub-to-spoke \
  --vnet-name vnet-hub \
  --remote-vnet vnet-spoke \
  --allow-vnet-access

az network nsg create \
  --resource-group rg-az104-lab \
  --name nsg-workload

Deze oefening laat zien dat peering en NSG’s afzonderlijke beslissingen zijn. Peering maakt netwerkbereik mogelijk; de NSG bepaalt vervolgens welk verkeer door mag. Voor een Private Endpoint moet daarna nog worden geoefend met subnetkeuze, private DNS-zones en het uitschakelen of beperken van publieke toegang op de betreffende PaaS-resource.

Een realistisch studieplan van 4 tot 6 weken

Een haalbare voorbereiding begint met een diagnose. Kandidaten met dagelijkse Azure-ervaring kunnen vaak sneller door de basis heen, terwijl IT-generalisten meer tijd nodig hebben voor identity, networking en monitoring. Wie minder dan 6 weken heeft en beperkte praktijkervaring met Azure, heeft baat bij een gestructureerde route met duidelijke labs en oefenmomenten. Wie 6 tot 8 weken of langer heeft en regelmatig toegang heeft tot een Azure-omgeving, kan veel bereiken met zelfstudie, Microsoft Learn, eigen labs en oefenexamens. In beide routes blijft praktijkoefening doorslaggevend; alleen video’s bekijken is zelden genoeg.

Week 1: vergelijk de officiële AZ-104-examengids met de eigen ervaring en bouw een begrippenkaart rond identity, governance, networking, storage, compute en monitoring.

Week 2: oefen met Microsoft Entra ID, RBAC, resource groups, policies en locks, en noteer per onderwerp wat rechten beheren en wat beleid afdwingen.

Week 3: bouw een kostenbewust hub-spoke-lab met 2 VNets, één kleine B-serie VM, een storage account en een Private Endpoint, en test DNS, NSG-regels en peering.

Week 4: richt compute, storage lifecycle management, Azure Files, managed disks, backup- of updateconcepten en Azure Monitor in binnen hetzelfde lab.

Week 5: maak oefenexamens, analyseer fout beantwoorde scenario’s en herschrijf de redenering achter elk antwoord in eigen woorden.

Week 6: herhaal zwakke domeinen, oefen tijdmanagement per examensectie en controleer de actuele Microsoft Learn-examengids op wijzigingen in terminologie of scope.

Het lab hoeft niet groot te zijn om nuttig te zijn. Een kleine omgeving met hub-spoke-netwerken, één VM, een storage account met Private Endpoint, een Log Analytics workspace en enkele alerts is voldoende om veel kernvaardigheden te oefenen. Kostenbewust werken hoort bij professioneel Azure-beheer: stop of deallocate VM’s wanneer ze niet nodig zijn, verwijder ongebruikte public IP’s en ruim tijdelijke resource groups op na labs.

Begeleide training kan vooral nuttig zijn wanneer de planning kort is of wanneer kandidaten weinig gelegenheid hebben om fouten veilig in een eigen omgeving te maken. Een AZ-104-training bij Readynez kan in dat geval dienen als gestructureerde voorbereiding, mits de kandidaat daarnaast zelf blijft oefenen met labs en oefenvragen. Zonder handmatige configuratie, foutanalyse en herhaling blijft de kennis te oppervlakkig voor scenario’s.

Terminologie die correct moet blijven

Een onderschat onderdeel van AZ-104-voorbereiding is taal. Nederlandse studiematerialen gebruiken soms vertalingen die in de Azure Portal of Microsoft Learn anders worden weergegeven. Het is verstandig om de Engelse productnamen te herkennen, omdat examenvragen, documentatie en portalonderdelen vaak Engelstalige termen gebruiken.

• Azure AD heet Microsoft Entra ID; Azure AD Connect heet Microsoft Entra Connect.
• Network Security Group wordt vaak afgekort tot NSG; “Groep Netwerkbeveiliging” komt voor als vertaling, maar NSG is de gangbare technische term.
• ExpressRoute wordt zonder koppelteken geschreven; “Express-route” kan verwarrend zijn in aantekeningen.
• Azure Front Door is de juiste productnaam; “Azure voordeur” moet in technische voorbereiding worden vermeden.
• Private Endpoint en Service Endpoint zijn verschillende netwerkopties en mogen niet als synoniemen worden behandeld.

Naamwijzigingen zijn meer dan cosmetisch. Microsoft Entra ID verwijst naar dezelfde identitybasis die veel beheerders nog als Azure AD kennen, maar moderne documentatie, portalervaringen en examendoelen gebruiken de nieuwe naam. Kandidaten die beide termen herkennen, verliezen minder tijd wanneer oudere blogs, interne documentatie en actuele Microsoft Learn-pagina’s naast elkaar worden gebruikt.

Veelgemaakte fouten bij AZ-104-voorbereiding

Een terugkerende fout is te veel nadruk leggen op provisioning en te weinig op beheer na ingebruikname. Een VM kunnen aanmaken is basiskennis; begrijpen hoe updates, disks, identity, monitoring, netwerktoegang en kosten samenkomen is waardevoller. AZ-104 toetst de beheerrol, niet alleen het klikken door wizards.

Een tweede fout is netwerkbeveiliging te simpel maken. NSG’s, Azure Firewall, route tables, Private DNS en Private Endpoints beïnvloeden elkaar. Een vraag over een onbereikbare workload kan daardoor niet worden opgelost door slechts één regel te bekijken. De kandidaat moet redeneren vanuit bron, bestemming, route, naamresolutie en filtering.

Een derde fout is elk probleem met extra rechten oplossen. In de praktijk leidt dat tot te brede toegang; in examenvragen is het vaak een signaal dat een antwoord niet least-privileged is. RBAC-rollen moeten zo specifiek mogelijk worden toegewezen op het juiste bereik. Resource locks, policies en RBAC vullen elkaar aan, maar vervangen elkaar niet.

Ook oefenexamens kunnen verkeerd worden gebruikt. Een hoge score na herhaling van dezelfde vragen bewijst vooral patroonherkenning. De nuttigere oefening is verklaren waarom de andere antwoorden onjuist zijn, welke voorwaarde in de vraag doorslaggevend was en welke Azure-service het probleem platform-native oplost.

Op de examendag

De beste examendagstrategie is rustig en procedureel. Lees eerst de instructies voor elke sectie, vooral wanneer er case studies of labachtige onderdelen worden aangeboden. Als terugnavigeren beperkt is, moet een kandidaat bewuster beslissen wanneer een antwoord definitief genoeg is. Markeren en later terugkomen kan alleen wanneer de examenomgeving dat voor die sectie toestaat.

Bij lange scenario’s helpt het om requirements, constraints en gewenste uitkomst mentaal te scheiden. Requirements beschrijven wat moet gebeuren, constraints beperken de toegestane oplossing en de gewenste uitkomst verraadt vaak de Azure-service of beheeraanpak. Bij twijfel is het verstandig om antwoorden te toetsen aan least privilege, private connectivity, centrale governance en operationele beheerbaarheid.

FAQ over AZ-104

Is AZ-104 geschikt voor iemand zonder Azure-ervaring?

AZ-104 is mogelijk zonder lange Azure-achtergrond, maar het examen is duidelijk gericht op praktische beheervaardigheden. Kandidaten zonder ervaring doen er goed aan eerst basisconcepten van subscriptions, resource groups, VNets, Microsoft Entra ID en Azure Monitor te oefenen voordat zij diep met oefenexamens beginnen.

Moet de officiële Microsoft Learn-examengids worden gevolgd?

Ja. De officiële examengids is de belangrijkste bron voor actuele skills measured, examendomeinen en eventuele wijzigingen. Blogs, video’s en samenvattingen kunnen helpen, maar ze moeten worden gecontroleerd tegen de actuele Microsoft Learn-informatie.

Komen er labs voor in het AZ-104-examen?

Microsoft kan de examenvorm aanpassen en labachtige onderdelen kunnen per afname of periode verschillen. Kandidaten moeten daarom niet uitgaan van één vaste vorm. De veilige voorbereiding is hands-on oefenen alsof configuratievragen kunnen voorkomen, zonder te rekenen op specifieke examendetails.

Hoe belangrijk is networking voor AZ-104?

Networking is een van de gebieden waar veel onderwerpen samenkomen. VNet-peering, NSG’s, Azure Firewall, UDR’s, DNS, VPN, ExpressRoute en Private Endpoints bepalen vaak of een oplossing veilig en functioneel is. Een kandidaat die alleen definities kent, mist snel de samenhang in scenario’s.

Zijn braindumps een goede voorbereiding?

Nee. Braindumps zijn onbetrouwbaar, kunnen verouderd zijn en kunnen in strijd zijn met examenregels. Bovendien leren ze geen beheerredenering. Betere voorbereiding bestaat uit Microsoft Learn, eigen labs, oefenvragen met uitleg en herhaling van zwakke domeinen.

Van examenvoorbereiding naar Azure-beheer

AZ-104 is het meest waardevol wanneer de voorbereiding aansluit op echt beheerwerk. Dezelfde onderwerpen komen terug in landing zones en operations: identity en governance bepalen wie wat mag doen, hub-spoke-netwerken zorgen voor segmentatie, Private Endpoints beveiligen toegang tot storage, en Azure Monitor met Log Analytics maakt afwijkingen zichtbaar. Daardoor is het examen geen losstaande studieoefening, maar een manier om beheerbeslissingen consequenter te leren nemen.

De meest praktische volgende stap is een klein lab bouwen, de officiële examengids ernaast houden en elke fout terugbrengen tot een gemiste voorwaarde, verkeerd gekozen service of onvolledige configuratie. Wie de voorkeur geeft aan een begeleide route kan Readynez gebruiken als onderdeel van die voorbereiding, zolang oefenen in Azure en het analyseren van scenario’s centraal blijven staan.