AZ-204 认证考试核心考点与答题技巧：从虚拟机迁移到 Key Vault 权限

简介面向备考微软 AZ-204 Azure 开发人员认证的考生这份 2022 年题库以 PDF 形式整理了认证考试的核心考点与真题演练覆盖 Azure 资源管理、虚拟机迁移、ARM 模板部署、Key Vault 安全存储密码、AKS 容器部署、监控与身份访问管理等关键领域适合处于冲刺阶段、需要熟悉题型与解题思路的中级开发者。资源包共 1 个 PDF 文件约 221KB轻量便携便于在电脑或移动设备上随时翻阅。内容以 Topic 与 Question 编号组织每题附选项、正确答案及官方文档参考链接并保留社区投票分布与考生讨论帮助读者理解答案依据而非死记结论。目前已有 341 人学习下载可配合 Azure PowerShell、CLI 与门户实操对照练习用于查漏补缺、强化薄弱知识点提升应试与实战能力。1. 先看清 AZ-204 到底考什么从一道“迁移虚拟机”题说起AZ-204 的题面有个很坑的特点它不问你“这个服务叫什么”而是把你扔进一个具体操作场景问你“下一步该点哪个”。比如题库第一题两台 Hyper-V 主机、一台用 ARM 模板部署的 VM要把它从 Host1 挪到 Host2选项里摆着 Update management、改订阅、Redeploy、改 usage location。很多人第一反应是“迁移嘛肯定换订阅或者换主机”结果翻车——正确答案是 Redeploy因为重新部署会把 VM 挪到 Azure 基础设施里的新节点并保留全部配置。这类题考的不是记忆是你对“每个刀片到底干什么”的边界感。这场考试面向的是用 Azure 开发、部署、维护解决方案的人核心盘在计算、存储、身份与访问、监控、资源管理几块。拿分逻辑很直接题干给场景选项给动作你要判断哪个动作真正解决了问题、且没有副作用。适合已经上手过 Azure 门户、写过 ARM 模板、碰过 AKS 和 Key Vault 的备考者零基础硬背题库遇到变形题就露馅。下面按考点模块拆每块都配真题和答题思路能直接拿去练。2. 计算与部署考点VM 重部署、AKS 清单、容器命令三件套计算这块是 AZ-204 的高频区题库前四题全落在这里。它的出题套路是“给你一个看似合理的操作问它是否达成目标”答案往往取决于命令或刀片是否真的作用在目标资源上。备考时别只记答案字母要记“这个动作做了什么、没做什么”。2.1 VM 迁移题为什么答案是 Redeploy 而不是换订阅题干里 VM1 是用自定义 ARM 模板部署的要从 Host1 移到 Host2。四个选项分别对应四种完全不同的语义Update management 是打补丁的改订阅是换计费归属Redeploy 是把 VM 重新分配到新节点改 usage location 是管许可证地理位置的。只有 Redeploy 会触发“在 Azure 基础设施内换节点并重新开机”同时保留配置和关联资源。答题时抓两个关键词一是“同一订阅内换物理节点”二是“保留配置”。只要题干出现“硬件/节点/主机层面出问题想换个地方跑但不想重建”基本锁定 Redeploy。反过来如果题干说“要换计费或隔离资源”才轮到订阅或资源组操作。这类题面试官最想听的是你能说清“Redeploy 不会动你的磁盘和网络配置它只是重新调度”而不是背一个 C。提示Redeploy 常用于解决 VM 连不上、宿主机异常这类“玄学”故障但它不是迁移到指定主机的工具——你无法指定目标 Host2只能让平台重新调度。题干写 Host2 只是干扰项。2.2 ARM 模板密码题Key Vault 访问策略的固定搭配第二题是拖拽题模板要部署多台 VM密码不能明文问你创建什么组件。标准答案是 Key Vault 存 secret再配 Access Policy 授权模板/部署身份读取。这里考的是“敏感信息不落模板”的原则模板里只放 Key Vault 的引用比如Microsoft.KeyVault/vaults/secrets的 URI 或参数引用真实密码存在 secret 里。答题思路分三层第一层密码属于 secret归 Key Vault 管第二层模板部署时需要有权读这个 secret靠访问策略或 RBAC 授权第三层模板参数用reference指向 Key Vault而不是写死字符串。面试里被追问“为什么不用 App Settings 或变量组”你要答那些地方仍是配置明文或半明文Key Vault 才有审计、轮换和细粒度授权。{ parameters: { adminPassword: { reference: { keyVault: { id: /subscriptions/sub-id/resourceGroups/rg/providers/Microsoft.KeyVault/vaults/kv-name }, secretName: vmAdminPassword } } } }这段模板参数的关键在reference块它告诉 ARM 部署时去指定 Key Vault 取vmAdminPassword这个 secret模板文件本身不含密码。keyVault.id要写完整资源 IDsecretName与 Key Vault 里的 secret 名一致。失败时先看两点部署身份有没有该 secret 的 get 权限以及 Key Vault 的网络规则是否放行了部署来源。很多人只配了 Access Policy 却忘了 secret 权限里要勾 Get部署直接报无权读取。2.3 AKS 部署题kubectl apply 与 docker run 的本质区别第三、四题是一对镜像题。第三题说装了 Azure CLI 后跑kubectl apply -f myapp.yaml问是否达成部署 YAML 清单的目标第四题说装 docker 客户端跑docker run -it microsoft/azure-cli:...问是否达成。答案分别是 Yes 和 No。核心判断标准只有一个这个命令是不是在跟 Kubernetes API 交互。kubectl apply -f解析清单文件并把配置提交给集群是标准部署动作docker run只是启动一个容器哪怕容器里是 Azure CLI 镜像也没有对 AKS 集群执行任何部署。题库评论区吵得凶有人说 Azure CLI 不含 kubectl、要az aks install-cli这属于把“工具是否预装”和“命令语义是否正确”混为一谈。考试问的是“这个 solution 是否达成 goal”只要命令本身是部署清单的正确手段环境准备属于前置条件不改变答案。# 正确把清单提交给当前 kubeconfig 指向的集群 kubectl apply -f myapp.yaml # 错误示范只是跑起一个 CLI 容器没有部署任何东西 docker run -it microsoft/azure-cli:0.10.17第一行命令依赖本机 kubeconfig 已指向目标 AKS 集群通常由az aks get-credentials生成-f指定清单路径。第二行即使容器里能敲 az 命令也没有 apply 动作。答题时遇到“solution 是否满足”的判断题先问自己这个动作的最终作用对象是不是目标资源是选 Yes只是准备了工具或环境选 No。3. 身份、安全与资源配置考点从 Key Vault 权限到资源组边界AZ-204 的安全题不爱考概念定义爱考“谁能读、谁不能读、授权加在哪一层”。身份与访问管理和资源配置经常混在同一道题里因为 Key Vault、托管标识、资源组边界本来就是一套治理体系。这一章把高频的授权与边界题拆开讲。3.1 托管标识与访问策略别把两种授权模型搞混Key Vault 有两种授权模型Vault access policy 和 Azure RBAC。老题库里大量出现“创建访问策略允许访问 secret”这是 access policy 模型新题可能问“用托管标识读 secret 要配什么”答案会落到给托管标识授予 Key Vault 的 RBAC 角色或在 access policy 里加该标识的 Get 权限。答题时先看题干用的是哪种模型别把 RBAC 角色名往 access policy 里塞。典型问法“应用部署在 App Service需要用托管标识读取 Key Vault 中的连接字符串最少权限怎么给”思路是启用系统分配托管标识 → 在 Key Vault 授权层给该标识 secret 的 get 权限access policy 模型或授予 Key Vault Secrets User 角色RBAC 模型→ 应用代码用DefaultAzureCredential或托管标识端点取 secret。面试官想听的是“不给应用存凭据让平台身份去换 token”而不是“把连接字符串写进配置”。3.2 资源组与订阅边界移动资源的限制条件资源配置题常考“能不能移动、移动后什么会变”。资源组是生命周期和权限边界订阅是计费和配额边界。把资源从一个资源组移到另一个资源 ID 会变依赖它的角色分配、锁、某些诊断设置可能失效跨订阅移动还受资源类型支持列表限制。题干如果问“移动 VM 到另一订阅后原角色分配还有效吗”答案通常是否定的因为作用域变了。答题模板可以固定成三句先判断资源类型是否支持移动再判断目标作用域是否满足依赖比如目标订阅要有对应资源提供程序注册最后提醒移动后要复核 RBAC、锁和监控配置。这类题不要求你背全支持列表但要求你知道“移动不是复制ID 和作用域会变依赖要重建”。3.3 真题演练一道“是否达成目标”的授权判断题假设题干某应用需要从 Key Vault 读取 secret方案是“给应用的托管标识在 Key Vault 的 access policy 中勾选 List 权限”问是否达成读取目标。答题思路List 只能列 secret 名称不能读值读值需要 Get。所以答案是 No。这类题的错误选项往往给一个“看起来相关但动作不对”的权限比如只给 List、只给 Delete、或把权限加在错误的作用域上。注意权限题先分清“操作对象”和“操作动作”。对象是 secret、key 还是 certificate动作是 get、list、set 还是 delete两个维度都对上才算达成目标。4. 易错点集中营这五类题最容易把会做的人带沟里题库刷多了会发现丢分往往不是因为不会而是因为题干里埋了语义陷阱。下面五类是按错误率排的每条按“错在哪、为什么错、怎么答对”拆。第一类把“重新部署”当成“迁移到指定主机”。错在以为 Redeploy 能选目标 Host2实际它只让平台重新调度不指定节点。为什么错把“换节点”理解成“换到你指定的节点”。怎么答对看到“同一订阅内、保留配置、换基础设施节点”选 Redeploy看到“指定目标主机”则要意识到平台不提供该能力题干多半在考你是否知道这个限制。第二类把“装了工具”当成“执行了操作”。AKS 那对题里有人因为 Azure CLI 默认不带 kubectl 就选 No。错在把环境前置条件当成 solution 是否达成的判断依据。为什么错题目问的是这个方案动作是否完成部署不是问环境是否开箱即用。怎么答对盯住命令的最终作用对象kubectl apply作用在集群上就是 Yesdocker run作用在本地容器上就是 No。第三类Key Vault 权限只给 List 不给 Get。错在把“能看到 secret 列表”当成“能读取 secret 值”。为什么错List 和 Get 是两个独立权限很多人扫一眼“有权限”就选了。怎么答对读值必须 Get列名才用 List配置里两个都要按需勾。第四类模板里用参数默认值存密码。错在以为“参数化了就不算明文”。为什么错默认值仍写在模板文件里随代码库泄露。怎么答对敏感值一律走 Key Vault reference模板里不出现真实密码连默认值都不给。第五类移动资源后假设角色分配自动跟随。错在以为资源 ID 变了权限还在。为什么错RBAC 作用域绑的是资源 ID 或资源组移动后旧作用域失效。怎么答对移动后复核角色分配、资源锁和诊断设置必要时在新作用域重建。5. 考场答题节奏一套能直接套用的三步判断法到了考场题干长、选项像、时间紧靠临场推理容易乱。我习惯把每道场景题压成三步第一步定作用对象第二步定动作语义第三步查副作用。这三步走完大部分“是否达成目标”和“选哪个操作”的题都能收敛。步骤要问的问题典型落点定对象这个操作最终作用在 VM、集群、Key Vault 还是订阅上作用对象错直接排除定动作这个命令/刀片是读、写、部署还是调度apply 是部署run 是起容器Redeploy 是调度查副作用会不会改 ID、丢权限、动配置移动资源要复核 RBAC 和锁拿题库里的题套一遍VM 迁移题对象是 VM动作是调度副作用是保留配置锁定 RedeployAKS 题对象是集群动作是提交清单kubectl apply命中docker run出局Key Vault 题对象是 secret动作是读值权限必须是 Get。三步里任何一步对不上选项就不可选。再补一个押题方向AZ-204 近年的场景题越来越爱把“安全”和“部署”缝在一起比如“用托管标识从 Key Vault 取密码注入 ARM 模板部署 VM”“AKS 用 workload identity 拉取 secret”。遇到这种复合题先拆成两个子问题分别判断再合起来看依赖顺序——通常是先授权、再引用、最后部署。别一上来就选最长的那个选项长选项经常是把你绕进去的。血泪经验是题库里的社区投票只能当参考评论区吵翻天的题恰恰是语义陷阱最密的地方。我后来每次刷到争议题都强制走一遍“对象—动作—副作用”把每个错误选项为什么错写一行而不是只记正确字母。这样遇到变形题判断依据还在。希望帮到你把这份题库当练语义的素材而不是背答案的清单上岸会稳很多。本文还有配套的精品资源点击获取