Heutiges Quiz

Ein Wartungsclient soll mit einem einzigen SAS-Token Service-Eigenschaften über Get Service Properties sowohl für Blob Storage als auch für Queue Storage desselben Kontos lesen. Welcher der folgenden Vorschläge deckt diese Anforderungen ab?

CloudStorage-SAS-GeltungsbereicheMittel

Wähle eine Antwort.

Ein Account SAS mit Blob und Queue als Diensten, Service als Ressourcentyp und den nötigen Leserechten.
Ein Service SAS, das nur auf einen Blob-Container begrenzt ist.
Ein User Delegation SAS, das nur einen einzelnen Blob zum Lesen freigibt.
Zwei getrennte Service-SAS-Tokens, jeweils auf einen Container beziehungsweise eine Queue begrenzt.

Eine Webanwendung auf einem Azure-App-Service-Plan stößt an die verfügbare Arbeitsspeichergrenze ihrer einzelnen Instanz. Das Team benötigt mehr RAM pro Instanz und will zunächst keine zusätzlichen Instanzen einsetzen. Welche Maßnahme passt dazu?

CloudApp-Service-SkalierungEinfach

Wähle eine Antwort.

Die Instanzanzahl desselben Plans erhöhen: Scale out.
Nur die zugehörige Azure-SQL-Datenbank auf eine größere Stufe wechseln.
Den App-Service-Plan auf eine passende größere Stufe mit mehr RAM pro Instanz skalieren: Scale up.
Eine Autoscale-Regel einrichten, die bei hoher Last die Instanzanzahl erhöht.

Ein Team muss unveränderbare Beweisdokumente in Azure Blob Storage aufbewahren, bis ein Verfahren abgeschlossen ist. Das Ende ist noch nicht bekannt; eine feste Anzahl von Aufbewahrungstagen ist nicht festgelegt. Welche Funktion passt unmittelbar zu dieser unbefristeten rechtlichen Aufbewahrung?

CloudUnveränderbarer Blob-SpeicherMittel

Wähle eine Antwort.

Blob-Soft-Delete mit einer festgelegten Anzahl von Tagen.
Eine Lifecycle-Regel, die ältere Blobs automatisch löscht.
Ein Legal Hold für die betroffenen Blob-Daten.
Ein manuell erstellter Snapshot ohne Unveränderbarkeitsrichtlinie.

Eine Anwendung überschreibt regelmäßig Blockblobs in einem Azure-Storage-Konto ohne hierarchischen Namespace. Frühere Zustände sollen ohne eigens programmierte Sicherung als einzeln adressierbare Versionen erhalten bleiben, bis das Team sie ausdrücklich löscht; es sind keine Lifecycle-Löschregeln vorgesehen. Welche Funktion passt dazu?

CloudBlob-VersionierungEinfach

Wähle eine Antwort.

Manuell erzeugte Blob-Snapshots, ohne Änderungen an der Anwendung.
Blob-Versionierung auf dem Storage-Konto aktivieren.
Nur die Standardzugriffsebene des Kontos ändern.
Nur Blob-Soft-Delete mit 365 Tagen Aufbewahrungsfrist aktivieren.

Ein Team nutzt ein monatliches Azure-Cost-Management-Budget. Es möchte eine Warnung erhalten, wenn die prognostizierten Gesamtkosten für den Monat das Budget voraussichtlich überschreiten, obwohl die bisher angefallenen Kosten noch darunter liegen. Welche Einstellung passt dazu?

CloudAzure-KostenprognosenMittel

Wähle eine Antwort.

Nur eine Warnung auf Basis tatsächlicher Kosten bei 100 Prozent konfigurieren.
Eine Budgetwarnung auf Basis prognostizierter Kosten bei 100 Prozent konfigurieren.
Das Budget erhöhen; dadurch entsteht automatisch eine Prognosewarnung bei jeder Kostenzunahme.
Einen CostCenter-Tag an die Ressourcengruppe hängen; dieser erzeugt selbstständig die gewünschte Warnung.

Ein Team möchte eine Azure Function als eigenes Linux-Containerimage mit zusätzlichen nativen Bibliotheken betreiben. Welche der folgenden Hostingoptionen unterstützen dieses Bereitstellungsmodell? Wähle alle zutreffenden Antworten.

CloudFunctions-HostingMittel

Wähle alle zutreffenden Antworten.

Ein Azure Functions Elastic Premium Plan auf Linux.
Ein Dedicated App Service Plan auf Linux.
Azure Functions Flex Consumption, das eigenes Containerhosting unterstützt.
Azure Container Apps für containerisierte Azure Functions.

Eine Azure Function mit Storage-Queue-Trigger verarbeitet Nachrichten aus orders. Die unterstützte Queue-Erweiterung verwendet den unveränderten Standardwert maxDequeueCount. Eine bestimmte Nachricht schlägt bei jedem Verarbeitungsversuch fehl; der Functions-Host bleibt dabei funktionsfähig. Wie behandelt der Standardmechanismus diese Nachricht?

CloudFunctions-Queue-TriggerMittel

Wähle eine Antwort.

Nach insgesamt sechs fehlgeschlagenen Versuchen landet sie in orders-poison.
Nach insgesamt fünf fehlgeschlagenen Versuchen einschließlich des ersten landet sie in orders-poison.
Bereits nach dem ersten Fehler landet sie in der Service-Bus-Dead-Letter-Queue $DeadLetterQueue.
Sie wird unabhängig von der Anzahl der Fehler unbegrenzt erneut verarbeitet.

Für ein Storage-Konto ohne hierarchischen Namespace sind Versionierung und Blob-Soft-Delete aktiviert. Ein Blockblob wurde ohne Angabe einer Versions-ID gelöscht. Danach wurde auch die gewünschte vorherige Version explizit gelöscht. Beide Vorgänge liegen innerhalb der Soft-Delete-Frist. Welche Abfolge stellt diese Version wieder als aktuellen Blob bereit?

CloudBlob-WiederherstellungSchwer

Wähle eine Antwort.

Undelete Blob aufrufen und anschließend die gewünschte wiederhergestellte Version zur aktuellen Version machen.
Nur Undelete Blob aufrufen; das macht automatisch die älteste Version zum aktuellen Blob.
Die Versionierung deaktivieren; dadurch wird die zuletzt gelöschte Version automatisch zum aktuellen Blob.
Die Soft-Delete-Frist verlängern; dadurch erscheint die gelöschte Version automatisch als aktueller Blob.

Eine aktivierte Lifecycle-Regel in einem Standard-GPv2-Konto ohne hierarchischen Namespace filtert auf Blockblobs, das Präfix reports/2026/raw/ und den Blob-Index-Tag Project=Contoso. Sie verschiebt passende aktuelle Blobs nach 90 Tagen ohne Änderung in die Cool-Ebene. Alle folgenden Blobs sind 120 Tage unverändert und liegen in Hot; es gibt keine weiteren Regeln oder Einschränkungen. Bei welchen Blobs greift die Regel? Die Pfade enthalten jeweils den Containernamen. Wähle alle zutreffenden Antworten.

CloudBlob-Lifecycle-RegelnSchwer

Wähle alle zutreffenden Antworten.

reports/2026/raw/januar.csv, Blockblob, Project=Contoso.
reports/2026/Raw/januar.csv, Blockblob, Project=Contoso.
reports/2026/raw/februar.csv, Blockblob, Project=Fabrikam.
reports/2026/raw/archiv/maerz.csv, Blockblob, Project=Contoso.

Eine Azure Management Group Produktion enthält zwei untergeordnete Management Groups mit mehreren Subscriptions. Eine Initiative mit verbindlichen Ressourcenstandards soll für die gesamte Produktionshierarchie gelten. Es werden keine Ausnahmen konfiguriert. Wo sollte das Team die Initiative einmalig zuweisen?

CloudManagement-GruppenEinfach

Wähle eine Antwort.

An eine einzelne Ressourcengruppe in nur einer Produktions-Subscription.
An ein CostCenter-Tag; gleiche Tag-Werte bilden automatisch einen Policy-Geltungsbereich.
An eine benachbarte Management Group, die nicht über Produktion liegt.
An die Management Group Produktion.

In einer Ressourcengruppe existieren bereits Ressourcen ohne CostCenter-Tag. Anschließend wird eine deny-Policy zugewiesen, die diesen Tag für die betreffenden Ressourcentypen verlangt. Es sind weder Remediation noch zusätzliche Automatisierungen eingerichtet. Was bewirkt die nächste Compliance-Auswertung für die vorhandenen Ressourcen ohne Tag?

CloudAzure-Policy-BestandMittel

Wähle eine Antwort.

Sie meldet die Ressourcen als nicht konform, löscht sie aber nicht und ergänzt keinen Tag.
Sie löscht die Ressourcen automatisch, damit die Ressourcengruppe wieder konform ist.
Sie verschiebt die Ressourcen automatisch in eine Ressourcengruppe ohne die Policy.
Sie ergänzt automatisch den CostCenter-Tag mit einem Standardwert.

Ein Entwickler darf laut Azure RBAC Ressourcen in einer Ressourcengruppe erstellen. Eine dort wirksame Azure-Policy-Zuweisung mit deny verbietet jedoch Ressourcen ohne CostCenter-Tag. Der Entwickler versucht, über Azure Resource Manager eine vom Policy-Filter erfasste Ressource ohne diesen Tag anzulegen. Was passiert ohne Ausnahme?

CloudAzure-Policy-DurchsetzungEinfach

Wähle eine Antwort.

Azure RBAC hat Vorrang; die Ressource wird unverändert erstellt.
Die Ressource wird erstellt, und deny ergänzt automatisch einen CostCenter-Wert.
Azure Policy blockiert die Erstellung trotz der vorhandenen RBAC-Berechtigung.
Die Ressource wird erstellt, und deny entzieht danach die RBAC-Rolle des Entwicklers.

Eine neu zugewiesene Azure Policy mit modify soll das Tag CostCenter aus der Ressourcengruppe auf unterstützte Ressourcen übertragen. Die vorhandenen Ressourcen ohne Tag werden als nicht konform gemeldet. Das Team möchte genau diese Bestandsressourcen korrigieren, ohne jede einzeln neu bereitzustellen. Welche Maßnahmen gehören dazu? Wähle alle zutreffenden Antworten.

CloudAzure-Policy-RemediationSchwer

Wähle alle zutreffenden Antworten.

Für die Zuweisung eine verwaltete Identität mit den zur Änderung erforderlichen Rollen sicherstellen.
Nur eine erneute Compliance-Auswertung abwarten; diese schreibt fehlende Tags automatisch.
modify durch audit ersetzen; audit schreibt die fehlenden Tag-Werte in den Bestand.
Eine Remediation Task für die Zuweisung und die betroffenen Bestandsressourcen ausführen.

Eine Ressource in West Europe wird mit einer unterstützten Azure-Resource-Manager-Move-Operation innerhalb derselben Subscription in eine andere Ressourcengruppe verschoben. Die Zielressourcengruppe hat North Europe als Standort für ihre Metadaten. Welche Aussage trifft zu?

CloudAzure-RessourcenverschiebungMittel

Wähle eine Antwort.

Die Ressource zieht automatisch physisch nach North Europe um und behält ihre Ressourcen-ID.
Die Ressource bleibt in West Europe, und ihre Ressourcen-ID ändert sich wegen des neuen Ressourcengruppennamens.
Die Ressource bleibt in West Europe, und ihre Ressourcen-ID bleibt trotz anderer Ressourcengruppe identisch.
Die Ressource zieht physisch nach North Europe um, weil alle Ressourcen den Standort ihrer Ressourcengruppe übernehmen.

Ein Dienst soll einen zeitlich begrenzten Lesezugriff auf einen einzelnen Blob per SAS ausgeben. Der ausstellende Dienst besitzt die nötigen Microsoft-Entra-Berechtigungen, darf aber keinen Storage-Kontoschlüssel verwenden. Welcher SAS-Typ ist dafür geeignet?

CloudStorage-SASMittel

Wähle eine Antwort.

Ein Service SAS, dessen Signatur mit dem Storage-Kontoschlüssel erstellt wird.
Ein Account SAS, dessen Signatur mit dem Storage-Kontoschlüssel erstellt wird.
Ein User Delegation SAS, signiert mit einem über Microsoft Entra erhaltenen Delegierungsschlüssel.
Ein Ad-hoc-Service-SAS; das Weglassen einer Stored Access Policy ersetzt den Signaturschlüssel.

Ein Blob-Download-Dienst hat mehrere Service-SAS-Tokens ausgegeben, die auf dieselbe Stored Access Policy im Container verweisen. Ein Administrator soll diese Zugriffe zentral widerrufen, ohne den Storage-Kontoschlüssel zu rotieren. Welche Aussagen dazu stimmen? Wähle alle zutreffenden Antworten.

CloudSAS-WiderrufSchwer

Wähle alle zutreffenden Antworten.

Die gleiche Stored Access Policy kann auch bereits ausgegebene Account-SAS-Tokens zentral widerrufen.
Das Löschen der referenzierten Stored Access Policy widerruft die daran gebundenen Service-SAS-Zugriffe.
Das Entfernen der Policy-ID aus einer lokal gespeicherten Kopie eines Tokens widerruft alle bereits verteilten Originaltokens.
Das Setzen der Ablaufzeit der Policy in die Vergangenheit lässt die daran gebundenen Service-SAS-Zugriffe ablaufen.

Ein Storage-Konto ohne hierarchischen Namespace hat Blob-Soft-Delete mit sieben Tagen Aufbewahrung, aber keine Versionierung. Gestern wurde nur die Metadaten-Eigenschaft eines aktiven Blobs geändert; sein Inhalt blieb unverändert. Warum lässt sich der frühere Metadatenwert nicht aus einem automatisch erzeugten Soft-Delete-Snapshot zurückholen?

CloudBlob-DatenschutzMittel

Wähle eine Antwort.

Blob-Soft-Delete legt Sicherungen ausschließlich beim Löschen eines Containers an.
Die Aufbewahrungsfrist beginnt beim Anlegen des Blobs und ist für ältere Blobs abgelaufen.
Undelete Blob kann grundsätzlich keine Snapshots wiederherstellen.
Eine reine Änderung von Blob-Metadaten erzeugt keinen Soft-Delete-Snapshot.

Ein selbst geschriebener Worker ruft eine noch gültige Nachricht mit Get Messages aus Azure Queue Storage ab. Er beendet sich vor der Verarbeitung und ruft weder Delete Message noch Update Message auf. Was ist nach Ablauf des Visibility Timeouts zu erwarten, solange die Nachricht nicht abgelaufen ist? Es gibt keine zusätzliche Poison-Queue-Logik.

CloudStorage-Queue-VerarbeitungEinfach

Wähle eine Antwort.

Get Messages hat die Nachricht bereits endgültig gelöscht.
Die Nachricht bleibt bis zum Aufruf von Delete Message dauerhaft unsichtbar.
Queue Storage verschiebt die Nachricht automatisch in eine Dead-Letter-Queue.
Die Nachricht wird wieder für einen Abruf verfügbar.

Ein Team führt CostCenter-Tags für Azure-Ressourcen ein und möchte außerdem Zugangsdaten als Tags hinterlegen. Welche Aussagen sind für die Umsetzung korrekt? Wähle alle zutreffenden Antworten.

CloudAzure-TaggingMittel

Wähle alle zutreffenden Antworten.

Ein Tag an einer Ressourcengruppe wird ohne weitere Konfiguration automatisch an alle enthaltenen Ressourcen vererbt.
Azure-Tags sind im Klartext gespeichert und sollten keine Zugangsdaten enthalten.
Für Ressourcentypen mit Tag-Unterstützung lässt sich die Übernahme eines Ressourcengruppen-Tags mit einer passenden Azure-Policy-modify-Regel umsetzen.
Management Groups können wie Ressourcengruppen mit Azure-Ressourcentags versehen werden.

Ein Workflow hat ausschließlich on.push mit branches: [main] und paths: ["infra/**"]. Ein kleiner Push auf feature/network ändert nur infra/main.tf; Diff-Limits und weitere Trigger spielen keine Rolle. Was passiert?

DevOpsBranch- und PfadfilterMittel

Wähle eine Antwort.

Der Workflow startet, weil mindestens einer der beiden Filter passt.
Der Workflow startet automatisch auf main statt auf feature/network.
Der Workflow startet, weil der Pfadfilter den Branchfilter überschreibt.
Der Workflow startet nicht, weil beide Filter erfüllt sein müssen.

Mehrere Workflows sollen dieselben drei Setup-Schritte wiederverwenden. Die Schritte müssen im bereits gewählten Job und auf dessen Runner laufen; davor und danach bleiben weitere Schritte möglich. Welche Abstraktion passt direkt?

DevOpsComposite ActionsEinfach

Wähle eine Antwort.

Ein zusätzlicher schedule-Eintrag.
Eine neue Job-Abhängigkeit mit needs.
Ein wiederverwendbarer Workflow, der als zusätzlicher Job mit uses aufgerufen wird.
Eine Composite Action, die als uses-Schritt eingebunden wird.

Ein Ubuntu-Runner führt einen Job in einem Linux-Container aus, in dessen Image Bash installiert ist. Ein run-Skript verwendet Bash-Arrays. Weder defaults.run.shell noch die Schritt-Shell wurden festgelegt. Welche Anpassung wählt für diesen Schritt ausdrücklich die erforderliche Shell?

DevOpsShell in Job-ContainernMittel

Wähle eine Antwort.

runs-on auf ubuntu-latest setzen, obwohl dieser Wert bereits verwendet wird.
Dem run-Schritt shell: bash hinzufügen.
Nur env.SHELL: /bin/bash setzen, ohne shell festzulegen.
Bash nur auf dem Host-Runner installieren, ohne die Shell im Job-Container auszuwählen.

In einem Ubuntu-Job berechnet ein run-Schritt die Versionsnummer 1.2.3. Ein späterer run-Schritt desselben Jobs soll RELEASE_VERSION als Umgebungsvariable erhalten. Welche Zeile stellt dies über den dokumentierten GitHub-Actions-Mechanismus bereit?

DevOpsVariablen zwischen SchrittenEinfach

Wähle eine Antwort.

echo "RELEASE_VERSION=1.2.3" >> "$GITHUB_OUTPUT"
export RELEASE_VERSION=1.2.3, ohne weitere Speicherung.
echo "RELEASE_VERSION=1.2.3" >> "$GITHUB_STEP_SUMMARY"
echo "RELEASE_VERSION=1.2.3" >> "$GITHUB_ENV"

Ein Workflow setzt env.MODE auf workflow, ein Job setzt env.MODE auf job und nur dessen erster Schritt setzt env.MODE auf step. Kein Schritt schreibt in GITHUB_ENV. Die Schritte lesen MODE aus ihrer Umgebung. Wähle alle zutreffenden Antworten.

DevOpsGeltungsbereiche von envMittel

Wähle alle zutreffenden Antworten.

Der erste Schritt liest workflow, weil Workflow-Variablen immer höchste Priorität haben.
Der erste Schritt liest step.
Der zweite Schritt ohne eigene MODE-Zuweisung liest job.
Der zweite Schritt liest step, weil der erste Schritt den Jobwert dauerhaft überschrieben hat.

Ein Workflow enthält uses: ./.github/actions/check-config und soll genau diese relative Referenz behalten. Die Action-Dateien liegen nur im Repository; der frische GitHub-gehostete Runner hat noch keinen Checkout erhalten. Was muss vor diesem Schritt bereitgestellt werden?

DevOpsLokale Actions aus dem WorkspaceMittel

Wähle eine Antwort.

Ein Checkout des Repositories in den Workspace, sodass der relative Action-Pfad vorhanden ist.
Nur defaults.run.working-directory auf den Action-Pfad setzen, ohne Dateien herunterzuladen.
Nur der uses-Referenz @main anhängen; der lokale ./-Pfad lädt damit das Repository automatisch.
Nur action.yml im Repository in action.yaml umbenennen, ohne einen Checkout auszuführen.

Ein Workflow hat nur on.push.paths mit diesen Mustern in dieser Reihenfolge: "infra/**", "!infra/docs/**", "infra/docs/runbook.md". Ein kleiner Push ändert ausschließlich infra/docs/runbook.md; keine Diff-Limits oder weiteren Filter greifen. Welches Ergebnis folgt?

DevOpsReihenfolge von PfadmusternSchwer

Wähle eine Antwort.

Der Workflow startet nicht, weil ein negatives Muster endgültig ausschließt.
Der Workflow startet, weil das letzte positive Muster den zuvor ausgeschlossenen Pfad wieder einschließt.
Der Workflow startet nicht, weil paths nur Verzeichnisse und keine Einzeldateien unterstützt.
Die Konfiguration ist ungültig, weil positive Muster nie nach negativen stehen dürfen.

Repository app ruft einen wiederverwendbaren Workflow aus Repository ci-library auf. Dieser führt actions/checkout ohne repository-Override aus. Welcher Inhalt wird dabei ausgecheckt?

DevOpsRepository im wiederverwendbaren WorkflowMittel

Wähle eine Antwort.

Das Repository app, das den aufrufenden Workflow enthält.
Immer ci-library, weil dort der ausgeführte Workflow gespeichert ist.
Beide Repositorys automatisch in zwei Unterverzeichnisse.
Nur die YAML-Datei des wiederverwendbaren Workflows.

Ein zentraler Build-Workflow deklariert unter workflow_call die Eingabe replicas als number und dry_run als boolean. Die Aufrufer sollen den dokumentierten Eingabevertrag erfüllen. Wähle alle zutreffenden Antworten.

DevOpsTypisierte Workflow-EingabenMittel

Wähle alle zutreffenden Antworten.

Der aufrufende Job übergibt die Eingaben unter with.
Für workflow_call-Eingaben sind boolean, number und string dokumentierte Typen.
Der Aufrufer darf eine nicht deklarierte Eingabe region zusätzlich übergeben; sie wird stillschweigend ignoriert.
replicas kann ohne Typabgleich als beliebiges YAML-Objekt übergeben werden.

Ein GitHub-Actions-Job läuft auf einem Ubuntu-Runner in einem Job-Container. Im selben Job ist ein Redis-Service mit dem Schlüssel redis definiert; Redis lauscht auf Port 6379. Es gibt keine Host-Port-Zuordnung. Welche Adresse nutzt der Test im Job-Container?

DevOpsIntegrationstests im Job-ContainerEinfach

Wähle eine Antwort.

redis:6379.
localhost:6379, weil localhost automatisch alle Service-Container zusammenfasst.
Die öffentliche IP-Adresse des GitHub-Runners mit Port 6379.
localhost:${{ job.services.redis.ports[6379] }}, obwohl kein Host-Port veröffentlicht wurde.

Ein Job läuft direkt auf ubuntu-latest, nicht in einem Job-Container. Der PostgreSQL-Service heißt db und veröffentlicht mit ports: [5432] seinen Container-Port auf einen zufälligen freien Host-Port. Welcher Endpunkt ist für den Test auf dem Runner dokumentiert?

DevOpsDynamisch veröffentlichte Service-PortsSchwer

Wähle eine Antwort.

db:5432, unabhängig davon, ob der Test im Docker-Netz läuft.
localhost:5432, weil ein einzelner Portwert immer denselben Host-Port erzwingt.
localhost:${{ job.services.db.ports[5432] }}.
localhost:${{ job.services.db.id }}.

Ein CI-Job soll ein wiederverwendbares Terraform-Modul statisch auf Syntax und interne Konsistenz prüfen, ohne das konfigurierte Remote-Backend zu initialisieren. Provider und externe Module dürfen heruntergeladen werden. Wähle alle zutreffenden Antworten.

DevOpsTerraform-Modulprüfung ohne BackendMittel

Wähle alle zutreffenden Antworten.

terraform init -backend=false kann die für validate benötigten Abhängigkeiten installieren, ohne das Backend zu initialisieren.
terraform validate prüft dabei erfolgreiches Anmelden und Erreichbarkeit aller produktiven Provider-APIs.
Ein erfolgreiches validate beweist, dass jedes spätere Deployment mit beliebigen Laufzeitwerten erfolgreich sein wird.
terraform validate ist für automatische Modulprüfungen in CI vorgesehen.

Ein CI-Skript verwendet terraform plan -detailed-exitcode. Terraform beendet einen fehlerfreien Plan mit Exitcode 2. Der Job soll geplante Änderungen zur Prüfung vorlegen und echte Planfehler gesondert behandeln. Wie ist genau dieser Exitcode einzuordnen?

DevOpsTerraform-Plan-Exitcodes in CISchwer

Wähle eine Antwort.

Als Syntaxfehler der Terraform-Konfiguration.
Als erfolgreich erstellter Plan mit geplanten Änderungen; nicht allein deshalb als Planfehler.
Als erfolgreich erstellter Plan ohne Änderungen.
Als Bestätigung, dass die Änderungen bereits angewendet wurden.

Ein Terraform-Projekt ab Version 0.14 hat eine gültige .terraform.lock.hcl mit einer ausgewählten azurerm-Provider-Version. Die Versionsconstraints passen weiterhin. Lokale Entwicklung und CI sollen dieselbe Provider-Auswahl verwenden. Wähle alle zutreffenden Antworten.

DevOpsReproduzierbare Provider-AuswahlMittel

Wähle alle zutreffenden Antworten.

Die Lockdatei sollte mit dem Projekt versioniert werden.
terraform init wählt bei vorhandener gültiger Auswahl grundsätzlich die neueste kompatible Provider-Version, auch ohne -upgrade.
terraform init verwendet ohne -upgrade die bereits gespeicherte Provider-Version erneut.
terraform init -upgrade kann die gespeicherte Auswahl durch eine neuere Version innerhalb der Constraints ersetzen.

Ein Deployment-Prozess hat terraform plan -out=tfplan ausgeführt und genau diesen gespeicherten Plan geprüft. Datei und Arbeitsumgebung stehen unverändert bereit; es gab keine zwischenzeitliche State-Änderung. Nun soll die Apply-Phase genau den gespeicherten Plan nutzen. Wähle alle zutreffenden Antworten.

DevOpsGeprüften Terraform-Plan anwendenSchwer

Wähle alle zutreffenden Antworten.

terraform apply -auto-approve ohne Planargument garantiert die Ausführung genau des zuvor gespeicherten Plans.
terraform apply tfplan führt die im gespeicherten Plan enthaltenen Operationen aus.
terraform apply -var="region=west" tfplan kann den gespeicherten Plan während Apply mit neuen Planungswerten verändern.
Bei terraform apply tfplan ist keine zusätzliche interaktive Planbestätigung vorgesehen; das Übergeben der Datei gilt als Zustimmung.

Ein Feature-Branch enthält mehrere experimentelle Commits und den unabhängigen Bugfix-Commit 8c12ab3. Auf release fehlt dieser nichtleere Fix. Du willst nur dessen Änderung als neuen Commit übernehmen, nicht die gesamte Feature-Historie. Die Arbeitskopie ist sauber, der Fix lässt sich konfliktfrei anwenden. Du stehst auf release. Was passt?

Git & GitHubGezielte Commit-ÜbernahmeMittel

Wähle eine Antwort.

git merge feature
git cherry-pick 8c12ab3
git cherry-pick --no-commit 8c12ab3
git merge --squash feature

build/ und seine Dateien sind noch nicht versioniert. Die einzige .gitignore liegt im Repository-Stamm und enthält zuerst build/ und danach !build/keep.txt. Du möchtest keep.txt ohne git add -f aufnehmen, alle anderen direkten Dateien unter build/ aber ignorieren. Welche Änderung ermöglicht dies? Es gibt keine weiteren wirksamen Ignore-Regeln.

Git & GitHubIgnore-Ausnahmen bei VerzeichnissenSchwer

Wähle eine Antwort.

Die erste Regel durch build/* ersetzen und !build/keep.txt danach beibehalten.
Die zwei vorhandenen Regeln nur in umgekehrter Reihenfolge schreiben.
build/ beibehalten und die zweite Regel durch !keep.txt ersetzen.
build/ beibehalten und !build/keep.txt ein zweites Mal anhängen.

In einer bereits versionierten Datei liegen zwei getrennte Änderungshunks: ein Bugfix und eine noch unfertige Erweiterung. Der Index ist unverändert. Welcher Befehl lässt dich interaktiv nur den Bugfix-Hunk für den nächsten Commit auswählen, ohne die Erweiterung aus der Arbeitsdatei zu entfernen?

Git & GitHubSelektives StagingEinfach

Wähle eine Antwort.

git add --refresh -- src/parser.js
git add --dry-run -- src/parser.js
git add --patch -- src/parser.js
git add --all -- src/parser.js

Ein GitHub-Pull-Request enthält fünf neue, nichtleere Commits. Das Repository erlaubt sowohl "Merge pull request" als auch "Squash and merge". Nach dem Merge soll auf main genau ein neuer Commit die zusammengefasste Änderung repräsentieren, nicht fünf einzelne Feature-Commits plus Merge-Commit. Welche Methode passt?

Git & GitHubPull-Request-MergehistorieMittel

Wähle eine Antwort.

Merge pull request, weil es die fünf Commits automatisch zu einem Commit umschreibt.
Rebase and merge, weil es sämtliche Feature-Commits automatisch zusammenfasst.
Merge pull request, weil sein Merge-Commit die fünf Feature-Commits aus der Historie entfernt.
Squash and merge, weil es die PR-Änderungen in einem neuen Commit auf dem Basisbranch bündelt.

Für main erzwingt eine GitHub-Branch-Protection erforderliche Statuschecks und "Require branches to be up to date before merging". Nach erfolgreichen Checks deines PRs wurde main durch einen anderen PR weiterentwickelt; dein Head-Branch ist nun nicht mehr aktuell. Du hast keine Bypass-Rechte und verwendest keine Merge Queue. Was ist für den regulären Merge erforderlich?

Git & GitHubGeschützte Branches und StatuschecksSchwer

Wähle eine Antwort.

Die alte erfolgreiche Prüfung genügt, weil der Head-Branch unverändert geblieben ist.
Eine zusätzliche Review-Freigabe ersetzt das Aktualisieren des Head-Branches.
Der Head-Branch muss den aktuellen Stand von main integrieren; die erforderlichen Checks müssen für den aktuellen zu prüfenden Stand wieder erfüllt sein.
Das Umbenennen des Head-Branches macht die bisherigen Checks wieder gültig.

Du möchtest einen Release mit einem annotierten Git-Tag markieren, der eine Nachricht und Tagger-Metadaten enthält. v2.0 ist noch frei, und automatische Tag-Signierung ist nicht konfiguriert. Wähle alle zutreffenden Antworten.

Git & GitHubRelease-TagsEinfach

Wähle alle zutreffenden Antworten.

Ein annotierter Tag enthält unter anderem Tagger, Erstellungsdatum und Nachricht.
Ein Lightweight-Tag enthält ebenfalls ein eigenes Tag-Objekt mit diesen Metadaten.
git tag -a v2.0 -m "Release 2.0" erzeugt einen annotierten Tag.
Jeder mit git tag -a erzeugte Tag ist automatisch kryptografisch signiert.

Dein lokaler Branch feature existiert bereits, ebenso die lokal bekannte Remote-Tracking-Referenz origin/feature. Du willst feature mit dieser Referenz als Upstream verknüpfen, ohne Dateien zu ändern oder einen Netzwerkzugriff auszuführen. Welcher Befehl ist dafür vorgesehen?

Git & GitHubUpstream und Remote-TrackingMittel

Wähle eine Antwort.

git branch --set-upstream-to=origin/feature feature
git branch -r
git branch --unset-upstream feature
git branch -vv

main ist bereits in deiner Hauptarbeitskopie ausgecheckt. Du möchtest im selben Repository eine zusätzliche verknüpfte Arbeitskopie für parallele Arbeit nutzen. Es werden keine --force-Optionen verwendet. Wähle alle zutreffenden Antworten.

Git & GitHubParallele Git-WorktreesMittel

Wähle alle zutreffenden Antworten.

Jeder verknüpfte Worktree erhält eine vollständige, unabhängige Kopie der Git-Objektdatenbank.
git worktree add ../zweite-kopie main darf main standardmäßig gleichzeitig ein zweites Mal auschecken.
Jeder Worktree besitzt einen eigenen Index und einen eigenen HEAD.
Mit --detach kann ein zusätzlicher Worktree einen Commit ohne ausgecheckten lokalen Branch verwenden.

Dein Terraform-Backend unterstützt Locking. Dein Apply kann den State-Lock nicht erwerben, weil ein Kollege nachweislich noch einen regulären Apply im selben State ausführt. Was ist die passende Vorgehensweise?

InfrastructureTerraform – aktiven state lock respektierenMittel

Wähle eine Antwort.

Den laufenden Apply abwarten und danach mit normalem Locking erneut versuchen.
Den Lock des Kollegen sofort mit force-unlock entfernen, während sein Apply weiterläuft.
Mit -lock=false parallel anwenden; Terraform führt die beiden Schreibvorgänge automatisch zusammen.
Eine lokale Kopie des States bearbeiten und nach dem parallelen Apply ungeprüft ins Backend schreiben.

Das Child-Modul ./modules/service deklariert variable "environment" ohne Default. Das Root-Modul ruft es als module "service" auf. Du willst genau diesem Aufruf den Wert "prod" übergeben. Wo gehört environment = "prod" hin?

InfrastructureTerraform – child module eingabeEinfach

Wähle eine Antwort.

Als Argument in den module-Block "service" des Root-Moduls.
Nur in einen beliebigen Root-output-Block; dieser setzt die Child-Variable automatisch.
Nur als gleichnamige Root-Variable; der Wert wird ohne Modulargument automatisch vererbt.
In required_providers des Child-Moduls; dort werden dessen Eingabewerte gesetzt.

Ein Terraform-Modulaufruf verwendet count = length(local.names) und name = local.names[count.index]. Zunächst ist names = ["api", "batch", "web"], danach ["batch", "web"]. Welche Zuordnung der konfigurierten Namen zu den verbleibenden count-Indizes gilt anschließend, ohne moved-Blöcke?

InfrastructureTerraform – count listenpositionenMittel

Wähle eine Antwort.

Index 0 bleibt "api", Index 1 bleibt "batch"; Terraform ignoriert die neue Liste.
Die Instanzen werden automatisch mit den String-Schlüsseln ["batch"] und ["web"] adressiert.
Index 0 erhält "web", Index 1 erhält "batch"; count sortiert die Liste absteigend.
Index 0 erhält "batch", Index 1 erhält "web"; count identifiziert nach Position statt nach bisherigem Namen.

Eine notwendige Attributänderung erzwingt laut Provider den Ersatz eines vorhandenen Objekts. Du erwägst lifecycle { create_before_destroy = true }. Welche Aussagen musst du bei der Umsetzung berücksichtigen? Wähle alle zutreffenden Antworten.

InfrastructureTerraform – create before destroy grenzenSchwer

Wähle alle zutreffenden Antworten.

Terraform hebt dadurch Namenseindeutigkeit und Anbieterquoten für das neue Objekt automatisch auf.
Terraform soll das Ersatzobjekt vor der Zerstörung des bisherigen Objekts erstellen.
Beide Objekte müssen zeitweise gleichzeitig existieren können; eindeutige Namen und andere Anbietergrenzen müssen dazu passen.
Die Regel garantiert allein, dass Anwendungsverkehr ohne Verbindungsabbrüche auf das neue Objekt umgeschaltet wird.

Du nutzt Terraform ab 1.5 mit einem gewöhnlichen import-Block und id, ohne Bulk-Abfrage und ohne Konfigurationsgenerierung. Der Provider unterstützt den Import des vorhandenen Objekts. Welche Angaben passen zum Import in eine bereits geschriebene resource-Deklaration? Wähle alle zutreffenden Antworten.

InfrastructureTerraform – deklarativer import voraussetzungenMittel

Wähle alle zutreffenden Antworten.

to nennt die Zieladresse der passenden resource-Instanz.
Ein einzelner import-Block entdeckt automatisch alle übrigen Objekte der Subscription und erzeugt deren resource-Blöcke.
id darf ausschließlich aus einer erst beim anschließenden Apply erzeugten, vorher unbekannten Ressourcen-ID stammen.
id enthält die vom Provider für diesen Ressourcentyp erwartete, schon beim Planen bekannte Kennung des vorhandenen Objekts.

Ein Terraform-Modul verwendet diese Eingabevariable: ``

hcl
variable "replicas" {
  type     = number
  nullable = false
  validation {
    condition     = var.replicas >= 1 && var.replicas <= 5
    error_message = "Erlaubt sind Werte von 1 bis 5."
  }
}

`` Die angegebenen Testwerte sind beim Planen bekannt. Welche Aussagen gelten? Wähle alle zutreffenden Antworten.

InfrastructureTerraform – eingabe bereich validierenEinfach

Wähle alle zutreffenden Antworten.

Der Wert 0 wird akzeptiert, weil er den Typ number erfüllt.
Der Wert 5 erfüllt beide Vergleiche und wird von dieser Validation akzeptiert.
Der Wert 6 erzeugt nur eine Warnung; die Operation läuft trotz fehlgeschlagener Variable-Validation weiter.
Der Wert 1 erfüllt beide Vergleiche und wird von dieser Validation akzeptiert.

Eine bestehende Ressource hat das Map-Attribut tags. Ein externer Prozess pflegt ausschließlich tags["Owner"]. Terraform soll Änderungen daran nicht zurücksetzen, aber andere Tags und Ressourcenargumente weiter verwalten. Welche lifecycle-Einstellung grenzt die Ausnahme passend ein?

InfrastructureTerraform – einzelnes tag fremdverwaltungMittel

Wähle eine Antwort.

ignore_changes = all
prevent_destroy = true
ignore_changes = [tags["Owner"]]
ignore_changes = [tags]

Drei Terraform-Ressourcen sollen anhand der fachlichen Namen "api", "batch" und "web" identifiziert werden. Das Entfernen von "batch" darf die Terraform-Adresse von "web" nicht verändern. Welche Modellierung passt, wenn die Namen schon beim Planen feststehen?

InfrastructureTerraform – for each stabile identitaetMittel

Wähle eine Antwort.

count auf der Listenlänge verwenden und die Namen mit count.index aus der Liste lesen.
for_each auf einer Map mit den fachlichen Namen als Schlüsseln verwenden.
for_each-Schlüssel bei jedem Lauf aus timestamp() neu erzeugen.
for_each auf IDs aufbauen, die erst beim Erstellen der neuen Ressourcen vom Anbieter erzeugt werden.

Ein Child-Modul erzeugt eine Ressource mit einer ID. Ein zweites Modul im selben Root-Modul braucht diese ID. Die Ressource soll nicht aus ihrem Modul herausgezogen werden. Wie wird der Wert über eine dokumentierte Modulschnittstelle weitergereicht?

InfrastructureTerraform – modul schnittstelle outputMittel

Wähle eine Antwort.

Die ID in der Dependency-Lockdatei des ersten Moduls hinterlegen.
Im zweiten Modul eine gleichnamige Variable deklarieren; Terraform verbindet sie automatisch mit der Ressource.
Im ersten Child-Modul einen output für die ID definieren und im Root dessen module.<Name>.<Output> als Eingabe des zweiten Modulaufrufs verwenden.
Im ersten Child-Modul einen input variable mit Default für die berechnete Ressourcen-ID definieren.

Das Root-Modul hat eine Standardkonfiguration azurerm und eine vollständig konfigurierte Alias-Konfiguration azurerm.secondary. Das Child-Modul deklariert azurerm als Provider-Anforderung und verwendet intern nur den lokalen Standardnamen azurerm, ohne eigene provider-Blöcke. Genau dieser Child-Aufruf soll secondary statt der Root-Standardkonfiguration nutzen. Welche Zuordnung gehört in den module-Block?

InfrastructureTerraform – provider alias an childSchwer

Wähle eine Antwort.

providers = { azurerm.secondary = azurerm }
providers = { azurerm = azurerm.secondary }
Keine; jedes Child erbt automatisch alle Aliase und wählt secondary anhand seines Ordnernamens.
version = "secondary" statt providers; version wählt die Provider-Konfiguration aus.

Terraform ab 1.1 verwaltet eine Ressource unter azurerm_resource_group.old. Du benennst nur das Terraform-Label in new um; Ressourcenargumente und Objekttyp bleiben identisch. Welche zusätzliche Deklaration dokumentiert den Adresswechsel, ohne das reale Objekt allein wegen der Umbenennung zu ersetzen?

InfrastructureTerraform – ressource refactoring movedSchwer

Wähle eine Antwort.

lifecycle { create_before_destroy = true } am neuen resource-Block.
lifecycle { ignore_changes = all } am neuen resource-Block.
Ein zweiter unveränderter resource-Block old zusätzlich zum neuen Block, ohne Zuordnungsänderung.
moved { from = azurerm_resource_group.old to = azurerm_resource_group.new }

Eine normale Terraform-Eingabevariable wird mit sensitive = true markiert und ihr Wert in einem gespeicherten Ressourcenattribut verwendet. Es werden keine ephemeral- oder Write-only-Funktionen benutzt. Welche Schlussfolgerungen sind richtig? Wähle alle zutreffenden Antworten.

InfrastructureTerraform – sensitive keine state geheimhaltungMittel

Wähle alle zutreffenden Antworten.

Terraform redigiert den sensitiven Wert in gewöhnlichen Plan- und Apply-Ausgaben.
sensitive = true verschlüsselt die State-Datei automatisch mit einem eigenen Schlüssel.
Wer Zugriff auf die State-Daten hat, kann weiterhin den dort gespeicherten sensitiven Wert lesen.
Terraform lässt den verwendeten Wert wegen sensitive = true grundsätzlich aus dem State weg.

Eine Anwendung soll über Cluster-DNS direkt die IP-Adressen der bereiten Pods eines Service entdecken. Du legst dafür einen neuen ClusterIP-Service mit Selektor an; publishNotReadyAddresses ist nicht aktiviert. Welche Angabe in seinem Manifest macht ihn zu einem Headless Service?

KubernetesService DiscoveryMittel

Wähle eine Antwort.

spec.type auf ExternalName setzen und einen DNS-Alias angeben.
spec.type auf NodePort setzen.
spec.clusterIP weglassen, damit Kubernetes automatisch eine IP vergibt.
spec.clusterIP auf den String None setzen.

Eine Anwendung hat fünf bereite Pods und ein passendes PodDisruptionBudget mit minAvailable: 4. Keine Störung liegt an. Welche Aussagen beschreiben die Wirkung dieses PDB korrekt? Wähle alle zutreffenden Antworten.

KubernetesPodDisruptionBudgetSchwer

Wähle alle zutreffenden Antworten.

Nach einer erlaubten Eviction verhindert es per Eviction API die Eviction eines weiteren bereiten Pods, solange nur vier Pods verfügbar sind.
Es verhindert jeden Ausfall durch einen defekten Node.
Ein direktes Löschen eines Pods umgeht die PDB-Prüfung der Eviction API.
Es zwingt den Deployment-Controller, sein RollingUpdate-Budget aus dem PDB abzuleiten.

Ein Namespace soll insgesamt begrenzte CPU-Requests haben. Neu angelegte Container ohne CPU-Request sollen einen Default erhalten. Welche Aussagen zu ResourceQuota und LimitRange passen? Wähle alle zutreffenden Antworten.

KubernetesAdmission und QuotasMittel

Wähle alle zutreffenden Antworten.

ResourceQuota ergänzt automatisch einen CPU-Default für jeden Container.
ResourceQuota kann die Summe der CPU-Requests im Namespace begrenzen.
Ein nachträglich geänderter LimitRange schreibt bestehende laufende Pods automatisch um.
LimitRange kann beim Anlegen fehlende CPU-Requests mit einem Default ergänzen.

Ein Linux-Container soll seine Image-Dateien im Root-Dateisystem nicht verändern können. Am Zielpfad ist kein beschreibbares Volume eingehängt. Welche Einstellung im securityContext dieses Containers setzt das Root-Dateisystem schreibgeschützt?

KubernetesContainer-DateisystemMittel

Wähle eine Antwort.

runAsUser: 1000
allowPrivilegeEscalation: false
runAsGroup: 1000
readOnlyRootFilesystem: true

Im Namespace prod existiert die Role pod-reader mit ausschließlich get und list auf Pods. Eine RoleBinding in prod referenziert diese Role und als Subjekt den ServiceAccount deployer im Namespace tools. Weitere Berechtigungen sind ausgeschlossen. Welche Aussagen sind richtig? Wähle alle zutreffenden Antworten.

KubernetesRBACSchwer

Wähle alle zutreffenden Antworten.

Der ServiceAccount darf dadurch Pods in tools lesen.
Der ServiceAccount tools/deployer darf dadurch Pods in prod lesen.
Die RoleBinding darf die Role pod-reader stattdessen aus einem anderen Namespace referenzieren.
Das Subjekt darf ein ServiceAccount aus einem anderen Namespace als die RoleBinding sein.

Ein Deployment mit 7 Replikas verwendet RollingUpdate, maxUnavailable: 25% und maxSurge: 25%. Alle bisherigen Pods sind verfügbar; zusätzliche Ausfälle sind ausgeschlossen. Welche Zahlen ergeben die beiden Prozentwerte für das Rollout-Budget? Gemeint sind die berechneten Budgetwerte, nicht eine harte Obergrenze einschließlich terminierender Pods.

KubernetesRolling UpdatesSchwer

Wähle eine Antwort.

Höchstens 2 unverfügbare Pods und 1 zusätzlicher Pod.
Höchstens 1 unverfügbarer Pod und 1 zusätzlicher Pod.
Höchstens 1 unverfügbarer Pod und 2 zusätzliche Pods.
Höchstens 2 unverfügbare Pods und 2 zusätzliche Pods.

Eine Bash-Shell führt mit gesetztem set -o pipefail eine synchrone Pipeline cmd1 | cmd2 | cmd3 aus. Die drei Befehle enden von links nach rechts mit den Exit-Statuswerten 7, 3 und 0. Es gibt weder ! vor der Pipeline noch & am Ende. Welchen Status hat die gesamte Pipeline unmittelbar danach?

LinuxLinux – bash pipefail statusSchwer

Wähle eine Antwort.

7, weil pipefail immer den ersten Fehler von links übernimmt.
0, weil grundsätzlich nur der letzte Befehl zählt.
3, weil pipefail den Status des am weitesten rechts stehenden fehlgeschlagenen Befehls verwendet.
10, weil pipefail alle von null verschiedenen Statuswerte addiert.

In ./reports liegen reguläre Dateien mit Leerzeichen und Zeilenumbrüchen im Namen. Mit GNU find, GNU xargs und wc sollen deren Pfade als unveränderte Argumente an wc gelangen. Währenddessen ändert niemand den Verzeichnisbaum. Welche Varianten erhalten die Dateinamengrenzen korrekt? Wähle alle zutreffenden Antworten.

LinuxLinux – dateinamen unveraendert weitergebenMittel

Wähle alle zutreffenden Antworten.

find ./reports -type f -print0 | xargs -0 wc -c --
find ./reports -type f -print | xargs wc -c --
find ./reports -type f -exec wc -c -- '{}' ';'
find ./reports -type f -print | xargs -0 wc -c --

In log.txt suchst du mit GNU grep alle Zeilen, die irgendwo die exakt geschriebene Zeichenfolge build[17].log enthalten. Eckige Klammern und Punkt sollen keine Regex-Bedeutung haben; Groß-/Kleinschreibung bleibt relevant. Welcher Aufruf bildet diese Anforderung direkt ab?

LinuxLinux – grep zeichenfolge literalEinfach

Wähle eine Antwort.

grep -F 'build[17].log' log.txt
grep -E 'build[17].log' log.txt
grep -v 'build[17].log' log.txt
grep -Fx 'build[17].log' log.txt

Du hast direkt eine systemd-Unit-Datei unter /etc/systemd/system/app.service bearbeitet. Zuerst soll der Systemmanager seine Unit-Definitionen und den Abhängigkeitsbaum neu einlesen, ohne damit bereits einen Dienstneustart anzufordern. Welcher Befehl ist dafür vorgesehen?

LinuxLinux – unit datei neu einlesenMittel

Wähle eine Antwort.

systemctl reload app.service
systemctl daemon-reload
systemctl restart app.service
systemctl reset-failed app.service

On-Premises-Clients fragen ausschließlich ihren eigenen DNS-Server ab. Sie sollen sql1.database.windows.net zur privaten IP eines Azure-SQL-Private-Endpoints auflösen. Der korrekte A-Record liegt in privatelink.database.windows.net. Eine DNS-Forwarder-VM steht im damit verknüpften Azure-VNet und leitet an Azure DNS weiter; VPN und DNS-Verkehr zur VM funktionieren. Welche Konfiguration fehlt beim On-Premises-DNS?

NetworkingPrivate-Endpoint-DNS mit eigenem ResolverMittel

Wähle eine Antwort.

Nur Autoregistrierung für On-Premises-Clients im VNet-Link einschalten.
Eine bedingte Weiterleitung für database.windows.net an die Azure-DNS-Forwarder-VM konfigurieren.
database.windows.net weiterhin ausschließlich durch öffentliche DNS-Resolver auflösen lassen.
Den VNet-Link entfernen, damit öffentliche Resolver automatisch die private Zone abfragen.

Du änderst die IPv4-Adresse in einem Azure-DNS-A-Record-Set. Ein Client hat die vorherige Antwort mit TTL 300 Sekunden gerade gecacht und verwendet einen TTL-respektierenden DNS-Cache ohne vorzeitige Leerung. Warum kann er nach einer Minute noch die alte IP verwenden?

NetworkingDNS-Caching bei IP-WechselEinfach

Wähle eine Antwort.

Die Änderung eines A-Records kann erst nach dem nächsten Azure-VM-Neustart wirksam werden.
Die TTL legt fest, wie viele Pakete der Client an die alte IP senden darf.
Die zuvor gecachte Antwort darf bis zum Ablauf ihrer verbleibenden TTL weiterverwendet werden.
Azure DNS legt jede A-Record-Änderung grundsätzlich erst nach 24 Stunden in der Zone ab.

Ein Standard Load Balancer verteilt neue TCP-Verbindungen auf zwei Backends. Seine HTTP-Health-Probe fragt /health ab. Backend A antwortet dort nun mit HTTP 302, Backend B weiterhin mit HTTP 200. Keine Admin-State-Überschreibung ist gesetzt. Sobald A wegen der Probe als unhealthy gilt, wie behandelt der Load Balancer neue TCP-Verbindungen?

NetworkingHTTP-Health-Probe bei WartungMittel

Wähle eine Antwort.

Er folgt dem Redirect von A und behandelt deshalb jedes HTTP 302 als erfolgreiche Probe.
Er verteilt weiter neue Verbindungen auf A und B, solange A auf dem Probe-Port einen TCP-Handshake schafft.
Er nimmt auch Backend B aus der Verteilung, weil jede fehlgeschlagene Probe den ganzen Pool als unhealthy markiert.
Er leitet neue Verbindungen nicht mehr an A, sondern an das weiterhin gesunde Backend B.

Ein Unternehmen vergleicht einen Standort-VPN-Tunnel zu Azure mit einer privaten ExpressRoute-Verbindung. Es geht um die Transportwege, nicht um zusätzliche Verschlüsselungslösungen. Wähle alle zutreffenden Antworten.

NetworkingHybride NetzverbindungenMittel

Wähle alle zutreffenden Antworten.

Eine Site-to-Site-Verbindung mit Azure VPN Gateway kann IPsec/IKE zwischen dem lokalen VPN-Gerät und Azure über das öffentliche Internet verwenden.
Eine ExpressRoute-Verbindung ist derselbe Internet-IPsec-Tunnel mit einem anderen Azure-Ressourcennamen.
ExpressRoute verbindet das lokale Netz über eine private Verbindung mit Microsoft und führt nicht über das öffentliche Internet.
Für Site-to-Site muss auf jedem lokalen Endgerät separat ein Point-to-Site-VPN-Client eingerichtet werden.

Ein Azure-Subnetz besitzt ein Standard NAT Gateway mit einer öffentlichen IPv4-Adresse. Eine VM darin hat keine eigene öffentliche IP. Für das Internet-Ziel gilt die Route 0.0.0.0/0 mit Next Hop Internet; keine UDR oder BGP-Route leitet es um. DNS, NSGs, lokale Firewall und der Zielserver erlauben HTTPS. Wähle alle zutreffenden Antworten.

NetworkingExpliziter Internet-EgressMittel

Wähle alle zutreffenden Antworten.

Die VM kann darüber keine ausgehende HTTPS-Verbindung aufbauen, solange sie keine eigene öffentliche IP hat.
Der Zielserver sieht für diese Verbindung die öffentliche IPv4-Adresse des NAT Gateways als Quelladresse.
Ohne zusätzliche Inbound-Lösung kann ein Internet-Client über diese NAT-Adresse keine neue Verbindung zur VM initiieren.
Das NAT Gateway stellt automatisch eine eingehende TCP-Portweiterleitung zur VM bereit.

Eine Azure Private DNS Zone enthält bereits den A-Record db.apps.example. Du verknüpfst ein weiteres VNet mit dieser Zone und lässt Autoregistrierung deaktiviert. Der Link ist fertig provisioniert; die VMs verwenden Azure-provided DNS. Welche Wirkung hat dieser Link?

NetworkingPrivate DNS ohne AutoregistrierungMittel

Wähle eine Antwort.

Er registriert automatisch die Namen aller VMs des neuen VNets in der Zone, erlaubt aber keine Abfragen.
Er erlaubt nur die Auflösung von Records, die aus dem neuen VNet registriert wurden.
Er erlaubt die Auflösung vorhandener Zoneneinträge, registriert aber nicht automatisch die VMs des neuen VNets.
Er macht die privaten Zoneneinträge im öffentlichen Internet auflösbar.

Für ein externes Ziel 203.0.113.10 betrachtet Azure die folgenden Routen: eine UDR 0.0.0.0/0 zur NVA A, eine per BGP gelernte Route 203.0.113.0/24 zum virtuellen Netzgateway und eine UDR 203.0.113.0/24 zur NVA B. Die BGP-Route ist gelernt und nicht herausgefiltert; ihre Auswahl konkurriert mit der UDR. Es gibt keine weiteren passenden Routen, Service Endpoints oder VNet-/Peering-Sonderrouten. Welche Route gewinnt?

NetworkingPräfixlänge vor RoutenherkunftSchwer

Wähle eine Antwort.

Die UDR 0.0.0.0/0 zur NVA A, weil UDRs unabhängig von der Präfixlänge gewinnen.
Die UDR 203.0.113.0/24 zur NVA B, weil zunächst /24 vor /0 und dann UDR vor BGP gilt.
Die BGP-Route 203.0.113.0/24, weil BGP bei gleicher Präfixlänge Vorrang vor UDR hat.
Azure verteilt jedes Paket abwechselnd über alle drei Next Hops.

Du aktivierst den klassischen Microsoft.Storage Service Endpoint für ein Subnetz und erlaubst dieses Subnetz in den Netzwerkregeln eines Storage-Kontos. Es gibt keinen Private Endpoint und keine eigene DNS-Überschreibung. Welche Aussagen treffen für den Zugriff auf Storage zu? Wähle alle zutreffenden Antworten.

NetworkingService Endpoint versus Private EndpointSchwer

Wähle alle zutreffenden Antworten.

Die normale DNS-Auflösung des Storage-Endpunkts liefert weiterhin eine öffentliche Dienst-IP.
Der Service Endpoint legt für das Storage-Konto eine NIC mit privater Ziel-IP im Subnetz an.
Nach dem Aktivieren des Service Endpoints ist die Netzwerkregel des Storage-Kontos grundsätzlich entbehrlich.
Der Service Endpoint erweitert die VNet-Identität auf den Dienst und ermöglicht dem Konto, den Zugriff auf das zugelassene Subnetz zu beschränken.

Eine regionale Azure-Webanwendung soll HTTPS am vorgeschalteten Dienst terminieren und Anfragen unter /bilder/* und /api/* anhand des URL-Pfads an unterschiedliche Backend-Pools senden. Welcher der folgenden Dienste stellt diese HTTP-basierte Verteilung bereit?

NetworkingLayer 7 versus Layer 4Einfach

Wähle eine Antwort.

Azure Application Gateway v2.
Azure Standard Load Balancer allein mit TCP-Regeln auf Port 443.
Azure NAT Gateway.
Azure VPN Gateway.

Eine Entwicklerin soll von ihrem Notebook im Homeoffice verschlüsselt auf private Ressourcen eines Azure-VNets zugreifen. Es soll keine VPN-Verbindung für das gesamte Heimnetz eingerichtet werden. Welche VPN-Gateway-Verbindungsart passt zu diesem einzelnen Remote-Client?

NetworkingPoint-to-Site für Remote-ZugriffEinfach

Wähle eine Antwort.

Site-to-Site zwischen dem VPN Gateway und einem VPN-Gerät des Heimnetzes.
VNet-to-VNet zwischen zwei Azure VPN Gateways.
Ein ExpressRoute-Circuit für einen privaten Provideranschluss des Heimnetzes.
Point-to-Site mit einem VPN-Client auf dem Notebook.

Ein Team aktiviert repositorybezogene GitHub Push Protection für Git-Pushes. Welche Aussagen sollte es bei der Sicherheitsplanung berücksichtigen? Wähle alle zutreffenden Antworten.

SecurityGitHub Push ProtectionMittel

Wähle alle zutreffenden Antworten.

Ein durchgelassener Push beweist, dass die Dateien keinerlei Geheimnisse enthalten.
Erkannte Geheimnisse können den Push blockieren, bevor sie das Repository erreichen.
Welche Muster geschützt werden, hängt auch von unterstützten Mustern und der Konfiguration ab.
Mit entsprechend eingeräumten Rechten kann ein Beitragender den Schutz umgehen.

Ein Azure Key Vault verwendet bereits das Azure-RBAC-Berechtigungsmodell. Eine Person hat dort nur Key Vault Contributor. Sie soll vorhandene Secret-Werte lesen können, aber weder Secrets ändern noch Berechtigungen verwalten. Netzwerkzugriff und Anmeldung funktionieren. Welche zusätzliche eingebaute Rolle am Vault erfüllt dieses Ziel?

SecurityKey Vault DatenebeneSchwer

Wähle eine Antwort.

Key Vault Secrets User
Key Vault Reader
Key Vault Secrets Officer
Key Vault Data Access Administrator

Eine Administratorin ist in Microsoft Entra PIM für eine Azure-Ressourcenrolle berechtigt und aktiviert sie für zwei Stunden. Was passiert mit der durch diese Aktivierung erzeugten aktiven Rollenzuweisung nach Ablauf, wenn keine Verlängerung erfolgt? Gemeint ist die Zuweisung, nicht ein eventuell zwischengespeicherter Zugriff einer Anwendung.

SecurityPrivileged Identity ManagementMittel

Wähle eine Antwort.

Die Rolle wird dauerhaft aktiv, bis die Administratorin sich abmeldet.
PIM löscht automatisch die verwaltete Azure-Ressource.
PIM entzieht automatisch alle anderen Rollen der Administratorin.
PIM entfernt die temporäre aktive Rollenzuweisung.

Beim ersten SSH-Verbindungsversuch zu github.com erscheint eine Rückfrage zur unbekannten Host-Identität mit einem Fingerprint. Du willst prüfen, dass du dem GitHub-Server vertraust. Was solltest du vor dem Bestätigen vergleichen?

SecuritySSH-ServerprüfungMittel

Wähle eine Antwort.

Den Fingerprint mit dem deiner eigenen SSH-Anmeldeschlüssel.
Den angezeigten Fingerprint mit dem offiziellen GitHub-Host-Key-Fingerprint desselben Schlüsseltyps.
Den Fingerprint mit dem Namen des Repositorys.
Nur die Passphrase deines privaten Schlüssels; sie bestätigt den Server.

Ein exportierbares Zertifikat aus Azure Key Vault wird als PFX mitsamt privatem Schlüssel abgerufen. Welcher Bestandteil dieses Exports muss geheim bleiben und darf nicht wie das öffentliche Zertifikat verteilt werden?

SecurityZertifikate und SchlüsselEinfach

Wähle eine Antwort.

Das Ablaufdatum des Zertifikats.
Der öffentliche X.509-Zertifikatsteil.
Der private Schlüssel.
Der öffentliche Name des Zertifikatsinhabers.

Ein ausdrücklich im Archive-Tier liegender Azure-Block-Blob soll wieder lesbaren Inhalt liefern. Welche Maßnahme rehydriert ihn tatsächlich, statt nur Konfiguration für andere Blobs zu ändern?

CloudArchivabrufMittel

Wähle eine Antwort.

Den Blob ausdrücklich per Set Blob Tier in ein Online-Tier wie Hot, Cool oder Cold verschieben.
Nur den Default-Access-Tier des Accounts auf Hot setzen; das rehydriert ausdrücklich archivierte Blobs.
Eine Lifecycle-Management-Regel zum Rehydrieren archivierter Blobs verwenden.
Einen Get-Blob-Read mit längerem Client-Timeout ausführen; der Read startet selbst die Rehydration.

Eine Azure-Ressource soll trotz Management-Lock für autorisierte Nutzer aktualisierbar bleiben, aber nicht über die Control Plane gelöscht werden können. Alle nachfolgend genannten Locks bleiben aktiv; weitere Einschränkungen bestehen nicht. Welche Konfiguration passt?

CloudLöschschutzMittel

Wähle eine Antwort.

Nur CanNotDelete auf der Ressource.
Nur ReadOnly auf der Ressource.
CanNotDelete und zusätzlich ReadOnly auf derselben Ressource.
ReadOnly auf der Ressourcengruppe und CanNotDelete auf der darin enthaltenen Ressource.

Ein Team wählt für selten gelesene Azure-Block-Blobs in einem General-Purpose-v2-Account ein Tier mit mindestens 90 Tagen vorgesehener Mindesthaltedauer, geringeren Speicherkosten als Cool und unmittelbarem Online-Zugriff ohne Rehydration. Welches der folgenden Tiers erfüllt diese Kombination?

CloudOnline-TiersMittel

Wähle eine Antwort.

Hot
Cold
Cool
Archive

Warum kann bei einem nicht wiederherstellbaren Ausfall der Primärregion eines GRS-Accounts trotz Geo-Replikation ein Teil der letzten Schreibvorgänge fehlen?

CloudRecovery Point ObjectiveMittel

Wähle eine Antwort.

Die Übertragung in die Sekundärregion erfolgt asynchron.
Die Speicherung innerhalb der Primärregion wartet grundsätzlich nicht auf die vorgesehenen LRS-Replikate.
Jeder primäre Schreibvorgang muss synchron von der Sekundärregion bestätigt werden.
GRS beginnt die Übertragung vorhandener Daten erst nach dem Start eines Account-Failovers.

Ein Azure-Storage-Account hat einen aktiven Management-Lock; ein Client besitzt unabhängig davon passende Datenzugriffsrechte. Wähle alle zutreffenden Antworten.

CloudLock-GrenzenMittel

Wähle alle zutreffenden Antworten.

Der Lock beschränkt Control-Plane-Operationen.
Ein Management-Lock allein verhindert nicht die Löschung eines Blobs über dessen Data-Plane-API.
Ein Management-Lock entzieht automatisch sämtliche Blob-Datenrollen.
CanNotDelete garantiert, dass kein autorisierter Datenclient jemals Blob-Inhalte überschreiben kann.

Ein Administrator besitzt weiterhin die nötige List-Keys-Berechtigung für einen Azure-Storage-Account. Nach Setzen eines ReadOnly-Locks scheitert das Auflisten der Account-Keys über die Management-API. Welche Erklärung passt zur Wirkung dieses Locks?

CloudManagement-LocksMittel

Wähle eine Antwort.

Der Lock sperrt ausschließlich Data-Plane-Zugriffe; List Keys wird als Blob-Datenoperation blockiert.
Der Lock erlaubt jeden Management-POST, solange dessen Ergebnis nur lesend verwendet wird.
Die API ruft Keys per Management-GET ab; ReadOnly blockiert ausschließlich GET-Anfragen.
List Keys verwendet einen Management-POST, der durch den ReadOnly-Lock blockiert wird.

Ein Team bewertet Azure-Storage-Redundanz als Schutz vor Ausfällen und versehentlichen Änderungen. Wähle alle zutreffenden Antworten.

CloudDatenschutzmechanismenMittel

Wähle alle zutreffenden Antworten.

Replikate spiegeln auch aktuelle Löschungen und Überschreibungen wider.
Redundanz allein ist kein Ersatz für Schutz vor versehentlichen datenändernden Operationen.
LRS bewahrt jede frühere Blob-Version automatisch als unveränderliches Backup.
Eine Löschung in der Primärregion kann grundsätzlich nie in Replikaten sichtbar werden.

Ein Empfänger liest aus einer normalen Azure-Service-Bus-Queue im Modus PeekLock. Wähle alle zutreffenden Antworten.

CloudFehlerbehandlungMittel

Wähle alle zutreffenden Antworten.

Abandon kann eine nicht verarbeitete Nachricht sofort zur Wiederzustellung entsperren.
DeadLetter kann eine nicht sinnvoll erneut verarbeitbare Nachricht mit Begründung in die Dead-Letter-Queue verschieben.
Complete ist die Operation, mit der unverarbeitete Nachrichten ausdrücklich zur Wiederzustellung freigegeben werden.
RenewMessageLock bestätigt erfolgreiche Verarbeitung und entfernt die Nachricht aus der Queue.

Ein Service-Bus-Worker verarbeitet eine PeekLock-Nachricht länger als die maximal konfigurierbare einzelne Lock-Dauer von fünf Minuten. Welche Technik versucht, den Lock bei längerer Verarbeitung aufrechtzuerhalten? Unerwarteten Lock-Verlust muss der Worker zusätzlich behandeln.

CloudLock-ErneuerungMittel

Wähle eine Antwort.

Nur die Message-Time-to-Live erhöhen, ohne den gehaltenen Lock zu erneuern.
Complete gleich nach Empfang aufrufen und danach weiterverarbeiten.
Den Lock erneuern, etwa mit RenewMessageLockAsync oder automatischer Erneuerung.
Eine einzelne Lock-Dauer von 60 Minuten an der Queue konfigurieren.

Du erstellst einen neuen Azure-App-Service-Slot und klonst die Konfiguration aus production. Was gilt vor einem separaten Content-Deployment?

CloudSlot-ErstellungMittel

Wähle eine Antwort.

Der komplette Produktionscode ist automatisch im neuen Slot vorhanden.
Die Einstellungen können geklont sein, der neue Slot hat aber noch keinen App-Content.
Der neue Slot übernimmt standardmäßig sofort 50 Prozent des Kundentraffics.
Es werden automatisch alle privaten Endpunkte mitgeklont.

Ein App-Service-Team möchte vor Abschluss eines Swaps die staging-App mit den Zielslot-Einstellungen prüfen. Site Authentication ist in keinem Slot aktiviert. Welche Funktion pausiert den Swap nach dem Anwenden dieser Einstellungen?

CloudSwap mit VorschauMittel

Wähle eine Antwort.

Normaler Swap ohne Vorschau und ohne eingeplante Pause.
Nur prozentuale Traffic-Aufteilung auf staging ohne Swap.
Auto Swap ohne Vorabvalidierung.
Swap with preview.

Eine App Service App verwendet zwei Slots ohne Override der standardmäßigen Sticky-Einstellungen. Wähle alle zutreffenden Antworten.

CloudSwap-KonfigurationMittel

Wähle alle zutreffenden Antworten.

Eine App-Einstellung kann ausdrücklich als slotgebunden konfiguriert werden.
Managed Identities bleiben beim Swap am jeweiligen Slot und werden nicht mitgetauscht.
Alle Connection Strings müssen unabhängig von ihrer Slot-Konfiguration immer mitwandern.
Custom Domain Names werden beim Swap grundsätzlich mitgetauscht.

Nach einem Swap von staging und production zeigt ausschließlich der neue App-Code Fehler. Es gab keine externen Änderungen; beide Slots enthalten unverändert ihre Inhalte nach dem Swap. Ohne neues Content-Deployment soll der vorherige App-Stand wieder zum Inhalt von production werden. Welche Maßnahme passt?

CloudDeployment-RollbackMittel

Wähle eine Antwort.

Nur die App-Einstellungen von production zurücksetzen; das ersetzt automatisch dessen App-Code.
Die geklonte Konfiguration aus staging übernehmen, ohne Content zu deployen oder Slots zu swappen.
Dieselben beiden Slots erneut swappen.
Nur einen Anteil des Traffics nach staging umleiten, ohne die Inhalte von production zu ändern.

In einem General-Purpose-v2-Account sind Block-Blobs ausdrücklich nach Cool oder Cold verschoben worden. Soft Delete ist deaktiviert. Wähle alle zutreffenden Antworten.

CloudFrühe LöschungMittel

Wähle alle zutreffenden Antworten.

Ein Cool-Blob kann bei Löschung nach 20 Tagen eine Early-Deletion-Gebühr auslösen.
Ein Cold-Blob kann bei Löschung nach 60 Tagen eine Early-Deletion-Gebühr auslösen.
Cool hat eine Mindestdauer von 90 Tagen und Cold von 30 Tagen.
Ein Wechsel von Cool in ein anderes Tier vor Ablauf der Mindestdauer verhindert stets Early-Deletion-Gebühren.

Ein öffentliches GitHub-Repository verwendet Environments zur kontrollierten Bereitstellung. Wähle alle zutreffenden Antworten.

DevOpsSchutzregelnMittel

Wähle alle zutreffenden Antworten.

Prevent self-review kann verhindern, dass der Auslöser seine eigene Bereitstellung genehmigt.
Deployment-Branch-/Tag-Regeln können zulässige Quellen einschränken.
Ein Wait Timer zählt seine Wartezeit grundsätzlich als abrechenbare Jobzeit.
Environment-Variablen werden grundsätzlich über den secrets-Kontext gelesen.

Ein GitHub-Actions-Job referenziert ein Environment mit erforderlicher Freigabe. Administratives Umgehen der Schutzregeln ist deaktiviert; weitere Schutzregeln bestehen nicht. Wann erhält er Zugriff auf dessen Secrets?

DevOpsEnvironment-SecretsMittel

Wähle eine Antwort.

Schon jeder Job des Repositories vor einer Environment-Referenz.
Nur durch Eintragen des Secret-Namens als Job-ID.
Zwingend vor der Reviewer-Entscheidung, damit das Review möglich ist.
Erst nachdem ein zulässiger required reviewer den Job genehmigt hat.

Ein Team unterscheidet GitHub-Actions-Caches und -Artefakte. Wähle alle zutreffenden Antworten.

DevOpsPersistenz in WorkflowsMittel

Wähle alle zutreffenden Antworten.

Caches eignen sich für häufig wiederverwendete heruntergeladene Abhängigkeiten.
Artefakte eignen sich zum Übergeben erzeugter Dateien zwischen Jobs.
Caches und Artefakte sind in jeder Hinsicht austauschbar.
Ein Cache-Hit ist zwingende Voraussetzung für einen korrekt entworfenen Dependency-Installationsjob.

Eine GitHub-Actions-Matrix hat fail-fast: true. Stabile Varianten verwenden continue-on-error: false, eine experimentelle Variante true. Wähle alle zutreffenden Antworten.

DevOpsExperimentelle TestsMittel

Wähle alle zutreffenden Antworten.

Das Scheitern einer stabilen Variante kann andere laufende oder wartende Matrixjobs abbrechen.
Das Scheitern der experimentellen Variante löst in dieser Konfiguration nicht denselben Abbruch der anderen Varianten aus.
continue-on-error: true verhindert technisch jeden Fehler im Testprozess.
fail-fast erzeugt automatisch einen erneuten Testlauf aller fehlgeschlagenen Varianten.

Job B einer Azure-Pipeline soll eine in Job A erzeugte Variable in einer Bedingung verwenden. Welche Markierung sieht die Dokumentation für die von A gesetzte Multi-Job-Ausgabevariable vor?

DevOpsJob-AusgabevariablenMittel

Wähle eine Antwort.

Nur den Variablennamen in den Anzeigenamen von Job A kopieren.
isOutput=true beim Setzen der Variable, danach Zugriff über die Job-Outputs der Abhängigkeit.
isOutput=false, damit jede Job-Ausgabe automatisch global wird.
Die Variable erst im selben Schritt berechnen, dessen Startbedingung sie prüfen soll.

Ein Azure-Pipelines-Job kann nach seinen Abhängigkeiten noch gestartet werden; sein übergeordneter Bereich ist nicht übersprungen. Wähle alle zutreffenden Antworten.

DevOpsStatusabhängiges CleanupMittel

Wähle alle zutreffenden Antworten.

succeededOrFailed() erlaubt Ausführung nach Fehlern, nicht aber bei abgebrochenem Lauf.
always() kann auch bei einem Abbruch noch wahr sein.
failed() bedeutet, dass alle Abhängigkeiten erfolgreich waren.
Eine eigene condition wird zusätzlich zur Standardbedingung angewandt, ohne sie zu überschreiben.

Eine Datei hat eine bereits gestagte Änderung und zusätzliche ungestagte Änderungen. Du führst git restore --worktree -- datei.txt ohne --source aus. Welche Version wird in den Arbeitsbaum geschrieben?

Git & GitHubDateiwiederherstellungMittel

Wähle eine Antwort.

Immer die Version aus HEAD.
Die Version aus dem letzten Remote-Tracking-Branch.
Die Version aus dem Index, also der gestagte Stand.
Keine neue Version; --worktree entfernt nur die Staging-Markierung und behält den Dateiinhalt.

Du verteilst mehrere Azure-VMs in einem Availability Set und prüfst dessen Schutzmechanismen. Welche Aussagen beschreiben die beiden Domain-Typen korrekt? Wähle alle zutreffenden Antworten.

InfrastructureFault- und Update-DomainsMittel

Wähle alle zutreffenden Antworten.

Eine Fault Domain gruppiert Infrastruktur mit gemeinsamer Stromversorgung und gemeinsamem Netzwerkswitch.
Eine Update Domain gruppiert VMs und Hardware, die bei geplanter Wartung gemeinsam neu gestartet werden können.
Update Domains legen fest, in welchen voneinander getrennten Azure-Regionen die VMs liegen.
Fault Domains garantieren, dass Anwendungsfehler nicht auf mehreren VMs gleichzeitig auftreten.

Für eine noch vorhandene, unverschlüsselte Azure-VM mit verwalteten Datenträgern und unterstützter Konfiguration nutzt du Azure Backup: Replace existing. Welche Aussagen sind richtig? Wähle alle zutreffenden Antworten.

InfrastructureIn-place-WiederherstellungMittel

Wähle alle zutreffenden Antworten.

Die Wiederherstellung ersetzt Datenträger der vorhandenen VM.
Die vorhandene VM darf bereits vollständig gelöscht sein; Replace existing erzeugt sie dann zwangsläufig neu.
Die ursprünglichen Datenträger bleiben nach dem Austausch in der Ressourcengruppe erhalten.
Replace existing ist automatisch auch die Cross-Region-Restore-Option zum Ersetzen einer VM in der sekundären Region.

Du hast einen gültigen Azure-Backup-Wiederherstellungspunkt. Zunächst sollen nur dessen Datenträger bereitgestellt werden, damit du danach eigenständig eine angepasste neue VM daraus erstellst. Azure Backup soll dabei keine vorhandene VM direkt ersetzen und noch keine neue VM erstellen. Welcher Ablauf passt?

InfrastructureVM-WiederherstellungMittel

Wähle eine Antwort.

Restore disks, anschließend die VM mit den wiederhergestellten Disks gezielt erstellen.
Replace existing verwenden und erst danach eine weitere VM erstellen.
Nur einzelne Dateien und Ordner aus dem Wiederherstellungspunkt wiederherstellen.
Create new VM wählen und deren Einstellungen erst nach der automatischen VM-Erstellung anpassen.

Eine Azure-VM wurde mit SKU A gesichert und erst danach auf SKU B geändert. Du wählst für den alten Wiederherstellungspunkt Create new VM, ohne nachträgliche Anpassung. Welche SKU hat die neu wiederhergestellte VM laut dokumentiertem Verhalten?

InfrastructureWiederhergestellte VM-GrößeMittel

Wähle eine Antwort.

Stets SKU B, weil Restore nur die derzeitige Quell-VM betrachtet.
Immer die kleinste SKU der Region, unabhängig vom Backup.
SKU A, also die Größe der VM zum Zeitpunkt des verwendeten Backups.
Keine SKU; Create new VM stellt ausschließlich lose Datenträger bereit.

Zwei parallel laufende Bicep-Deployments verwenden denselben statischen Modulnamen am selben Ziel-Scope und lesen dessen Outputs. Du willst Verwechslungen der Deployment-Ausgaben vermeiden. Welche Änderung adressiert genau dieses Problem?

InfrastructureKonkurrierende ModulbereitstellungenMittel

Wähle eine Antwort.

Nur beide Deployments auf denselben Resource-Group-Scope setzen; identische Modulnamen werden dadurch isoliert.
Nur die Parent-Output-Namen unterscheiden; der gleiche Modul-Deployment-Name ist immer sicher.
Eindeutige Modul-Deployment-Namen verwenden oder name weglassen, damit Bicep eindeutige GUID-Namen erzeugt.
Nur den lokalen Pfad der Moduldatei ändern, den gleichen statischen Deployment-Namen und Scope aber beibehalten.

Dein Bicep-Deployment läuft in Ressourcengruppe app-rg, soll aber ein bestehendes Konto aus shared-rg derselben Subscription referenzieren. Welche Aussagen treffen auf die existing-Deklaration zu? Wähle alle zutreffenden Antworten.

InfrastructureBicep-Scope und RessourcenauflösungMittel

Wähle alle zutreffenden Antworten.

Mit scope: resourceGroup('shared-rg') kann die Referenz auf die andere Ressourcengruppe zielen.
Ein falscher Ressourcenname oder Scope kann beim Auflösen zu NotFound und einem fehlgeschlagenen Deployment führen.
existing verschiebt das Konto automatisch aus shared-rg nach app-rg.
existing stellt bei einem falschen Namen stillschweigend ein neues Konto in app-rg bereit.

Ein Bicep-Deployment soll die ID eines bereits bereitgestellten Speicherkontos verwenden, ohne dieses Konto erneut bereitzustellen. Welcher Weg entspricht diesem Ziel?

InfrastructureBestehende Bicep-RessourcenMittel

Wähle eine Antwort.

Das Konto als gewöhnliche resource deklarieren; die Deklaration wird weiterhin Teil der Bereitstellung.
Das Konto mit einem normalen resource-Block ohne Eigenschaften deklarieren; das bedeutet automatisch existing.
Eine Moduldatei mit gewöhnlicher resource-Deklaration des Kontos aufrufen; Module sind grundsätzlich nur lesend.
Das Konto mit existing und passendem Namen sowie Scope referenzieren und seine ID nutzen.

Eine vorbereitete Azure-Referenz-VM ist generalisiert, deallokiert und besitzt einen verwalteten OS-Datenträger sowie zwei verwaltete Datenträger mit benötigten Ausgangsdaten. Du möchtest daraus wiederholt neue VMs mit diesem gesamten Datenträgerstand bereitstellen. Welches Artefakt passt dazu?

InfrastructureVM-AbbilderMittel

Wähle eine Antwort.

Ein Snapshot nur des OS-Datenträgers, ohne zusätzliche Erfassung der Datendatenträger.
Ein Snapshot nur eines Datendatenträgers, aus dem anschließend das gesamte OS automatisch rekonstruiert wird.
Ein verwaltetes Image der generalisierten VM mit ihren verwalteten OS- und Datendatenträgern.
Ein verwaltetes Image ausschließlich des OS-Datenträgers, ohne die benötigten Datendatenträger einzuschließen.

Zwei Azure-VMs sollen dieselbe unterstützte Shared Managed Disk in einem Cluster verwenden. Was muss die Clusterlösung zusätzlich zum erfolgreichen Anhängen sicherstellen, damit konkurrierende Schreibzugriffe koordiniert werden?

InfrastructureGemeinsam genutzte DatenträgerMittel

Wähle eine Antwort.

Nur die unterstützte Shared Disk an beide VMs anhängen; das Anhängen ersetzt jede Clusterkoordination.
Auf beiden VMs gewöhnliche lokale Dateisysteme unabhängig schreibend mounten, ohne gemeinsame Sperrkoordination.
Nur eine zentrale Datensicherung einrichten, ohne Schreibzugriffe der aktiven Knoten zu koordinieren.
Einen Cluster-Manager mit geeigneter Knotenkommunikation und Schreibsperrkoordination.

Eine Azure-VM speichert Daten über zwei verwaltete Datenträger hinweg. Du erstellst nur vom ersten Datenträger einen Snapshot, ohne die Anwendung zu koordinieren. Welche Aussagen treffen auf diesen Snapshot zu? Wähle alle zutreffenden Antworten.

InfrastructureDisk-SnapshotsMittel

Wähle alle zutreffenden Antworten.

Er ist eine schreibgeschützte Zeitpunktkopie des ausgewählten Datenträgers.
Er enthält automatisch auch den zweiten Datenträger der VM.
Aus ihm lässt sich ein neuer verwalteter Datenträger erstellen.
Er garantiert allein eine anwendungskonsistente gemeinsame Sicherung beider Datenträger.

Eine Anwendung legt ihre einzige dauerhaft benötigte Datendatei auf dem temporären Datenträger einer Azure-VM ab. Sie soll auch nach Wartung oder Redeployment wiederherstellbar bleiben. Welche Änderung beseitigt das grundlegende Speicherproblem?

InfrastructureTemporärer VM-SpeicherMittel

Wähle eine Antwort.

Die Datei auf persistentem Speicher wie einem verwalteten Datenträger ablegen und passend sichern.
Nur Schreibrechte einschränken; dadurch wird der temporäre Datenträger persistent.
Die Datei in ein anderes Verzeichnis desselben temporären Datenträgers verschieben.
Die VM nach jeder Änderung regulär neu starten; das garantiert Persistenz bei späterer Wartung.

Deine Azure-VMs liegen in mehreren Update Domains desselben Availability Sets. Welche Zusicherung darfst du bei geplanter Plattformwartung zugrunde legen?

InfrastructureGeplante VM-WartungMittel

Wähle eine Antwort.

Es wird zwingend in aufsteigender numerischer Reihenfolge neu gestartet.
Es wird jeweils nur eine Update Domain neu gestartet; die Reihenfolge muss nicht numerisch sein.
Eine Update Domain garantiert, dass ihre VMs bei Plattformwartung niemals neu starten.
Nur Fault Domains bestimmen die Gruppen für gemeinsam geplante Neustarts; Update Domains werden dafür nicht verwendet.

Du fährst eine Azure-VM im Gastbetriebssystem herunter. Azure zeigt danach Stopped (Allocated). Welche Maßnahme beendet die Compute-Abrechnung, wenn die VM vorerst nicht mehr benötigt wird?

InfrastructureVM-KostenstatusMittel

Wähle eine Antwort.

Nur den Gast-Shutdown erneut ausführen; Allocated ist bereits abrechnungsfrei.
Die VM in Azure deallokieren, bis der Status Stopped (Deallocated) erreicht ist.
Die Netzwerkkarte von der NSG trennen, ohne den VM-Status zu ändern.
Den OS-Datenträger durch einen Snapshot ersetzen, während die VM allokiert bleibt.

Eine Anwendung liest einen ConfigMap-Wert beim Start aus einer Umgebungsvariable. Das Team ändert die ConfigMap. Was ist nötig, damit ein neuer Containerprozess den geänderten Wert auf diesem Weg erhält?

KubernetesKonfigurationsänderungenMittel

Wähle eine Antwort.

Nur die ConfigMap ändern; die laufende Prozessumgebung aktualisiert sich automatisch.
Den Pod neu starten beziehungsweise ersetzen lassen.
Nur bis zum nächsten kubelet-Synchronisationszyklus warten, ohne den Pod zu ersetzen.
Nur den Scheduler neu starten, ohne den Pod zu ersetzen.

Eine ConfigMap besitzt vier vorhandene Schlüssel. Im Pod-Volume werden über items nur zwei davon unter unterschiedlichen Dateipfaden ausgewählt. Es gibt keinen überlagernden Mount. Wie viele aus diesen Schlüsseln projizierte Dateien erscheinen im Mount?

KubernetesVolume-DateienMittel

Wähle eine Antwort.

Vier, weil items ignoriert wird.
Eine, weil bei mehreren items nur der erste ausgewählte Schlüssel projiziert wird.
Keine, weil items nur für Secrets zulässig ist.
Zwei, jeweils unter dem in items angegebenen Pfad.

Eine veränderliche ConfigMap-Datei wird per subPath in einen laufenden Container gemountet. Ihr Schlüssel bleibt vorhanden und der Pod wird nicht ersetzt. Auch nach mehreren kubelet-Synchronisationszyklen erscheint der neue Wert nicht. Welche Mount-Eigenschaft erklärt dies?

KubernetesVolume-ProjektionMittel

Wähle eine Antwort.

Alle ConfigMap-Volumes behalten grundsätzlich ihren Erstellungsstand ohne Updates.
Das erste Mounten einer ConfigMap aktiviert automatisch immutable.
ConfigMap-Mounts mit subPath erhalten keine ConfigMap-Updates.
Die Auswahl einer einzelnen Datei verlängert die Aktualisierung zwingend auf 24 Stunden.

Ein bestehendes CSI-Volume soll über eine größere PVC-Anforderung erweitert werden. Welche Voraussetzungen beziehungsweise Schritte treffen zu? Wähle alle zutreffenden Antworten.

KubernetesPVC-ErweiterungMittel

Wähle alle zutreffenden Antworten.

Die StorageClass setzt allowVolumeExpansion auf true.
Der CSI-Treiber unterstützt Volume-Erweiterung.
Die gewünschte größere Kapazität wird am PVC angefordert.
Die PV-Kapazität muss zuerst manuell erhöht werden, damit Kubernetes das Backend erweitert.

Ein Node hat noch 1 CPU an nicht durch Requests belegbarer Kapazität. Ein neuer Pod fordert in seinem einzigen Container 2 CPUs an. Alle Nodes haben dieselbe Restkapazität; Preemption schafft keinen Platz. Weshalb bleibt der Pod trotz geringer gemessener CPU-Auslastung Pending?

KubernetesSchedulingMittel

Wähle eine Antwort.

Der Scheduler berücksichtigt ausschließlich die aktuelle CPU-Auslastung.
Die Summe der Requests würde die verfügbare Node-Kapazität überschreiten.
CPU-Requests müssen stets kleiner als 1 sein.
Requests werden erst nach dem Start eines Containers geprüft.

Die Löschung eines nicht mehr verwendeten PVC ist abgeschlossen; das zugehörige PV besitzt ReclaimPolicy Retain. Welche Folge ist für die Wiederverwendung des Speichers entscheidend?

KubernetesReclaim PolicyMittel

Wähle eine Antwort.

Der externe Speicher wird unmittelbar gelöscht.
Das PV wird Released; vorhandene Daten erfordern manuelle Reclamation.
Das PV wird ohne Prüfung sofort jedem neuen PVC zugewiesen.
Retain bereinigt die vorhandenen Daten automatisch und setzt das PV direkt auf Available.

Ein Cluster hat nur ungebundene statische PVs mit je 50Gi; dynamische Provisionierung ist deaktiviert. Ein PVC fordert 100Gi an. Was geschieht?

KubernetesVolume-BindungMittel

Wähle eine Antwort.

Das PVC bleibt ungebunden, bis ein passendes Volume verfügbar ist.
Zwei PVs werden automatisch zu einem 100Gi-Volume zusammengeführt.
Das PVC erhält eines der 50Gi-Volumes mit halbierter Anforderung.
Kubernetes vergrößert automatisch ein statisches 50Gi-PV, um den neuen PVC zu binden.

Du verwendest GNU ln, um weitere Namen für eine vorhandene reguläre Datei anzulegen. Welche Aussagen sind korrekt? Wähle alle zutreffenden Antworten.

LinuxHardlinks und SymlinksMittel

Wähle alle zutreffenden Antworten.

Ohne -s legt ln standardmäßig einen Hardlink an.
Ein Hardlink kann ohne Weiteres eine Datei auf einem anderen Dateisystem adressieren.
Ein symbolischer Link darf auf ein noch nicht vorhandenes Ziel verweisen.
Hardlinks auf dieselbe Datei im selben Dateisystem teilen deren Inode und Dateiinhalt.

Du willst mit journalctl nur Einträge für app.service aus dem aktuellen Boot und seit 10:00 Uhr heute lesen. Die nötigen Zugriffsrechte und Einträge sind vorhanden. Welcher Aufruf kombiniert diese Filter?

LinuxJournal gezielt filternMittel

Wähle eine Antwort.

journalctl -b -1 -u app.service --since '10:00' --no-pager
journalctl -b --since '10:00' --no-pager
journalctl -b -u app.service --until '10:00' --no-pager
journalctl -b -u app.service --since '10:00' --no-pager

Der symbolische Link /srv/app/current enthält als Ziel ../releases/v2. Ein Prozess folgt diesem Link, während sein Arbeitsverzeichnis /tmp ist. Es gibt keine weiteren Symlinks im Pfad. Auf welchen Pfad wird das relative Linkziel bezogen?

LinuxRelative symbolische LinksMittel

Wähle eine Antwort.

/tmp/releases/v2, weil das Arbeitsverzeichnis des lesenden Prozesses maßgeblich ist.
/srv/releases/v2, weil das Ziel relativ zu /srv/app als Verzeichnis des Links aufgelöst wird.
/srv/app/releases/v2, weil .. bei symbolischen Links ignoriert wird.
/releases/v2, weil alle Symlink-Ziele absolut interpretiert werden.

Eine NSG erlaubt einem Client eine ausgehende TCP-Verbindung zu Port 443. Weshalb braucht der Rückverkehr dieser etablierten Verbindung normalerweise keine zusätzliche eingehende Allow-Regel?

NetworkingStateful FilteringMittel

Wähle eine Antwort.

NSGs filtern generell keinen eingehenden Verkehr.
NSGs sind zustandsbehaftet und berücksichtigen den Verbindungszustand.
TCP 443 umgeht NSGs grundsätzlich.
Eine ausgehende Allow-Regel erzeugt automatisch eine spiegelbildliche eingehende NSG-Regel.

Eine Azure-VM soll als NVA Pakete mit einem Ziel außerhalb ihrer eigenen NIC-Adressen zwischen privaten Netzen weiterleiten. Wähle alle zutreffenden Antworten.

NetworkingNetwork Virtual AppliancesMittel

Wähle alle zutreffenden Antworten.

Azure-IP-Forwarding muss an der weiterleitenden NIC aktiviert werden.
Auch im Gastbetriebssystem muss die erforderliche Weiterleitung passend konfiguriert sein.
Eine UDR kann als Virtual-Appliance-Next-Hop die private IP der NVA verwenden.
Eine UDR allein aktiviert automatisch IP-Forwarding in NIC und Gastbetriebssystem.

Für eine Azure-VNet-Peering-Architektur werden regionale Grenzen und Gateway Transit geprüft. Wähle alle zutreffenden Antworten.

NetworkingPeering-ArchitekturMittel

Wähle alle zutreffenden Antworten.

Global VNet Peering verbindet VNets in unterschiedlichen Azure-Regionen.
Ein VNet, das einen Remote-Gateway per Transit nutzt, kann dabei nicht zugleich einen eigenen Gateway haben.
Peering erlaubt grundsätzlich keine Verbindungen über Subscription-Grenzen.
Gateway Transit wird grundsätzlich nur bei Peering innerhalb derselben Region unterstützt.

Ein Private Endpoint wurde manuell beantragt, seine Verbindung steht auf Pending. Routing und DNS sind korrekt. Warum kann er den vorgesehenen PaaS-Dienst noch nicht erreichen?

NetworkingPrivate-Link-FreigabeMittel

Wähle eine Antwort.

Pending bedeutet, dass ein öffentlicher DNS-Record gelöscht werden muss.
Der Ressourcenbesitzer muss die Verbindung erst genehmigen; nutzbar ist der Zustand Approved.
Der Private Endpoint muss zwingend in derselben Region wie der PaaS-Dienst liegen.
Der Client muss zunächst eine vom Dienst initiierte Verbindung annehmen.

Eine unterstützte Azure-Anwendung soll über eine verwaltete Identität auf einen Entra-authentifizierten Zieldienst zugreifen. Wähle alle zutreffenden Antworten.

SecurityAuthentifizierung und AutorisierungMittel

Wähle alle zutreffenden Antworten.

Die Identität benötigt eine passende Autorisierung am Zieldienst.
Die Anwendung kann Tokens ohne selbst verwaltete Zugangsdaten beziehen.
Das Aktivieren der Identität erteilt automatisch Zugriff auf alle Zieldienste.
Ein Entwickler muss das Passwort der Managed Identity auslesen und regelmäßig wechseln.

Ein Team ersetzt langlebige Cloud-Credentials in GitHub Actions durch OIDC. Welche Aussagen zum dokumentierten Ablauf treffen zu? Wähle alle zutreffenden Antworten.

SecurityKurzlebige CredentialsMittel

Wähle alle zutreffenden Antworten.

Der Cloud-Anbieter muss dem vorgesehenen GitHub-Workflow über passende Trust-Bedingungen vertrauen.
GitHub liefert ein Token mit Claims über den Workflow-Job.
Nach erfolgreicher Prüfung stellt der Cloud-Anbieter ein kurzlebiges Zugriffstoken aus.
Jeder Job erhält dadurch ohne Cloud-Autorisierung automatisch Administratorrechte.

Ein GitHub-Actions-Job erhält ein OIDC-Token. Dessen Claims passen nicht zu den Bedingungen der Cloud-Trust-Policy. Welche Korrektur ist erforderlich, statt ein langlebiges Cloud-Secret anzulegen?

SecurityWorkload Identity FederationMittel

Wähle eine Antwort.

Nur zusätzliche Ressourcenrollen vergeben, ohne die nicht passenden Trust-Claims zu ändern.
Die Trust-Bedingungen und die beabsichtigte Workflow-Identität korrekt aufeinander abstimmen.
Nur denselben Job erneut ausführen, ohne seine Identität oder die Trust-Bedingungen zu ändern.
Nur ein anderes Deployment-Werkzeug verwenden, das dasselbe abgelehnte Token übermittelt.

Mehrere regelmäßig ersetzte Azure-VMs sollen dieselbe vorab autorisierte Identität verwenden. Deren Lebenszyklus darf nicht an eine einzelne VM gebunden sein. Welche Identität passt?

SecurityManaged IdentitiesMittel

Wähle eine Antwort.

Eine systemzugewiesene Identität der ersten VM.
Je VM eine neue systemzugewiesene Identität mit identischen Rollenberechtigungen.
Je VM eine eigene benutzerzugewiesene Identität, die beim Ersetzen ebenfalls gelöscht wird.
Eine benutzerzugewiesene verwaltete Identität, die allen VMs zugeordnet wird.

Wissen überprüfen

Quiz abgeschlossen