Questions d'entraînement — AZ-801

Question 1

Vous devez configurer une stratégie de backup pour vos Domain Controllers. Quelle approche devriez-vous utiliser?

Answer

Ne jamais sauvegarder les DCs

Answer

Backup des fichiers utilisateurs uniquement

Answer

Backup du System State (AD database, SYSVOL, Registry, boot files) avec Windows Server Backup ou Azure Backup, sur au moins deux DCs par domaine, avec des backups réguliers (quotidiens) et des tests de restauration périodiques

Answer

Copier manuellement le fichier ntds.dit

Answer

, boot files, COM+ registration. Outils : Windows Server Backup (wbadmin start systemstatebackup), Azure Backup avec MARS agent. Best practices : 1) Backup au moins 2 DCs par domaine, 2) Backups quotidiens avec rétention selon les besoins (180 jours minimum pour Tombstone Lifetime), 3) Tester les restaurations régulièrement (AuthRestore, NonAuthRestore), 4) Stocker offsite. A) Ne pas sauvegarder expose à la perte de données complète. B) Les fichiers utilisateurs ne sont pas sur les DCs. D) Copier ntds.dit sans VSS produit un fichier corrompu. Le backup AD permet aussi la récupération de la forêt entière en cas de catastrophe (Forest Recovery).

Question 2

Vous devez implémenter une solution de haute disponibilité pour les Certificate Authority (CA) dans votre PKI d'entreprise. Quelle architecture devriez-vous déployer?

Answer

dans votre PKI d'entreprise. Quelle architecture devriez-vous déployer?

Answer

Un seul serveur CA (SPOF acceptable)

Answer

CA hiérarchique avec Offline Root CA (sécurisé, rarement online) et plusieurs Subordinate/Issuing CAs (online, load balanced) pour émettre les certificats quotidiens, avec CRL/AIA distribution points redondants

Answer

Plusieurs Root CAs indépendants sans hiérarchie

Answer

Aucune solution HA pour PKI n'existe

Answer

Single CA est un SPOF. C) Plusieurs Root CAs créent des problèmes de confiance. D) La HA PKI est standard. Offline Root CA protège contre la compromission (si le Root est compromis, toute la PKI doit être reconstruite). Backup régulier des CAs et protection des clés privées (HSM recommandé pour Root CA).

Question 3

Vous devez implémenter le Key Management Service (KMS) pour activer 500 serveurs Windows Server dans votre datacenter. Combien d'activations minimum le KMS host doit-il atteindre avant de pouvoir activer les clients?

Answer

1 activation

Answer

5 activations

Answer

5 activations pour les serveurs Windows Server (threshold), 25 pour les clients Windows

Answer

100 activations

Answer

Valeurs incorrectes. Configuration KMS : 1) Installer la KMS host key (CSVLK - Customer Specific Volume License Key) sur un serveur, 2) Activer le KMS host via Internet ou phone, 3) Les clients utilisent une GVLK (Generic Volume License Key) et découvrent automatiquement le KMS host via DNS (_vlmcs._tcp SRV record). Les activations KMS sont valides 180 jours et se renouvellent automatiquement (clients contactent le KMS tous les 7 jours). KMS ne nécessite pas de connectivité Internet pour les clients (seulement le KMS host initial activation). Alternative : MAK (Multiple Activation Key) pour les environments sans KMS.

Question 4

Vous implémentez Microsoft Advanced Threat Analytics (ATA) ou Microsoft Defender for Identity pour détecter les menaces AD. (Sélectionnez TOUTES les réponses correctes)

Answer

ou Microsoft Defender for Identity pour détecter les menaces AD. (Sélectionnez TOUTES les réponses correctes)

Answer

Les sensors analysent le trafic réseau (mirroring) et les événements Windows pour détecter les attaques connues (Pass-the-Hash, Golden Ticket, Skeleton Key, DCSync, etc.)

Answer

Le machine learning détecte les anomalies comportementales (authentifications inhabituelles, reconnaissance LDAP, mouvements latéraux suspects)

Answer

Les alertes sont priorisées par sévérité (Low, Medium, High) avec des investigation paths montrant la kill chain de l'attaque

Answer

ATA/Defender for Identity remplace complètement les Domain Controllers

Answer

Les sensors (ATA Gateway ou Defender for Identity sensor) capturent le trafic Kerberos/NTLM/LDAP/DNS et les Security Event Logs pour détecter les attaques AD connues. B) Le behavioral analytics détecte les déviations du baseline normal (ex: un user admin se connectant à 50 workstations en 10 minutes). C) Les alertes incluent : description de l'attaque, evidence (timeline, entities involved), recommended actions, investigation paths (montrant comment l'attaquant a progressé). D) FAUX - c'est un système de détection/monitoring, pas un remplacement des DCs. ATA (on-prem uniquement) est sunset, remplacé par Defender for Identity (cloud service). Defender for Identity s'intègre avec Defender for Endpoint (EDR) et Sentinel (SIEM) pour une vue de sécurité unifiée (Microsoft 365 Defender).

Question 5

Vous devez diagnostiquer un problème de communication entre un serveur membre et le Domain Controller. Quelle commande devriez-vous utiliser pour tester la connectivité et afficher les tests de fonctionnalité du DC?

Answer

ping uniquement

Answer

dcdiag /test:connectivity ou dcdiag /v pour exécuter des tests complets (DNS, LDAP, replication, services, etc.)

Answer

ipconfig

Answer

Aucun outil de diagnostic DC n'existe

Answer

ping teste seulement ICMP, pas les services AD. C) ipconfig affiche la config réseau, pas les services AD. D) dcdiag existe depuis Windows 2000. Autres outils : nltest (Netlogon tests), netdom (domain trust verification), repadmin (replication). Centraliser les résultats dcdiag dans un script de monitoring quotidien pour détecter les problèmes proactivement.

Examen AZ-801 — AZ-801 - Configuring Windows Server Hybrid Advanced Services

À propos de l'examen AZ-801

Comment se préparer à l'examen AZ-801 ?

5 exemples de questions — AZ-801

Encore 55 questions dans l'examen complet

📖 Préparez-vous avec nos guides

Commencer l'examen AZ-801 complet