Microsoft Azure per amministratori: le competenze essenziali per gestire risorse cloud
Amministrare Azure non significa conoscere tutti i servizi della piattaforma: significa saperne governare un sottoinsieme coerente, quello che tiene in piedi l'infrastruttura di un'organizzazione. Identità, storage, compute, rete, monitoraggio. Chi padroneggia queste cinque aree riesce a gestire un ambiente cloud anche quando il numero di servizi disponibili cresce ogni mese; chi ne trascura una si trova prima o poi a risolvere un problema di accesso con un ticket aperto da tre giorni.
In questo articolo ricostruiamo le competenze essenziali di un amministratore Azure usando come riferimento il profilo ufficiale della certificazione Microsoft Certified: Azure Administrator Associate e il relativo esame AZ-104, con i contenuti aggiornati al 17 aprile 2026 e verificati sulle pagine Microsoft Learn il 11 settembre 2026.
Che cosa fa un amministratore Azure
Microsoft definisce il candidato a questa certificazione come una figura con competenza specifica nell'implementare, gestire e monitorare l'ambiente Azure di un'organizzazione, inclusi reti virtuali, storage, compute, identità, sicurezza e governance. Non lavora da solo: fa parte di un team più ampio che realizza l'infrastruttura cloud e collabora con chi si occupa di networking, sicurezza, database, sviluppo applicativo e DevOps.
È una precisazione importante, perché delimita il perimetro. L'amministratore Azure non è il progettista dell'architettura complessiva e non è lo sviluppatore: è la persona che traduce un disegno in risorse funzionanti, ne controlla l'accesso, ne misura il comportamento e ne gestisce il ciclo di vita.
Le basi che servono prima di iniziare
La pagina ufficiale elenca in modo esplicito le conoscenze pregresse attese. Da un lato la familiarità con sistemi operativi, networking, server e virtualizzazione; dall'altro l'esperienza pratica con PowerShell, Azure CLI, il portale Azure, i template Azure Resource Manager o i file Bicep e Microsoft Entra ID.
Letto al contrario, questo elenco è un'utile lista di controllo: chi arriva da un background sistemistico tradizionale ha già sistemi operativi, server e virtualizzazione; chi arriva dal networking ha la parte di rete. Quasi sempre manca l'esperienza con l'infrastruttura come codice (template ARM o Bicep) e la confidenza con Entra ID. Sono esattamente i due ambiti in cui conviene investire prima, perché ricorrono in tutte le aree dell'esame e, soprattutto, in tutte le attività quotidiane.
Le cinque aree di competenza
Le competenze misurate dall'esame AZ-104 sono organizzate in cinque gruppi, con pesi dichiarati da Microsoft. Conoscerli serve a capire dove si concentra il lavoro reale.
| Area | Peso | Che cosa comprende |
|---|---|---|
| Gestione di identità e governance Azure | 20–25% | Utenti e gruppi Entra ID, licenze, utenti esterni, SSPR; ruoli predefiniti e assegnazioni su scope diversi; Azure Policy, resource lock, tag, gruppi di risorse, sottoscrizioni, management group, controllo dei costi con avvisi, budget e raccomandazioni di Azure Advisor |
| Implementazione e gestione dello storage | 15–20% | Firewall e reti virtuali dello storage, token SAS, policy di accesso archiviate, chiavi di accesso, accesso basato su identità per Azure Files; ridondanza, replica degli oggetti, cifratura; condivisioni file, container blob, tier, soft delete, snapshot, lifecycle management, versioning |
| Distribuzione e gestione delle risorse di calcolo | 20–25% | Template ARM e file Bicep, esportazione e conversione; macchine virtuali, cifratura at host, spostamenti tra gruppi di risorse e regioni, dischi, zone e set di disponibilità, scale set; Azure Container Registry, Container Instances, Container Apps; App Service, piani, TLS, nomi DNS personalizzati, backup, networking, slot di distribuzione |
| Implementazione e gestione della rete virtuale | 15–20% | Reti virtuali e subnet, peering, indirizzi IP pubblici, route definite dall'utente, troubleshooting della connettività; network security group e application security group, regole effettive, Azure Bastion, service endpoint e private endpoint per i servizi PaaS; Azure DNS, bilanciatori interni e pubblici |
| Monitoraggio e manutenzione delle risorse | 10–15% | Metriche e log di Azure Monitor, query sui log, regole di avviso, action group e regole di elaborazione; Azure Monitor Insights per VM, storage e rete; Network Watcher e Connection Monitor; Recovery Services vault, Backup vault, policy di backup, ripristino, Azure Site Recovery e failover su una regione secondaria |
Il peso maggiore va a identità/governance e compute, ciascuno con un intervallo del 20–25%. È coerente con la realtà: gran parte degli incidenti in cloud nasce da un permesso troppo ampio o da una risorsa distribuita male, non da un servizio esotico.
Un giorno di lavoro tipico
Un modo utile per capire se le competenze sono solide è seguirle dentro una giornata normale.
Arriva la richiesta di accesso per un nuovo dipendente: si crea l'utente in Entra ID, si assegnano licenze, si inserisce nel gruppo corretto e si verifica che l'assegnazione dei ruoli sia coerente con il minimo privilegio. Il giorno dopo la stessa persona cambia reparto: l'assegnazione va rivista, non duplicata.
Un team di sviluppo chiede spazio per i log applicativi: si configura un account di storage, si imposta la ridondanza in base alle esigenze di continuità, si definiscono le policy di lifecycle per non accumulare dati inutili e si espone l'accesso con un token SAS o, meglio, con un'identità gestita, a seconda del caso.
Un'applicazione in produzione mostra latenze anomale: si passa da Azure Monitor per leggere le metriche, si interrogano i log, si verifica che le regole di avviso abbiano effettivamente notificato qualcuno e si controlla con Network Watcher se il problema è di connettività o di capacità.
Un revisore chiede conto dei costi: si scorrono le raccomandazioni di Azure Advisor, si controllano budget e avvisi, si verifica che i tag siano applicati e che le risorse non utilizzate siano state individuate.
Nessuna di queste attività richiede un servizio raro. Richiede metodo.
Le competenze che distinguono un buon amministratore
Alcune capacità non compaiono come voci isolate nel programma d'esame, ma emergono trasversalmente. Vale la pena isolarle, perché sono quelle che nella pratica fanno la differenza.
Partire dall'identità. In Azure l'identità è il primo controllo di sicurezza: ruoli, scope, utenti esterni, self-service password reset, accesso basato su identità ai servizi. Un errore qui non si corregge con un firewall.
Governare con policy e tag, non con le buone intenzioni. Azure Policy, resource lock, tag e management group sono il modo per rendere certe configurazioni obbligatorie invece di raccomandate. Un amministratore che configura a mano ogni risorsa lavora il doppio e sbaglia di più.
Automatizzare la distribuzione. Saper leggere, modificare ed esportare un template ARM o un file Bicep è ciò che distingue chi ricrea un ambiente in un'ora da chi impiega una settimana. È anche il presupposto per ambienti di test coerenti con la produzione.
Chiudere la rete. Service endpoint, private endpoint e Azure Bastion sono gli strumenti con cui si smette di esporre i servizi PaaS su Internet. È una delle competenze più richieste in fase di assessment di sicurezza e una delle più trascurate nella pratica.
Misurare e ripristinare. Monitoraggio e backup hanno il peso più basso nell'esame, ma sono la parte che si scopre di non avere nel momento peggiore. Un piano di backup senza un test di ripristino documentato è un'ipotesi, non una garanzia.
Il percorso di certificazione
La certificazione Microsoft Certified: Azure Administrator Associate si ottiene superando l'esame AZ-104. I dati ufficiali aggiornati:
- Livello: intermedio; ruolo: amministratore; prodotto: Azure.
- Durata dell'esame: 100 minuti, con supervisione e possibile presenza di componenti interattive.
- Soglia di superamento: 700 o superiore.
- Lingue: l'esame è disponibile anche in italiano, oltre che in inglese, cinese semplificato e tradizionale, coreano, giapponese, francese, spagnolo, tedesco e portoghese (Brasile).
- Aggiornamento delle competenze misurate: 17 aprile 2026, con modifiche definite "minor" sulle aree storage, compute, networking e monitoraggio.
- Rinnovo: le certificazioni associate e specialty Microsoft scadono ogni 12 mesi; il rinnovo avviene gratuitamente superando una valutazione online su Microsoft Learn.
Il rinnovo annuale è un dettaglio da mettere in conto quando si pianifica la carriera: non è un esame, ma richiede di restare aggiornati. Chi studia una volta e non tocca più la piattaforma tende a rimandare il rinnovo fino a perderlo.
Per chi parte da zero, il percorso sensato è costruire prima la familiarity con i fondamenti cloud e poi concentrarsi su AZ-104. Per chi ha già esperienza pratica, la certificazione serve soprattutto a colmare i buchi: quasi nessuno lavora quotidianamente su tutte e cinque le aree, e la meno praticata è di solito quella che l'esame mette in difficoltà.
Un piano di studio realistico
Sei-otto settimane, con un laboratorio vero, sono un orizzonte ragionevole per chi ha già basi IT e dedica qualche ora a settimana.
- Settimana 1 — fondamenta. Portale, sottoscrizioni, gruppi di risorse, management group, tag. Riprodurre a mano ciò che il portale fa automaticamente aiuta a capire dove si applicano le policy.
- Settimane 2–3 — identità e governance. Entra ID, ruoli predefiniti, assegnazioni su scope diversi, utenti esterni, SSPR, Azure Policy, lock, controllo dei costi. Esercizio utile: simulare un'assegnazione di ruolo sbagliata e leggere il risultato delle regole effettive.
- Settimana 4 — storage. Ridondanza, cifratura, SAS, accesso basato su identità, lifecycle, soft delete e versioning. Da provare anche il recupero di un blob eliminato.
- Settimane 5–6 — compute. Distribuzione con template e Bicep, macchine virtuali, dischi, zone e set di disponibilità, container in Container Apps e App Service con slot.
- Settimana 7 — rete. Reti e subnet, peering, route definite dall'utente, NSG e regole effettive, Bastion, private endpoint, DNS e bilanciatori.
- Settimana 8 — monitoraggio e simulazioni. Metriche, log e query, avvisi e action group, Network Watcher, backup e Site Recovery; poi valutazione pratica e ripasso delle aree con il punteggio più basso.
Il consiglio metodologico è sempre lo stesso: ogni argomento va provato in un laboratorio, anche minimo. Azure si impara sbagliando su risorse che si possono cancellare, non leggendo l'elenco dei servizi.
Domande frequenti
Serve una certificazione precedente per sostenere AZ-104? No. Non è richiesta una certificazione come prerequisito formale; Microsoft indica le esperienze e le conoscenze attese (sistemi operativi, networking, server, virtualizzazione, PowerShell, Azure CLI, portale, template ARM o Bicep, Entra ID).
Quanto dura la certificazione? La certificazione va rinnovata ogni 12 mesi. Il rinnovo è gratuito e avviene tramite una valutazione online su Microsoft Learn.
L'esame è disponibile in italiano? Sì, AZ-104 è tra gli esami localizzati in italiano. Microsoft aggiorna prima la versione inglese e le altre lingue circa otto settimane dopo.
Quanto conta il laboratorio rispetto allo studio teorico? Molto. Le domande dell'esame descrivono scenari operativi, e le competenze su policy, rete e backup diventano chiare solo quando si configurano davvero.
In sintesi
Le competenze essenziali di un amministratore Azure stanno in cinque aree — identità e governance, storage, compute, rete, monitoraggio — e in un'attitudine: governare con policy e automazione invece di configurare a mano. La certificazione AZ-104 formalizza questo perimetro, con un esame da 100 minuti, soglia di 700 e rinnovo annuale gratuito.
Se vuoi costruire queste competenze con un percorso strutturato, laboratori su un tenant reale e docenti che lavorano ogni giorno su Azure, scopri i corsi Microsoft di Digital Lab.