Feuille de Route AZ-104 Azure 2026 : L'Administrateur qui Réussit

Si vous voulez réussir l'AZ-104 en 2026, cessez d'étudier comme un touriste. Cet examen récompense les opérateurs capables de construire, de dépanner et de gouverner un tenant Azure sans assistance. Ce n'est pas un concours de faits divers sur des clics de portail. C'est un examen d'administration pratique centré sur Microsoft Entra ID, Azure RBAC, la gouvernance, le compute, le storage, le networking, le monitoring et le backup/DR. Le chemin le plus rapide vers une note de réussite est un plan rigoureux : apprendre les domaines de l'examen, construire un lab jetable, automatiser les tâches routinières et pratiquer sous contrainte de temps.

Ma feuille de route, bien que tranchée, est simple : traiter l'AZ-104 comme le diplôme de base pour les administrateurs de plateforme Azure, et non comme un cours pour débutants. Si vous comprenez déjà le DNS, les subnets, l'IAM et les sauvegardes, vous pouvez réduire votre temps d'étude. Si ce n'est pas le cas, vous avez besoin de répétitions pratiques, pas de fiches. L'examen évolue, mais la mémoire musculaire d'administrateur qu'il mesure ne change pas. En 2026, cela signifie être à l'aise avec Azure Portal, Azure CLI 2.65+, Azure PowerShell 11.x et l'expérience actuelle du Microsoft Entra admin center. Si vous pouvez opérer depuis la ligne de commande et le portail, vous irez plus vite et ferez moins d'erreurs.

1) Sachez ce que l'AZ-104 teste réellement

L'AZ-104 concerne l'administration Day-2. Cela signifie provisionner et sécuriser des ressources, pas concevoir une plateforme cloud mondiale. Vous devriez être capable de créer et de gérer des identités, des subscriptions, des resource groups, des virtual machines, des storage accounts, des virtual networks, du load balancing et du monitoring. Vous devez également savoir comment la gouvernance Azure fonctionne en pratique : management groups, subscriptions, policy assignments, resource locks et role-based access control.

L'examen a tendance à pénaliser les connaissances superficielles. Par exemple, il ne suffit pas de savoir qu'Azure Policy existe. Vous devez comprendre quand assigner une initiative built-in au niveau du management group par rapport à l'utilisation d'une custom policy au niveau du scope de la subscription. De même, il ne suffit pas de connaître les rôles RBAC. Vous devez connaître la différence entre Owner, Contributor et User Access Administrator, et où les rôles Microsoft Entra sont différents des rôles Azure RBAC.

Domaines clés à maîtriser

• Identité et gouvernance : Microsoft Entra ID, utilisateurs, groupes, assignations de rôles, rôles personnalisés, bases de PIM, policy, locks, tags, management groups.
• Storage : storage accounts, blob, file, queue, table, options de redondance, access tiers, SAS, access keys, lifecycle management, Azure Files.
• Compute : Azure virtual machines, VMSS, availability sets, images, disks, extensions, Azure Bastion, bases de l'autoscaling.
• Virtual networking : VNets, subnets, NSGs, UDRs, private endpoints, DNS, peering, VPN Gateway, load balancers, bases d'Application Gateway.
• Monitoring et backup : Azure Monitor, Log Analytics, alerts, activity logs, Resource Health, Recovery Services vault, backup policies.

2) Construisez un lab qui vous force à opérer

Si vous êtes sérieux, créez une subscription sandbox et cassez des choses intentionnellement. Un lab n'est pas une option. Des crédits Azure gratuits, une subscription pay-as-you-go ou une subscription Visual Studio suffisent. Réduisez les coûts avec de petits SKUs, de l'automatisation et un nettoyage agressif. Utilisez un resource group par exercice pour que le démantèlement soit déterministe.

Votre lab doit inclure :

• Un Microsoft Entra tenant avec au moins deux utilisateurs de test et un groupe.
• Une subscription sous votre contrôle pour les tests RBAC et policy.
• Une topologie hub-and-spoke ou simple à deux VNets avec peering.
• Une VM Windows Server 2022 ou Windows Server 2025 et une VM Ubuntu Server 24.04 LTS.
• Un storage account avec les services blob et file activés.
• Un Log Analytics workspace et des alert rules.
• Un Recovery Services vault avec la sauvegarde de VM configurée.

Utilisez des outils actuels. En 2026, Azure CLI 2.65+ est le moyen le plus rapide de répéter les tâches. Azure PowerShell 11.x est toujours très utilisé par les administrateurs, surtout dans les environnements d'entreprise avec des scripts hérités. Microsoft Sentinel et Defender for Cloud peuvent apparaître dans votre travail quotidien, mais l'AZ-104 se concentre davantage sur les opérations de plateforme que sur le SecOps avancé. Ne vous perdez pas dans des études non pertinentes.

Voici une séquence de CLI minimale avec laquelle vous devriez être à l'aise :

az login --use-device-code
az account set --subscription "AZ104-Lab"
az group create --name rg-az104-core --location eastus
az network vnet create \
  --resource-group rg-az104-core \
  --name vnet-hub \
  --address-prefix 10.10.0.0/16 \
  --subnet-name snet-app \
  --subnet-prefix 10.10.1.0/24
az storage account create \
  --name staz104lab2026 \
  --resource-group rg-az104-core \
  --location eastus \
  --sku Standard_LRS \
  --kind StorageV2

Faites les mêmes tâches via le portail, puis répétez-les en CLI. Si vous ne pouvez pas recréer une VM, un subnet, une règle NSG ou une configuration de sauvegarde à partir de zéro sans l'assistant, vous n'êtes pas prêt.

3) Identité et gouvernance : les points les plus précieux

C'est là que de nombreux candidats perdent des points faciles. L'administration Azure est l'administration d'identité. Si vous ne comprenez pas l'identité, rien d'autre n'a d'importance. En 2026, Microsoft Entra ID est le control plane pour les utilisateurs, les groupes, les app registrations, les concepts de Conditional Access et les workflows d'assignation de rôles privilégiés. Vous devez savoir où gérer les identités dans le Microsoft Entra admin center et où Azure Portal reste le lieu opérationnel pour le RBAC sur les ressources.

Concentrez-vous sur ces points :

• Authentication versus authorization : Entra ID prouve qui vous êtes ; Azure RBAC décide ce que vous pouvez faire.
• Rôles RBAC intégrés : Owner peut gérer l'accès et les ressources ; Contributor peut gérer les ressources mais pas accorder l'accès ; Reader peut afficher.
• Hiérarchie des scopes : management group, subscription, resource group, resource. Assignez au scope pratique le plus bas.
• Resource locks : CanNotDelete et ReadOnly sont des outils grossiers ; sachez quand les utiliser et leurs limites.
• Azure Policy : utilisez la policy pour appliquer des standards, auditer les dérives et refuser les déploiements non conformes.

Comprenez également l'accès basé sur les groupes. Dans les entreprises, vous assignez rarement des utilisateurs directement, sauf s'il y a une exception ponctuelle. Vous assignez des rôles à des groupes, puis gérez l'appartenance. C'est le modèle opérationnel sain. Pour la gouvernance, apprenez les tags, les initiatives de policy et la différence entre l'audit et le refus. Une policy qui audite une région non approuvée n'est pas la même chose qu'une qui bloque le déploiement. L'examen aime ces distinctions.

Un exercice pratique que je recommande est de créer un custom role avec des permissions limitées, de l'assigner au scope du resource group, puis de vérifier l'accès avec un utilisateur de test. Ensuite, déplacez l'assignation vers la subscription et observez le rayon d'impact. Cela enseigne le scope mieux que la lecture de docs ne le fera jamais.

4) Networking et compute : construire, connecter, dépanner

L'AZ-104 attend suffisamment de connaissances en networking pour administrer les ressources Azure en toute confiance. Vous n'êtes pas testé comme un spécialiste du networking Azure, mais vous devez absolument savoir ce qui perturbe la connectivité. Commencez par les VNets, les subnets, les address spaces, les NSGs et le peering. Ajoutez ensuite les private endpoints, la résolution DNS et l'équilibrage de charge de base. Si vous pouvez expliquer pourquoi une VM ne peut pas atteindre un storage account sur l'internet public lorsqu'un private endpoint et une private DNS zone sont configurés, vous êtes sur la bonne voie.

Pour le compute, connaissez le lifecycle des Azure virtual machines. Comprenez les images, les disques, les extensions, les availability sets, les scale sets et le redimensionnement de base. Sachez quand utiliser Azure Bastion au lieu d'exposer RDP ou SSH. En 2026, Bastion reste la solution propre pour un accès admin sécurisé. Comprenez comment les boot diagnostics et la serial console peuvent vous sauver lorsqu'une VM ne démarre pas.

Labs pratiques importants

1. Créez deux subnets, associez des NSGs et testez les règles de trafic est-ouest.
2. Faites du peering entre deux VNets et confirmez le comportement de routage par défaut.
3. Déployez une VM depuis l'Azure Marketplace, attachez un data disk et configurez une extension de script de démarrage.
4. Configurez Bastion et connectez-vous sans IP publique.
5. Déployez un Standard Load Balancer devant deux VMs Linux et validez les health probes.
6. Cassez le DNS délibérément, puis réparez-le à l'aide d'un private DNS zone link.

N'ignorez pas la différence entre Azure Load Balancer et Application Gateway. Vous n'avez pas besoin d'une expertise WAF approfondie pour l'AZ-104, mais vous devez savoir que l'un est Layer 4 et l'autre Layer 7, et quel problème chacun résout.

5) Storage, backup et monitoring : là où les administrateurs prouvent qu'ils peuvent maintenir les choses en vie

Le storage est ennuyeux jusqu'à ce qu'il vous coûte un incident de données. Pour l'AZ-104, connaissez les principaux services de storage et les contrôles administrateur importants. Un storage account n'est pas seulement un bac. C'est un control plane avec redondance, networking, encryption, access control, lifecycle et paramètres de performance. Apprenez quand utiliser LRS, ZRS, GRS et GZRS. Connaissez la différence entre les tiers hot, cool et archive. Connaissez la différence entre une account access key et une shared access signature. Sachez pourquoi vous devez préférer l'autorisation basée sur Microsoft Entra lorsque cela est applicable au lieu de distribuer des access keys partout.

Pour Azure Files, comprenez l'accès SMB, les options d'accès basées sur l'identité et les cas d'utilisation admin courants comme le lift-and-shift de partages de fichiers ou le stockage de profils utilisateur. Pour le backup, connaissez le comportement du Recovery Services vault, les backup policies, les concepts de rétention de snapshot et comment restaurer une VM ou des données au niveau du fichier. Les administrateurs sont jugés sur la récupération, pas sur l'espoir.

Le monitoring est la même histoire. Vous devez savoir comment Azure Monitor relie les metrics, les logs, les alerts et les dashboards. Les activity logs sont pour les événements du control plane. Log Analytics est pour les logs interrogeables. Resource Health vous indique si Azure estime que le service est altéré. Le style de question vous demande souvent de choisir la meilleure source de dépannage. Choisissez la bonne télémétrie, pas n'importe quelle télémétrie.

Exécutez des requêtes KQL dans un Log Analytics workspace. Apprenez-en assez pour filtrer les VM heartbeats, les failed sign-ins et les changements de ressources. Vous n'avez pas besoin de devenir un analyste Sentinel, mais vous devez être capable de trouver des preuves rapidement. Cette compétence est directement examinable et directement utile.

6) Un plan d'étude de 30 jours qui fonctionne réellement

Si vous avez un emploi à temps plein, vous avez besoin d'un plan compact. Voici le programme que je donnerais à un candidat sérieux.

1. Jours 1-7 : Identité et gouvernance. Construire des utilisateurs/groupes Entra, des assignations RBAC, des définitions de policy, des locks et des tags.
2. Jours 8-14 : Networking et compute. Construire des VNets, du peering, des NSGs, Bastion, des VMs et de l'équilibrage de charge de base.
3. Jours 15-20 : Storage. Déployer des storage accounts, des blobs, Azure Files, des access tiers et un accès basé sur SAS.
4. Jours 21-24 : Monitoring et backup. Configurer Log Analytics, des alerts, un Recovery Services vault et des tests de restauration.
5. Jours 25-28 : Reconstruire le lab entièrement de mémoire. Chronométrez-vous et documentez seulement après.
6. Jours 29-30 : Réviser les points faibles, faire des questions pratiques et se reposer.

Ne passez pas la dernière semaine à regarder des vidéos de résumé interminables. À ce moment-là, vous avez besoin de rappel et de confiance, pas d'ingestion passive. Reconstruisez le lab. C'est la vraie préparation à l'examen. Si vous voulez un point de départ structuré, comparez votre budget d'étude et vos options de support avec techleague.io.

7) Stratégie le jour de l'examen : la différence entre réussir et presque

L'AZ-104 est gérable si vous restez discipliné pendant l'examen. Lisez la question deux fois. La plupart des erreurs proviennent d'une ignorance des contraintes de scope, de région ou d'exigence. Surveillez les mots comme minimal management effort, least privilege, support for existing configuration et avoid downtime. Ces expressions modifient la bonne réponse.

Utilisez cette checklist mentale :

• De quel scope la question parle-t-elle ?
• L'exigence concerne-t-elle l'accès, la policy ou le déploiement ?
• La réponse demande-t-elle un comportement de portail, de CLI ou de PowerShell ?
• La solution est-elle préventive, détective ou corrective ?
• La fonctionnalité prend-elle réellement en charge le type de ressource ?

La gestion du temps est importante. Ne perdez pas huit minutes sur une seule question de glisser-déposer. Marquez-la, passez à autre chose et revenez plus tard. Éliminez d'abord les options manifestement fausses. Si deux réponses semblent plausibles, identifiez celle qui est la plus facile à opérer dans la vie réelle et qui correspond à l'exigence de scope. Microsoft aime la logique administrative réaliste, pas la perfection théorique.

Enfin, restez calme. Vous n'avez pas besoin d'un score parfait. Vous avez besoin d'un score de réussite et du jugement d'une personne qui a déjà administré Azure. Cela signifie comprendre la plateforme en tant que système : l'identité contrôle l'accès, la policy contrôle la dérive, le networking contrôle la joignabilité, le storage contrôle la durabilité, et le monitoring vous dit quand tout s'effondre.

En résumé : si vous pouvez construire le lab, expliquer le pourquoi derrière chaque service, et dépanner les pannes sans deviner, l'AZ-104 est faisable. Si vous ne mémorisez que des définitions, vous serez exposé. Commencez par le lab, pratiquez les tâches d'administration et obtenez la certification comme les opérateurs le devraient.

Appel à l'action : Bâtissez le lab cette semaine, planifiez l'examen et utilisez cette feuille de route comme plan d'opération. Si vous souhaitez une formation cloud plus structurée et une préparation à la certification, explorez les ressources sur techleague.io.