Guida Esame AZ-600 & Azure Hybrid Cloud: Azure Stack Hub, Azure Arc e Architetture Ibride [2026]

1. Il Ruolo dell'Operatore Azure Stack Hub (Competenze AZ-600)

L'esame AZ-600: Configuring and Operating a Hybrid Cloud with Microsoft Azure Stack Hub convalida le competenze tecniche per gestire Azure Stack Hub, la soluzione integrata hardware-software di Microsoft che replica il portale, l'Azure Resource Manager (ARM) e i servizi cloud core all'interno dell'infrastruttura locale dell'azienda.

A differenza del classico amministratore di sistema Windows Server o del cloud architect su Azure pubblico (AZ-104), l'operatore Azure Stack Hub ricopre un doppio ruolo:

• Cloud Service Provider interno: Crea e rende disponibili piani, offerte e quote (Offers & Plans) per i vari reparti o tenant aziendali.
• Infrastrutturista di datacenter: Monitora la salute dell'hardware sottostante (nodi rack, controller BMC, switch top-of-rack e Storage Spaces Direct), applica gli aggiornamenti cumulativi mensili e gestisce le rotazioni dei certificati TLS/SSL.

2. Matrice di Confronto: Azure Stack Hub vs HCI vs Azure Arc (2026)

Nel panorama enterprise odierno, Microsoft ha diversificato la propria proposta per il Cloud Ibrido in tre pilastri complementari:

3. Gestione IaaS Locale: Storage, Networking & Compute

In Azure Stack Hub, la componente di calcolo e archiviazione replica in scala ridotta l'architettura dei datacenter hyperscale di Microsoft:

Storage Spaces Direct (S2D) e Blob Locali

Tutti i dischi NVMe, SSD e SAS inseriti nei server sono aggregati tramite Storage Spaces Direct (S2D) in un pool condiviso a tre vie (three-way mirror). I tenant possono creare:

• Dischi rigidi virtuali VHDX gestiti (Managed Disks).
• Account di archiviazione compatibili con le API REST di Azure Blob, Table e Queue Storage.

Networking Software-Defined (SDN)

Azure Stack Hub adotta un'infrastruttura Network Virtualization using Generic Routing Encapsulation (NVGRE) / VXLAN che isola il traffico delle VM tenant tramite Virtual Network (VNet), Network Security Group (NSG) e Load Balancer interni, instradando verso l'esterno tramite BGP con gli switch del datacenter.

4. Identità Ibrida: Microsoft Entra ID vs AD FS Disconnesso

Uno degli argomenti centrali del programma AZ-600 riguarda la scelta del provider d'identità in fase di implementazione:

• Scenario Connesso (Microsoft Entra ID): Utilizzato per implementazioni connesse a Internet. Consente il Single Sign-On (SSO) con le credenziali aziendali M365, supporto nativo a Conditional Access, Multi-Factor Authentication (MFA) e federazione con il cloud pubblico.
• Scenario Disconnesso / Air-Gapped (Active Directory Federation Services - AD FS): Indispensabile per sottomarini, piattaforme petrolifere o datacenter governativi isolati dalla rete globale. Le identità e i token SAML/OAuth sono gestiti interamente da un cluster AD FS on-premise.

5. Automazione Amministrativa con PowerShell

L'amministrazione professionale di Azure Stack Hub richiede l'impiego del modulo ufficiale AzureStack su PowerShell. Ecco gli script pratici più utilizzati negli scenari operativi e richiesti negli esami tecnici:

Connessione all'Endpoint di Amministrazione Azure Stack

# Registra l'ambiente Azure Stack Hub nel client PowerShell locale
$ArmEndpoint = "https://adminmanagement.region.tuodominio.local"

Add-AzEnvironment -Name "AzureStackAdmin" `
                  -ArmEndpoint $ArmEndpoint

# Autenticazione come Operatore dell'infrastruttura
Connect-AzAccount -EnvironmentName "AzureStackAdmin"

Controllo dello Stato di Salute dell'Infrastruttura (Health Check)

Interroga i sensori hardware dei nodi e i sottosistemi di storage per rilevare alert critici:

# Recupera tutti gli allarmi infrastrutturali attivi
Get-AzsAlert -Filter "severity eq 'Critical'" | Select-Object -Property Title, Description, ImpactedResourceDisplayName

# Verifica lo stato delle unità disco nel cluster Storage Spaces Direct
Get-AzsDrive | Where-Object { $_.HealthStatus -ne "Healthy" } | Format-Table Name, HealthStatus, SizeGB

Estensione della Governance tramite Azure Arc (Agent Onboarding)

Per connettere una VM on-premise al piano di controllo unificato di Azure Arc:

# Download e installazione dell'agente Connected Machine (Windows)
& "$env:SystemRoot\System32\curl.exe" -L -o AzureConnectedMachineAgent.msi https://aka.ms/AzureConnectedMachineAgent
msiexec.exe /i AzureConnectedMachineAgent.msi /qn

# Connessione al tenant Entra ID con Service Principal dedicato
& "$env:ProgramFiles\AzureConnectedMachineAgent\azcmagent.exe" connect `
  --service-principal-id "00000000-0000-0000-0000-000000000000" `
  --service-principal-secret "TuocredenzialeSegreto" `
  --resource-group "rg-hybrid-arc" `
  --tenant-id "tuo-tenant-id" `
  --location "westeurope"

6. Roadmap di Studio & Come Affrontare le Domande di Esame

Se ti stai preparando per certificazioni sul Cloud Ibrido Microsoft o vuoi padroneggiare queste architetture in ambito ingegneristico, concentra la tua preparazione su questi quattro pilastri:

1. Offerte e Piani (40% dei casi studio): Capire la gerarchia Plan → Quota → Offer → Subscription. Una VM tenant non può essere creata se il piano non include una quota di core vCPU e indirizzi IP pubblici sufficienti.
2. Rotazione dei Certificati: Comprendere la procedura di rinnovo dei certificati TLS/SSL per i wildcard endpoint (*.vault.region.dominio, *.blob.region.dominio, *.adminmanagement.region.dominio) prima della scadenza annuale.
3. Disaster Recovery e Backup dell'Infrastruttura: Configurazione del servizio di backup integrato su una share SMB esterna (Storage NAS o file server) con chiave di cifratura simmetrica AES-256.
4. Integrazione Moderna con Azure Arc (AZ-800/801): La gestione ibrida contemporanea unisce le competenze di Azure Stack all'uso di Azure Arc-enabled Kubernetes e Azure Arc-enabled Servers per uniformare le policy Azure su qualsiasi hardware.