(function() {
  var extra = [
    {
      id: 'az500-101',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'What do Microsoft Entra access reviews help organizations verify?', de: 'Was helfen Microsoft-Entra-Zugriffsüberprüfungen Organisationen zu verifizieren?' },
      options: [
        { id: 'A', text: { en: 'That users still need group or application access', de: 'Dass Benutzer weiterhin Gruppen- oder Anwendungszugriff benötigen' } },
        { id: 'B', text: { en: 'That NSG priorities are unique', de: 'Dass NSG-Prioritäten eindeutig sind' } },
        { id: 'C', text: { en: 'That storage accounts use GRS', de: 'Dass Speicherkonten GRS verwenden' } },
        { id: 'D', text: { en: 'That SQL databases are on the latest engine version', de: 'Dass SQL-Datenbanken auf der neuesten Engine-Version ausgeführt werden' } }
      ],
      correct: ['A'],
      explanation: { en: 'Access reviews let organizations periodically confirm whether users, guests, or group members still require the access they currently have.', de: 'Zugriffsüberprüfungen ermöglichen es Organisationen, regelmäßig zu bestätigen, ob Benutzer, Gäste oder Gruppenmitglieder den aktuell vorhandenen Zugriff weiterhin benötigen.' },
      hint: { en: 'Think about periodic validation of existing access.', de: 'Denken Sie an die regelmäßige Validierung bestehender Zugriffe.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
    },
    {
      id: 'az500-102',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Entra group capability is required before you can assign directory roles to a group?', de: 'Welche Microsoft-Entra-Gruppeneigenschaft ist erforderlich, bevor Sie einer Gruppe Verzeichnisrollen zuweisen können?' },
      options: [
        { id: 'A', text: { en: 'Mail-enabled', de: 'E-Mail-aktiviert' } },
        { id: 'B', text: { en: 'Role-assignable', de: 'Rollenzuweisbar' } },
        { id: 'C', text: { en: 'Dynamic membership', de: 'Dynamische Mitgliedschaft' } },
        { id: 'D', text: { en: 'Hidden membership', de: 'Ausgeblendete Mitgliedschaft' } }
      ],
      correct: ['B'],
      explanation: { en: 'Only role-assignable groups can receive Microsoft Entra directory roles, which helps delegate privileged access through group membership.', de: 'Nur rollenzuweisbare Gruppen können Microsoft-Entra-Verzeichnisrollen erhalten. Dadurch lässt sich privilegierter Zugriff über Gruppenmitgliedschaften delegieren.' },
      hint: { en: 'The group must be eligible for privileged role assignment.', de: 'Die Gruppe muss für die Zuweisung privilegierter Rollen geeignet sein.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/groups-concept'
    },
    {
      id: 'az500-103',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which authentication methods can satisfy a phishing-resistant authentication strength? Choose all that apply.', de: 'Welche Authentifizierungsmethoden können eine phishingresistente Authentifizierungsstärke erfüllen? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'FIDO2 security key', de: 'FIDO2-Sicherheitsschlüssel' } },
        { id: 'B', text: { en: 'Windows Hello for Business', de: 'Windows Hello for Business' } },
        { id: 'C', text: { en: 'Certificate-based authentication', de: 'Zertifikatbasierte Authentifizierung' } },
        { id: 'D', text: { en: 'SMS one-time passcode', de: 'SMS-Einmalkennwort' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Phishing-resistant authentication strengths can require methods such as FIDO2, Windows Hello for Business, or certificate-based authentication. SMS is not phishing resistant.', de: 'Phishingresistente Authentifizierungsstärken können Methoden wie FIDO2, Windows Hello for Business oder zertifikatbasierte Authentifizierung verlangen. SMS ist nicht phishingresistent.' },
      hint: { en: 'Choose the strong methods that resist token theft and replay.', de: 'Wählen Sie die starken Methoden, die gegen Token-Diebstahl und Wiederverwendung resistent sind.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-strengths'
    },
    {
      id: 'az500-104',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Contoso collaborates with Fabrikam by using Microsoft Entra B2B. Fabrikam already enforces strong MFA for its users. Contoso wants guest users from Fabrikam to access Contoso applications without being prompted for an additional MFA challenge every time. Contoso still wants to trust only Fabrikam MFA claims that are explicitly configured.', de: 'Contoso arbeitet mit Fabrikam über Microsoft Entra B2B zusammen. Fabrikam erzwingt bereits starke MFA für seine Benutzer. Contoso möchte, dass Gastbenutzer von Fabrikam auf Contoso-Anwendungen zugreifen können, ohne jedes Mal zu einer zusätzlichen MFA-Abfrage aufgefordert zu werden. Contoso möchte jedoch nur solche MFA-Ansprüche von Fabrikam vertrauen, die ausdrücklich konfiguriert wurden.' },
      question: { en: 'What should Contoso configure?', de: 'Was sollte Contoso konfigurieren?' },
      options: [
        { id: 'A', text: { en: 'Cross-tenant access settings with MFA trust for Fabrikam', de: 'Mandantenübergreifende Zugriffseinstellungen mit MFA-Vertrauen für Fabrikam' } },
        { id: 'B', text: { en: 'An Azure Firewall application rule', de: 'Eine Azure-Firewall-Anwendungsregel' } },
        { id: 'C', text: { en: 'A storage account shared access signature', de: 'Eine Shared Access Signature für ein Speicherkonto' } },
        { id: 'D', text: { en: 'A public DNS zone delegation', de: 'Eine Delegierung einer öffentlichen DNS-Zone' } }
      ],
      correct: ['A'],
      explanation: { en: 'Cross-tenant access settings let Contoso define trust for MFA and device claims from Fabrikam so that partner signals can satisfy Contoso access requirements when appropriate.', de: 'Mit mandantenübergreifenden Zugriffseinstellungen kann Contoso Vertrauen für MFA- und Geräteansprüche von Fabrikam definieren, sodass Partnersignale bei Bedarf die Zugriffsanforderungen von Contoso erfüllen können.' },
      hint: { en: 'Use the B2B trust feature between tenants.', de: 'Verwenden Sie die B2B-Vertrauensfunktion zwischen Mandanten.' },
      reference: 'https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-overview'
    },
    {
      id: 'az500-105',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Entra feature lets you assign business labels to directory objects for governance and policy decisions?', de: 'Mit welcher Microsoft-Entra-Funktion können Sie Geschäftskennzeichnungen auf Verzeichnisobjekte anwenden, um Governance- und Richtlinienentscheidungen zu unterstützen?' },
      options: [
        { id: 'A', text: { en: 'Custom security attributes', de: 'Benutzerdefinierte Sicherheitsattribute' } },
        { id: 'B', text: { en: 'Management groups', de: 'Verwaltungsgruppen' } },
        { id: 'C', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'D', text: { en: 'Application security groups', de: 'Anwendungssicherheitsgruppen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Custom security attributes provide structured labels on supported directory objects that can be used for governance, automation, and fine-grained access scenarios.', de: 'Benutzerdefinierte Sicherheitsattribute stellen strukturierte Kennzeichnungen für unterstützte Verzeichnisobjekte bereit, die für Governance, Automatisierung und fein abgestufte Zugriffsszenarien verwendet werden können.' },
      hint: { en: 'Think of metadata on identities and service principals.', de: 'Denken Sie an Metadaten für Identitäten und Dienstprinzipale.' },
      reference: 'https://learn.microsoft.com/en-us/entra/fundamentals/custom-security-attributes-overview'
    },
    {
      id: 'az500-106',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'A GitHub Actions workflow must sign in to Microsoft Entra ID without storing a client secret. What should you configure on the app registration?', de: 'Ein GitHub-Actions-Workflow muss sich bei Microsoft Entra ID anmelden, ohne ein Clientgeheimnis zu speichern. Was sollten Sie in der App-Registrierung konfigurieren?' },
      options: [
        { id: 'A', text: { en: 'A federated identity credential', de: 'Eine Verbundidentitätsanmeldeinformation' } },
        { id: 'B', text: { en: 'A long-lived client secret', de: 'Ein langlebiges Clientgeheimnis' } },
        { id: 'C', text: { en: 'A storage account key', de: 'Einen Speicherkontoschlüssel' } },
        { id: 'D', text: { en: 'An NSG security rule', de: 'Eine NSG-Sicherheitsregel' } }
      ],
      correct: ['A'],
      explanation: { en: 'Workload identity federation lets trusted external workload identities, such as GitHub Actions, obtain tokens without storing secrets or certificates in the pipeline.', de: 'Mit Workload Identity Federation können vertrauenswürdige externe Workloadidentitäten wie GitHub Actions Token erhalten, ohne Geheimnisse oder Zertifikate in der Pipeline zu speichern.' },
      hint: { en: 'Use secretless federation for external workload identities.', de: 'Verwenden Sie eine geheimnisfreie Verbundlösung für externe Workloadidentitäten.' },
      reference: 'https://learn.microsoft.com/en-us/entra/workload-id/workload-identity-federation'
    },
    {
      id: 'az500-107',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Tailwind Traders often grants temporary access to Microsoft 365 groups, enterprise applications, and SharePoint sites for contractors. The approvals must include a sponsor and an expiration date. Access should be requested through a self-service process instead of manual administrator changes. The security team wants one repeatable package for this external access.', de: 'Tailwind Traders gewährt Auftragnehmern häufig temporären Zugriff auf Microsoft-365-Gruppen, Unternehmensanwendungen und SharePoint-Websites. Die Genehmigungen müssen einen Sponsor und ein Ablaufdatum enthalten. Der Zugriff soll über einen Self-Service-Prozess statt über manuelle Administratoränderungen angefordert werden. Das Sicherheitsteam möchte dafür ein wiederverwendbares Paket bereitstellen.' },
      question: { en: 'Which Microsoft Entra capability best fits this requirement?', de: 'Welche Microsoft-Entra-Funktion passt am besten zu dieser Anforderung?' },
      options: [
        { id: 'A', text: { en: 'An access package in entitlement management', de: 'Ein Zugriffspaket in Entitlement Management' } },
        { id: 'B', text: { en: 'A local administrator password solution', de: 'Eine Lösung für lokale Administratorkennwörter' } },
        { id: 'C', text: { en: 'A network security group', de: 'Eine Netzwerksicherheitsgruppe' } },
        { id: 'D', text: { en: 'A route table', de: 'Eine Routentabelle' } }
      ],
      correct: ['A'],
      explanation: { en: 'Entitlement management access packages bundle resources, approvals, policies, and expiration settings so external and internal users can request governed access in a controlled way.', de: 'Zugriffspakete in Entitlement Management bündeln Ressourcen, Genehmigungen, Richtlinien und Ablaufeinstellungen, damit externe und interne Benutzer kontrolliert verwalteten Zugriff anfordern können.' },
      hint: { en: 'Choose the identity governance feature for request-based temporary access.', de: 'Wählen Sie die Identity-Governance-Funktion für anforderungsbasierten temporären Zugriff.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview'
    },
    {
      id: 'az500-108',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Microsoft Entra feature scopes delegated user administration to a subset of the directory?', de: 'Welche Microsoft-Entra-Funktion begrenzt delegierte Benutzerverwaltung auf einen Teil des Verzeichnisses?' },
      options: [
        { id: 'A', text: { en: 'Administrative units', de: 'Administrative Einheiten' } },
        { id: 'B', text: { en: 'Management groups', de: 'Verwaltungsgruppen' } },
        { id: 'C', text: { en: 'Azure Policy initiatives', de: 'Azure-Policy-Initiativen' } },
        { id: 'D', text: { en: 'Storage account firewalls', de: 'Speicherkonto-Firewalls' } }
      ],
      correct: ['A'],
      explanation: { en: 'Administrative units let you delegate directory administration over a limited set of users, groups, or devices rather than the entire tenant.', de: 'Administrative Einheiten ermöglichen es, Verzeichnisverwaltung über eine begrenzte Menge von Benutzern, Gruppen oder Geräten statt über den gesamten Mandanten zu delegieren.' },
      hint: { en: 'Think about delegated administration for only one part of the tenant.', de: 'Denken Sie an delegierte Verwaltung nur für einen Teil des Mandanten.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units'
    },
    {
      id: 'az500-109',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure resources can use managed identities? Choose all that apply.', de: 'Welche Azure-Ressourcen können verwaltete Identitäten verwenden? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Virtual machines', de: 'Virtuelle Computer' } },
        { id: 'B', text: { en: 'App Service apps', de: 'App-Service-Apps' } },
        { id: 'C', text: { en: 'Azure Functions apps', de: 'Azure-Functions-Apps' } },
        { id: 'D', text: { en: 'Public DNS zones', de: 'Öffentliche DNS-Zonen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Managed identities can be enabled on many Azure compute and platform resources such as VMs, App Service, and Functions so those resources can obtain tokens without stored credentials.', de: 'Verwaltete Identitäten können für viele Azure-Compute- und Plattformressourcen wie VMs, App Service und Functions aktiviert werden, damit diese Ressourcen Token ohne gespeicherte Anmeldeinformationen erhalten können.' },
      hint: { en: 'Pick the compute and app resources, not the DNS resource.', de: 'Wählen Sie die Compute- und Anwendungsressourcen, nicht die DNS-Ressource.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'az500-110',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Woodgrove Bank has separate European and North American operations in one Microsoft Entra tenant. A regional helpdesk in Europe must reset passwords only for European users. The team must not see or manage identities from other regions. The solution should avoid tenant-wide helpdesk permissions.', de: 'Woodgrove Bank hat getrennte europäische und nordamerikanische Betriebsbereiche in einem Microsoft-Entra-Mandanten. Ein regionaler Helpdesk in Europa soll Kennwörter nur für europäische Benutzer zurücksetzen können. Das Team darf keine Identitäten anderer Regionen sehen oder verwalten. Die Lösung soll mandantenweite Helpdesk-Berechtigungen vermeiden.' },
      question: { en: 'What should you implement?', de: 'Was sollten Sie implementieren?' },
      options: [
        { id: 'A', text: { en: 'A management group for European users', de: 'Eine Verwaltungsgruppe für europäische Benutzer' } },
        { id: 'B', text: { en: 'An administrative unit with scoped role assignments', de: 'Eine administrative Einheit mit bereichsbezogenen Rollenzuweisungen' } },
        { id: 'C', text: { en: 'A private endpoint for Microsoft Entra ID', de: 'Einen Private Endpoint für Microsoft Entra ID' } },
        { id: 'D', text: { en: 'A resource lock on the tenant', de: 'Eine Ressourcensperre auf dem Mandanten' } }
      ],
      correct: ['B'],
      explanation: { en: 'Administrative units combined with scoped role assignments let regional administrators manage only the users and groups placed in that unit.', de: 'Administrative Einheiten in Kombination mit bereichsbezogenen Rollenzuweisungen ermöglichen es regionalen Administratoren, nur die Benutzer und Gruppen innerhalb dieser Einheit zu verwalten.' },
      hint: { en: 'The requirement is delegated directory administration by region.', de: 'Die Anforderung ist eine regionale delegierte Verzeichnisverwaltung.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/administrative-units'
    },
    {
      id: 'az500-111',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'An application must call Microsoft Graph on behalf of a signed-in user. Which permission type should it request?', de: 'Eine Anwendung muss Microsoft Graph im Namen eines angemeldeten Benutzers aufrufen. Welchen Berechtigungstyp sollte sie anfordern?' },
      options: [
        { id: 'A', text: { en: 'Delegated permission', de: 'Delegierte Berechtigung' } },
        { id: 'B', text: { en: 'Directory role', de: 'Verzeichnisrolle' } },
        { id: 'C', text: { en: 'Management group inheritance', de: 'Vererbung über Verwaltungsgruppen' } },
        { id: 'D', text: { en: 'Storage shared key', de: 'Speicherkontoschlüssel' } }
      ],
      correct: ['A'],
      explanation: { en: 'Delegated permissions are used when an app acts on behalf of a signed-in user and the user context influences what the app can do.', de: 'Delegierte Berechtigungen werden verwendet, wenn eine App im Namen eines angemeldeten Benutzers handelt und der Benutzerkontext bestimmt, was die App tun darf.' },
      hint: { en: 'The app is not acting as itself.', de: 'Die App handelt nicht in eigenem Namen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/permissions-consent-overview'
    },
    {
      id: 'az500-112',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Humongous Insurance wants cloud administrators to activate the Owner role on production subscriptions only when needed. The activation must require approval and MFA, and it must expire automatically after a short period. Permanent standing access is not allowed. The company also wants an audit trail of every activation.', de: 'Humongous Insurance möchte, dass Cloudadministratoren die Rolle Owner für Produktionsabonnements nur bei Bedarf aktivieren. Die Aktivierung muss Genehmigung und MFA erfordern und nach kurzer Zeit automatisch ablaufen. Dauerhafter ständiger Zugriff ist nicht zulässig. Das Unternehmen möchte außerdem einen Auditnachweis für jede Aktivierung.' },
      question: { en: 'Which solution should you configure?', de: 'Welche Lösung sollten Sie konfigurieren?' },
      options: [
        { id: 'A', text: { en: 'An eligible role assignment in PIM for Azure resources', de: 'Eine berechtigte Rollenzuweisung in PIM für Azure-Ressourcen' } },
        { id: 'B', text: { en: 'A permanent Owner role assignment', de: 'Eine permanente Rollenzuweisung als Owner' } },
        { id: 'C', text: { en: 'A storage account access policy', de: 'Eine Zugriffsrichtlinie für ein Speicherkonto' } },
        { id: 'D', text: { en: 'A route table with forced tunneling', de: 'Eine Routentabelle mit erzwungenem Tunneling' } }
      ],
      correct: ['A'],
      explanation: { en: 'PIM for Azure resources supports eligible assignments, approval, MFA, just-in-time activation, and auditing for Azure RBAC roles such as Owner.', de: 'PIM für Azure-Ressourcen unterstützt berechtigte Zuweisungen, Genehmigungen, MFA, Just-in-Time-Aktivierung und Überwachung für Azure-RBAC-Rollen wie Owner.' },
      hint: { en: 'Use just-in-time activation for Azure RBAC roles.', de: 'Verwenden Sie Just-in-Time-Aktivierung für Azure-RBAC-Rollen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure'
    },
    {
      id: 'az500-113',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Microsoft Entra capability creates guest accounts for external partner users?', de: 'Welche Microsoft-Entra-Funktion erstellt Gastkonten für externe Partnerbenutzer?' },
      options: [
        { id: 'A', text: { en: 'B2B collaboration', de: 'B2B-Zusammenarbeit' } },
        { id: 'B', text: { en: 'Managed HSM', de: 'Managed HSM' } },
        { id: 'C', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'D', text: { en: 'Disk Encryption Set', de: 'Disk Encryption Set' } }
      ],
      correct: ['A'],
      explanation: { en: 'Microsoft Entra B2B collaboration enables external users to be invited as guests so they can access selected applications and resources.', de: 'Microsoft Entra B2B-Zusammenarbeit ermöglicht es, externe Benutzer als Gäste einzuladen, damit sie auf ausgewählte Anwendungen und Ressourcen zugreifen können.' },
      hint: { en: 'Think about external collaboration identities.', de: 'Denken Sie an Identitäten für die externe Zusammenarbeit.' },
      reference: 'https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-overview'
    },
    {
      id: 'az500-114',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Conditional Access conditions specifically depend on Microsoft Entra ID Protection risk detections? Choose all that apply.', de: 'Welche Bedingungen für bedingten Zugriff hängen speziell von den Risikoerkennungen in Microsoft Entra ID Protection ab? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Sign-in risk', de: 'Anmelderisiko' } },
        { id: 'B', text: { en: 'User risk', de: 'Benutzerrisiko' } },
        { id: 'C', text: { en: 'Filter for devices', de: 'Filter für Geräte' } },
        { id: 'D', text: { en: 'SQL compatibility level', de: 'SQL-Kompatibilitätsstufe' } }
      ],
      correct: ['A', 'B'],
      explanation: { en: 'Risk-based Conditional Access relies on Microsoft Entra ID Protection detections such as sign-in risk and user risk. Device filters are a separate condition type, and SQL settings are unrelated.', de: 'Risikobasierter bedingter Zugriff verwendet Erkennungen aus Microsoft Entra ID Protection wie Anmelderisiko und Benutzerrisiko. Gerätefilter sind ein separater Bedingungstyp, und SQL-Einstellungen sind nicht relevant.' },
      hint: { en: 'Focus on the conditions that come directly from identity risk signals.', de: 'Konzentrieren Sie sich auf die Bedingungen, die direkt aus Identitätsrisikosignalen stammen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview'
    },
    {
      id: 'az500-115',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Datum Corporation wants to block legacy authentication for all employees. Two emergency access accounts must remain available if Conditional Access or MFA services fail. The security team wants the normal workforce to be protected by policy and the emergency accounts to remain tightly controlled. The solution must use Microsoft Entra native controls.', de: 'Datum Corporation möchte die Legacy-Authentifizierung für alle Mitarbeiter blockieren. Zwei Notfallzugriffskonten müssen verfügbar bleiben, falls bedingter Zugriff oder MFA-Dienste ausfallen. Das Sicherheitsteam möchte die reguläre Belegschaft per Richtlinie schützen und die Notfallkonten weiterhin streng kontrollieren. Die Lösung muss native Microsoft-Entra-Steuerelemente verwenden.' },
      question: { en: 'What is the best approach?', de: 'Was ist der beste Ansatz?' },
      options: [
        { id: 'A', text: { en: 'Create a Conditional Access policy that blocks legacy authentication and excludes the emergency accounts', de: 'Eine Richtlinie für bedingten Zugriff erstellen, die Legacy-Authentifizierung blockiert und die Notfallkonten ausschließt' } },
        { id: 'B', text: { en: 'Publish the emergency accounts in a public DNS zone', de: 'Die Notfallkonten in einer öffentlichen DNS-Zone veröffentlichen' } },
        { id: 'C', text: { en: 'Use an NSG to block POP and IMAP globally', de: 'Eine NSG verwenden, um POP und IMAP global zu blockieren' } },
        { id: 'D', text: { en: 'Place all users in the Global Administrator role', de: 'Alle Benutzer der Rolle Global Administrator zuweisen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Conditional Access can directly target legacy authentication client apps while allowing carefully excluded emergency access accounts for break-glass scenarios.', de: 'Bedingter Zugriff kann Legacy-Authentifizierungsclient-Apps direkt adressieren und gleichzeitig sorgfältig ausgeschlossene Notfallzugriffskonten für Break-Glass-Szenarien zulassen.' },
      hint: { en: 'Use identity policy controls, not network controls, for legacy auth.', de: 'Verwenden Sie Identitätsrichtlinien und keine Netzwerkkontrollen für Legacy-Authentifizierung.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview'
    },
    {
      id: 'az500-116',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which app registration feature defines application-specific permissions that can be assigned to users, groups, or service principals?', de: 'Welche Funktion einer App-Registrierung definiert anwendungsspezifische Berechtigungen, die Benutzern, Gruppen oder Dienstprinzipalen zugewiesen werden können?' },
      options: [
        { id: 'A', text: { en: 'App roles', de: 'App-Rollen' } },
        { id: 'B', text: { en: 'Resource locks', de: 'Ressourcensperren' } },
        { id: 'C', text: { en: 'Availability zones', de: 'Verfügbarkeitszonen' } },
        { id: 'D', text: { en: 'Route filters', de: 'Routenfilter' } }
      ],
      correct: ['A'],
      explanation: { en: 'App roles define authorization roles exposed by an application and can be assigned to users, groups, or service principals for application access.', de: 'App-Rollen definieren Autorisierungsrollen, die von einer Anwendung bereitgestellt werden, und können Benutzern, Gruppen oder Dienstprinzipalen für den Anwendungszugriff zugewiesen werden.' },
      hint: { en: 'This is the application-side authorization model in Entra app registrations.', de: 'Dies ist das anwendungsseitige Autorisierungsmodell in Entra-App-Registrierungen.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/howto-add-app-roles-in-apps'
    },
    {
      id: 'az500-117',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Trey Research runs several Azure VMs and an App Service app that all need the same identity when they access Key Vault and Storage. The identity must survive individual resource redeployments. Administrators also want to grant permissions once and then attach the identity to multiple resources. The application team does not want separate credentials for each compute service.', de: 'Trey Research betreibt mehrere Azure-VMs und eine App-Service-App, die beim Zugriff auf Key Vault und Storage dieselbe Identität verwenden sollen. Die Identität muss Neuimplementierungen einzelner Ressourcen überdauern. Administratoren möchten Berechtigungen einmal vergeben und die Identität anschließend mehreren Ressourcen zuordnen. Das Anwendungsteam möchte keine separaten Anmeldeinformationen für jeden Computedienst.' },
      question: { en: 'Which identity type should you use?', de: 'Welchen Identitätstyp sollten Sie verwenden?' },
      options: [
        { id: 'A', text: { en: 'A user-assigned managed identity', de: 'Eine benutzerseitig zugewiesene verwaltete Identität' } },
        { id: 'B', text: { en: 'A local administrator account', de: 'Ein lokales Administratorkonto' } },
        { id: 'C', text: { en: 'A shared access signature', de: 'Eine Shared Access Signature' } },
        { id: 'D', text: { en: 'A public certificate in DNS', de: 'Ein öffentliches Zertifikat in DNS' } }
      ],
      correct: ['A'],
      explanation: { en: 'A user-assigned managed identity is an Azure resource that can be attached to multiple compute resources and retain its identity independently of any one workload instance.', de: 'Eine benutzerseitig zugewiesene verwaltete Identität ist eine Azure-Ressource, die mehreren Computeressourcen zugeordnet werden kann und ihre Identität unabhängig von einer einzelnen Workloadinstanz beibehält.' },
      hint: { en: 'Choose the reusable managed identity type.', de: 'Wählen Sie den wiederverwendbaren Typ der verwalteten Identität.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview'
    },
    {
      id: 'az500-118',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which object represents an application instance in a tenant and receives permissions?', de: 'Welches Objekt stellt eine Anwendungsinstanz in einem Mandanten dar und erhält Berechtigungen?' },
      options: [
        { id: 'A', text: { en: 'Management group', de: 'Verwaltungsgruppe' } },
        { id: 'B', text: { en: 'Service principal', de: 'Dienstprinzipal' } },
        { id: 'C', text: { en: 'Disk Encryption Set', de: 'Disk Encryption Set' } },
        { id: 'D', text: { en: 'Application security group', de: 'Anwendungssicherheitsgruppe' } }
      ],
      correct: ['B'],
      explanation: { en: 'The service principal is the security identity of an application in a tenant and is the object that receives permissions and assignments.', de: 'Der Dienstprinzipal ist die Sicherheitsidentität einer Anwendung in einem Mandanten und das Objekt, das Berechtigungen und Zuweisungen erhält.' },
      hint: { en: 'It is the tenant-local application identity.', de: 'Es ist die mandantenlokale Anwendungsidentität.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals'
    },
    {
      id: 'az500-119',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'You need least-privilege access that allows operators to restart virtual machines but not delete them. What should you create?', de: 'Sie benötigen einen Least-Privilege-Zugriff, der es Operatoren erlaubt, virtuelle Computer neu zu starten, aber nicht zu löschen. Was sollten Sie erstellen?' },
      options: [
        { id: 'A', text: { en: 'A custom Azure RBAC role', de: 'Eine benutzerdefinierte Azure-RBAC-Rolle' } },
        { id: 'B', text: { en: 'A storage account firewall rule', de: 'Eine Firewallegel für ein Speicherkonto' } },
        { id: 'C', text: { en: 'A public IP prefix', de: 'Ein Präfix für öffentliche IP-Adressen' } },
        { id: 'D', text: { en: 'An Azure DNS alias record', de: 'Einen Azure-DNS-Aliasdatensatz' } }
      ],
      correct: ['A'],
      explanation: { en: 'A custom Azure RBAC role lets you define the exact management actions allowed, such as VM restart operations, while excluding delete permissions.', de: 'Mit einer benutzerdefinierten Azure-RBAC-Rolle können Sie die exakt zulässigen Verwaltungsaktionen definieren, beispielsweise den Neustart von VMs, und gleichzeitig Löschberechtigungen ausschließen.' },
      hint: { en: 'Built-in roles are too broad for this requirement.', de: 'Integrierte Rollen sind für diese Anforderung zu weit gefasst.' },
      reference: 'https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles'
    },
    {
      id: 'az500-120',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Entra capabilities help govern recurring or temporary access? Choose all that apply.', de: 'Welche Microsoft-Entra-Funktionen helfen bei der Governance von wiederkehrendem oder temporärem Zugriff? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Access reviews', de: 'Zugriffsüberprüfungen' } },
        { id: 'B', text: { en: 'Access packages', de: 'Zugriffspakete' } },
        { id: 'C', text: { en: 'Privileged Identity Management', de: 'Privileged Identity Management' } },
        { id: 'D', text: { en: 'Availability sets', de: 'Verfügbarkeitsgruppen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Access reviews, access packages, and PIM are all identity governance controls used to review, request, and time-bound access.', de: 'Zugriffsüberprüfungen, Zugriffspakete und PIM sind allesamt Identity-Governance-Steuerelemente, mit denen Zugriff überprüft, angefordert und zeitlich begrenzt werden kann.' },
      hint: { en: 'Choose the governance features, not the compute availability feature.', de: 'Wählen Sie die Governance-Funktionen und nicht die Compute-Verfügbarkeitsfunktion.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview'
    },
    {
      id: 'az500-121',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Fabrikam built an internal business app that exposes sensitive approval actions. Users should perform ordinary sign-ins with standard controls, but high-risk approval actions must require stronger authentication only when that part of the app is used. The app already supports claims-based authorization. The security team wants to avoid prompting for stronger authentication on every basic sign-in.', de: 'Fabrikam hat eine interne Geschäftsanwendung entwickelt, die sensible Genehmigungsaktionen bereitstellt. Benutzer sollen sich für normale Anmeldungen mit Standardkontrollen anmelden, aber risikoreiche Genehmigungsaktionen sollen nur dann stärkere Authentifizierung verlangen, wenn genau dieser Teil der App genutzt wird. Die Anwendung unterstützt bereits anspruchsbasierte Autorisierung. Das Sicherheitsteam möchte vermeiden, bei jeder einfachen Anmeldung stärkere Authentifizierung zu verlangen.' },
      question: { en: 'Which Microsoft Entra feature should be used?', de: 'Welche Microsoft-Entra-Funktion sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'Conditional Access authentication context', de: 'Authentifizierungskontext für bedingten Zugriff' } },
        { id: 'B', text: { en: 'Self-service password reset', de: 'Self-Service-Kennwortzurücksetzung' } },
        { id: 'C', text: { en: 'Azure Resource Graph', de: 'Azure Resource Graph' } },
        { id: 'D', text: { en: 'A service endpoint', de: 'Ein Service Endpoint' } }
      ],
      correct: ['A'],
      explanation: { en: 'Authentication context lets an application request stronger Conditional Access requirements only for specific protected operations instead of all sign-ins.', de: 'Der Authentifizierungskontext ermöglicht es einer Anwendung, stärkere Anforderungen des bedingten Zugriffs nur für bestimmte geschützte Vorgänge statt für alle Anmeldungen anzufordern.' },
      hint: { en: 'Think about step-up authentication inside one application.', de: 'Denken Sie an Step-up-Authentifizierung innerhalb einer einzelnen Anwendung.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/developer-guide-conditional-access-authentication-context'
    },
    {
      id: 'az500-122',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which OAuth 2.0 flow is designed for devices or command-line tools that cannot easily host a browser?', de: 'Welcher OAuth-2.0-Flow ist für Geräte oder Befehlszeilentools vorgesehen, die nicht ohne Weiteres einen Browser hosten können?' },
      options: [
        { id: 'A', text: { en: 'Authorization code flow', de: 'Authorization-Code-Flow' } },
        { id: 'B', text: { en: 'Device code flow', de: 'Device-Code-Flow' } },
        { id: 'C', text: { en: 'On-behalf-of flow', de: 'On-Behalf-Of-Flow' } },
        { id: 'D', text: { en: 'Implicit flow', de: 'Implicit-Flow' } }
      ],
      correct: ['B'],
      explanation: { en: 'The device code flow lets a user authenticate on a separate browser-enabled device while the original device or CLI continues the sign-in process securely.', de: 'Der Device-Code-Flow ermöglicht es einem Benutzer, sich auf einem separaten browserfähigen Gerät zu authentifizieren, während das ursprüngliche Gerät oder CLI den Anmeldeprozess sicher fortsetzt.' },
      hint: { en: 'The user completes sign-in on another device.', de: 'Der Benutzer schließt die Anmeldung auf einem anderen Gerät ab.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity-platform/v2-oauth2-device-code'
    },
    {
      id: 'az500-123',
      type: 'single',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Entra feature publishes on-premises web applications to users without requiring inbound VPN access?', de: 'Welche Microsoft-Entra-Funktion veröffentlicht lokale Webanwendungen für Benutzer, ohne eingehenden VPN-Zugriff zu erfordern?' },
      options: [
        { id: 'A', text: { en: 'Microsoft Entra Application Proxy', de: 'Microsoft Entra Application Proxy' } },
        { id: 'B', text: { en: 'Azure DDoS Protection', de: 'Azure DDoS Protection' } },
        { id: 'C', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'D', text: { en: 'Traffic Manager', de: 'Traffic Manager' } }
      ],
      correct: ['A'],
      explanation: { en: 'Microsoft Entra Application Proxy publishes on-premises web apps through outbound connectors, avoiding the need to expose the application directly or require VPN for every user.', de: 'Microsoft Entra Application Proxy veröffentlicht lokale Web-Apps über ausgehende Connectoren, sodass die Anwendung nicht direkt exponiert werden muss und nicht jeder Benutzer ein VPN benötigt.' },
      hint: { en: 'Choose the Entra feature for secure remote access to on-prem web apps.', de: 'Wählen Sie die Entra-Funktion für sicheren Remotezugriff auf lokale Web-Apps.' },
      reference: 'https://learn.microsoft.com/en-us/entra/identity/app-proxy/overview-what-is-app-proxy'
    },
    {
      id: 'az500-124',
      type: 'scenario',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Northwind Traders uses a Microsoft Entra security group to grant SQL administration rights. The group membership should be activated only when administrators need it, and access should expire automatically after the approved time window. Administrators should request elevation instead of staying permanent members. The security team also wants approval and auditing.', de: 'Northwind Traders verwendet eine Microsoft-Entra-Sicherheitsgruppe, um SQL-Administrationsrechte zu vergeben. Die Gruppenmitgliedschaft soll nur aktiviert werden, wenn Administratoren sie benötigen, und der Zugriff soll nach dem genehmigten Zeitfenster automatisch ablaufen. Administratoren sollen die Erhöhung anfordern, statt dauerhaft Mitglieder zu sein. Das Sicherheitsteam möchte außerdem Genehmigung und Überwachung.' },
      question: { en: 'Which capability should be used?', de: 'Welche Funktion sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'Privileged Identity Management for Groups', de: 'Privileged Identity Management für Gruppen' } },
        { id: 'B', text: { en: 'A service endpoint policy', de: 'Eine Service-Endpoint-Richtlinie' } },
        { id: 'C', text: { en: 'A storage lifecycle rule', de: 'Eine Speicherkonto-Lebenszyklusregel' } },
        { id: 'D', text: { en: 'An application security group', de: 'Eine Anwendungssicherheitsgruppe' } }
      ],
      correct: ['A'],
      explanation: { en: 'PIM for Groups allows time-bound, approved, and audited activation of privileged group membership instead of permanent standing membership.', de: 'PIM für Gruppen ermöglicht die zeitlich begrenzte, genehmigte und überwachte Aktivierung privilegierter Gruppenmitgliedschaften anstelle dauerhaft bestehender Mitgliedschaften.' },
      hint: { en: 'The privileged access is granted through group membership.', de: 'Der privilegierte Zugriff wird über Gruppenmitgliedschaft gewährt.' },
      reference: 'https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure'
    },
    {
      id: 'az500-125',
      type: 'multiple',
      domain: { en: 'Manage identity and access', de: 'Identitäten und Zugriff verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which items can you configure in Microsoft Entra cross-tenant access settings? Choose all that apply.', de: 'Welche Elemente können Sie in mandantenübergreifenden Zugriffseinstellungen von Microsoft Entra konfigurieren? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Inbound access settings', de: 'Einstellungen für eingehenden Zugriff' } },
        { id: 'B', text: { en: 'Outbound access settings', de: 'Einstellungen für ausgehenden Zugriff' } },
        { id: 'C', text: { en: 'Trust settings for MFA or compliant devices', de: 'Vertrauenseinstellungen für MFA oder konforme Geräte' } },
        { id: 'D', text: { en: 'SQL firewall rules', de: 'SQL-Firewallregeln' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Cross-tenant access settings define inbound and outbound B2B behavior as well as trust settings for partner MFA and device claims. SQL firewall rules are unrelated.', de: 'Mandantenübergreifende Zugriffseinstellungen definieren das eingehende und ausgehende B2B-Verhalten sowie Vertrauenseinstellungen für Partner-MFA und Geräteansprüche. SQL-Firewallregeln sind nicht relevant.' },
      hint: { en: 'Think about B2B controls between tenants.', de: 'Denken Sie an B2B-Steuerelemente zwischen Mandanten.' },
      reference: 'https://learn.microsoft.com/en-us/entra/external-id/cross-tenant-access-overview'
    },
    {
      id: 'az500-126',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'How are NSG rules processed when multiple rules match the same traffic?', de: 'Wie werden NSG-Regeln verarbeitet, wenn mehrere Regeln auf denselben Datenverkehr zutreffen?' },
      options: [
        { id: 'A', text: { en: 'The rule with the lowest priority number is evaluated first', de: 'Die Regel mit der niedrigsten Prioritätsnummer wird zuerst ausgewertet' } },
        { id: 'B', text: { en: 'The newest rule is always applied first', de: 'Die neueste Regel wird immer zuerst angewendet' } },
        { id: 'C', text: { en: 'Allow rules always override deny rules', de: 'Allow-Regeln überschreiben immer Deny-Regeln' } },
        { id: 'D', text: { en: 'Azure chooses a matching rule at random', de: 'Azure wählt zufällig eine passende Regel aus' } }
      ],
      correct: ['A'],
      explanation: { en: 'NSG rules are evaluated in ascending priority order, so the lowest number wins when a match occurs first.', de: 'NSG-Regeln werden in aufsteigender Prioritätsreihenfolge ausgewertet, sodass die niedrigste Zahl gewinnt, wenn sie zuerst zutrifft.' },
      hint: { en: 'A lower number means higher priority.', de: 'Eine niedrigere Zahl bedeutet eine höhere Priorität.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-127',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure Firewall Premium capability inspects encrypted outbound web traffic?', de: 'Welche Azure-Firewall-Premium-Funktion untersucht verschlüsselten ausgehenden Webdatenverkehr?' },
      options: [
        { id: 'A', text: { en: 'TLS inspection', de: 'TLS-Inspektion' } },
        { id: 'B', text: { en: 'Availability sets', de: 'Verfügbarkeitsgruppen' } },
        { id: 'C', text: { en: 'Private DNS zone links', de: 'Private-DNS-Zonenverknüpfungen' } },
        { id: 'D', text: { en: 'VM scale sets', de: 'VM-Skalierungsgruppen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Firewall Premium can decrypt, inspect, and re-encrypt supported outbound TLS traffic by using TLS inspection.', de: 'Azure Firewall Premium kann unterstützten ausgehenden TLS-Datenverkehr mittels TLS-Inspektion entschlüsseln, untersuchen und erneut verschlüsseln.' },
      hint: { en: 'This feature specifically targets encrypted application traffic.', de: 'Diese Funktion zielt speziell auf verschlüsselten Anwendungsdatenverkehr ab.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/premium-features'
    },
    {
      id: 'az500-128',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which attack types can a web application firewall help detect or block? Choose all that apply.', de: 'Welche Angriffstypen kann eine Web Application Firewall erkennen oder blockieren? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'SQL injection', de: 'SQL-Injection' } },
        { id: 'B', text: { en: 'Cross-site scripting', de: 'Cross-Site-Scripting' } },
        { id: 'C', text: { en: 'Command injection', de: 'Command Injection' } },
        { id: 'D', text: { en: 'Storage replication lag', de: 'Speicherreplikationsverzögerung' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'WAF solutions apply managed rule sets such as the OWASP Core Rule Set to help detect and block common web attacks including SQL injection and scripting attacks.', de: 'WAF-Lösungen verwenden verwaltete Regelsätze wie das OWASP Core Rule Set, um gängige Webangriffe wie SQL-Injection und Skriptangriffe zu erkennen und zu blockieren.' },
      hint: { en: 'Choose the web attack patterns, not the storage issue.', de: 'Wählen Sie die Webangriffsmuster und nicht das Speicherproblem.' },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/overview'
    },
    {
      id: 'az500-129',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: { en: 'Contoso stores confidential engineering documents in an Azure Storage account. The documents must be reachable only from a specific subnet over a private IP address. Internet access to the storage account must be eliminated. The application team wants name resolution and traffic to stay inside the Azure network boundary.', de: 'Contoso speichert vertrauliche technische Dokumente in einem Azure-Speicherkonto. Die Dokumente dürfen nur von einem bestimmten Subnetz über eine private IP-Adresse erreichbar sein. Internetzugriff auf das Speicherkonto muss vollständig entfallen. Das Anwendungsteam möchte, dass Namensauflösung und Datenverkehr innerhalb der Azure-Netzwerkgrenze bleiben.' },
      question: { en: 'Which private access design should you configure for the storage account?', de: 'Welches Design für privaten Zugriff sollten Sie für das Speicherkonto konfigurieren?' },
      options: [
        { id: 'A', text: { en: 'A private endpoint and disable public network access on the storage account', de: 'Einen Private Endpoint und das Deaktivieren des öffentlichen Netzwerkzugriffs auf dem Speicherkonto' } },
        { id: 'B', text: { en: 'A service endpoint only', de: 'Nur einen Service Endpoint' } },
        { id: 'C', text: { en: 'A public blob container with SAS tokens', de: 'Einen öffentlichen Blobcontainer mit SAS-Token' } },
        { id: 'D', text: { en: 'A NAT gateway', de: 'Ein NAT Gateway' } }
      ],
      correct: ['A'],
      explanation: { en: 'A private endpoint places a private IP for the storage service in the VNet, and disabling public network access removes internet reachability to the storage account.', de: 'Ein Private Endpoint stellt eine private IP-Adresse für den Speicherdienst im VNet bereit, und das Deaktivieren des öffentlichen Netzwerkzugriffs entfernt die Erreichbarkeit des Speicherkontos über das Internet.' },
      hint: { en: 'The service must be reached over a private IP only.', de: 'Der Dienst darf nur über eine private IP-Adresse erreichbar sein.' },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-endpoint-overview'
    },
    {
      id: 'az500-130',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which statement about Azure service endpoints is true?', de: 'Welche Aussage über Azure Service Endpoints ist richtig?' },
      options: [
        { id: 'A', text: { en: 'They assign a private IP address from your subnet to the service', de: 'Sie weisen dem Dienst eine private IP-Adresse aus Ihrem Subnetz zu' } },
        { id: 'B', text: { en: 'Traffic still goes to the service public endpoint, but the subnet identity can be used for access control', de: 'Der Datenverkehr geht weiterhin zum öffentlichen Endpunkt des Dienstes, aber die Identität des Subnetzes kann für die Zugriffskontrolle verwendet werden' } },
        { id: 'C', text: { en: 'They require Azure Firewall Premium', de: 'Sie erfordern Azure Firewall Premium' } },
        { id: 'D', text: { en: 'They work only for VM-to-VM traffic', de: 'Sie funktionieren nur für VM-zu-VM-Datenverkehr' } }
      ],
      correct: ['B'],
      explanation: { en: 'Service endpoints extend VNet identity to supported Azure services while those services continue to use their public endpoints.', de: 'Service Endpoints erweitern die VNet-Identität auf unterstützte Azure-Dienste, während diese Dienste weiterhin ihre öffentlichen Endpunkte verwenden.' },
      hint: { en: 'This is not the feature that gives the service a private IP in your VNet.', de: 'Dies ist nicht die Funktion, die dem Dienst eine private IP in Ihrem VNet gibt.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/virtual-network-service-endpoints-overview'
    },
    {
      id: 'az500-131',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Azure Firewall rule type publishes an internal server to the internet through a firewall public IP?', de: 'Welcher Azure-Firewall-Regeltyp veröffentlicht einen internen Server über eine öffentliche Firewall-IP-Adresse im Internet?' },
      options: [
        { id: 'A', text: { en: 'DNAT rule', de: 'DNAT-Regel' } },
        { id: 'B', text: { en: 'Application rule', de: 'Anwendungsregel' } },
        { id: 'C', text: { en: 'Network rule collection group', de: 'Netzwerkregel-Sammlungsgruppe' } },
        { id: 'D', text: { en: 'Threat intelligence mode', de: 'Threat-Intelligence-Modus' } }
      ],
      correct: ['A'],
      explanation: { en: 'Destination NAT on Azure Firewall maps traffic sent to the firewall public IP and port to an internal private IP and port.', de: 'Destination NAT in Azure Firewall ordnet Datenverkehr, der an die öffentliche IP und den Port der Firewall gesendet wird, einer internen privaten IP und einem internen Port zu.' },
      hint: { en: 'This rule type performs inbound address translation.', de: 'Dieser Regeltyp führt eingehende Adressübersetzung durch.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/destination-nat-rules'
    },
    {
      id: 'az500-132',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: { en: 'Fabrikam hosts an internet-facing e-commerce site behind Azure Application Gateway. Security analysts want the gateway to inspect requests by using managed OWASP rules and actively block malicious requests instead of only logging them. The application owners also want a native Azure control rather than a third-party appliance. The solution must stay aligned with Layer 7 web protection.', de: 'Fabrikam hostet eine internetseitige E-Commerce-Website hinter Azure Application Gateway. Sicherheitsanalysten möchten, dass das Gateway Anforderungen mit verwalteten OWASP-Regeln überprüft und bösartige Anforderungen aktiv blockiert, statt sie nur zu protokollieren. Die Anwendungsbesitzer wünschen sich außerdem ein natives Azure-Steuerelement statt einer Drittanbieter-Appliance. Die Lösung muss auf Schutz von Webdatenverkehr auf Schicht 7 ausgerichtet bleiben.' },
      question: { en: 'Which configuration should you use?', de: 'Welche Konfiguration sollten Sie verwenden?' },
      options: [
        { id: 'A', text: { en: 'Application Gateway WAF in Prevention mode', de: 'Application Gateway WAF im Prevention-Modus' } },
        { id: 'B', text: { en: 'Azure Bastion with SSH', de: 'Azure Bastion mit SSH' } },
        { id: 'C', text: { en: 'A route table with BGP propagation disabled', de: 'Eine Routentabelle mit deaktivierter BGP-Weitergabe' } },
        { id: 'D', text: { en: 'A private DNS zone', de: 'Eine private DNS-Zone' } }
      ],
      correct: ['A'],
      explanation: { en: 'Application Gateway WAF in Prevention mode uses managed rules to inspect HTTP or HTTPS traffic and block matching malicious requests.', de: 'Application Gateway WAF im Prevention-Modus verwendet verwaltete Regeln, um HTTP- oder HTTPS-Datenverkehr zu überprüfen und übereinstimmende bösartige Anforderungen zu blockieren.' },
      hint: { en: 'The requirement is active Layer 7 web attack blocking.', de: 'Die Anforderung ist aktives Blockieren von Webangriffen auf Schicht 7.' },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/overview'
    },
    {
      id: 'az500-133',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure service lets administrators connect to VMs over RDP or SSH in the portal without public IP addresses on the VMs?', de: 'Welcher Azure-Dienst ermöglicht Administratoren die Verbindung zu VMs über RDP oder SSH im Portal, ohne dass die VMs öffentliche IP-Adressen benötigen?' },
      options: [
        { id: 'A', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'B', text: { en: 'Azure DNS', de: 'Azure DNS' } },
        { id: 'C', text: { en: 'Azure Queue Storage', de: 'Azure Queue Storage' } },
        { id: 'D', text: { en: 'Traffic Manager', de: 'Traffic Manager' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Bastion provides secure RDP and SSH connectivity to VMs through the Azure portal without exposing management ports directly to the internet.', de: 'Azure Bastion bietet sichere RDP- und SSH-Konnektivität zu VMs über das Azure-Portal, ohne Verwaltungsports direkt dem Internet auszusetzen.' },
      hint: { en: 'Think of browser-based secure VM administration.', de: 'Denken Sie an browserbasierte sichere VM-Verwaltung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/bastion/bastion-overview'
    },
    {
      id: 'az500-134',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which values are part of an NSG rule definition? Choose all that apply.', de: 'Welche Werte sind Teil einer NSG-Regeldefinition? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Source address prefix', de: 'Quelladresspräfix' } },
        { id: 'B', text: { en: 'Destination port range', de: 'Zielportbereich' } },
        { id: 'C', text: { en: 'Protocol', de: 'Protokoll' } },
        { id: 'D', text: { en: 'Database collation', de: 'Datenbankkollation' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'NSG rules include properties such as source and destination, port ranges, protocol, action, and priority. Database collation is unrelated.', de: 'NSG-Regeln enthalten Eigenschaften wie Quelle und Ziel, Portbereiche, Protokoll, Aktion und Priorität. Eine Datenbankkollation ist nicht relevant.' },
      hint: { en: 'Pick the network packet matching fields.', de: 'Wählen Sie die Felder zur Netzpaketübereinstimmung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-135',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure service provides central management for multiple Azure Firewalls and WAF policies across regions?', de: 'Welcher Azure-Dienst bietet eine zentrale Verwaltung für mehrere Azure Firewalls und WAF-Richtlinien über Regionen hinweg?' },
      options: [
        { id: 'A', text: { en: 'Azure Firewall Manager', de: 'Azure Firewall Manager' } },
        { id: 'B', text: { en: 'Azure Monitor Private Link Scope', de: 'Azure Monitor Private Link Scope' } },
        { id: 'C', text: { en: 'Azure Arc', de: 'Azure Arc' } },
        { id: 'D', text: { en: 'Azure Backup', de: 'Azure Backup' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Firewall Manager centrally manages firewall policies, secured virtual hubs, and WAF policy integration for supported topologies.', de: 'Azure Firewall Manager verwaltet zentral Firewallrichtlinien, gesicherte virtuelle Hubs und die Integration von WAF-Richtlinien für unterstützte Topologien.' },
      hint: { en: 'Choose the network security policy management service.', de: 'Wählen Sie den Dienst für die Verwaltung von Netzwerksicherheitsrichtlinien.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall-manager/overview'
    },
    {
      id: 'az500-136',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: { en: 'Litware runs public-facing APIs on Azure virtual machines. The workloads use public IP addresses and must be protected from volumetric and protocol-based denial-of-service attacks. The company wants Azure-native mitigation and per-resource telemetry. Security leadership also wants cost protection for scaling caused by an attack.', de: 'Litware betreibt öffentlich erreichbare APIs auf Azure-VMs. Die Workloads verwenden öffentliche IP-Adressen und müssen vor volumetrischen sowie protokollbasierten Denial-of-Service-Angriffen geschützt werden. Das Unternehmen möchte eine native Azure-Maßnahme und ressourcenbezogene Telemetrie. Die Sicherheitsleitung möchte außerdem Kostenschutz für Skalierungsvorgänge infolge eines Angriffs.' },
      question: { en: 'What should you enable?', de: 'Was sollten Sie aktivieren?' },
      options: [
        { id: 'A', text: { en: 'Azure DDoS Network Protection on the virtual networks', de: 'Azure DDoS Network Protection auf den virtuellen Netzwerken' } },
        { id: 'B', text: { en: 'A read-only resource lock', de: 'Eine ReadOnly-Ressourcensperre' } },
        { id: 'C', text: { en: 'A local Windows Firewall rule', de: 'Eine lokale Windows-Firewallregel' } },
        { id: 'D', text: { en: 'Azure File Sync', de: 'Azure File Sync' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure DDoS Network Protection provides enhanced mitigation for public IP resources in VNets, along with telemetry and cost protection features.', de: 'Azure DDoS Network Protection bietet erweiterten Schutz für Ressourcen mit öffentlichen IP-Adressen in VNets sowie Telemetrie- und Kostenschutzfunktionen.' },
      hint: { en: 'Use the Azure-native service for DDoS mitigation on public IP workloads.', de: 'Verwenden Sie den nativen Azure-Dienst zur DDoS-Abwehr für Workloads mit öffentlichen IP-Adressen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/ddos-protection/ddos-protection-overview'
    },
    {
      id: 'az500-137',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Azure feature lets you privately expose your own service behind a Standard Load Balancer to consumer VNets?', de: 'Mit welcher Azure-Funktion können Sie Ihren eigenen Dienst hinter einem Standard Load Balancer privat für Consumer-VNets bereitstellen?' },
      options: [
        { id: 'A', text: { en: 'Private Link Service', de: 'Private Link Service' } },
        { id: 'B', text: { en: 'Service endpoint', de: 'Service Endpoint' } },
        { id: 'C', text: { en: 'Application security group', de: 'Anwendungssicherheitsgruppe' } },
        { id: 'D', text: { en: 'VPN Gateway point-to-site', de: 'VPN Gateway Point-to-Site' } }
      ],
      correct: ['A'],
      explanation: { en: 'Private Link Service lets providers expose services running behind a Standard Load Balancer so consumers can access them privately through private endpoints.', de: 'Private Link Service ermöglicht es Anbietern, Dienste hinter einem Standard Load Balancer bereitzustellen, sodass Consumer über Private Endpoints privat darauf zugreifen können.' },
      hint: { en: 'This is the provider-side technology for Azure Private Link.', de: 'Dies ist die anbieterseitige Technologie für Azure Private Link.' },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-link-service-overview'
    },
    {
      id: 'az500-138',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which traffic can Azure Application Gateway WAF inspect?', de: 'Welchen Datenverkehr kann Azure Application Gateway WAF überprüfen?' },
      options: [
        { id: 'A', text: { en: 'HTTP and HTTPS traffic', de: 'HTTP- und HTTPS-Datenverkehr' } },
        { id: 'B', text: { en: 'SMB file traffic only', de: 'Nur SMB-Dateidatenverkehr' } },
        { id: 'C', text: { en: 'Storage replication traffic only', de: 'Nur Speicherreplikationsdatenverkehr' } },
        { id: 'D', text: { en: 'DNS zone transfers only', de: 'Nur DNS-Zonentransfers' } }
      ],
      correct: ['A'],
      explanation: { en: 'Application Gateway WAF is a Layer 7 control designed to inspect and protect HTTP and HTTPS web traffic.', de: 'Application Gateway WAF ist ein Layer-7-Steuerelement, das für die Überprüfung und den Schutz von HTTP- und HTTPS-Webdatenverkehr ausgelegt ist.' },
      hint: { en: 'This is web application traffic, not general infrastructure traffic.', de: 'Es geht um Webanwendungsdatenverkehr, nicht um allgemeinen Infrastrukturdatenverkehr.' },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/overview'
    },
    {
      id: 'az500-139',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which capabilities are part of Azure Firewall Premium? Choose all that apply.', de: 'Welche Funktionen gehören zu Azure Firewall Premium? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'TLS inspection', de: 'TLS-Inspektion' } },
        { id: 'B', text: { en: 'Intrusion detection and prevention', de: 'Erkennung und Verhinderung von Eindringversuchen' } },
        { id: 'C', text: { en: 'URL filtering', de: 'URL-Filterung' } },
        { id: 'D', text: { en: 'Role-assignable groups', de: 'Rollenzuweisbare Gruppen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Azure Firewall Premium adds advanced capabilities such as TLS inspection, IDPS, and URL filtering for stronger outbound and east-west inspection scenarios.', de: 'Azure Firewall Premium ergänzt erweiterte Funktionen wie TLS-Inspektion, IDPS und URL-Filterung für stärkere Prüfungen von ausgehendem sowie Ost-West-Datenverkehr.' },
      hint: { en: 'Pick the advanced firewall inspection features.', de: 'Wählen Sie die erweiterten Prüfungsfunktionen der Firewall.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/premium-features'
    },
    {
      id: 'az500-140',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: { en: 'Woodgrove Bank runs separate web, application, and management virtual machines in one subnet design. Network engineers want NSG rules to reference logical workload groups rather than individual IP addresses. New VMs should inherit rule targeting automatically when they join the appropriate group. The design must simplify ongoing rule maintenance.', de: 'Woodgrove Bank betreibt getrennte Web-, Anwendungs- und Verwaltungs-VMs in einem Subnetzdesign. Netzwerkingenieure möchten, dass NSG-Regeln logische Workloadgruppen statt einzelner IP-Adressen referenzieren. Neue VMs sollen die Zielzuordnung von Regeln automatisch übernehmen, wenn sie der passenden Gruppe beitreten. Das Design soll die laufende Regelpflege vereinfachen.' },
      question: { en: 'Which NSG-targeting feature should be used?', de: 'Welche Funktion zur Zieladressierung in NSG-Regeln sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'Application security groups', de: 'Anwendungssicherheitsgruppen' } },
        { id: 'B', text: { en: 'Administrative units', de: 'Administrative Einheiten' } },
        { id: 'C', text: { en: 'Azure DNS private zones', de: 'Private Azure-DNS-Zonen' } },
        { id: 'D', text: { en: 'Availability sets', de: 'Verfügbarkeitsgruppen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Application security groups let you group VM NICs logically and reference those groups directly in NSG rules, reducing IP-based rule maintenance.', de: 'Anwendungssicherheitsgruppen ermöglichen es, VM-NICs logisch zu gruppieren und diese Gruppen direkt in NSG-Regeln zu referenzieren, wodurch die pflegeintensive Arbeit mit IP-basierten Regeln reduziert wird.' },
      hint: { en: 'Choose the grouping feature used inside NSG rules.', de: 'Wählen Sie die Gruppierungsfunktion, die in NSG-Regeln verwendet wird.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/application-security-groups'
    },
    {
      id: 'az500-141',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure networking object controls the next hop so subnet traffic is sent through Azure Firewall?', de: 'Welches Azure-Netzwerkobjekt steuert den nächsten Hop, damit der Datenverkehr eines Subnetzes über Azure Firewall geleitet wird?' },
      options: [
        { id: 'A', text: { en: 'User-defined route', de: 'Benutzerdefinierte Route' } },
        { id: 'B', text: { en: 'Availability zone', de: 'Verfügbarkeitszone' } },
        { id: 'C', text: { en: 'Azure Policy initiative', de: 'Azure-Policy-Initiative' } },
        { id: 'D', text: { en: 'Azure AD group', de: 'Azure-AD-Gruppe' } }
      ],
      correct: ['A'],
      explanation: { en: 'User-defined routes can direct subnet traffic to a virtual appliance such as Azure Firewall by setting the next hop appropriately.', de: 'Benutzerdefinierte Routen können den Datenverkehr eines Subnetzes zu einer virtuellen Appliance wie Azure Firewall leiten, indem der nächste Hop entsprechend festgelegt wird.' },
      hint: { en: 'This is the routing control, not the security policy control.', de: 'Dies ist die Routingsteuerung und nicht die Sicherheitsrichtlinie.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/virtual-networks-udr-overview'
    },
    {
      id: 'az500-142',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure Firewall rule type filters outbound web access by fully qualified domain names?', de: 'Welcher Azure-Firewall-Regeltyp filtert ausgehenden Webzugriff anhand vollqualifizierter Domänennamen?' },
      options: [
        { id: 'A', text: { en: 'Application rule', de: 'Anwendungsregel' } },
        { id: 'B', text: { en: 'DNAT rule', de: 'DNAT-Regel' } },
        { id: 'C', text: { en: 'Route table', de: 'Routentabelle' } },
        { id: 'D', text: { en: 'Private DNS zone link', de: 'Private-DNS-Zonenverknüpfung' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Firewall application rules can control outbound HTTP, HTTPS, and MSSQL traffic by FQDNs, URLs, and related application-layer information.', de: 'Azure-Firewall-Anwendungsregeln können ausgehenden HTTP-, HTTPS- und MSSQL-Datenverkehr anhand von FQDNs, URLs und verwandten Informationen auf Anwendungsebene steuern.' },
      hint: { en: 'This is the rule type for web destinations, not raw IP ranges.', de: 'Dies ist der Regeltyp für Webziele und nicht für rohe IP-Bereiche.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall/features'
    },
    {
      id: 'az500-143',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: { en: 'Humongous Insurance has many branch offices and multiple Azure subscriptions. The company wants central internet egress inspection, branch connectivity, and consistent firewall policy management from one architecture. The network team also wants to simplify secure branch onboarding. The design should use Microsoft managed hub capabilities where possible.', de: 'Humongous Insurance verfügt über viele Niederlassungen und mehrere Azure-Abonnements. Das Unternehmen möchte eine zentrale Prüfung des Internet-Egress, Standortkonnektivität und eine konsistente Verwaltung von Firewallrichtlinien aus einer Architektur heraus. Das Netzwerkteam möchte außerdem das sichere Onboarding von Niederlassungen vereinfachen. Das Design soll nach Möglichkeit Microsoft-verwaltete Hub-Funktionen nutzen.' },
      question: { en: 'Which solution best meets the requirement?', de: 'Welche Lösung erfüllt die Anforderung am besten?' },
      options: [
        { id: 'A', text: { en: 'A secured virtual hub managed with Azure Firewall Manager', de: 'Einen gesicherten virtuellen Hub, verwaltet mit Azure Firewall Manager' } },
        { id: 'B', text: { en: 'One NSG per branch subnet only', de: 'Nur eine NSG pro Niederlassungssubnetz' } },
        { id: 'C', text: { en: 'A public load balancer for branch offices', de: 'Einen öffentlichen Load Balancer für Niederlassungen' } },
        { id: 'D', text: { en: 'Azure DNS private zones', de: 'Private Azure-DNS-Zonen' } }
      ],
      correct: ['A'],
      explanation: { en: 'A secured virtual hub in Virtual WAN with Azure Firewall Manager provides centralized branch connectivity and policy-based security management.', de: 'Ein gesicherter virtueller Hub in Virtual WAN mit Azure Firewall Manager bietet zentrale Standortkonnektivität und richtlinienbasierte Sicherheitsverwaltung.' },
      hint: { en: 'Think of Virtual WAN plus centrally managed security.', de: 'Denken Sie an Virtual WAN plus zentral verwaltete Sicherheit.' },
      reference: 'https://learn.microsoft.com/en-us/azure/firewall-manager/overview'
    },
    {
      id: 'az500-144',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which statements about Azure service endpoints are correct? Choose all that apply.', de: 'Welche Aussagen zu Azure Service Endpoints sind korrekt? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'They extend subnet identity to a supported Azure service', de: 'Sie erweitern die Identität eines Subnetzes auf einen unterstützten Azure-Dienst' } },
        { id: 'B', text: { en: 'Traffic still targets the service public endpoint', de: 'Der Datenverkehr richtet sich weiterhin an den öffentlichen Endpunkt des Dienstes' } },
        { id: 'C', text: { en: 'A service firewall can be restricted to selected subnets', de: 'Eine Dienstfirewall kann auf ausgewählte Subnetze eingeschränkt werden' } },
        { id: 'D', text: { en: 'They automatically create a private IP for the service in your VNet', de: 'Sie erstellen automatisch eine private IP-Adresse für den Dienst in Ihrem VNet' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Service endpoints let a subnet identity be recognized by supported Azure services while traffic still uses public endpoints, and service firewalls can then allow only selected subnets.', de: 'Service Endpoints ermöglichen es, dass die Identität eines Subnetzes von unterstützten Azure-Diensten erkannt wird, während der Datenverkehr weiterhin öffentliche Endpunkte verwendet. Anschließend können Dienstfirewalls nur ausgewählte Subnetze zulassen.' },
      hint: { en: 'This is the feature that strengthens access control without giving the service a private IP in your VNet.', de: 'Dies ist die Funktion, die die Zugriffskontrolle stärkt, ohne dem Dienst eine private IP in Ihrem VNet zu geben.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/virtual-network-service-endpoints-overview'
    },
    {
      id: 'az500-145',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Are Azure Network Security Groups stateful?', de: 'Sind Azure-Netzwerksicherheitsgruppen zustandsbehaftet?' },
      options: [
        { id: 'A', text: { en: 'Yes', de: 'Ja' } },
        { id: 'B', text: { en: 'No', de: 'Nein' } },
        { id: 'C', text: { en: 'Only for UDP traffic', de: 'Nur für UDP-Datenverkehr' } },
        { id: 'D', text: { en: 'Only with Azure Firewall', de: 'Nur mit Azure Firewall' } }
      ],
      correct: ['A'],
      explanation: { en: 'NSGs are stateful, which means return traffic for an allowed connection is automatically allowed without creating a separate reverse rule.', de: 'NSGs sind zustandsbehaftet. Das bedeutet, dass Rückverkehr für eine zulässige Verbindung automatisch erlaubt wird, ohne dass eine separate Gegenregel erstellt werden muss.' },
      hint: { en: 'Think about return traffic handling.', de: 'Denken Sie an die Behandlung des Rückverkehrs.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/network-security-groups-overview'
    },
    {
      id: 'az500-146',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: { en: 'Northwind Traders runs a web application in Azure App Service. The app is already integrated with a virtual network. The backend Azure SQL database must no longer be exposed on the public internet. The database should be reachable privately from the application over the Microsoft backbone.', de: 'Northwind Traders betreibt eine Webanwendung in Azure App Service. Die App ist bereits in ein virtuelles Netzwerk integriert. Die zugrunde liegende Azure-SQL-Datenbank darf nicht länger über das öffentliche Internet erreichbar sein. Die Datenbank soll privat über das Microsoft-Backbone von der Anwendung aus erreichbar sein.' },
      question: { en: 'What should you configure on the database side?', de: 'Was sollten Sie auf der Datenbankseite konfigurieren?' },
      options: [
        { id: 'A', text: { en: 'A private endpoint for Azure SQL and disable public network access', de: 'Einen Private Endpoint für Azure SQL und das Deaktivieren des öffentlichen Netzwerkzugriffs' } },
        { id: 'B', text: { en: 'A public load balancer', de: 'Einen öffentlichen Load Balancer' } },
        { id: 'C', text: { en: 'An availability set', de: 'Eine Verfügbarkeitsgruppe' } },
        { id: 'D', text: { en: 'A VPN Gateway point-to-site configuration', de: 'Eine Point-to-Site-Konfiguration für VPN Gateway' } }
      ],
      correct: ['A'],
      explanation: { en: 'A private endpoint gives Azure SQL a private presence in the VNet path, and disabling public network access removes direct internet exposure.', de: 'Ein Private Endpoint verleiht Azure SQL eine private Präsenz im VNet-Pfad, und das Deaktivieren des öffentlichen Netzwerkzugriffs entfernt die direkte Internetexponierung.' },
      hint: { en: 'Use Private Link for the PaaS database.', de: 'Verwenden Sie Private Link für die PaaS-Datenbank.' },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-endpoint-overview'
    },
    {
      id: 'az500-147',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Azure resource lets you define a reusable web application firewall policy that can be associated with supported gateways or front ends?', de: 'Mit welcher Azure-Ressource können Sie eine wiederverwendbare Web-Application-Firewall-Richtlinie definieren, die unterstützten Gateways oder Front Ends zugeordnet werden kann?' },
      options: [
        { id: 'A', text: { en: 'WAF policy', de: 'WAF-Richtlinie' } },
        { id: 'B', text: { en: 'Availability set', de: 'Verfügbarkeitsgruppe' } },
        { id: 'C', text: { en: 'Route table', de: 'Routentabelle' } },
        { id: 'D', text: { en: 'Management group', de: 'Verwaltungsgruppe' } }
      ],
      correct: ['A'],
      explanation: { en: 'A WAF policy is a reusable Azure resource that contains custom rules, exclusions, and managed rule configuration for supported services such as Application Gateway WAF.', de: 'Eine WAF-Richtlinie ist eine wiederverwendbare Azure-Ressource, die benutzerdefinierte Regeln, Ausnahmen und Konfigurationen verwalteter Regeln für unterstützte Dienste wie Application Gateway WAF enthält.' },
      hint: { en: 'This is the reusable configuration object for WAF behavior.', de: 'Dies ist das wiederverwendbare Konfigurationsobjekt für das Verhalten einer WAF.' },
      reference: 'https://learn.microsoft.com/en-us/azure/web-application-firewall/overview'
    },
    {
      id: 'az500-148',
      type: 'multiple',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which VPN Gateway connection types are supported in Azure? Choose all that apply.', de: 'Welche Verbindungstypen unterstützt VPN Gateway in Azure? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Point-to-site', de: 'Point-to-Site' } },
        { id: 'B', text: { en: 'Site-to-site', de: 'Site-to-Site' } },
        { id: 'C', text: { en: 'VNet-to-VNet', de: 'VNet-zu-VNet' } },
        { id: 'D', text: { en: 'Mailbox-to-mailbox', de: 'Mailbox-zu-Mailbox' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Azure VPN Gateway supports point-to-site, site-to-site, and VNet-to-VNet connectivity scenarios. Mailbox connections are unrelated.', de: 'Azure VPN Gateway unterstützt Point-to-Site-, Site-to-Site- und VNet-zu-VNet-Konnektivitätsszenarien. Mailbox-Verbindungen sind nicht relevant.' },
      hint: { en: 'Choose the network tunnel types.', de: 'Wählen Sie die Netzwerktunneltypen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/vpn-gateway/vpn-gateway-about-vpngateways'
    },
    {
      id: 'az500-149',
      type: 'scenario',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'hard',
      scenario: { en: 'Proseware hosts an internal API behind a Standard Load Balancer in Azure. Fabrikam needs private access to that API from its own virtual network, but the companies do not want VNet peering or internet exposure. Proseware wants to publish the service privately as the provider. Fabrikam will consume the service from its environment.', de: 'Proseware betreibt eine interne API hinter einem Standard Load Balancer in Azure. Fabrikam benötigt privaten Zugriff auf diese API aus dem eigenen virtuellen Netzwerk, aber beide Unternehmen möchten weder VNet-Peering noch Internetexponierung. Proseware möchte den Dienst privat als Anbieter veröffentlichen. Fabrikam wird den Dienst aus seiner Umgebung heraus konsumieren.' },
      question: { en: 'What should Proseware deploy?', de: 'Was sollte Proseware bereitstellen?' },
      options: [
        { id: 'A', text: { en: 'A Private Link Service', de: 'Einen Private Link Service' } },
        { id: 'B', text: { en: 'A service endpoint policy', de: 'Eine Service-Endpoint-Richtlinie' } },
        { id: 'C', text: { en: 'A public DNS alias', de: 'Einen öffentlichen DNS-Alias' } },
        { id: 'D', text: { en: 'A local network gateway', de: 'Ein lokales Netzwerkgateway' } }
      ],
      correct: ['A'],
      explanation: { en: 'The provider side of this pattern is Private Link Service, which exposes a service privately for consumer private endpoints.', de: 'Die anbieterseitige Komponente dieses Musters ist Private Link Service, der einen Dienst privat für Consumer-Private-Endpoints bereitstellt.' },
      hint: { en: 'The question asks for the provider-side Azure resource.', de: 'Die Frage bezieht sich auf die anbieterseitige Azure-Ressource.' },
      reference: 'https://learn.microsoft.com/en-us/azure/private-link/private-link-service-overview'
    },
    {
      id: 'az500-150',
      type: 'single',
      domain: { en: 'Secure networking', de: 'Netzwerke absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure networking feature lets NSG rules target groups of workload NICs instead of explicit IP addresses?', de: 'Welche Azure-Netzwerkfunktion ermöglicht es NSG-Regeln, Gruppen von Workload-NICs statt expliziter IP-Adressen als Ziel zu verwenden?' },
      options: [
        { id: 'A', text: { en: 'Application security groups', de: 'Anwendungssicherheitsgruppen' } },
        { id: 'B', text: { en: 'Azure DNS', de: 'Azure DNS' } },
        { id: 'C', text: { en: 'Recovery Services vault', de: 'Recovery Services-Tresor' } },
        { id: 'D', text: { en: 'Azure Policy', de: 'Azure Policy' } }
      ],
      correct: ['A'],
      explanation: { en: 'Application security groups provide logical groupings for NICs so NSG rules can reference workloads by function instead of static IP lists.', de: 'Anwendungssicherheitsgruppen bieten logische Gruppierungen für NICs, sodass NSG-Regeln Workloads anhand ihrer Funktion statt anhand statischer IP-Listen referenzieren können.' },
      hint: { en: 'Think of workload-based grouping inside NSG rules.', de: 'Denken Sie an funktionsbasierte Gruppierung innerhalb von NSG-Regeln.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-network/application-security-groups'
    },
    {
      id: 'az500-151',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure service securely stores secrets, cryptographic keys, and certificates?', de: 'Welcher Azure-Dienst speichert Geheimnisse, kryptografische Schlüssel und Zertifikate sicher?' },
      options: [
        { id: 'A', text: { en: 'Azure Key Vault', de: 'Azure Key Vault' } },
        { id: 'B', text: { en: 'Azure DNS', de: 'Azure DNS' } },
        { id: 'C', text: { en: 'Azure Load Balancer', de: 'Azure Load Balancer' } },
        { id: 'D', text: { en: 'Azure Monitor', de: 'Azure Monitor' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Key Vault is the Azure service for centrally storing and controlling access to secrets, keys, and certificates.', de: 'Azure Key Vault ist der Azure-Dienst für die zentrale Speicherung von Geheimnissen, Schlüsseln und Zertifikaten sowie für deren Zugriffskontrolle.' },
      hint: { en: 'Choose the dedicated secrets and keys service.', de: 'Wählen Sie den dedizierten Dienst für Geheimnisse und Schlüssel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/overview'
    },
    {
      id: 'az500-152',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure resource is used to apply customer-managed keys to managed disks, snapshots, and images?', de: 'Welche Azure-Ressource wird verwendet, um kundenseitig verwaltete Schlüssel auf verwaltete Datenträger, Snapshots und Images anzuwenden?' },
      options: [
        { id: 'A', text: { en: 'Disk Encryption Set', de: 'Disk Encryption Set' } },
        { id: 'B', text: { en: 'Application security group', de: 'Anwendungssicherheitsgruppe' } },
        { id: 'C', text: { en: 'Azure Backup vault', de: 'Azure Backup-Tresor' } },
        { id: 'D', text: { en: 'Traffic Manager profile', de: 'Traffic-Manager-Profil' } }
      ],
      correct: ['A'],
      explanation: { en: 'A Disk Encryption Set references a key in Key Vault or Managed HSM and is then associated with supported disk resources that use customer-managed keys.', de: 'Ein Disk Encryption Set verweist auf einen Schlüssel in Key Vault oder Managed HSM und wird anschließend unterstützten Datenträgerressourcen zugeordnet, die kundenseitig verwaltete Schlüssel verwenden.' },
      hint: { en: 'This is the Azure resource between the disks and the key.', de: 'Dies ist die Azure-Ressource zwischen den Datenträgern und dem Schlüssel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-machines/disk-encryption-overview'
    },
    {
      id: 'az500-153',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure Storage services support private endpoints? Choose all that apply.', de: 'Welche Azure-Storage-Dienste unterstützen Private Endpoints? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Blob', de: 'Blob' } },
        { id: 'B', text: { en: 'File', de: 'File' } },
        { id: 'C', text: { en: 'Queue', de: 'Queue' } },
        { id: 'D', text: { en: 'Management group', de: 'Verwaltungsgruppe' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Azure Storage private endpoints can be created for supported storage subresources such as Blob, File, Queue, and others. Management groups are not storage services.', de: 'Azure-Storage-Private-Endpoints können für unterstützte Speichersubressourcen wie Blob, File, Queue und weitere erstellt werden. Verwaltungsgruppen sind keine Speicherdienste.' },
      hint: { en: 'Choose the storage data services.', de: 'Wählen Sie die Datendienste von Storage.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-private-endpoints'
    },
    {
      id: 'az500-154',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: { en: 'Litware uses Azure SQL Database for a regulated workload. The security architect must control the transparent data encryption protector by using a key stored in Azure Key Vault. The database team also wants centralized key rotation and separation of duties between database administrators and key custodians. The solution must use customer-managed keys instead of the service-managed default.', de: 'Litware verwendet Azure SQL Database für einen regulierten Workload. Der Sicherheitsarchitekt muss den Transparent-Data-Encryption-Schutz mit einem in Azure Key Vault gespeicherten Schlüssel steuern. Das Datenbankteam wünscht außerdem eine zentrale Schlüsselrotation und eine Trennung der Verantwortlichkeiten zwischen Datenbankadministratoren und Schlüsselverwaltern. Die Lösung muss kundenseitig verwaltete Schlüssel statt des standardmäßigen dienstverwalteten Schlüssels verwenden.' },
      question: { en: 'Which Azure SQL encryption design should be configured?', de: 'Welches Azure-SQL-Verschlüsselungsdesign sollte konfiguriert werden?' },
      options: [
        { id: 'A', text: { en: 'Set the SQL server TDE protector to a customer-managed key in Key Vault', de: 'Den TDE-Schutz des SQL-Servers auf einen kundenseitig verwalteten Schlüssel in Key Vault festlegen' } },
        { id: 'B', text: { en: 'Create an NSG on the SQL logical server', de: 'Eine NSG auf dem logischen SQL-Server erstellen' } },
        { id: 'C', text: { en: 'Use a local certificate on each client device', de: 'Ein lokales Zertifikat auf jedem Clientgerät verwenden' } },
        { id: 'D', text: { en: 'Enable Azure File Sync', de: 'Azure File Sync aktivieren' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure SQL Database supports transparent data encryption with customer-managed keys, where the server TDE protector references a key stored in Key Vault.', de: 'Azure SQL Database unterstützt Transparent Data Encryption mit kundenseitig verwalteten Schlüsseln, wobei der TDE-Schutz des Servers auf einen in Key Vault gespeicherten Schlüssel verweist.' },
      hint: { en: 'The encryption protector must come from Key Vault.', de: 'Der Verschlüsselungsschutz muss aus Key Vault stammen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/transparent-data-encryption-tde-overview'
    },
    {
      id: 'az500-155',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft security offering helps detect suspicious access patterns and threats against Azure Storage accounts?', de: 'Welches Microsoft-Sicherheitsangebot hilft dabei, verdächtige Zugriffsmuster und Bedrohungen für Azure-Speicherkonten zu erkennen?' },
      options: [
        { id: 'A', text: { en: 'Microsoft Defender for Storage', de: 'Microsoft Defender for Storage' } },
        { id: 'B', text: { en: 'Azure DNS private zones', de: 'Private Azure-DNS-Zonen' } },
        { id: 'C', text: { en: 'Azure Automation State Configuration', de: 'Azure Automation State Configuration' } },
        { id: 'D', text: { en: 'Application Gateway', de: 'Application Gateway' } }
      ],
      correct: ['A'],
      explanation: { en: 'Microsoft Defender for Storage adds threat detection and related protections for Azure Storage accounts.', de: 'Microsoft Defender for Storage bietet Bedrohungserkennung und verwandte Schutzfunktionen für Azure-Speicherkonten.' },
      hint: { en: 'Choose the Defender plan specific to Storage.', de: 'Wählen Sie den Defender-Plan speziell für Storage.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-storage-introduction'
    },
    {
      id: 'az500-156',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Azure VM encryption option also encrypts the host and temporary disks plus cache for managed disks?', de: 'Welche Azure-VM-Verschlüsselungsoption verschlüsselt zusätzlich den Host, die temporären Datenträger und den Cache verwalteter Datenträger?' },
      options: [
        { id: 'A', text: { en: 'Encryption at host', de: 'Hostverschlüsselung' } },
        { id: 'B', text: { en: 'Availability sets', de: 'Verfügbarkeitsgruppen' } },
        { id: 'C', text: { en: 'Resource locks', de: 'Ressourcensperren' } },
        { id: 'D', text: { en: 'Service endpoints', de: 'Service Endpoints' } }
      ],
      correct: ['A'],
      explanation: { en: 'Encryption at host protects data before it is written to the storage service, including temporary disks and caches on the host.', de: 'Die Hostverschlüsselung schützt Daten, bevor sie in den Speicherdienst geschrieben werden, einschließlich temporärer Datenträger und Caches auf dem Host.' },
      hint: { en: 'This is broader than disk encryption settings alone.', de: 'Dies ist umfassender als reine Datenträgerverschlüsselungseinstellungen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-machines/disks-enable-host-based-encryption-portal'
    },
    {
      id: 'az500-157',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: { en: 'Contoso runs an AKS cluster for internal APIs. Application pods need to retrieve secrets from Azure Key Vault without embedding them in Kubernetes manifests or custom scripts. The platform team prefers a supported integration pattern for mounting or syncing secrets. The design must minimize secret sprawl in the cluster.', de: 'Contoso betreibt einen AKS-Cluster für interne APIs. Anwendungspods müssen Geheimnisse aus Azure Key Vault abrufen, ohne sie in Kubernetes-Manifeste oder benutzerdefinierte Skripte einzubetten. Das Plattformteam bevorzugt ein unterstütztes Integrationsmuster zum Einbinden oder Synchronisieren von Geheimnissen. Das Design muss die Verbreitung von Geheimnissen im Cluster minimieren.' },
      question: { en: 'Which AKS and Key Vault integration should be configured?', de: 'Welche Integration zwischen AKS und Key Vault sollte konfiguriert werden?' },
      options: [
        { id: 'A', text: { en: 'The Azure Key Vault provider for Secrets Store CSI Driver', de: 'Den Azure-Key-Vault-Provider für den Secrets Store CSI Driver' } },
        { id: 'B', text: { en: 'A public container registry webhook', de: 'Einen Webhook für eine öffentliche Container Registry' } },
        { id: 'C', text: { en: 'A manual text file with secrets on each node', de: 'Eine manuelle Textdatei mit Geheimnissen auf jedem Knoten' } },
        { id: 'D', text: { en: 'An Azure DNS public zone', de: 'Eine öffentliche Azure-DNS-Zone' } }
      ],
      correct: ['A'],
      explanation: { en: 'The Azure Key Vault provider for Secrets Store CSI Driver integrates AKS with Key Vault so pods can consume secrets without hardcoding them into manifests.', de: 'Der Azure-Key-Vault-Provider für den Secrets Store CSI Driver integriert AKS mit Key Vault, sodass Pods Geheimnisse konsumieren können, ohne sie fest in Manifesten zu hinterlegen.' },
      hint: { en: 'Use the supported AKS to Key Vault secret integration.', de: 'Verwenden Sie die unterstützte Integration von AKS mit Key Vault für Geheimnisse.' },
      reference: 'https://learn.microsoft.com/en-us/azure/aks/csi-secrets-store-driver'
    },
    {
      id: 'az500-158',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure SQL feature encrypts database files at rest by default?', de: 'Welche Azure-SQL-Funktion verschlüsselt Datenbankdateien standardmäßig im Ruhezustand?' },
      options: [
        { id: 'A', text: { en: 'Transparent Data Encryption', de: 'Transparent Data Encryption' } },
        { id: 'B', text: { en: 'Application security groups', de: 'Anwendungssicherheitsgruppen' } },
        { id: 'C', text: { en: 'Virtual WAN', de: 'Virtual WAN' } },
        { id: 'D', text: { en: 'Azure Bastion', de: 'Azure Bastion' } }
      ],
      correct: ['A'],
      explanation: { en: 'Transparent Data Encryption encrypts Azure SQL Database data, log, and backup files at rest.', de: 'Transparent Data Encryption verschlüsselt Daten-, Protokoll- und Sicherungsdateien von Azure SQL Database im Ruhezustand.' },
      hint: { en: 'This is the standard at-rest encryption feature for Azure SQL.', de: 'Dies ist die Standardfunktion zur Verschlüsselung ruhender Daten in Azure SQL.' },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/transparent-data-encryption-tde-overview'
    },
    {
      id: 'az500-159',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure Key Vault data-plane object types can have versions and be retrieved by versioned identifiers? Choose all that apply.', de: 'Welche Datenebenenobjekte in Azure Key Vault können Versionen besitzen und über versionsbezogene Bezeichner abgerufen werden? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Keys', de: 'Schlüssel' } },
        { id: 'B', text: { en: 'Secrets', de: 'Geheimnisse' } },
        { id: 'C', text: { en: 'Certificates', de: 'Zertifikate' } },
        { id: 'D', text: { en: 'Virtual network subnets', de: 'Subnetze virtueller Netzwerke' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Keys, secrets, and certificates are first-class Key Vault data objects. Each can have versions and be managed through Key Vault data-plane operations.', de: 'Schlüssel, Geheimnisse und Zertifikate sind eigenständige Datenobjekte in Key Vault. Jedes davon kann Versionen besitzen und über Datenebenenvorgänge von Key Vault verwaltet werden.' },
      hint: { en: 'Think about versioned objects managed directly inside Key Vault.', de: 'Denken Sie an versionierte Objekte, die direkt in Key Vault verwaltet werden.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/about-keys-secrets-certificates'
    },
    {
      id: 'az500-160',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure feature assigns a private IP address from your virtual network to an Azure Storage account endpoint?', de: 'Welche Azure-Funktion weist einem Endpunkt eines Azure-Speicherkontos eine private IP-Adresse aus Ihrem virtuellen Netzwerk zu?' },
      options: [
        { id: 'A', text: { en: 'Private endpoint', de: 'Private Endpoint' } },
        { id: 'B', text: { en: 'Service endpoint', de: 'Service Endpoint' } },
        { id: 'C', text: { en: 'Resource lock', de: 'Ressourcensperre' } },
        { id: 'D', text: { en: 'Azure Policy exemption', de: 'Azure-Policy-Ausnahme' } }
      ],
      correct: ['A'],
      explanation: { en: 'A private endpoint maps the storage service to a private IP in the VNet, enabling private access through Azure Private Link.', de: 'Ein Private Endpoint ordnet den Speicherdienst einer privaten IP-Adresse im VNet zu und ermöglicht so privaten Zugriff über Azure Private Link.' },
      hint: { en: 'This is the option that gives the PaaS service a private IP in your VNet.', de: 'Dies ist die Option, die dem PaaS-Dienst eine private IP-Adresse in Ihrem VNet gibt.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-private-endpoints'
    },
    {
      id: 'az500-161',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'What is a key security benefit of Azure Confidential VMs?', de: 'Was ist ein zentraler Sicherheitsvorteil von Azure Confidential VMs?' },
      options: [
        { id: 'A', text: { en: 'They help protect data in memory while it is being processed', de: 'Sie helfen, Daten im Arbeitsspeicher zu schützen, während sie verarbeitet werden' } },
        { id: 'B', text: { en: 'They automatically replace Azure Firewall', de: 'Sie ersetzen automatisch Azure Firewall' } },
        { id: 'C', text: { en: 'They remove the need for identity management', de: 'Sie machen Identitätsverwaltung überflüssig' } },
        { id: 'D', text: { en: 'They create public IP addresses for secure management', de: 'Sie erstellen öffentliche IP-Adressen für eine sichere Verwaltung' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure Confidential VMs use confidential computing technologies to help protect data in use, including memory protections for sensitive workloads.', de: 'Azure Confidential VMs verwenden Confidential-Computing-Technologien, um Daten während der Verwendung zu schützen, einschließlich Speicherschutz für sensible Workloads.' },
      hint: { en: 'Think about data in use, not only data at rest.', de: 'Denken Sie an Daten während der Nutzung und nicht nur an ruhende Daten.' },
      reference: 'https://learn.microsoft.com/en-us/azure/confidential-computing/confidential-vm-overview'
    },
    {
      id: 'az500-162',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'You must grant a build system pull access to only one Azure Container Registry repository. What should you use?', de: 'Sie müssen einem Buildsystem Pull-Zugriff auf genau ein Azure-Container-Registry-Repository gewähren. Was sollten Sie verwenden?' },
      options: [
        { id: 'A', text: { en: 'An ACR token with a scope map', de: 'Ein ACR-Token mit einer Bereichszuordnung' } },
        { id: 'B', text: { en: 'The registry admin user', de: 'Den Administratorbenutzer der Registry' } },
        { id: 'C', text: { en: 'The Owner role on the subscription', de: 'Die Rolle Owner auf dem Abonnement' } },
        { id: 'D', text: { en: 'A public DNS record', de: 'Einen öffentlichen DNS-Eintrag' } }
      ],
      correct: ['A'],
      explanation: { en: 'Repository-scoped permissions in Azure Container Registry use scope maps and tokens so you can grant fine-grained pull or push rights to specific repositories.', de: 'Bereichsbezogene Berechtigungen in Azure Container Registry verwenden Scope Maps und Token, damit Sie granulare Pull- oder Push-Rechte für bestimmte Repositorys vergeben können.' },
      hint: { en: 'Choose the least-privilege ACR-specific access model.', de: 'Wählen Sie das auf ACR zugeschnittene Least-Privilege-Zugriffsmodell.' },
      reference: 'https://learn.microsoft.com/en-us/azure/container-registry/container-registry-repository-scoped-permissions'
    },
    {
      id: 'az500-163',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: { en: 'Fabrikam runs several production virtual machines that use managed disks. Security policy requires all new disks to use the same customer-managed key stored in Azure Key Vault. Key administrators must be able to rotate the key centrally without touching each disk individually. The infrastructure team wants a reusable Azure object to bind the disks to the key.', de: 'Fabrikam betreibt mehrere Produktions-VMs mit verwalteten Datenträgern. Die Sicherheitsrichtlinie verlangt, dass alle neuen Datenträger denselben kundenseitig verwalteten Schlüssel aus Azure Key Vault verwenden. Schlüsseladministratoren müssen den Schlüssel zentral rotieren können, ohne jeden Datenträger einzeln anzufassen. Das Infrastrukturteam wünscht sich ein wiederverwendbares Azure-Objekt, das die Datenträger an den Schlüssel bindet.' },
      question: { en: 'What should the team deploy?', de: 'Was sollte das Team bereitstellen?' },
      options: [
        { id: 'A', text: { en: 'A Disk Encryption Set', de: 'Ein Disk Encryption Set' } },
        { id: 'B', text: { en: 'An application security group', de: 'Eine Anwendungssicherheitsgruppe' } },
        { id: 'C', text: { en: 'A NAT gateway', de: 'Ein NAT Gateway' } },
        { id: 'D', text: { en: 'A storage queue', de: 'Eine Storage Queue' } }
      ],
      correct: ['A'],
      explanation: { en: 'A Disk Encryption Set is the reusable Azure resource that links managed disks and snapshots to a customer-managed key in Key Vault or Managed HSM.', de: 'Ein Disk Encryption Set ist die wiederverwendbare Azure-Ressource, die verwaltete Datenträger und Snapshots mit einem kundenseitig verwalteten Schlüssel in Key Vault oder Managed HSM verknüpft.' },
      hint: { en: 'The requirement calls for a reusable CMK binding object.', de: 'Die Anforderung verlangt nach einem wiederverwendbaren Objekt zur Bindung an den kundenseitig verwalteten Schlüssel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-machines/disk-encryption-overview'
    },
    {
      id: 'az500-164',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which storage access mechanism grants limited permissions for a specific time without exposing the account key?', de: 'Welcher Speicherzugriffsmechanismus gewährt begrenzte Berechtigungen für eine bestimmte Zeit, ohne den Kontoschlüssel offenzulegen?' },
      options: [
        { id: 'A', text: { en: 'Shared Access Signature', de: 'Shared Access Signature' } },
        { id: 'B', text: { en: 'Management group', de: 'Verwaltungsgruppe' } },
        { id: 'C', text: { en: 'Availability set', de: 'Verfügbarkeitsgruppe' } },
        { id: 'D', text: { en: 'NSG flow log', de: 'NSG-Flowlog' } }
      ],
      correct: ['A'],
      explanation: { en: 'A Shared Access Signature grants delegated and time-limited access to storage resources without distributing the account key directly.', de: 'Eine Shared Access Signature gewährt delegierten und zeitlich begrenzten Zugriff auf Speicherressourcen, ohne den Kontoschlüssel direkt zu verteilen.' },
      hint: { en: 'Think of temporary delegated storage access.', de: 'Denken Sie an zeitlich begrenzten delegierten Speicherzugriff.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-sas-overview'
    },
    {
      id: 'az500-165',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which protections are available for Azure SQL Database? Choose all that apply.', de: 'Welche Schutzmechanismen stehen für Azure SQL Database zur Verfügung? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Auditing', de: 'Überwachung' } },
        { id: 'B', text: { en: 'Dynamic Data Masking', de: 'Dynamische Datenmaskierung' } },
        { id: 'C', text: { en: 'Microsoft Defender for SQL', de: 'Microsoft Defender for SQL' } },
        { id: 'D', text: { en: 'Application security groups', de: 'Anwendungssicherheitsgruppen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Azure SQL Database includes security capabilities such as auditing, dynamic data masking, and Microsoft Defender for SQL. Application security groups are a network feature.', de: 'Azure SQL Database umfasst Sicherheitsfunktionen wie Überwachung, dynamische Datenmaskierung und Microsoft Defender for SQL. Anwendungssicherheitsgruppen sind hingegen eine Netzwerkfunktion.' },
      hint: { en: 'Choose the database security controls.', de: 'Wählen Sie die Datenbanksicherheitskontrollen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/security-overview'
    },
    {
      id: 'az500-166',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: { en: 'Datum Corporation stores signing keys in Azure Key Vault. Security policy requires the team to recover deleted keys if they are removed by mistake or through malicious action. The company also wants to prevent permanent destruction until the retention period ends. Administrators need built-in safeguards rather than manual scripts.', de: 'Datum Corporation speichert Signaturschlüssel in Azure Key Vault. Die Sicherheitsrichtlinie verlangt, dass das Team gelöschte Schlüssel wiederherstellen kann, wenn sie versehentlich oder böswillig entfernt werden. Das Unternehmen möchte außerdem eine endgültige Vernichtung bis zum Ende des Aufbewahrungszeitraums verhindern. Administratoren benötigen integrierte Schutzmechanismen statt manueller Skripte.' },
      question: { en: 'What should be enabled?', de: 'Was sollte aktiviert werden?' },
      options: [
        { id: 'A', text: { en: 'Soft-delete and purge protection', de: 'Soft Delete und Löschschutz' } },
        { id: 'B', text: { en: 'Azure Bastion and JIT', de: 'Azure Bastion und JIT' } },
        { id: 'C', text: { en: 'Site-to-site VPN', de: 'Site-to-Site-VPN' } },
        { id: 'D', text: { en: 'A storage lifecycle policy', de: 'Eine Speicherlebenszyklusrichtlinie' } }
      ],
      correct: ['A'],
      explanation: { en: 'Soft-delete preserves deleted vault objects for recovery, and purge protection prevents immediate permanent deletion before the retention period expires.', de: 'Soft Delete bewahrt gelöschte Tresorobjekte zur Wiederherstellung auf, und der Löschschutz verhindert eine sofortige endgültige Löschung vor Ablauf des Aufbewahrungszeitraums.' },
      hint: { en: 'The requirement is recoverability plus protection against immediate permanent deletion.', de: 'Die Anforderung ist Wiederherstellbarkeit plus Schutz vor sofortiger endgültiger Löschung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/soft-delete-overview'
    },
    {
      id: 'az500-167',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure Storage capability provides write-once, read-many protection for blobs?', de: 'Welche Azure-Storage-Funktion bietet Write-Once-Read-Many-Schutz für Blobs?' },
      options: [
        { id: 'A', text: { en: 'Immutable storage', de: 'Unveränderlicher Speicher' } },
        { id: 'B', text: { en: 'Azure Firewall', de: 'Azure Firewall' } },
        { id: 'C', text: { en: 'Availability zones', de: 'Verfügbarkeitszonen' } },
        { id: 'D', text: { en: 'Dynamic groups', de: 'Dynamische Gruppen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Immutable storage for Azure Blob Storage supports WORM controls so data cannot be modified or deleted during the retention period.', de: 'Unveränderlicher Speicher für Azure Blob Storage unterstützt WORM-Steuerelemente, sodass Daten während des Aufbewahrungszeitraums nicht geändert oder gelöscht werden können.' },
      hint: { en: 'Think about retention that prevents changes.', de: 'Denken Sie an eine Aufbewahrung, die Änderungen verhindert.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/blobs/immutable-storage-overview'
    },
    {
      id: 'az500-168',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which AKS identity feature lets Kubernetes workloads access Azure resources without storing secrets in Kubernetes?', de: 'Welche AKS-Identitätsfunktion ermöglicht es Kubernetes-Workloads, auf Azure-Ressourcen zuzugreifen, ohne Geheimnisse in Kubernetes zu speichern?' },
      options: [
        { id: 'A', text: { en: 'AKS Workload Identity', de: 'AKS Workload Identity' } },
        { id: 'B', text: { en: 'Azure File Sync', de: 'Azure File Sync' } },
        { id: 'C', text: { en: 'Management group hierarchy', de: 'Verwaltungsgruppenhierarchie' } },
        { id: 'D', text: { en: 'Traffic analytics', de: 'Traffic Analytics' } }
      ],
      correct: ['A'],
      explanation: { en: 'AKS Workload Identity integrates Kubernetes service accounts with Microsoft Entra workload identities so pods can request Azure tokens without static credentials.', de: 'AKS Workload Identity integriert Kubernetes-Servicekonten mit Microsoft-Entra-Workloadidentitäten, sodass Pods Azure-Token ohne statische Anmeldeinformationen anfordern können.' },
      hint: { en: 'This is the secretless identity model for AKS workloads.', de: 'Dies ist das geheimnisfreie Identitätsmodell für AKS-Workloads.' },
      reference: 'https://learn.microsoft.com/en-us/azure/aks/workload-identity-overview'
    },
    {
      id: 'az500-169',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: { en: 'Tailwind Traders uses Azure Container Registry for internal images. Build agents run inside a virtual network and the registry must not be reachable from the public internet. The platform team wants image pulls and pushes to stay on private networking paths. The solution should use native Azure connectivity controls.', de: 'Tailwind Traders verwendet Azure Container Registry für interne Images. Build-Agents werden innerhalb eines virtuellen Netzwerks ausgeführt, und die Registry darf aus dem öffentlichen Internet nicht erreichbar sein. Das Plattformteam möchte, dass Pull- und Push-Vorgänge über private Netzwerkpfade erfolgen. Die Lösung soll native Azure-Konnektivitätskontrollen verwenden.' },
      question: { en: 'Which private connectivity configuration should be configured for the registry?', de: 'Welche Konfiguration für private Konnektivität sollte für die Registry eingerichtet werden?' },
      options: [
        { id: 'A', text: { en: 'A private endpoint for the registry and disable public network access', de: 'Einen Private Endpoint für die Registry und das Deaktivieren des öffentlichen Netzwerkzugriffs' } },
        { id: 'B', text: { en: 'A public DNS zone and anonymous pull', de: 'Eine öffentliche DNS-Zone und anonymer Pull' } },
        { id: 'C', text: { en: 'A local Windows share on each node', de: 'Eine lokale Windows-Freigabe auf jedem Knoten' } },
        { id: 'D', text: { en: 'A route table with internet next hop', de: 'Eine Routentabelle mit Internet als nächstem Hop' } }
      ],
      correct: ['A'],
      explanation: { en: 'Private endpoints provide private connectivity to Azure Container Registry, and disabling public network access prevents public exposure.', de: 'Private Endpoints stellen private Konnektivität zu Azure Container Registry bereit, und das Deaktivieren des öffentlichen Netzwerkzugriffs verhindert eine öffentliche Exponierung.' },
      hint: { en: 'Treat the registry as a private PaaS endpoint.', de: 'Behandeln Sie die Registry als privaten PaaS-Endpunkt.' },
      reference: 'https://learn.microsoft.com/en-us/azure/storage/common/storage-private-endpoints'
    },
    {
      id: 'az500-170',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which components are required to use customer-managed keys with Azure managed disks? Choose all that apply.', de: 'Welche Komponenten sind erforderlich, um kundenseitig verwaltete Schlüssel mit verwalteten Azure-Datenträgern zu verwenden? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Azure Key Vault or Managed HSM', de: 'Azure Key Vault oder Managed HSM' } },
        { id: 'B', text: { en: 'A key that will be used for encryption', de: 'Einen Schlüssel, der für die Verschlüsselung verwendet wird' } },
        { id: 'C', text: { en: 'A Disk Encryption Set', de: 'Ein Disk Encryption Set' } },
        { id: 'D', text: { en: 'A public IP prefix', de: 'Ein Präfix für öffentliche IP-Adressen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Customer-managed keys for managed disks require a key store, an encryption key, and a Disk Encryption Set that references the key for supported disk resources.', de: 'Kundenseitig verwaltete Schlüssel für verwaltete Datenträger erfordern einen Schlüsselspeicher, einen Verschlüsselungsschlüssel und ein Disk Encryption Set, das für unterstützte Datenträgerressourcen auf den Schlüssel verweist.' },
      hint: { en: 'Think of the key source, the key itself, and the Azure binding resource.', de: 'Denken Sie an die Schlüsselquelle, den Schlüssel selbst und die Azure-Bindungsressource.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-machines/disk-encryption-overview'
    },
    {
      id: 'az500-171',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure SQL capability helps identify and label sensitive columns for data classification?', de: 'Welche Azure-SQL-Funktion hilft dabei, sensible Spalten für die Datenklassifizierung zu identifizieren und zu kennzeichnen?' },
      options: [
        { id: 'A', text: { en: 'Data Discovery and Classification', de: 'Datenermittlung und Klassifizierung' } },
        { id: 'B', text: { en: 'Virtual WAN', de: 'Virtual WAN' } },
        { id: 'C', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'D', text: { en: 'Application Gateway WAF', de: 'Application Gateway WAF' } }
      ],
      correct: ['A'],
      explanation: { en: 'Azure SQL Data Discovery and Classification helps find, classify, and label sensitive data to support governance and reporting.', de: 'Die Azure-SQL-Funktion Datenermittlung und Klassifizierung hilft dabei, sensible Daten zu finden, zu klassifizieren und zu kennzeichnen, um Governance und Berichterstattung zu unterstützen.' },
      hint: { en: 'This feature focuses on identifying and labeling sensitive data.', de: 'Diese Funktion konzentriert sich auf das Erkennen und Kennzeichnen sensibler Daten.' },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/data-discovery-and-classification-overview'
    },
    {
      id: 'az500-172',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: { en: 'Proseware runs a web application in Azure App Service. The application needs database connection strings and API secrets, and the operations team wants those values rotated centrally in Azure Key Vault. Developers do not want secrets stored in app settings as plain text. The app already has a managed identity.', de: 'Proseware betreibt eine Webanwendung in Azure App Service. Die Anwendung benötigt Datenbankverbindungszeichenfolgen und API-Geheimnisse, und das Betriebsteam möchte diese Werte zentral in Azure Key Vault rotieren. Entwickler möchten Geheimnisse nicht als Klartext in App-Einstellungen speichern. Die Anwendung verfügt bereits über eine verwaltete Identität.' },
      question: { en: 'Which App Service capability should you use?', de: 'Welche App-Service-Funktion sollten Sie verwenden?' },
      options: [
        { id: 'A', text: { en: 'Key Vault references with the app managed identity', de: 'Key-Vault-Verweise mit der verwalteten Identität der App' } },
        { id: 'B', text: { en: 'A public Git repository variable', de: 'Eine Variable in einem öffentlichen Git-Repository' } },
        { id: 'C', text: { en: 'A local file on each worker', de: 'Eine lokale Datei auf jedem Worker' } },
        { id: 'D', text: { en: 'A DNS TXT record', de: 'Einen DNS-TXT-Eintrag' } }
      ],
      correct: ['A'],
      explanation: { en: 'App Service Key Vault references let application settings resolve secrets from Key Vault at runtime by using the app managed identity.', de: 'Mit Key-Vault-Verweisen in App Service können Anwendungseinstellungen Geheimnisse zur Laufzeit aus Key Vault auflösen, indem die verwaltete Identität der App verwendet wird.' },
      hint: { en: 'Use the built-in App Service integration with Key Vault.', de: 'Verwenden Sie die integrierte App-Service-Integration mit Key Vault.' },
      reference: 'https://learn.microsoft.com/en-us/azure/app-service/app-service-key-vault-references'
    },
    {
      id: 'az500-173',
      type: 'single',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Azure SQL feature helps protect sensitive values from database administrators by keeping data encrypted inside the database engine?', de: 'Welche Azure-SQL-Funktion hilft dabei, sensible Werte vor Datenbankadministratoren zu schützen, indem die Daten innerhalb der Datenbank-Engine verschlüsselt bleiben?' },
      options: [
        { id: 'A', text: { en: 'Always Encrypted', de: 'Always Encrypted' } },
        { id: 'B', text: { en: 'Traffic analytics', de: 'Traffic Analytics' } },
        { id: 'C', text: { en: 'Azure Firewall Manager', de: 'Azure Firewall Manager' } },
        { id: 'D', text: { en: 'Network Watcher', de: 'Network Watcher' } }
      ],
      correct: ['A'],
      explanation: { en: 'Always Encrypted helps protect sensitive data by keeping encryption and decryption operations on the client side, limiting data exposure to database administrators.', de: 'Always Encrypted hilft, sensible Daten zu schützen, indem Verschlüsselung und Entschlüsselung auf der Clientseite stattfinden und die Datenexponierung gegenüber Datenbankadministratoren begrenzt wird.' },
      hint: { en: 'Think about protection from high-privilege database operators.', de: 'Denken Sie an Schutz vor hoch privilegierten Datenbankbetreibern.' },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-sql/database/always-encrypted-landing'
    },
    {
      id: 'az500-174',
      type: 'multiple',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which access control models are supported by Azure Key Vault? Choose all that apply.', de: 'Welche Zugriffssteuerungsmodelle werden von Azure Key Vault unterstützt? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Azure role-based access control', de: 'Azure-Rollenbasierte Zugriffssteuerung' } },
        { id: 'B', text: { en: 'Vault access policies', de: 'Tresorzugriffsrichtlinien' } },
        { id: 'C', text: { en: 'Application security groups', de: 'Anwendungssicherheitsgruppen' } },
        { id: 'D', text: { en: 'Availability zones', de: 'Verfügbarkeitszonen' } }
      ],
      correct: ['A', 'B'],
      explanation: { en: 'Azure Key Vault supports Azure RBAC and the legacy vault access policy model for controlling data-plane permissions.', de: 'Azure Key Vault unterstützt Azure RBAC und das ältere Modell der Tresorzugriffsrichtlinien zur Steuerung von Datenebenenberechtigungen.' },
      hint: { en: 'These are two different permission models for Key Vault data access.', de: 'Dies sind zwei unterschiedliche Berechtigungsmodelle für den Datenzugriff auf Key Vault.' },
      reference: 'https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-access-policy'
    },
    {
      id: 'az500-175',
      type: 'scenario',
      domain: { en: 'Secure compute, storage, and databases', de: 'Compute, Speicher und Datenbanken absichern' },
      difficulty: 'hard',
      scenario: { en: 'Trey Research runs Linux virtual machines that process confidential research data. Security policy states that data on temporary disks and host cache must be encrypted in addition to managed disk contents. The solution must be applied at the VM host level instead of only at the disk resource level. Administrators want to keep using managed disks.', de: 'Trey Research betreibt Linux-VMs, die vertrauliche Forschungsdaten verarbeiten. Die Sicherheitsrichtlinie verlangt, dass Daten auf temporären Datenträgern und im Hostcache zusätzlich zum Inhalt verwalteter Datenträger verschlüsselt werden. Die Lösung muss auf Hostebene der VM angewendet werden und nicht nur auf Ebene der Datenträgerressource. Administratoren möchten weiterhin verwaltete Datenträger nutzen.' },
      question: { en: 'What should you enable?', de: 'Was sollten Sie aktivieren?' },
      options: [
        { id: 'A', text: { en: 'Encryption at host', de: 'Hostverschlüsselung' } },
        { id: 'B', text: { en: 'A public IP address', de: 'Eine öffentliche IP-Adresse' } },
        { id: 'C', text: { en: 'An availability set', de: 'Eine Verfügbarkeitsgruppe' } },
        { id: 'D', text: { en: 'A route filter', de: 'Einen Routenfilter' } }
      ],
      correct: ['A'],
      explanation: { en: 'Encryption at host extends protection to the VM host cache and temporary disks in addition to managed disk data.', de: 'Die Hostverschlüsselung erweitert den Schutz auf den VM-Hostcache und temporäre Datenträger zusätzlich zu den Daten verwalteter Datenträger.' },
      hint: { en: 'The requirement explicitly includes cache and temporary disks.', de: 'Die Anforderung schließt ausdrücklich Cache und temporäre Datenträger ein.' },
      reference: 'https://learn.microsoft.com/en-us/azure/virtual-machines/disks-enable-host-based-encryption-portal'
    },
    {
      id: 'az500-176',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'What does Microsoft Defender for Cloud secure score primarily measure?', de: 'Was misst der Secure Score von Microsoft Defender for Cloud in erster Linie?' },
      options: [
        { id: 'A', text: { en: 'Your current security posture against recommended controls', de: 'Ihren aktuellen Sicherheitsstatus im Vergleich zu empfohlenen Kontrollen' } },
        { id: 'B', text: { en: 'Your internet bandwidth consumption', de: 'Ihren Internetbandbreitenverbrauch' } },
        { id: 'C', text: { en: 'Your Azure subscription cost only', de: 'Ausschließlich Ihre Kosten im Azure-Abonnement' } },
        { id: 'D', text: { en: 'The number of DNS records in the tenant', de: 'Die Anzahl der DNS-Einträge im Mandanten' } }
      ],
      correct: ['A'],
      explanation: { en: 'Secure score reflects how closely your environment aligns with Microsoft Defender for Cloud security recommendations and controls.', de: 'Der Secure Score zeigt, wie eng Ihre Umgebung mit den Sicherheitsempfehlungen und Kontrollen von Microsoft Defender for Cloud übereinstimmt.' },
      hint: { en: 'It is a posture metric, not a cost or capacity metric.', de: 'Es handelt sich um eine Kennzahl für den Sicherheitsstatus und nicht um eine Kosten- oder Kapazitätskennzahl.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/secure-score-security-controls'
    },
    {
      id: 'az500-177',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Defender for Cloud experience maps recommendations and assessments to standards such as regulatory frameworks?', de: 'Welche Defender-for-Cloud-Ansicht ordnet Empfehlungen und Bewertungen Standards wie regulatorischen Frameworks zu?' },
      options: [
        { id: 'A', text: { en: 'Regulatory compliance dashboard', de: 'Dashboard für regulatorische Compliance' } },
        { id: 'B', text: { en: 'Azure Resource Mover', de: 'Azure Resource Mover' } },
        { id: 'C', text: { en: 'Public IP prefix', de: 'Präfix für öffentliche IP-Adressen' } },
        { id: 'D', text: { en: 'Disk Encryption Set', de: 'Disk Encryption Set' } }
      ],
      correct: ['A'],
      explanation: { en: 'The regulatory compliance dashboard shows how your environment aligns with supported standards and which assessments influence those controls.', de: 'Das Dashboard für regulatorische Compliance zeigt, wie Ihre Umgebung mit unterstützten Standards übereinstimmt und welche Bewertungen diese Kontrollen beeinflussen.' },
      hint: { en: 'This view focuses on compliance mappings and controls.', de: 'Diese Ansicht konzentriert sich auf Compliance-Zuordnungen und Kontrollen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/regulatory-compliance-dashboard'
    },
    {
      id: 'az500-178',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which data sources have built-in Microsoft Sentinel connectors? Choose all that apply.', de: 'Für welche Datenquellen gibt es integrierte Microsoft-Sentinel-Konnektoren? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Azure Activity', de: 'Azure Activity' } },
        { id: 'B', text: { en: 'Microsoft 365', de: 'Microsoft 365' } },
        { id: 'C', text: { en: 'Microsoft Entra ID', de: 'Microsoft Entra ID' } },
        { id: 'D', text: { en: 'A local text file in Notepad', de: 'Eine lokale Textdatei in Notepad' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Microsoft Sentinel includes built-in connectors for many Microsoft services such as Azure Activity, Microsoft 365, and Microsoft Entra ID.', de: 'Microsoft Sentinel enthält integrierte Konnektoren für viele Microsoft-Dienste wie Azure Activity, Microsoft 365 und Microsoft Entra ID.' },
      hint: { en: 'Pick the cloud security data sources, not the desktop file.', de: 'Wählen Sie die Cloud-Sicherheitsdatenquellen und nicht die Desktopdatei.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/connect-data-sources'
    },
    {
      id: 'az500-179',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Contoso operates a 24x7 security operations center with Microsoft Sentinel. High-severity incidents from a ransomware use case must immediately assign a specific on-call analyst and run a playbook that isolates affected assets through downstream tools. The team wants this orchestration to happen as soon as the incident is created. Analysts do not want to perform these steps manually during every urgent event.', de: 'Contoso betreibt ein 24x7 Security Operations Center mit Microsoft Sentinel. Incidents mit hoher Kritikalität aus einem Ransomware-Anwendungsfall müssen sofort einem bestimmten Bereitschaftsanalysten zugewiesen werden und ein Playbook ausführen, das betroffene Assets über nachgelagerte Werkzeuge isoliert. Das Team möchte, dass diese Orchestrierung unmittelbar bei der Erstellung des Incidents erfolgt. Analysten möchten diese Schritte nicht bei jedem dringenden Ereignis manuell durchführen.' },
      question: { en: 'What should the SOC configure?', de: 'Was sollte das SOC konfigurieren?' },
      options: [
        { id: 'A', text: { en: 'A Sentinel automation rule that assigns the incident and triggers a playbook', de: 'Eine Sentinel-Automatisierungsregel, die den Incident zuweist und ein Playbook auslöst' } },
        { id: 'B', text: { en: 'A DNS zone delegation', de: 'Eine DNS-Zonendelegierung' } },
        { id: 'C', text: { en: 'An availability set', de: 'Eine Verfügbarkeitsgruppe' } },
        { id: 'D', text: { en: 'A storage lifecycle policy', de: 'Eine Speicherlebenszyklusrichtlinie' } }
      ],
      correct: ['A'],
      explanation: { en: 'Automation rules in Sentinel can update incident properties and automatically run playbooks when incidents are created or updated.', de: 'Automatisierungsregeln in Sentinel können Incident-Eigenschaften aktualisieren und automatisch Playbooks ausführen, wenn Incidents erstellt oder aktualisiert werden.' },
      hint: { en: 'Use the Sentinel feature that reacts to incidents and can launch SOAR actions.', de: 'Verwenden Sie die Sentinel-Funktion, die auf Incidents reagiert und SOAR-Aktionen starten kann.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automate-incident-handling-with-automation-rules'
    },
    {
      id: 'az500-180',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Sentinel capability correlates multiple low-fidelity alerts into high-confidence multi-stage attack detections?', de: 'Welche Microsoft-Sentinel-Funktion korreliert mehrere schwache Warnungen zu hochvertrauenswürdigen mehrstufigen Angriffserkennungen?' },
      options: [
        { id: 'A', text: { en: 'Fusion', de: 'Fusion' } },
        { id: 'B', text: { en: 'Azure Bastion', de: 'Azure Bastion' } },
        { id: 'C', text: { en: 'Private DNS zones', de: 'Private DNS-Zonen' } },
        { id: 'D', text: { en: 'Management groups', de: 'Verwaltungsgruppen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Fusion uses advanced correlation to identify attack campaigns from multiple signals and generate higher-confidence incidents.', de: 'Fusion verwendet erweiterte Korrelation, um Angriffskampagnen aus mehreren Signalen zu erkennen und Incidents mit höherem Vertrauensniveau zu erzeugen.' },
      hint: { en: 'Think about built-in advanced alert correlation in Sentinel.', de: 'Denken Sie an die integrierte erweiterte Warnungskorrelation in Sentinel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/fusion'
    },
    {
      id: 'az500-181',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Defender for Cloud feature visualizes how exposed resources could be chained together to reach critical assets?', de: 'Welche Defender-for-Cloud-Funktion visualisiert, wie exponierte Ressourcen miteinander verknüpft werden könnten, um kritische Assets zu erreichen?' },
      options: [
        { id: 'A', text: { en: 'Attack path analysis', de: 'Angriffspfadanalyse' } },
        { id: 'B', text: { en: 'Availability zones', de: 'Verfügbarkeitszonen' } },
        { id: 'C', text: { en: 'Azure Policy exemptions', de: 'Azure-Policy-Ausnahmen' } },
        { id: 'D', text: { en: 'Application Gateway custom probes', de: 'Benutzerdefinierte Sonden von Application Gateway' } }
      ],
      correct: ['A'],
      explanation: { en: 'Attack path analysis in Defender for Cloud highlights exploitable exposure chains and relationships that may lead an attacker from one weak point to critical resources.', de: 'Die Angriffspfadanalyse in Defender for Cloud hebt ausnutzbare Expositionsketten und Beziehungen hervor, die einen Angreifer von einem Schwachpunkt zu kritischen Ressourcen führen könnten.' },
      hint: { en: 'Choose the feature that maps exploitable relationships between resources.', de: 'Wählen Sie die Funktion, die ausnutzbare Beziehungen zwischen Ressourcen abbildet.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-attack-path'
    },
    {
      id: 'az500-182',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Fabrikam must send security alerts and recommendations from Microsoft Defender for Cloud to downstream tools used by another operations team. The export must happen automatically and remain current as new findings appear. The security architect prefers a supported platform feature rather than custom polling scripts. The destination can be an analytics workspace or streaming service.', de: 'Fabrikam muss Sicherheitswarnungen und Empfehlungen aus Microsoft Defender for Cloud an nachgelagerte Werkzeuge eines anderen Betriebsteams senden. Der Export soll automatisch erfolgen und bei neuen Erkenntnissen aktuell bleiben. Der Sicherheitsarchitekt bevorzugt eine unterstützte Plattformfunktion statt benutzerdefinierter Polling-Skripte. Das Ziel kann ein Analysearbeitsbereich oder ein Streamingdienst sein.' },
      question: { en: 'Which Defender for Cloud export feature should be configured?', de: 'Welche Exportfunktion von Defender for Cloud sollte konfiguriert werden?' },
      options: [
        { id: 'A', text: { en: 'Continuous export in Defender for Cloud', de: 'Continuous Export in Defender for Cloud' } },
        { id: 'B', text: { en: 'A public load balancer', de: 'Einen öffentlichen Load Balancer' } },
        { id: 'C', text: { en: 'A custom DNS suffix', de: 'Ein benutzerdefiniertes DNS-Suffix' } },
        { id: 'D', text: { en: 'A storage account immutability policy', de: 'Eine Unveränderlichkeitsrichtlinie für ein Speicherkonto' } }
      ],
      correct: ['A'],
      explanation: { en: 'Continuous export sends supported Defender for Cloud alerts and recommendations automatically to destinations such as Log Analytics workspaces or Event Hubs.', de: 'Continuous Export sendet unterstützte Warnungen und Empfehlungen aus Defender for Cloud automatisch an Ziele wie Log Analytics-Arbeitsbereiche oder Event Hubs.' },
      hint: { en: 'Use the built-in streaming and export feature of Defender for Cloud.', de: 'Verwenden Sie die integrierte Streaming- und Exportfunktion von Defender for Cloud.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/continuous-export'
    },
    {
      id: 'az500-183',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Defender for Cloud feature temporarily opens management ports only when approved and for a limited time?', de: 'Welche Defender-for-Cloud-Funktion öffnet Verwaltungsports nur vorübergehend, nach Genehmigung und für begrenzte Zeit?' },
      options: [
        { id: 'A', text: { en: 'Just-in-time VM access', de: 'Just-in-Time-VM-Zugriff' } },
        { id: 'B', text: { en: 'Resource tags', de: 'Ressourcentags' } },
        { id: 'C', text: { en: 'Azure DNS alias records', de: 'Azure-DNS-Aliasdatensätze' } },
        { id: 'D', text: { en: 'Availability zones', de: 'Verfügbarkeitszonen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Just-in-time VM access reduces exposure by opening management ports like RDP or SSH only when access is requested and approved.', de: 'Just-in-Time-VM-Zugriff verringert die Exponierung, indem Verwaltungsports wie RDP oder SSH nur geöffnet werden, wenn Zugriff angefordert und genehmigt wird.' },
      hint: { en: 'This is the temporary VM management access feature.', de: 'Dies ist die Funktion für temporären Verwaltungszugriff auf VMs.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-overview'
    },
    {
      id: 'az500-184',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which actions can a Microsoft Sentinel automation rule perform? Choose all that apply.', de: 'Welche Aktionen kann eine Microsoft-Sentinel-Automatisierungsregel ausführen? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Assign an incident owner', de: 'Einen Incident-Besitzer zuweisen' } },
        { id: 'B', text: { en: 'Update incident status or severity', de: 'Incident-Status oder -Kritikalität aktualisieren' } },
        { id: 'C', text: { en: 'Trigger a playbook', de: 'Ein Playbook auslösen' } },
        { id: 'D', text: { en: 'Create VNet peering automatically', de: 'Automatisch VNet-Peering erstellen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Automation rules in Sentinel can update incident properties such as owner, status, or severity and can launch playbooks for response actions.', de: 'Automatisierungsregeln in Sentinel können Incident-Eigenschaften wie Besitzer, Status oder Kritikalität aktualisieren und Playbooks für Reaktionsmaßnahmen starten.' },
      hint: { en: 'Think of incident workflow automation inside Sentinel.', de: 'Denken Sie an die Automatisierung von Incident-Workflows in Sentinel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automate-incident-handling-with-automation-rules'
    },
    {
      id: 'az500-185',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Northwind Traders uses workloads in AWS and Azure. The CISO wants one cloud security posture management experience and unified recommendations in Microsoft Defender for Cloud. The onboarding should use the supported multicloud integration path rather than manual data imports. The security team also wants continuous assessment of the AWS environment.', de: 'Northwind Traders verwendet Workloads in AWS und Azure. Der CISO möchte ein einheitliches Cloud-Sicherheitsstatusmanagement und konsolidierte Empfehlungen in Microsoft Defender for Cloud. Das Onboarding soll den unterstützten Multicloud-Integrationspfad statt manueller Datenimporte verwenden. Das Sicherheitsteam möchte außerdem eine kontinuierliche Bewertung der AWS-Umgebung.' },
      question: { en: 'What should the team configure?', de: 'Was sollte das Team konfigurieren?' },
      options: [
        { id: 'A', text: { en: 'The AWS connector in Defender for Cloud', de: 'Den AWS-Konnektor in Defender for Cloud' } },
        { id: 'B', text: { en: 'A site-to-site VPN only', de: 'Nur ein Site-to-Site-VPN' } },
        { id: 'C', text: { en: 'A public blob container', de: 'Einen öffentlichen Blobcontainer' } },
        { id: 'D', text: { en: 'A storage account shared key', de: 'Einen Speicherkontoschlüssel' } }
      ],
      correct: ['A'],
      explanation: { en: 'Defender for Cloud supports onboarding AWS environments through a native connector so posture assessments and recommendations can be centralized.', de: 'Defender for Cloud unterstützt die Einbindung von AWS-Umgebungen über einen nativen Konnektor, sodass Statusbewertungen und Empfehlungen zentralisiert werden können.' },
      hint: { en: 'Use the supported multicloud onboarding feature.', de: 'Verwenden Sie die unterstützte Funktion zur Multicloud-Einbindung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/quickstart-onboard-aws'
    },
    {
      id: 'az500-186',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which Microsoft Sentinel feature lets analysts import a named list of data for correlation and enrichment in analytics and hunting queries?', de: 'Welche Microsoft-Sentinel-Funktion ermöglicht es Analysten, eine benannte Datenliste für Korrelation und Anreicherung in Analyse- und Huntingabfragen zu importieren?' },
      options: [
        { id: 'A', text: { en: 'Watchlist', de: 'Watchlist' } },
        { id: 'B', text: { en: 'Availability set', de: 'Verfügbarkeitsgruppe' } },
        { id: 'C', text: { en: 'Disk Encryption Set', de: 'Disk Encryption Set' } },
        { id: 'D', text: { en: 'Azure Policy initiative', de: 'Azure-Policy-Initiative' } }
      ],
      correct: ['A'],
      explanation: { en: 'Watchlists in Microsoft Sentinel let analysts upload and maintain reference data that can be joined in queries for enrichment and correlation.', de: 'Watchlists in Microsoft Sentinel ermöglichen es Analysten, Referenzdaten hochzuladen und zu pflegen, die in Abfragen für Anreicherung und Korrelation verknüpft werden können.' },
      hint: { en: 'Think of curated reference data for KQL joins.', de: 'Denken Sie an kuratierte Referenzdaten für KQL-Verknüpfungen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/watchlists'
    },
    {
      id: 'az500-187',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'How can you generally improve your Defender for Cloud secure score?', de: 'Wie können Sie Ihren Secure Score in Defender for Cloud generell verbessern?' },
      options: [
        { id: 'A', text: { en: 'Remediate the security recommendations that apply to your environment', de: 'Die Sicherheitsempfehlungen beheben, die für Ihre Umgebung gelten' } },
        { id: 'B', text: { en: 'Create more public IP addresses', de: 'Mehr öffentliche IP-Adressen erstellen' } },
        { id: 'C', text: { en: 'Delete all Azure Monitor workspaces', de: 'Alle Azure-Monitor-Arbeitsbereiche löschen' } },
        { id: 'D', text: { en: 'Turn off auditing everywhere', de: 'Überwachung überall deaktivieren' } }
      ],
      correct: ['A'],
      explanation: { en: 'Secure score improves as you address applicable Defender for Cloud recommendations and strengthen the implemented controls.', de: 'Der Secure Score verbessert sich, wenn Sie zutreffende Empfehlungen von Defender for Cloud umsetzen und die implementierten Kontrollen stärken.' },
      hint: { en: 'Focus on remediation of recommended controls.', de: 'Konzentrieren Sie sich auf die Umsetzung empfohlener Kontrollen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/secure-score-security-controls'
    },
    {
      id: 'az500-188',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Woodgrove Bank wants Microsoft Sentinel to detect repeated suspicious PowerShell executions on servers. The SOC already has the data in the Log Analytics workspace and has written a KQL query that returns the matching events. They need that query to run on a schedule and create alerts and incidents automatically when matches appear. The team does not want analysts to run the hunting query manually every day.', de: 'Woodgrove Bank möchte, dass Microsoft Sentinel wiederholte verdächtige PowerShell-Ausführungen auf Servern erkennt. Das SOC verfügt bereits über die Daten im Log-Analytics-Arbeitsbereich und hat eine KQL-Abfrage erstellt, die passende Ereignisse zurückgibt. Diese Abfrage soll zeitgesteuert ausgeführt werden und bei Treffern automatisch Warnungen und Incidents erzeugen. Das Team möchte nicht, dass Analysten die Hunting-Abfrage täglich manuell ausführen.' },
      question: { en: 'What should be created?', de: 'Was sollte erstellt werden?' },
      options: [
        { id: 'A', text: { en: 'A scheduled analytics rule in Microsoft Sentinel', de: 'Eine geplante Analyseregel in Microsoft Sentinel' } },
        { id: 'B', text: { en: 'A private DNS zone', de: 'Eine private DNS-Zone' } },
        { id: 'C', text: { en: 'A management group hierarchy', de: 'Eine Verwaltungsgruppenhierarchie' } },
        { id: 'D', text: { en: 'A storage immutability policy', de: 'Eine Speicherkonto-Unveränderlichkeitsrichtlinie' } }
      ],
      correct: ['A'],
      explanation: { en: 'Scheduled analytics rules run KQL queries on a defined cadence and can generate alerts and incidents when results match the detection logic.', de: 'Geplante Analyseregeln führen KQL-Abfragen in einem definierten Intervall aus und können Warnungen sowie Incidents erzeugen, wenn Ergebnisse mit der Erkennungslogik übereinstimmen.' },
      hint: { en: 'Turn the KQL detection into an automated scheduled rule.', de: 'Wandeln Sie die KQL-Erkennung in eine automatisierte geplante Regel um.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/create-analytics-rules'
    },
    {
      id: 'az500-189',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which data types can an Azure Monitor data collection rule collect? Choose all that apply.', de: 'Welche Datentypen kann eine Azure-Monitor-Datensammlungsregel erfassen? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Windows event logs', de: 'Windows-Ereignisprotokolle' } },
        { id: 'B', text: { en: 'Syslog', de: 'Syslog' } },
        { id: 'C', text: { en: 'Performance counters', de: 'Leistungsindikatoren' } },
        { id: 'D', text: { en: 'DNS registrar invoices', de: 'Rechnungen eines DNS-Registrars' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Data collection rules can define collection of supported telemetry such as Windows events, Syslog, and performance counters for Azure Monitor Agent scenarios.', de: 'Datensammlungsregeln können die Erfassung unterstützter Telemetrie wie Windows-Ereignisse, Syslog und Leistungsindikatoren für Szenarien mit dem Azure Monitor Agent definieren.' },
      hint: { en: 'Choose the monitoring telemetry sources.', de: 'Wählen Sie die Telemetriequellen für die Überwachung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/azure-monitor/data-collection/data-collection-rule-overview'
    },
    {
      id: 'az500-190',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Microsoft Sentinel capability baselines user and entity behavior to help identify anomalies?', de: 'Welche Microsoft-Sentinel-Funktion erstellt Basislinien für Benutzer- und Entitätsverhalten, um Anomalien zu erkennen?' },
      options: [
        { id: 'A', text: { en: 'UEBA', de: 'UEBA' } },
        { id: 'B', text: { en: 'Virtual network peering', de: 'Peering virtueller Netzwerke' } },
        { id: 'C', text: { en: 'Azure Backup', de: 'Azure Backup' } },
        { id: 'D', text: { en: 'Resource locks', de: 'Ressourcensperren' } }
      ],
      correct: ['A'],
      explanation: { en: 'UEBA in Microsoft Sentinel enriches investigations by analyzing behavioral baselines for users and other entities to surface anomalies.', de: 'UEBA in Microsoft Sentinel reichert Untersuchungen an, indem Verhaltensbasislinien für Benutzer und andere Entitäten analysiert werden, um Anomalien sichtbar zu machen.' },
      hint: { en: 'Think about behavior analytics in Sentinel.', de: 'Denken Sie an Verhaltensanalysen in Sentinel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/identify-threats-with-entity-behavior-analytics'
    },
    {
      id: 'az500-191',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Datum Corporation analysts run hunting queries in Microsoft Sentinel and often find small sets of important records that they want to keep for later investigation. The saved findings should remain associated with the relevant entities and be easy to reference in incidents or future hunts. The team wants a native artifact designed for this use case. They do not want to export the results to spreadsheets.', de: 'Analysten von Datum Corporation führen Hunting-Abfragen in Microsoft Sentinel aus und finden häufig kleine Mengen wichtiger Datensätze, die sie für spätere Untersuchungen aufbewahren möchten. Die gespeicherten Ergebnisse sollen den relevanten Entitäten zugeordnet bleiben und sich leicht in Incidents oder zukünftigen Hunts referenzieren lassen. Das Team möchte dafür ein natives Artefakt verwenden. Die Ergebnisse sollen nicht in Tabellen exportiert werden.' },
      question: { en: 'What should analysts create?', de: 'Was sollten Analysten erstellen?' },
      options: [
        { id: 'A', text: { en: 'A bookmark', de: 'Ein Lesezeichen' } },
        { id: 'B', text: { en: 'A route table', de: 'Eine Routentabelle' } },
        { id: 'C', text: { en: 'A site-to-site VPN', de: 'Ein Site-to-Site-VPN' } },
        { id: 'D', text: { en: 'A private endpoint', de: 'Einen Private Endpoint' } }
      ],
      correct: ['A'],
      explanation: { en: 'Bookmarks preserve significant findings from hunting queries and make them available for future investigation and correlation.', de: 'Lesezeichen bewahren wichtige Erkenntnisse aus Hunting-Abfragen auf und machen sie für zukünftige Untersuchungen und Korrelationen verfügbar.' },
      hint: { en: 'Use the Sentinel artifact that saves noteworthy query results.', de: 'Verwenden Sie das Sentinel-Artefakt, das bemerkenswerte Abfrageergebnisse speichert.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/bookmarks'
    },
    {
      id: 'az500-192',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which Defender for Cloud capability helps detect unauthorized changes to critical operating system files and registry settings on servers?', de: 'Welche Defender-for-Cloud-Funktion hilft dabei, nicht autorisierte Änderungen an wichtigen Betriebssystemdateien und Registrierungseinstellungen auf Servern zu erkennen?' },
      options: [
        { id: 'A', text: { en: 'File Integrity Monitoring', de: 'File Integrity Monitoring' } },
        { id: 'B', text: { en: 'Traffic Manager', de: 'Traffic Manager' } },
        { id: 'C', text: { en: 'DNS alias records', de: 'DNS-Aliasdatensätze' } },
        { id: 'D', text: { en: 'Application security groups', de: 'Anwendungssicherheitsgruppen' } }
      ],
      correct: ['A'],
      explanation: { en: 'File Integrity Monitoring helps track changes to important files and registry settings on monitored machines so suspicious modifications can be investigated.', de: 'File Integrity Monitoring hilft dabei, Änderungen an wichtigen Dateien und Registrierungseinstellungen auf überwachten Computern nachzuverfolgen, sodass verdächtige Änderungen untersucht werden können.' },
      hint: { en: 'This capability watches critical system artifacts for changes.', de: 'Diese Funktion überwacht kritische Systemartefakte auf Änderungen.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/file-integrity-monitoring-overview'
    },
    {
      id: 'az500-193',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Microsoft Sentinel artifact provides dashboards and visualizations over security data?', de: 'Welches Microsoft-Sentinel-Artefakt stellt Dashboards und Visualisierungen über Sicherheitsdaten bereit?' },
      options: [
        { id: 'A', text: { en: 'Workbook', de: 'Workbook' } },
        { id: 'B', text: { en: 'Availability set', de: 'Verfügbarkeitsgruppe' } },
        { id: 'C', text: { en: 'ExpressRoute circuit', de: 'ExpressRoute-Verbindung' } },
        { id: 'D', text: { en: 'Storage queue', de: 'Storage Queue' } }
      ],
      correct: ['A'],
      explanation: { en: 'Workbooks in Microsoft Sentinel and Azure Monitor provide interactive dashboards and visualizations across collected data.', de: 'Workbooks in Microsoft Sentinel und Azure Monitor bieten interaktive Dashboards und Visualisierungen über gesammelte Daten.' },
      hint: { en: 'Think of the visualization and dashboard artifact.', de: 'Denken Sie an das Artefakt für Visualisierung und Dashboard.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/top-workbooks'
    },
    {
      id: 'az500-194',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: null,
      question: { en: 'Which item types can be included by a Microsoft Sentinel Content hub solution? Choose all that apply.', de: 'Welche Elementtypen können in einer Microsoft-Sentinel-Lösung aus dem Content Hub enthalten sein? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Data connectors', de: 'Datenkonnektoren' } },
        { id: 'B', text: { en: 'Analytics rules', de: 'Analyseregeln' } },
        { id: 'C', text: { en: 'Workbooks', de: 'Workbooks' } },
        { id: 'D', text: { en: 'Physical rack devices', de: 'Physische Rack-Geräte' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Sentinel Content hub solutions can package content such as data connectors, analytics rules, workbooks, and related assets for a scenario or product.', de: 'Sentinel-Content-Hub-Lösungen können Inhalte wie Datenkonnektoren, Analyseregeln, Workbooks und verwandte Artefakte für ein Szenario oder Produkt bündeln.' },
      hint: { en: 'Choose the SIEM content assets, not physical hardware.', de: 'Wählen Sie die SIEM-Inhaltsartefakte und nicht physische Hardware.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/sentinel-solutions-catalog'
    },
    {
      id: 'az500-195',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: { en: 'Tailwind Traders has many internet-facing virtual machines with more open inbound ports than the security team prefers. Administrators want recommendations that suggest tighter NSG rules based on observed traffic patterns. The company wants to reduce exposure without manually analyzing every server. The recommendations should come from Microsoft Defender for Cloud.', de: 'Tailwind Traders verfügt über viele internetseitige virtuelle Computer mit mehr offenen eingehenden Ports, als dem Sicherheitsteam lieb ist. Administratoren wünschen Empfehlungen, die auf Basis beobachteter Datenverkehrsmuster engere NSG-Regeln vorschlagen. Das Unternehmen möchte die Exponierung reduzieren, ohne jeden Server manuell zu analysieren. Die Empfehlungen sollen von Microsoft Defender for Cloud kommen.' },
      question: { en: 'Which Defender for Cloud feature should be used?', de: 'Welche Defender-for-Cloud-Funktion sollte verwendet werden?' },
      options: [
        { id: 'A', text: { en: 'Adaptive network hardening', de: 'Adaptive Netzwerkhärtung' } },
        { id: 'B', text: { en: 'Azure DNS alias records', de: 'Azure-DNS-Aliasdatensätze' } },
        { id: 'C', text: { en: 'A public load balancer rule', de: 'Eine Regel für einen öffentlichen Load Balancer' } },
        { id: 'D', text: { en: 'Availability sets', de: 'Verfügbarkeitsgruppen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Adaptive network hardening analyzes traffic patterns and recommends tighter NSG rules to reduce unnecessary exposure.', de: 'Adaptive Netzwerkhärtung analysiert Datenverkehrsmuster und empfiehlt restriktivere NSG-Regeln, um unnötige Exponierung zu verringern.' },
      hint: { en: 'Use the Defender feature that recommends narrower NSG rules.', de: 'Verwenden Sie die Defender-Funktion, die engere NSG-Regeln empfiehlt.' },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/adaptive-network-hardening'
    },
    {
      id: 'az500-196',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'Which Azure service underpins Microsoft Sentinel playbooks?', de: 'Welcher Azure-Dienst bildet die Grundlage für Microsoft-Sentinel-Playbooks?' },
      options: [
        { id: 'A', text: { en: 'Azure Logic Apps', de: 'Azure Logic Apps' } },
        { id: 'B', text: { en: 'Azure DNS', de: 'Azure DNS' } },
        { id: 'C', text: { en: 'Azure DevTest Labs', de: 'Azure DevTest Labs' } },
        { id: 'D', text: { en: 'Azure Load Testing', de: 'Azure Load Testing' } }
      ],
      correct: ['A'],
      explanation: { en: 'Sentinel playbooks are implemented by using Azure Logic Apps workflows and their connector ecosystem.', de: 'Sentinel-Playbooks werden mit Azure-Logic-Apps-Workflows und deren Connector-Ökosystem umgesetzt.' },
      hint: { en: 'Think of the workflow automation service in Azure.', de: 'Denken Sie an den Workflowautomatisierungsdienst in Azure.' },
      reference: 'https://learn.microsoft.com/en-us/azure/logic-apps/logic-apps-overview'
    },
    {
      id: 'az500-197',
      type: 'multiple',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'medium',
      scenario: null,
      question: { en: 'Which tasks can a Microsoft Sentinel playbook automate? Choose all that apply.', de: 'Welche Aufgaben kann ein Microsoft-Sentinel-Playbook automatisieren? Wählen Sie alle zutreffenden Antworten aus.' },
      options: [
        { id: 'A', text: { en: 'Post a message to Microsoft Teams', de: 'Eine Nachricht an Microsoft Teams senden' } },
        { id: 'B', text: { en: 'Create a ticket in an external ITSM system', de: 'Ein Ticket in einem externen ITSM-System erstellen' } },
        { id: 'C', text: { en: 'Disable or update a user account through a connected system', de: 'Ein Benutzerkonto über ein verbundenes System deaktivieren oder aktualisieren' } },
        { id: 'D', text: { en: 'Create a new Azure region', de: 'Eine neue Azure-Region erstellen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: { en: 'Because Sentinel playbooks run on Logic Apps, they can automate notifications, ticketing, and response actions through supported connectors and APIs.', de: 'Da Sentinel-Playbooks auf Logic Apps basieren, können sie über unterstützte Connectoren und APIs Benachrichtigungen, Ticketing und Reaktionsmaßnahmen automatisieren.' },
      hint: { en: 'Choose the realistic SOAR actions, not the platform creation task.', de: 'Wählen Sie die realistischen SOAR-Aktionen und nicht eine Plattformbereitstellung.' },
      reference: 'https://learn.microsoft.com/en-us/azure/logic-apps/logic-apps-overview'
    },
    {
      id: 'az500-198',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Proseware uses Microsoft Defender for SQL and wants all resulting security alerts to appear centrally in Microsoft Sentinel for investigation and incident handling. The SOC wants the supported ingestion path with minimal custom work. The organization does not want to build manual export jobs. The solution should also be able to bring related recommendations into the workspace where supported.', de: 'Proseware verwendet Microsoft Defender for SQL und möchte, dass alle daraus resultierenden Sicherheitswarnungen zentral in Microsoft Sentinel für Untersuchung und Incident Handling erscheinen. Das SOC wünscht den unterstützten Aufnahmepfad mit minimalem benutzerdefiniertem Aufwand. Die Organisation möchte keine manuellen Exportjobs erstellen. Die Lösung soll nach Möglichkeit auch verwandte Empfehlungen in denselben Arbeitsbereich bringen.' },
      question: { en: 'What should be enabled in Sentinel?', de: 'Was sollte in Sentinel aktiviert werden?' },
      options: [
        { id: 'A', text: { en: 'The Microsoft Defender for Cloud data connector', de: 'Der Datenkonnektor für Microsoft Defender for Cloud' } },
        { id: 'B', text: { en: 'A public storage container', de: 'Ein öffentlicher Storage-Container' } },
        { id: 'C', text: { en: 'A site-to-site VPN tunnel', de: 'Ein Site-to-Site-VPN-Tunnel' } },
        { id: 'D', text: { en: 'A custom DNS zone transfer', de: 'Ein benutzerdefinierter DNS-Zonentransfer' } }
      ],
      correct: ['A'],
      explanation: { en: 'The Microsoft Defender for Cloud connector in Sentinel ingests supported alerts and related security information generated by Defender for Cloud plans such as Defender for SQL.', de: 'Der Microsoft-Defender-for-Cloud-Konnektor in Sentinel nimmt unterstützte Warnungen und verwandte Sicherheitsinformationen auf, die von Defender-for-Cloud-Plänen wie Defender for SQL erzeugt werden.' },
      hint: { en: 'Use the built-in bridge between Defender for Cloud and Sentinel.', de: 'Verwenden Sie die integrierte Brücke zwischen Defender for Cloud und Sentinel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/connect-data-sources'
    },
    {
      id: 'az500-199',
      type: 'scenario',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'hard',
      scenario: { en: 'Humongous Insurance wants Microsoft Sentinel to generate centralized incidents for suspicious Microsoft Entra sign-in activity. The company prefers built-in content rather than writing custom detections from scratch. Administrators are willing to enable the appropriate data source and then deploy relevant analytics templates. The overall goal is minimal custom engineering.', de: 'Humongous Insurance möchte, dass Microsoft Sentinel zentrale Incidents für verdächtige Microsoft-Entra-Anmeldeaktivitäten erzeugt. Das Unternehmen bevorzugt integrierte Inhalte statt selbst erstellter Erkennungen von Grund auf. Administratoren sind bereit, die passende Datenquelle zu aktivieren und anschließend relevante Analyseregelvorlagen bereitzustellen. Das übergeordnete Ziel ist minimaler benutzerdefinierter Entwicklungsaufwand.' },
      question: { en: 'What should the administrators do?', de: 'Was sollten die Administratoren tun?' },
      options: [
        { id: 'A', text: { en: 'Connect Microsoft Entra ID to Sentinel and enable the relevant analytics rule templates', de: 'Microsoft Entra ID mit Sentinel verbinden und die relevanten Analyseregelvorlagen aktivieren' } },
        { id: 'B', text: { en: 'Create a new public load balancer', de: 'Einen neuen öffentlichen Load Balancer erstellen' } },
        { id: 'C', text: { en: 'Deploy an availability set', de: 'Eine Verfügbarkeitsgruppe bereitstellen' } },
        { id: 'D', text: { en: 'Create DNS alias records for every user', de: 'DNS-Aliasdatensätze für jeden Benutzer erstellen' } }
      ],
      correct: ['A'],
      explanation: { en: 'Using the built-in Microsoft Entra data connector and relevant analytics templates is the fastest supported way to produce Sentinel incidents from Entra sign-in security data.', de: 'Die Verwendung des integrierten Microsoft-Entra-Datenkonnektors und passender Analyseregelvorlagen ist der schnellste unterstützte Weg, um Sentinel-Incidents aus Entra-Anmeldesicherheitsdaten zu erzeugen.' },
      hint: { en: 'Built-in connector plus built-in analytics content is the key.', de: 'Der Schlüssel ist ein integrierter Konnektor plus integrierter Analyseinhalt.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/connect-data-sources'
    },
    {
      id: 'az500-200',
      type: 'single',
      domain: { en: 'Manage security operations', de: 'Sicherheitsvorgänge verwalten' },
      difficulty: 'easy',
      scenario: null,
      question: { en: 'What does Microsoft Sentinel call a grouped collection of related alerts that analysts investigate?', de: 'Wie bezeichnet Microsoft Sentinel eine gruppierte Sammlung zusammengehöriger Warnungen, die Analysten untersuchen?' },
      options: [
        { id: 'A', text: { en: 'Incident', de: 'Incident' } },
        { id: 'B', text: { en: 'Subnet', de: 'Subnetz' } },
        { id: 'C', text: { en: 'Service endpoint', de: 'Service Endpoint' } },
        { id: 'D', text: { en: 'Availability zone', de: 'Verfügbarkeitszone' } }
      ],
      correct: ['A'],
      explanation: { en: 'Microsoft Sentinel groups related alerts into incidents so analysts can investigate a single case with context and response workflow.', de: 'Microsoft Sentinel gruppiert zusammengehörige Warnungen zu Incidents, damit Analysten einen einzelnen Fall mit Kontext und Reaktionsworkflow untersuchen können.' },
      hint: { en: 'This is the core analyst case object in Sentinel.', de: 'Dies ist das zentrale Fallobjekt für Analysten in Sentinel.' },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/overview'
    }
  ];
  if (window.ExamData && window.ExamData['az-500']) {
    window.ExamData['az-500'].questions = window.ExamData['az-500'].questions.concat(extra);
  }
})();