L’AZ-700 — Designing and Implementing Microsoft Azure Networking Solutions è l’unico esame che porta alla certificazione Microsoft Certified: Azure Network Engineer Associate. Non misura la teoria del networking: ogni domanda parte da uno scenario con vincoli veri — spazio di indirizzamento esaurito, un obbligo di compliance che vieta il transito su IP pubblici, una banda da garantire nella finestra notturna — e chiede quale servizio Azure e quale configurazione soddisfano tutti i requisiti insieme. È un esame di scelta, non di memoria.
Cosa valida l’AZ-700
Microsoft descrive il candidato come uno specialista nella pianificazione, implementazione e gestione delle soluzioni di rete Azure su cinque fronti: infrastruttura di rete core, connettività ibrida, application delivery, accesso privato ai servizi Azure e sicurezza di rete. Il lavoro reale dietro quella definizione è ottimizzare prestazioni, resilienza, scala e sicurezza, monitorare le reti in modo proattivo e risolvere i problemi di connettività.
Tradotto in pratica: sai progettare uno spazio di indirizzamento che non ti si rivolta contro fra sei mesi, colleghi l’on-premises ad Azure con VPN o ExpressRoute scegliendo la SKU giusta, distribuisci il traffico applicativo con Load Balancer, Application Gateway o Front Door sapendo quale dei tre serve, raggiungi i servizi PaaS senza passare da Internet e chiudi il perimetro con NSG, Azure Firewall e WAF.
I numeri ufficiali (e quelli che Microsoft non pubblica)
| Dato | Valore |
|---|---|
| Durata | 100 minuti |
| Punteggio minimo | 700 su scala 1000 |
| Numero di domande | non pubblicato da Microsoft |
| Lingue | inglese, tedesco, spagnolo, francese, italiano, giapponese, coreano, portoghese (Brasile), cinese semplificato e tradizionale |
| Prerequisiti | nessuno formale |
| Validità | 12 mesi, rinnovo gratuito |
| Costo | non pubblicato sulla pagina d’esame |
Tre note che cambiano la pianificazione.
L’AZ-700 esiste in italiano. È una delle poche certificazioni tecniche dove non devi scegliere fra capire la lingua e capire il dominio. Attenzione però al ritardo dichiarato da Microsoft: la versione inglese viene aggiornata per prima, le localizzazioni arrivano circa otto settimane dopo. L’ultima revisione delle skills measured è del 27 luglio 2026, quindi vale la pena controllare cosa è cambiato prima di prenotare in italiano.
Scade ogni anno. Le certificazioni Microsoft associate non durano due o tre anni come quelle di altri vendor: la frequenza di rinnovo dell’Azure Network Engineer Associate è di 12 mesi. Il rinnovo però è gratuito e leggero — un assessment online su Microsoft Learn, non proctored e a libro aperto, ripetibile quante volte serve, con una finestra di eleggibilità di sei mesi prima della scadenza. Superandolo, la certificazione viene estesa di un anno dalla data di scadenza.
Il prezzo non è sulla pagina ufficiale. Microsoft scrive soltanto che i prezzi dipendono dal paese o dall’area in cui l’esame viene supervisionato. Il listino di riferimento per gli esami role-based di livello associate è di circa 165 USD (in Italia circa 165 EUR più IVA), ma la cifra che fa fede è quella che vedi al momento della prenotazione su Pearson VUE. Allo stesso modo Microsoft non dichiara quante domande contenga la prova: avverte solo che possono esserci componenti interattivi, cioè tipi di quesito diversi dalla risposta multipla.
A chi si rivolge
Il profilo tipico è chi la rete la tocca già: network engineer che stanno portando l’infrastruttura in cloud, sistemisti con responsabilità di connettività, cloud administrator che hanno ereditato le VNet. Microsoft chiede esperienza nella creazione e gestione di risorse di calcolo, storage e rete su Azure, e una base solida di networking: risoluzione dei nomi, protocolli e gestione degli indirizzi.
Non ci sono prerequisiti formali, ma l’AZ-700 dà per scontato ciò che l’AZ-104 insegna: resource group, RBAC, subscription, portale e CLI. Se non hai mai amministrato Azure, farlo prima ti risparmia metà della fatica. Se invece vieni dal networking classico il salto è più corto di quanto pensi: BGP, routing e subnetting li conosci già, cambia il nome dei componenti.
I concetti che decidono le risposte
Alcuni bivi tornano in tutto l’esame, e sbagliarli costa più di una domanda:
- Private endpoint contro service endpoint. Il private endpoint porta il servizio PaaS dentro la tua VNet con un IP privato ed è raggiungibile anche da on-premises via VPN o ExpressRoute; il service endpoint lascia nel percorso l’endpoint pubblico del servizio e non è utilizzabile dalle reti on-premises. Quando lo scenario dice «mai su IP pubblico» oppure «anche dalle filiali», la risposta è private endpoint.
- La subnet delegata è dedicata. Una subnet delegata a un servizio — per esempio
Microsoft.Web/serverFarmsper la VNet integration di App Service — non può ospitare private endpoint: servono due subnet, non una. È un classico degli scenari con indirizzi contati. - Quattro modi di bilanciare, non uno. Azure Load Balancer lavora a livello 4, Application Gateway a livello 7 ed è regionale, Front Door è L7 e globale con WAF ed edge, Traffic Manager distribuisce via DNS. La scelta si fa su tre assi: livello 4 o 7, regionale o globale, pubblico o interno.
- Il peering non è transitivo. Due VNet in peering non vedono le reti dietro un terzo peer: servono gateway transit, service chaining con UDR oppure un hub di Virtual WAN.
- L’ereditarietà del firewall vince sulla priorità. In Azure Firewall i rule collection group ereditati dalla policy padre vengono valutati prima di quelli della policy figlia, qualunque priorità abbia la figlia. Un deny centrale non si aggira con un allow locale a priorità più bassa.
- VPN policy-based o route-based, e la SKU del gateway. Tipo di VPN e SKU del virtual network gateway determinano tunnel supportati, throughput e alta disponibilità: sono vincoli che lo scenario cita quasi sempre in modo indiretto.
I cinque domini d’esame
I pesi sono quelli pubblicati da Microsoft nella study guide ufficiale, aggiornata al 27 luglio 2026.
1. Infrastruttura di rete core (25-30%)
Il dominio più pesante. Indirizzamento IP: segmentazione e spazi di indirizzamento, creazione delle VNet, subnetting per gateway, private endpoint, service endpoint, firewall, Application Gateway, servizi PaaS integrati e Azure Bastion; delega delle subnet; public IP prefix e custom IP prefix (bring your own IP). Risoluzione dei nomi: zone DNS pubbliche e private, link alla VNet, Azure DNS Private Resolver. Connettività e routing: VNet peering, service chaining con gateway transit, UDR e route table, forced tunneling, Azure Route Server, Azure Virtual Network Manager e NAT Gateway. Monitoraggio: Network Watcher, Azure Monitor for Networks, protezione DDoS e le raccomandazioni di Microsoft Defender for Cloud.
2. Servizi di connettività (20-25%)
VPN site-to-site: design in alta disponibilità, scelta della SKU del gateway, policy-based contro route-based, local network gateway, policy IPsec/IKE. VPN point-to-site: tipo di tunnel, metodo di autenticazione (RADIUS o Microsoft Entra ID), file di configurazione del client, Always On VPN. ExpressRoute: modello di connettività, SKU e tier, Global Reach, FastPath, ExpressRoute Direct, peering privato e Microsoft peering, gateway, advertisement delle rotte, crittografia sul circuito, BFD. Virtual WAN: architettura, hub virtuali, scale unit dei gateway, routing dell’hub e integrazione con NVA di terze parti.
3. Application delivery (15-20%)
Azure Load Balancer (SKU e tier, pubblico o interno, regionale o cross-region, regole di bilanciamento, inbound NAT, regole di outbound esplicite con SNAT, Gateway Load Balancer) e Traffic Manager; Application Gateway (backend pool, health probe, listener, regole di routing, HTTP settings, TLS, rewrite rule set, autoscale); Front Door (tier, origini ed endpoint, terminazione TLS ed end-to-end, caching, traffic acceleration, regole di rewrite e redirect, protezione dell’origine con Private Link).
4. Accesso privato ai servizi Azure (10-15%)
Il dominio più piccolo ma denso: pianificare e creare private endpoint, gestirne l’accesso, creare un Private Link service, integrare Private Link e private endpoint con il DNS — il punto dove si sbaglia più spesso — e raggiungerli da client on-premises. Sul fronte opposto i service endpoint: quando usarli, come configurarli e come governarli con le service endpoint policy.
5. Sicurezza di rete (15-20%)
NSG e ASG: creazione, associazione a subnet o NIC, regole inbound e outbound, virtual network flow log e loro interpretazione, verifica dell’IP flow, regole per l’amministrazione remota con Azure Bastion, gestione centralizzata con Virtual Network Manager. Azure Firewall e Firewall Manager: scelta della SKU, design del deployment, regole e policy, secured hub dentro un hub di Virtual WAN. WAF: modalità detection o prevention, rule set su Front Door e su Application Gateway, creazione e associazione delle policy.
Come prepararsi
- Parti dalla study guide, non da un corso. L’elenco puntato sotto ogni dominio è la mappa reale delle domande: usalo come checklist e segna cosa non sapresti configurare da solo.
- Costruisci, non leggere. Due VNet in peering, un gateway VPN verso una sede finta, un private endpoint su uno storage account con la sua zona DNS privata: mezza giornata di portale insegna più di tre capitoli.
- Allena i confronti. Private endpoint contro service endpoint, Application Gateway contro Front Door, VPN contro ExpressRoute, NSG contro Azure Firewall: l’esame vive lì. Il percorso di preparazione AZ-700 segue i cinque domini ufficiali in altrettanti moduli, con questo taglio.
- Simula con il cronometro. Nelle ultime due settimane passa alle prove a tempo per capire dove perdi minuti. La simulazione AZ-700 su CertUp ha un banco di 100 domande e genera sessioni da 55 domande in 100 minuti, con soglia 700/1000 e la spiegazione di ogni risposta, comprese le ragioni per cui le alternative sono sbagliate.
Su quest’ultimo punto servono tre precisazioni. I 55 quesiti sono una nostra scelta, non un dato ufficiale: Microsoft il numero di domande non lo pubblica — la durata di 100 minuti invece coincide con quella reale. Il nostro banco contiene tre formati (risposta singola, risposta multipla e matrici yes/no) e non riproduce i componenti interattivi che l’esame vero può contenere. E le nostre domande sono in inglese, mentre l’AZ-700 ufficiale è disponibile anche in italiano: da noi sono in italiano l’interfaccia e le spiegazioni.
In sintesi
L’AZ-700 certifica che sai scegliere, non solo configurare: la topologia giusta, il bilanciatore giusto, il modo giusto di raggiungere un servizio PaaS. È un esame associate con pesi sbilanciati verso l’infrastruttura core (25-30%) e la connettività ibrida (20-25%), da 100 minuti e soglia 700, sostenibile anche in italiano e da rinnovare ogni anno con un assessment gratuito. Se stai valutando dove collocarlo nel tuo percorso Azure, parti dalla scheda della certificazione e confrontala con le altre della pagina Microsoft di CertUp.