Chi apre per la prima volta il catalogo Microsoft si trova davanti due esami che sembrano progettati per confondere. AZ-900 e SC-900 sono entrambi Fundamentals, costano uguale, hanno lo stesso punteggio minimo di 700 su 1000, non richiedono prerequisiti e non scadono mai. Nel catalogo occupano la stessa riga, con lo stesso peso apparente.
La domanda “quale faccio prima?” ha però una risposta, e non è “la più facile” o “la più richiesta”. È: quale dei due vocabolari ti serve prima per capire il lavoro che vuoi fare. AZ-900 insegna a parlare di infrastruttura cloud, SC-900 di identità, minacce e conformità. Due lingue diverse, che si incontrano in un punto preciso: vedere dove si incontrano è il modo più rapido per decidere.
Cosa valida davvero AZ-900
Il blueprint ufficiale di AZ-900 (Microsoft Azure Fundamentals) è diviso in tre aree.
La prima, i concetti di cloud, è nella sostanza vendor-neutral: responsabilità condivisa, cloud pubblico, privato e ibrido, modello a consumo, IaaS, PaaS, SaaS, serverless, alta disponibilità e scalabilità. Nozioni utili anche su un altro provider.
La seconda, architettura e servizi, rende l’esame concreto. Copre la gerarchia amministrativa (regioni, region pair, zone di disponibilità, resource group, subscription, management group), il compute (macchine virtuali, Virtual Machine Scale Sets, availability set, Azure Virtual Desktop, container, funzioni), il networking (rete virtuale, subnet, peering, Azure DNS, VPN Gateway, ExpressRoute, endpoint pubblici e privati) e lo storage (tier, ridondanza, AzCopy, Storage Explorer, Azure File Sync, Azure Migrate, Azure Data Box).
La terza riguarda gestione e governance: fattori di costo, pricing calculator, tag, Azure Policy, resource lock, portale Azure, Cloud Shell, Azure CLI e PowerShell, Azure Arc, infrastructure as code con Azure Resource Manager, e il monitoraggio con Azure Advisor, Service Health, Azure Monitor, Log Analytics e Application Insights.
Dentro AZ-900 c’è anche un blocco su identità e sicurezza: Microsoft Entra ID, Entra Domain Services, single sign-on, MFA, passwordless, identità esterne, Conditional Access, controllo degli accessi in base al ruolo, Zero Trust, defense in depth e Microsoft Defender for Cloud. È il punto esatto in cui i due esami si toccano, ed è la ragione principale per cui vengono confusi.
Cosa valida davvero SC-900
SC-900 (Microsoft Security, Compliance, and Identity Fundamentals) ha quattro aree e una logica completamente diversa: non parte dall’infrastruttura, parte dall’identità.
La prima copre i concetti trasversali: responsabilità condivisa, defense in depth, Zero Trust, crittografia e hashing, governance, rischio e conformità, identità come perimetro primario di sicurezza, autenticazione contro autorizzazione, identity provider, directory service e Active Directory, federazione.
La seconda è interamente su Microsoft Entra: tipi di identità (compreso l’agent ID), identità ibrida, metodi di autenticazione, MFA, protezione delle password, Conditional Access, ruoli Entra e RBAC, Entra ID Governance, access review, Privileged Identity Management ed Entra ID Protection.
La terza copre le soluzioni di sicurezza: Azure DDoS Protection, Azure Firewall, Web Application Firewall, segmentazione di rete, network security group, Azure Bastion e Azure Key Vault; Defender for Cloud e la gestione della postura; Microsoft Sentinel con i concetti di SIEM e SOAR; e la famiglia Defender XDR, cioè Defender for Office 365, for Endpoint, for Cloud Apps, for Identity, Vulnerability Management e Threat Intelligence.
La quarta è la conformità: Service Trust Portal, principi di privacy, portale Microsoft Purview, Compliance Manager e compliance score, classificazione dei dati, Content explorer e Activity explorer, sensitivity label, data loss prevention, records management, retention policy, insider risk management, eDiscovery e audit.
Un dettaglio che pesa: SC-900 attraversa Azure e Microsoft 365, e il profilo candidato pubblicato da Microsoft indica come attesa una familiarità di base con entrambi. Non è un prerequisito formale, ma un’aspettativa dichiarata.
Le due certificazioni a confronto
| Aspetto | AZ-900 Azure Fundamentals | SC-900 Security, Compliance and Identity Fundamentals |
|---|---|---|
| Livello | Fundamentals | Fundamentals |
| Oggetto | Infrastruttura e servizi cloud di Azure | Identità, sicurezza e conformità su Azure e Microsoft 365 |
| Aree del blueprint | Concetti di cloud; architettura e servizi Azure; gestione e governance | Concetti di sicurezza e identità; Microsoft Entra; soluzioni di sicurezza; soluzioni di conformità |
| A chi si rivolge | Chi progetta, amministra o vende infrastruttura Azure | Chi gestisce identità e accessi, o si occupa di sicurezza e conformità |
| Prerequisiti formali | Nessuno | Nessuno |
| Prerequisiti reali | Nessuno: si parte dai concetti di cloud | Familiarità di base con Azure e Microsoft 365, dichiarata nel profilo candidato |
| Cosa NON copre | Microsoft Sentinel, Defender XDR, i dettagli di Purview su classificazione, DLP ed eDiscovery, identity governance | Costi e modello economico del cloud, architettura di compute e storage, ARM e infrastructure as code, tooling di gestione risorse |
| Punteggio minimo | 700 su 1000 | 700 su 1000 |
| Costo indicativo | Circa 99 USD | Circa 99 USD |
| Scadenza | Nessuna | Nessuna |
Gli importi variano per paese e valuta. Se la tabella non basta, prova le simulazioni gratuite di AZ-900 e SC-900: capire quale dei due linguaggi ti è già familiare batte qualunque confronto teorico.
Scegli AZ-900 se ti riconosci qui
Sei sistemista on-premise e la tua azienda valuta una migrazione. Devi capire cosa cambia fra un hypervisor in sala macchine e una subscription Azure: diventerà il tuo lavoro quotidiano.
Sei sviluppatore e ti hanno chiesto di rilasciare in cloud. Devi sapere cosa distingue una macchina virtuale da un container, da un web app e da una funzione, e come si collegano rete e storage.
Lavori in prevendita o account management tecnico. Devi reggere una conversazione su regioni, ridondanza, pricing calculator e tag senza appoggiarti a un collega.
Il tuo piano è arrivare ad AZ-104. Formalmente non è obbligatoria, ma buona parte del lessico dell’esame associate viene introdotta lì.
Scegli SC-900 se ti riconosci qui
Sei in un helpdesk e passi la giornata su account, reset password e MFA. SC-900 mette ordine in ciò che già tocchi: metodi di autenticazione, Conditional Access, protezione delle password, ruoli.
Amministri già un tenant Microsoft 365. Purview, sensitivity label, retention policy, DLP ed eDiscovery non sono concetti astratti: sono voci che vedi nel portale e impari finalmente a inquadrare.
Vieni dal lato conformità e non da quello tecnico. Ruoli legali, privacy e audit interno trovano in SC-900 la sola Fundamentals che spiega Compliance Manager, compliance score e Service Trust Portal senza pretendere basi sistemistiche.
Il tuo piano è arrivare a SC-300 o a un ruolo in un centro operativo di sicurezza. SIEM, SOAR, Microsoft Sentinel e Defender XDR sono già nel programma, e SC-900 descrive quasi tutti i temi che SC-300 ti chiederà di configurare.
Si possono fare entrambe? Sì, e in un ordine preciso
Sì, e non è una forzatura commerciale: i due programmi ufficiali si sovrappongono su un elenco preciso di argomenti. Responsabilità condivisa, defense in depth, Zero Trust, Microsoft Entra ID, MFA, metodi di autenticazione, Conditional Access, controllo degli accessi in base al ruolo, Defender for Cloud e Microsoft Purview compaiono in entrambi i blueprint. Preparare la seconda a poca distanza dalla prima costa quindi meno delle due preparazioni fatte a mesi di distanza.
L’ordine di default è AZ-900 e poi SC-900. La ragione sta nei profili candidato pubblicati da Microsoft: AZ-900 non presuppone nulla e parte dalla definizione di cloud computing, mentre SC-900 indica come attesa una familiarità con Azure e Microsoft 365. Quando SC-900 parla di segmentazione di rete, network security group o postura di sicurezza, dà per scontato che tu sappia già cosa siano una rete virtuale, una subscription e una risorsa. AZ-900 te lo spiega; SC-900 lo assume.
L’ordine si inverte in un caso solo: se lavori già dentro un tenant Microsoft 365 e non tocchi infrastruttura. Un amministratore M365, un referente privacy o un operatore helpdesk che non aprirà mai il portale Azure ottiene più valore immediato da SC-900, e recupera AZ-900 dopo.
Sui tempi conviene essere onesti: entrambe si preparano in qualche settimana di studio costante, ma quanto serva dipende dal tuo punto di partenza. Chiunque ti dia una cifra secca sta indovinando.
Cosa viene dopo, per ciascun ramo
Entrambi i rami portano a certificazioni role-based, che funzionano diversamente dalle Fundamentals: costano di più (intorno ai 165 USD) e scadono dopo dodici mesi, con rinnovo tramite un assessment online gratuito su Microsoft Learn.
Ramo infrastruttura, dopo AZ-900:
AZ-900 -> AZ-104 (Azure Administrator)
-> AZ-305 (Solution Architect, expert)
-> AZ-400 (DevOps Engineer, expert)
-> AZ-700 (Azure Network Engineer)AZ-104 è il passaggio obbligato: trasforma i concetti di AZ-900 in operazioni reali su identità, storage, compute, rete virtuale, monitoraggio e backup. Da lì si aprono AZ-305 per l’architettura, AZ-400 per il DevOps e AZ-700 per il networking.
Ramo sicurezza e identità, dopo SC-900:
SC-900 -> SC-300 (Identity and Access Administrator)
-> SC-100 (Cybersecurity Architect, expert)SC-300 è la prosecuzione diretta: dove SC-900 descrive Conditional Access, Privileged Identity Management, access review e identity governance, SC-300 chiede di implementarli, insieme a identità ibrida, identità dei carichi di lavoro e Global Secure Access. Più avanti c’è SC-100, di livello expert: il profilo candidato Microsoft parla di esperienza già maturata sul campo, quindi non è una tappa da pianificare subito dopo una Fundamentals.
Una raccomandazione finale per entrambi i rami: prima di prenotare l’esame successivo, controlla il calendario dei ritiri. Microsoft aggiorna il catalogo con regolarità e alcuni esami dell’area sicurezza hanno già una data di uscita fissata.