Chi amministra Active Directory, un parco di server Windows e un hypervisor in azienda ha già in mano metà delle competenze che servono per lavorare su Azure. L’altra metà non si impara leggendo un elenco di servizi: cambiano il modello di responsabilità, il modo di ragionare su rete e identità e, soprattutto, il modo in cui l’infrastruttura viene pagata.
Questa guida mette in fila il percorso più difendibile per quel profilo, dice quanto tempo richiede davvero ogni tappa e indica quali esami si possono saltare.
A chi parla questa guida e da dove si parte davvero
Il lettore tipo gestisce uno o più domini AD DS, scrive e mantiene GPO, tiene in piedi DNS e DHCP interni, amministra file server e permessi, gestisce un hypervisor on-premise e ha una routine di backup e restore che funziona. Spesso ha già collegato il tenant Microsoft 365 aziendale a Entra ID senza aver mai aperto il portale Azure per altro.
Da qui si parte molto meglio di quanto si creda. Nella descrizione ufficiale del profilo candidato di AZ-104, Microsoft chiede familiarità con sistemi operativi, networking, server e virtualizzazione: esattamente le quattro cose che un sistemista Windows fa tutti i giorni. Quello che manca è dichiarato con altrettanta chiarezza: esperienza con PowerShell, Azure CLI, il portale Azure, i template ARM o i file Bicep e Microsoft Entra ID.
Il divario reale, quindi, non è concettuale: è di strumenti e di vocabolario. E questo cambia il modo in cui va impostato il percorso.
Perché questa sequenza e non un’altra
La sequenza AZ-900, AZ-104 e poi AZ-700 oppure AZ-305 non è una convenzione di marketing. Ha una logica precisa, e in un punto è addirittura vincolante.
Il vincolo sta in fondo: AZ-305 ha come prerequisito esplicito la certificazione Azure Administrator Associate. Non si può diventare Azure Solutions Architect Expert saltando AZ-104, punto. Chi punta all’architettura deve comunque passare per l’amministrazione.
Il resto della logica è di carico cognitivo. AZ-900 lavora sul vocabolario e sul modello economico del cloud, le due cose che un sistemista on-premise non ha mai dovuto formalizzare. AZ-104 lavora sull’operatività quotidiana. AZ-700 e AZ-305 presuppongono di aver già creato e gestito risorse di calcolo, storage e rete in Azure: per AZ-700 è scritto fra i requisiti consigliati, per AZ-305 è implicito nel prerequisito.
Invertire l’ordine non è impossibile, ma è inefficiente: si finisce a studiare una topologia hub and spoke senza aver mai fatto il peering fra due virtual network.
Tappa 1: AZ-900, il vocabolario
AZ-900 valida tre aree: descrivere i concetti di cloud, descrivere l’architettura e i servizi Azure, descrivere la gestione e la governance di Azure. È di livello Fundamentals, costa circa 99 USD e non scade mai.
Perché sta in quel punto: perché traduce. Un sistemista sa cosa sia un cluster in alta disponibilità, ma non ha mai dovuto distinguere formalmente fra region e availability zone, né ragionare in termini di modello di consumo e responsabilità condivisa. AZ-900 mette ordine nel lessico.
Cosa serve saper fare prima: nulla di specifico su Azure, solo la disponibilità ad accettare che concetti familiari abbiano nomi nuovi.
Tappa 2: AZ-104, il vero snodo
AZ-104 è la tappa che conta. Valuta cinque aree: gestire identità e governance Azure, implementare e gestire lo storage, distribuire e gestire le risorse di calcolo, implementare e gestire la rete virtuale, monitorare e mantenere le risorse Azure. Costa circa 165 USD, ha passing score 700 su 1000 e va rinnovata ogni 12 mesi, gratuitamente e online.
Perché sta in quel punto: perché è la traduzione operativa del mestiere di partenza. Le VM sostituiscono l’hypervisor, storage account e file share sostituiscono il file server, virtual network e network security group sostituiscono VLAN e regole firewall, Entra ID e RBAC sostituiscono utenti, gruppi e delega sulle OU.
Cosa serve saper fare prima: qui sta l’unico prerequisito serio del percorso. Prima di prenotare bisogna aver creato con le proprie mani almeno una virtual network con subnet e NSG, una VM raggiungibile, uno storage account, un’assegnazione RBAC e una regola di backup, e aver fatto parte di queste cose da riga di comando. Chi arriva ad AZ-104 avendo solo letto rischia molto: le domande sono scenari operativi e l’esame può includere componenti interattive.
Tappa 3: il bivio, AZ-700 o AZ-305
Qui il percorso si divide, e la scelta dipende dal ruolo che si vuole occupare, non dalla difficoltà percepita.
AZ-700 è di livello Associate e valida la progettazione e implementazione dell’infrastruttura di rete core, i servizi di connettività, i servizi di distribuzione delle applicazioni, l’accesso privato ai servizi Azure e la sicurezza della connettività verso le risorse. È la scelta giusta se il lavoro si sposta su connettività ibrida, VPN site-to-site, ExpressRoute e private endpoint: lo scenario tipico di chi tiene metà infrastruttura in sede. Nota pratica: la versione inglese dell’esame è stata aggiornata il 27 luglio 2026, quindi conviene rileggere lo study guide ufficiale prima di prenotare.
AZ-305 è di livello Expert e valida la progettazione di soluzioni di identità, governance e monitoraggio, di storage dei dati, di continuità operativa e di infrastruttura. Richiede la certificazione AZ-104. È la scelta giusta per chi vuole smettere di eseguire e iniziare a decidere.
Cosa serve saper fare prima, in entrambi i casi: aver già gestito risorse reali in Azure per un periodo non simbolico. Per AZ-305 Microsoft indica esperienza avanzata di operations, dalla virtualizzazione all’identità fino a business continuity e disaster recovery.
Quanto tempo richiede realmente
Nessuno può dare cifre affidabili: dipendono dal punto di partenza e dal tempo davvero disponibile. Quello che si può dire onestamente è la forma dell’impegno.
AZ-900 è la tappa più breve: qualche settimana a ritmo tranquillo, meno con esperienza infrastrutturale alle spalle. È studio di lettura e di ordine mentale.
AZ-104 è la tappa lunga e va trattata come tale. Non è questione di quante pagine si leggono, ma di quante ore si passano dentro una subscription: la preparazione realistica alterna studio e laboratorio per diversi mesi, e chi prova a comprimerla in poche settimane di sola teoria di solito lo scopre in centro test.
AZ-700 e AZ-305 richiedono meno studio puro, perché arrivano su una base già solida, ma più tempo di sedimentazione: chiedono di scegliere, e la capacità di scegliere si costruisce vedendo le cose funzionare e rompersi.
Gli errori tipici di chi segue questo percorso
Saltare le fondamenta sbagliando cosa sono le fondamenta. La fondamenta non è l’esame AZ-900: è il laboratorio. Andare su AZ-104 senza aver mai creato una virtual network è l’errore più costoso del percorso.
Collezionare Fundamentals senza mai arrivare all’Associate. È il rovescio dello stesso problema: nessuna combinazione di esami introduttivi sostituisce AZ-104. Se dopo AZ-900 la tappa successiva è un altro esame introduttivo, il percorso si è fermato.
Trattare Azure come un Hyper-V con un portale diverso. Un network security group non è una regola di firewall di dominio, il RBAC non è la delega su una OU ed Entra ID non è Active Directory con un altro nome. Il lift and shift mentale è la causa più frequente delle risposte sbagliate.
Studiare solo su quiz. Le simulazioni servono a misurare la preparazione, non a costruirla.
Dimenticare il rinnovo. Le role-based scadono dopo 12 mesi. Il rinnovo è gratuito e si fa online su Microsoft Learn, ma va fatto.
Cosa NON serve certificare
Questa è la parte che di solito manca nelle guide, ed è quella che fa risparmiare tempo e denaro.
AZ-900, se hai già anni di infrastruttura alle spalle. Non è un prerequisito formale di AZ-104. Il consiglio onesto è: leggi il syllabus, colma il lessico e sostieni l’esame solo se serve davvero, per esempio perché l’azienda lo richiede o perché conta per una partnership Microsoft. Altrimenti quei circa 99 USD stanno meglio nella preparazione di AZ-104.
AZ-800 e AZ-801. Il percorso Windows Server Hybrid Administrator Associate copre esattamente il lavoro quotidiano di un sistemista Windows, dalla gestione di AD DS in ambienti on-premise e cloud fino ad alta disponibilità, disaster recovery e migrazione dei carichi. Proprio per questo è la trappola più naturale: sembra la tappa perfetta. Ma entrambi gli esami si ritirano il 30 settembre 2026, e non ha senso avviare oggi un percorso a due esami con quella scadenza. Prima di programmare qualsiasi tappa conviene controllare il calendario dei ritiri.
Le altre Fundamentals. In questo percorso non aggiungono nulla. Hanno senso solo se il ruolo si sposta davvero verso dati o sicurezza, e in quel caso la tappa utile resta quella Associate.
Una certificazione sulla virtualizzazione. La parte compute di AZ-104 è già la traduzione di quella competenza; certificarla due volte non aggiunge segnale.
Dove porta il percorso e quali sono i bivi successivi
L’arrivo è il ruolo di Azure administrator, con AZ-104 come credenziale portante e AZ-700 o AZ-305 come specializzazione. Da lì i bivi realistici sono tre.
Il primo è l’identità, il più naturale per chi viene da Active Directory: SC-300 valida l’implementazione e gestione delle identità utente, l’autenticazione e la gestione degli accessi, le workload identity e la governance delle identità. Chi ha passato anni su GPO, gruppi e deleghe trova qui la continuità più diretta.
Il secondo è l’architettura, cioè AZ-305 se non è già stata la terza tappa.
Il terzo è il DevOps, con AZ-400, che richiede AZ-104 oppure AZ-204: dato che AZ-204 è stato ritirato il 31 luglio 2026, l’unica via praticabile passa ormai da AZ-104, che è poi la stessa strada di questa guida.
Una precisazione finale. Nessuna di queste certificazioni fa trovare lavoro da sola: quello che fanno è validare competenze in modo verificabile e dare una struttura allo studio. Il resto lo fa il laboratorio.