Vytvoření společných správa předplatného produktových řad
Prodejní verze předplatného pomáhá organizacím dosáhnout principů návrhu demokratizace předplatného cílových zón Azure, což je důležité pro konzistentní škálování, zabezpečení a zásady správného řízení prostředí Azure. Prodejní verze předplatného také organizacím pomáhá v souladu s principy přípravy platforem. Další informace najdete v tématu Přijetí produktového myšlení a podpora vývojářů prostřednictvím samoobslužných mantinely.
Mnoho organizací se snaží dát svým aplikačním týmům flexibilitu, kterou potřebují k efektivnímu poskytování úloh a služeb. Jednou z klíčových překážek je nedostatek standardizovaného přístupu k správa předplatného, což může vést k nejasnostem, zpoždění a neefektivitě.
Tento článek popisuje, jak mohou týmy platforem vytvářet společné správa předplatného produktových řad, které vyhovují různým potřebám různých aplikačních týmů. Tento článek popisuje výhody nabídky různých produktových řad a poskytuje příklady běžných scénářů založených na nasazeních skutečných zákazníků. Dozvíte se také, proč správa předplatného nemá návrh "jedna velikost odpovídá všem" a proč musíte týmům aplikací poskytnout různé produktové řady.
Následující diagram znázorňuje uspořádání skupin pro správu a předplatných v prostředí Azure.
Následující doprovodné materiály popisují, proč byste mohli vyžadovat různé produktové řady, a popisuje příklady produktové řady pro zákazníky, kteří používají cílové zóny Azure a správa předplatného.
Využití různých produktových řad
Předplatná, která aplikační týmy vyžadují k doručování úloh a služeb, mají mnoho typů a stylů. Mimo aplikační týmy může mít vaše organizace jiné požadavky, které vyžadují použití předplatného Azure, jako jsou různá pravidla dodržování předpisů a pravidla zpracování dat nebo vzory architektury.
Při rozhodování o přístupu vaší organizace k návrhu a implementaci správa předplatného zvažte kladení těchto otázek:
Jaké další prostředky by tým platformy měl v rámci procesu správa předplatného odeslat?
Pro každý tým aplikací nasadíte ve výchozím nastavení více předplatných, například jedno pro každé prostředí?
Pro každou aplikaci vytvoříte partnerský vztah nebo připojíte paprskovou virtuální síť zpět k rozbočovačům připojení?
Jak byste měli strukturovat řízení přístupu na základě role (RBAC) v rámci každého předplatného?
Jak byste měli řídit a řídit prostředky a styly architektury nebo archetypy, které používáte v rámci předplatných?
Nemůžete řešit jedinečné požadavky všech týmů aplikací a platforem s libovolným typem předplatného nebo stylem předplatného, který jste vysílali. Týmy platforem musí týmům aplikací poskytnout flexibilitu při výběru z více typů a stylů předplatných, která jim tým může odeslat prostřednictvím samoobslužného systému. Tyto typy předplatných se označují jako řádky produktů.
Organizace, které poskytují přístup "jedna velikost odpovídá všem" správa předplatného často omezují flexibilitu interních zákazníků. Nedostatek flexibility může například omezit volby návrhu architektury aplikačního týmu a potenciálně vést k ohrožení zabezpečení kvůli tomu, co byly zrušeny.
Proto týmy platforem musí poskytovat různé produktové řady, aby vyhovovaly potřebám jejich organizace. Tato flexibilita zajišťuje, aby si spotřebitelé mohli zvolit produktovou řadu, která nejlépe vyhovuje jejich požadavkům.
Správa aplikačních prostředí
Vaše organizace musí spravovat aplikační prostředí pro aplikační týmy jako součást vašich správa předplatného procesů a implementací. Měli byste ale také poskytnout flexibilitu, aby týmy aplikací mohly spravovat svá aplikační prostředí, jako je vývoj, testování nebo prod, jak chtějí při doručování aplikací. Další informace najdete v tématu Prostředí, předplatná a skupiny pro správu.
Některé služby Azure poskytují nativní funkce, které pomáhají izolovat prostředí v rámci jedné instance prostředku v jednom předplatném Azure, jako je například služba Aplikace Azure Service s funkcí slotů nasazení. Tento příklad vynutí aplikační týmy používat samostatná předplatná, aby týmy nemohly využívat celou sadu funkcí, které Azure poskytuje. Samostatná předplatná můžou také zvýšit náklady na doručování aplikací, včetně režijních nákladů na provoz a údržbu.
Návrh běžných produktových řad pro správa předplatného
Teď, když rozumíte tomu, že týmy platforem musí uživatelům jejich platformy Azure poskytovat více typů a stylů předplatného Azure nebo produktové řady, popisuje tato část několik běžných produktových řad, které můžete používat v různých odvětvích a zemích nebo oblastech.
Váš tým platformy by měl používat tyto běžné správa předplatného produktových řad jako směrný plán. Váš tým může svým uživatelům poskytnout několik možností, které jsou v souladu s principem přípravy platformy zákazníka podle priority. Tento přístup dává interním zákazníkům svobodu používat principy návrhu cílových zón Azure a doporučení oblasti návrhu k poskytování úloh a služeb a také poskytuje zásady správného řízení platformy Azure.
Poznámka:
Tyto příklady použijte jako výchozí bod. Tyto řádky produktů můžete přizpůsobit a rozšířit tak, aby vyhovovaly potřebám vaší organizace.
Mezi běžné produktové řady pro správa předplatného patří:
Připojené ke službě Corp: Úlohy, které vyžadují tradiční připojení směrování IP vrstvy 3 k jiným aplikacím a místním prostředím prostřednictvím předplatného připojení.
Online: Úlohy, které se připojují k jiným aplikacím prostřednictvím moderních služeb a architektur připojení, jako je Azure Private Link nebo interakce prostřednictvím vystavených rozhraní API nebo koncových bodů z každé aplikace.
Technická platforma: Úlohy, které vytvářejí platformu, na které můžete vytvářet další aplikace. Například flotila clusterů Azure Kubernetes Service (AKS), kterou spravuje tým platformy AKS, může hostovat jiné aplikace v rámci svých clusterů AKS jménem jiných aplikačních týmů.
Sdílené portfolio aplikací: Sdílené úlohy mezi stejnými aplikačními týmy pro společnou sadu úzce propojených aplikací. Nechcete hostovat aplikace samostatně ani s žádnou konkrétní úlohou.
Sandbox: Oblast, ve které můžou týmy aplikací vytvářet testování konceptu (PoC) nebo minimální realizovatelný produkt (MVP) a uplatňovat méně kontrol, aby tým mohl podporovat vývoj, vynález a svobodu vytvářet nejlepší možnou aplikaci z katalogu dostupných služeb Azure.
Produktová řada propojená s corp
Produktová řada propojená s corp, označovaná také jako interní nebo privátní produktová řada, pro cílovou zónu aplikace správa předplatného poskytuje připojení prostřednictvím tradičních ip metod vrstvy 3. Tento produktový řádek můžete použít k zajištění připojení mezi prostředky, které jsou:
Ve stejné cílové zóně aplikace.
V různých cílových zónách aplikací připojených k corp prostřednictvím brány Azure Firewall nebo síťového virtuálního zařízení (NVA).
Místní nebo v různých cloudech prostřednictvím připojení Azure ExpressRoute nebo VPN.
Organizace, které používají správa předplatného často začleňují tuto produktovou řadu, protože úzce odpovídají tomu, jak dnes funguje většina místních prostředí. Pokud ale potřebujete, měli byste použít pouze produktovou řadu připojenou k corp. Doporučujeme preferovat modernější přístupy nativní pro cloud, například online produktovou řadu, pokud je to možné.
Tip
Informace o rozdílech mezi corp a online úlohami najdete v tématu Jaký je účel připojení, corp a online skupin pro správu?
Následující diagram znázorňuje příklad propojeného správa předplatného produktové řady corp. Toto nastavení můžete použít pro hvězdicový síťový model, který pomáhá efektivně spravovat síťový provoz a zásady.
Kdy použít produktovou řadu připojenou k corp
Produktovou řadu připojenou k corp použijte v následujících případech:
Chcete provést rehostování a refaktoring migrace a sestavení aplikací na základě pěti rs racionalizace.
Chcete začít svou cestu v Azure a znáte podobnou místní architekturu.
Chcete aplikace "lift and shift" přesunout do Azure.
Chcete zvýšit zabezpečení mezi úlohami tím, že izolujete aplikace do vlastních předplatných cílové zóny a přesunete se k principům mikrosegmentace od nulové důvěryhodnosti, aniž byste museli aplikaci plně integrovat do cloudu.
Poznamenejte si tyto další aspekty propojené produktové řady corp:
Váš tým platformy může virtuální síť odeslat do předplatného cílové zóny aplikace a vytvořit partnerský vztah virtuální sítě k virtuální síti regionálního centra nebo do centra Azure Virtual WAN. Váš tým pak může k řízení přidělování IP adres použít nástroj pro správu IP adres (IPAM).
Týmy platforem obvykle do virtuální sítě nevysílají podsítě ani žádné jiné prostředky. Místo toho týmy platforem tyto aktivity přiřazují aplikačním týmům, aby mohly navrhnout své aplikační sítě tak, jak chtějí.
Týmy platformy používají zásady Azure přiřazené ke skupinám pro správu nad předplatným k vynucení požadovaného chování, jako jsou standardizované skupiny zabezpečení sítě (NSG) připojené ke každé podsíti. Aplikační tým dědí tuto zásadu Azure a nemůže ji upravovat. Tento přístup se řídí principem návrhu cílové zóny Azure demokratizace předplatného.
Online produktová řada
Online produktová řada, označovaná také jako externí nebo veřejná řada produktů, pro cílovou zónu aplikace správa předplatného neposkytuje připojení prostřednictvím tradičních metod IP vrstvy 3 mezi prostředky v jiných cílových zónách aplikace nebo místně prostřednictvím expressRoute nebo připojení VPN. Prostředky ve stejném předplatném cílové zóny online aplikace můžou používat virtuální sítě k vzájemné komunikaci prostřednictvím metod IP vrstvy 3. Virtuální sítě ale obvykle nejsou v partnerském vztahu s centrem regionálního připojení ani s jinými cílovými zónami aplikace.
Místo toho můžete poskytovat připojení prostřednictvím veřejných rozhraní mezi prostředky, které jsou:
V různých cílových zónách aplikace.
Místní.
V úlohách, které jsou v různých cloudech.
Připojení můžete zabezpečit pomocí síťových ovládacích prvků, funkcí ověřování a autorizačních funkcí, které jsou vystaveny různými řešeními paaS (platforma jako služba), která používáte k vytvoření aplikace.
Pomocí služby Private Link a privátních koncových bodů Azure v rámci předplatných cílové zóny online aplikací a mezi předplatnými cílové zóny online aplikací můžete povolit a zveřejnit privátní připojení založené na vrstvě 3 mezi aplikacemi. Tento přístup můžete použít také mezi službami PaaS, které používáte v cílových zónách aplikace, abyste zabránili použití veřejných rozhraní těchto služeb PaaS pro zabezpečení nebo regulační kontrolu.
Službu Private Link můžete také použít s privátními koncovými body k zveřejnění a publikování aplikací, které hostujete v rámci cílových zón online aplikací, do cílových zón připojených aplikací, místních umístění nebo jiných cloudů. Privátní koncové body můžete umístit buď do cílových zón aplikace připojené k corp, nebo přímo do center připojení, které pak udělují přístup k těmto privátním koncovým bodům prostřednictvím tradičních metod připojení vrstvy 3, jako jsou peering virtuálních sítí, připojení ExpressRoute nebo připojení VPN.
Produktovou řadu cílové zóny online aplikace si můžete představit jako izolované ostrovy. Jedinými prostředky, které mají přístup k prostředkům v rámci předplatného, jsou prostředky, které nasadíte ve stejném předplatném cílové zóny online aplikace. Jak už jsme zmínili dříve, můžete pomocí technik v tomto článku rozšířit připojení k jiným cílovým zónám aplikace, místním umístěním nebo jiným cloudům.
Tip
Další informace o rozdílech mezi corp a online úlohami najdete v tématu Jaký je účel skupin pro správu připojení, corp a online?
Následující diagram znázorňuje příklad online správa předplatného produktové řady.
Kdy použít online produktovou řadu
Online produktovou řadu použijte, když chcete:
Refaktoring, změna architektury, opětovné sestavení a provádění migrací a sestavení aplikací na základě pěti rs racionalizace.
Poskytněte aplikačním týmům plně demokratizovanou cílovou zónu aplikace, která se bude používat, a to i v souvislosti s konfigurací sítě.
Využijte výhod nativních cloudových služeb a architektur.
Výrazně zvyšuje soulad s principy nulové důvěryhodnosti.
Použijte produktovou linku corp connected, ale privátní adresní prostor IP adres není k dispozici nebo je omezený.
- V tomto scénáři byste měli zkontrolovat pokyny týkající se zabránění vyčerpání protokolu IPv4 v Azure.
Produktová řada technické platformy
Týmy, které používají technologické platformy, jako je Azure VMware Solution nebo Azure Virtual Desktop, by měly implementovat produktovou řadu technických platforem. Produktová řada technické platformy je v podstatě produktová řada správa předplatného, která lépe vyhovuje vysoce technickým požadavkům. Produktovou řadu technické platformy můžete použít k hostování a správě rozsáhlých a složitých úloh, které obvykle hostují více aplikací pro několik dalších aplikačních týmů ve vaší organizaci. Tuto produktovou řadu použijte, pokud váš aplikační tým spravuje jenom části aplikace, a ne součásti základní technologické platformy.
Tip
Pokud chcete lépe porozumět této produktové řadě, zvažte následující příklad. Tým technologických platforem, jako je tým AKS, má za cíl nabídnout AKS jako spravovanou službu jiným aplikačním týmům, které potřebují spouštět své aplikace na platformě AKS. Tým technické platformy AKS poskytuje správu, údržbu, zabezpečení a konfiguraci AKS. Proto tým aplikací udržuje svou aplikaci jenom a nasadí ji na platformě.
Do produktové řady technické platformy můžete zahrnout následující produkty:
App Service Environment, obvykle prostřednictvím samostatných plánů služby App Service.
AKS, obvykle prostřednictvím oborů názvů v jednom nebo několika clusterech.
Azure Virtual Machines na clusterech nebo hostitelích Azure VMware Solution
Azure Virtual Desktop pro poskytování virtuálních ploch nebo aplikací celé organizaci.
Tyto produkty můžete zahrnout do řady produktů připojených ke corp nebo online v závislosti na požadavcích na technologickou platformu, kterou váš tým chce poskytovat jako službu jiným aplikačním týmům ve vaší organizaci.
Portfolio sdílených aplikací
Produktová řada sdíleného portfolia aplikací pro cílovou zónu aplikace správa předplatného je určená pro úlohy, které nepotřebují několik samostatných předplatných cílové zóny aplikace pro jednoduché aplikace, které by mohly být sestaveny pouze z malého počtu prostředků Azure.
Týmy a oddělení aplikací můžou pomocí této produktové řady hostovat několik malých aplikací nebo sdílených komponent, jako jsou účty úložiště nebo sql servery. Týmy tyto komponenty sdílejí mezi několika vlastními aplikacemi v jednom předplatném nebo malým počtem předplatných.
Důležité
Společný tým vlastní předplatná, která v rámci této produktové řady odešlete. Tento tým spravuje související portfolio aplikací, které nasadíte v tomto předplatném pro tuto produktovou řadu. Nepoužívejte tento produktový řádek pro obecná nasazení nesouvisejících aplikačních úloh, které mají jedinečné vlastníky portfolia aplikací.
Pečlivě naplánujte, abyste zajistili průběžnou flexibilitu, řízení přístupu, zásady správného řízení a udržovatelnost, pokud se vaše organizace změní na jedno předplatné a používá skupiny prostředků k delegování přístupu.
Pokud zvažujete delegování skupin prostředků v jednom předplatném mezi několika týmy, zvažte před konečným rozhodnutím následující aspekty:
| Plocha | Důležité informace |
|---|---|
| Společné vlastnictví souvisejícího portfolia aplikací | - Mít společného vlastníka, jako je obchodní jednotka oddělení, spravovat aplikace pro zjednodušení správy změn tak, aby zůstal v rozsahu schválení stejné entity. – Zajistěte, aby úlohy dodržovaly konzistentní přiřazení zásad napříč předplatným, včetně protokolování, monitorování a zabezpečení. |
| Dodržování legislativní předpisů | – Pomocí zásad IAM a Azure můžete vytvářet předplatná pro úlohy, které mají požadavky na dodržování právních předpisů, včetně národního institutu NIST (National Institute of Standards and Technology), Center for Internet Security (CIS), Payment Card Industry Security Standards Council (PCI SSC), požadavků na odvětví a regionálních požadavků. Další informace najdete v tématu Přizpůsobení cílových zón Azure. – Vytvořte předplatná pro úlohy, které používají požadavky na ochranu osobních údajů a zpracování dat pro zásady správného řízení. Jednotlivá předplatná omezují přístup. |
| Azure Policy | Rozsah zásad Azure na skupiny pro správu, předplatná, skupiny prostředků a prostředky Při nasazování prostředků ve skupinách prostředků přiřaďte zásady Azure na vysoké úrovni, abyste zajistili efektivní zásady správného řízení. Při správě služby Azure Policy na úrovni oboru skupiny prostředků zvažte následující omezení: – Zvyšuje režii správy při vytváření přiřazení služby Azure Policy při přidávání nových skupin prostředků do předplatných. – Zvyšuje zatížení při správě změn přiřazení zásad. – Zvyšuje mezery v zabezpečení a zásadách správného řízení, když zásady nepřiřazujete okamžitě ke skupinám prostředků. - Snižuje schopnost zavádět stav dodržování předpisů ve vysokých oborech, jako jsou skupiny pro správu a předplatná. |
| Omezení předplatného | – Zkontrolujte limity, abyste zajistili, že aplikace nenarazí na pevné limity, které brání růstu. Každé předplatné má pro služby Azure měkké a pevné limity. – Vytvořte samostatná předplatná pro aplikace, které očekávají velké vzory růstu, které splňují limity předplatného. – Nesdílejte předplatná s aplikačními týmy z různých organizačních jednotek nebo oddělení, aby se zabránilo problémům s hlučným sousedem . |
| Sladění služeb Azure a funkcí | Služby, které poskytují základní primitiva služeb Azure, jako jsou virtuální počítače, virtuální sítě a jednoduché služby PaaS, můžete nasadit v rámci jedné skupiny prostředků. Složitost moderních složených nabídek ale může vyžadovat nasazení těchto složitějších služeb mimo hranice jedné skupiny prostředků. Pro tyto scénáře nasazení použijte jiné přístupy demokratizovaného předplatného, které jsou popsané výše v tomto článku. |
| Skupiny prostředků můžou vytvářet pouze týmy platformy. | Když sdílíte předplatné mezi různými aplikačními týmy napříč organizačními jednotkami nebo odděleními, můžete omezit možnost libovolného týmu vytvářet nové skupiny prostředků ve sdíleném předplatném. Toto omezení omezuje rozrůstnutí skupin prostředků. Nové skupiny prostředků může vytvářet a řídit pouze tým platformy. Tento přístup zvyšuje složitostpřiřazeníchchch |
Předplatná, která jste vysílali, můžete umístit do produktové řady sdíleného portfolia aplikací do skupin pro správu Corp nebo Online. Tato metoda odpovídá výchozí doporučené hierarchii cílových zón Azure. Případně můžete předplatná umístit pod nové skupiny pro správu, pokud hierarchie skupin pro správu vaší organizace dodržuje pokyny v části Přizpůsobení architektury cílové zóny Azure tak, aby splňovala požadavky.
Následující diagram znázorňuje příklad portfolia sdílených aplikací správa předplatného produktové řady.
Produktový řádek portfolia sdílených aplikací použijte v následujících případech:
Váš aplikační tým potřebuje dodat několik malých prostředků nebo komponent, které jejich aplikace sdílejí, ale tyto komponenty se přímo nevejdou do žádné z vyhrazených cílových zón aplikace.
Máte prostředky nebo komponenty, které potřebujete sdílet mezi aplikacemi ve stejném oddělení, ale komponenty se přímo nevejdou do žádné z vyhrazených cílových zón aplikace.
Týmy technologických platforem chtějí hostovat velké sdílené služby spravované, jako jsou AKS, Azure Virtual Desktop a Azure VMware Solution, aby ostatní aplikační týmy mohly používat nebo hostovat své aplikace ve službách.
Sandbox
Využijte produktovou řadu sandboxu pro cílovou zónu aplikace správa předplatného k zajištění bezpečného, mírně řízeného a viditelného testovacího prostředí pro vytváření virtuálních počítačů nebo MVP v Azure.
Další informace najdete v tématu Prostředí sandboxu cílové zóny a Správa vývojových prostředí aplikací v cílových zónách Azure.
Sandboxy jsou často časově omezené nebo omezené rozpočty, což znamená, že mají časový limit nebo rozpočtový limit. V těchto případech musíte sandbox rozšířit nebo odebrat a vyřadit z provozu.
Pokud vaše organizace neposkytuje produktovou řadu sandboxu pro aplikační týmy nebo jiné k testování a experimentování se službami v Azure, můžou se týmy uchýlnout ke stínovým nastavením IT . Pokud ano, může se vaše organizace potýkat s vytvářením sestav a viditelností a uplatňovat zásady správného řízení na předplatná, která podnikoví uživatelé vytvářejí mimo kontrolu a dohled vašeho týmu platformy.
Váš tým platformy musí poskytovat snadný přístup, nejlépe samoobslužný a automaticky schválený přístup k předplatným sandboxu pro uživatele a týmy vaší organizace. Poskytněte uživatelům a týmům přístup k prostředí, které může váš tým platformy zobrazit a řídit, aby zabránil stínovým IT prostředím, ke kterým tým platformy nemůže přistupovat nebo řídit, což vytváří riziko.
Sandboxy se často řídí přístupem konfigurace sítě online předplatných produktové řady, protože je ne peeringujete s jinými virtuálními sítěmi mimo hranice předplatného sandboxu. Sandboxy také často mají další ovládací prvky, které brání hybridnímu připojení k místním umístěním nebo jiným umístěním. Tyto ovládací prvky použijte, aby neznámé zdroje nemohly exfiltrovat data z sandboxů na neschválené umístění. K vynucování těchto ovládacích prvků můžete použít zásady Azure.
Stejně jako portfolio sdílených aplikací a produktové řady technických platforem můžete také sdílet produktovou řadu sandboxu mezi týmy ve stejném oddělení se stejnými aspekty. Nevytvávejte jedno předplatné sandboxu a sdílejte ho mezi týmy prostřednictvím skupin prostředků. Místo toho vytvořte další předplatná sandboxu.
Produktový řádek sandboxu použijte, pokud potřebujete poskytnout bezpečné, zabezpečené a řízené předplatné Azure všem uživatelům ve vaší organizaci, kteří chtějí experimentovat, vytvářet poc nebo vytvářet MVP v Azure. Tyto uživatele musíte mírně řídit a udělit jim přístup ke všem službám, abyste zabránili stínovým postupům IT .
Shrnutí a poznatky
Tento článek popisuje preskriptivní pokyny, které vám pomůžou procházet složité procesy správa předplatného a přejít k implementaci.
Určete požadavky budoucích aplikačních týmů, abyste zvolili správa předplatného produktovou řadu, která je nejlépe vyhovuje. Identifikujte požadavky na počáteční sadu úloh, které sestavíte nebo migrujete, aby bylo možné určit prioritu správa předplatného produktových řad, které chcete povolit a zveřejnit prostřednictvím samoobslužného rozhraní.
Každá řada produktů má náklady na implementaci a náklady na údržbu. Vyhodnoťte dlouhodobé náklady a dlouhodobé výhody a využití.
Zákazníci obvykle na začátku povolují následující správa předplatného produktových řad:
Další materiály
Pokud chcete dále podporovat přístup založený na platformě, projděte si následující zdroje informací při návrhu a implementaci správa předplatného produktových řad a nabídek vaší organizace:
- Video: Kolik předplatných mám použít v Azure?
- Cílové zóny platformy versus cílové zóny aplikací
- Zásady zahrnuté v referenčních implementacích cílových zón Azure
- Přizpůsobení architektury cílové zóny Azure tak, aby splňovala požadavky
- Jaký je účel skupin pro správu připojení, corp a online?
- Správa vývojových prostředí aplikací v cílových zónách Azure
- Principy přípravy platforem
Další krok
Nejlepších výsledků dosáhnete, když budete mít co největší část správa předplatného procesu. Doprovodné materiály k implementaci automatizace správa předplatného použijte.