Administrar o seu património na nuvem do Azure
Este artigo explica como administrar sua propriedade de nuvem do Azure para garantir a integridade operacional. Você precisa de um forte controle administrativo sobre suas operações de nuvem para garantir que a nuvem esteja alinhada com seus objetivos de negócios. Siga estas práticas recomendadas:
Identifique seu escopo de gerenciamento
As responsabilidades de gerenciamento variam de acordo com o modelo de implantação. Use a tabela a seguir para identificar suas responsabilidades de gerenciamento para infraestrutura (IaaS), plataforma (PaaS), software (SaaS) e implantações locais.
| Áreas de administração | No local | IaaS (Azure) | PaaS (Azure) | SaaS |
|---|---|---|---|---|
| Dados | ✔️ | ✔️ | ✔️ | ✔️ |
| Código e tempo de execução | ✔️ | ✔️ | ✔️ | |
| Recursos na nuvem | ✔️ | ✔️ | ✔️ | |
| Sistema Operativo | ✔️ | ✔️ | ||
| Camada de virtualização | ✔️ | |||
| Hardware físico | ✔️ |
Gerir alterações
A mudança é a fonte mais comum de problemas na nuvem. Como resultado, você precisa de uma abordagem de gerenciamento de alterações que rastreie as alterações e suas aprovações. Ele também deve detetar alterações não aprovadas e revertê-las para um estado desejado. Siga estes passos:
Desenvolver um processo de solicitação de mudança. Use um sistema formal, como um sistema de gestão de tíquetes, _pull request_ (GitHub ou Azure DevOps) ou formulários específicos. O processo de solicitação de alteração deve capturar detalhes importantes, como o tipo de alteração, a identidade do solicitante, o ambiente de destino, o escopo e o motivo. Mantenha procedimentos separados para solicitações de serviço de rotina, como redefinições de senha.
Avaliar o risco associado à alteração. Atribua categorias de risco claras (alto, médio, baixo) para equilibrar a velocidade de implantação com o gerenciamento de riscos. Avalie cada alteração de acordo com critérios como tolerância a tempo de inatividade (orçamento de erros) e criticidade da carga de trabalho. Use a tabela a seguir como exemplo para ajudar a determinar o fluxo de trabalho de aprovação apropriado:
Padronizar a aprovação claramente. Definir os critérios de aprovação e a autoridade exigida em cada nível de risco. Especifique quem deve revisar cada alteração, seja um único aprovador ou um painel de avaliação, e esclareça como os revisores devem fornecer e resolver comentários.
Padronizar o processo de implantação. Descreva claramente os procedimentos para criar, testar e implantar alterações aprovadas na produção. Para obter detalhes, consulte Gerenciar recursos de nuvem.
Padronizar o processo pós-implantação. Implementar etapas de monitoramento e validação para confirmar as alterações bem-sucedidas. Inclua uma estratégia clara de reversão para restaurar rapidamente o serviço se uma alteração introduzir problemas.
Prevenir e detetar alterações não autorizadas. Use Análise de Alterações para detetar alterações de configuração e explicar as suas causas subjacentes. Use a Política do Azure para negar e auditar alterações usando efeitos como Deny, DenyAction, Audite auditIfNotExists. Caso utilize o Bicep, considere a utilização de pilhas de implementação do Bicep para evitar alterações não autorizadas.
Gerir a segurança
A identidade é o seu perímetro de segurança. Você deve verificar identidades, restringir permissões e manter configurações de recursos seguras. Siga estes passos:
Gerir identidades. Use Microsoft Entra ID como a sua solução unificada de gestão de identidades. Defina claramente as permissões aplicando controle de acesso baseado em função (RBAC). Use Microsoft Entra ID Governance para controlar fluxos de trabalho de pedidos de acesso, revisões de acesso e a gestão do ciclo de vida da identidade. Ative Privileged Identity Management para conceder acesso privilegiado just-in-time. Essa estratégia reduz o desnecessário acesso elevado. Gerencie todos os três tipos de identidade (usuário, aplicativo, dispositivo) consistentemente para garantir autenticação e autorização adequadas.
Gerir o acesso. Use o controlo de acesso baseado em funções (RBAC) e o controlo de acesso baseado em atributos (ABAC) do Azure para conceder a permissão mínima necessária para realizar o trabalho. Prefira atribuições de função com base em grupos para limitar a sobrecarga de gerenciamento. Conceda permissões no menor escopo necessário, como assinaturas, grupos de recursos ou recursos individuais. Evite escopos de permissão excessivamente amplos para evitar o escalonamento de privilégios não intencionais. Atribua apenas as permissões necessárias para a função de cada usuário.
Gerir configurações de recursos. Use infraestrutura como código (IaC) para garantir uma configuração consistente e reproduzível dos recursos. Em seguida, use a Política do Azure para impor padrões organizacionais e avaliar a conformidade. Em seguida, use Política do Azure para impor configurações seguras em serviços específicos do Azure. Consulte as linhas de base de segurança para obter orientação sobre os recursos de segurança disponíveis e as configurações de segurança ideais. Como um recurso complementar, use políticas de segurança no Defender for Cloud para alinhar com os padrões de segurança comuns.
Gerenciar autenticação. Garantir que os usuários adotem autenticação forte por meio de autenticação multifator (MFA) e usem autenticação multifator (MFA) do Microsoft Entra. Sempre exija acesso condicional para impor a autenticação com base na identidade do utilizador, na saúde do dispositivo e no contexto de acesso. Configure a redefinição de senha de autoatendimento e elimine as senhas fracas .
Gerir informações de segurança. Utilize o Microsoft Sentinel para gestão de informações e eventos de segurança (SIEM) e orquestração, automação e resposta de segurança (SOAR).
Controle a segurança da carga de trabalho. Para obter recomendações de segurança da carga de trabalho, consulte a lista de verificação de segurança do Well-Architected Framework e guias de serviço do Azure (começar com a seção Segurança).
Gerencie a conformidade
O gerenciamento de conformidade garante que as operações do Azure permaneçam alinhadas com as políticas de governança e os padrões regulatórios estabelecidos. Você deve reduzir o risco protegendo o ambiente de possíveis violações e configurações incorretas. Siga estes passos:
Entenda suas políticas de governança. As políticas de governança definem as restrições de alto nível que suas equipes devem seguir para permanecerem em conformidade. Analise as políticas da sua organização e mapeie cada requisito para os seus processos operacionais. Se você não tiver políticas de governança, primeiro documente as políticas de governança.
Gerencie a conformidade. A aplicação da conformidade garante que seu ambiente permaneça alinhado com as normas organizacionais e regulamentares. Consulte a tabela a seguir para obter recomendações políticas.
Recomendação Detalhes Comece com Definições gerais de política Comece com as definições gerais da Política do Azure, incluindo locais permitidos, tipos de recursos não permitidos e funções RBAC personalizadas de auditoria. Conformar-se às normas regulatórias Utilize as definições incorporadas gratuitas e alinhadas com as normas regulamentares, tais como ISO 27001, NIST SP 800-53, PCI DSS, RGPD da UE
Para obter mais informações, consulte Impondo conformidade no Azure.
Gerenciar dados
O gerenciamento de dados em operações de nuvem envolve classificar ativamente, segmentar, proteger o acesso e proteger contra exclusão. Você deve proteger informações confidenciais, manter a conformidade e garantir a confiabilidade dos dados durante as alterações operacionais. Siga estes passos:
Descubra e classifique dados. Identificar e categorizar os dados de acordo com a sensibilidade e importância. Esta classificação orienta controles personalizados para cada tipo de dados. Use Microsoft Purview para governança de dados. Para obter mais informações, consulte Fontes de dados que se conectam ao Microsoft Purview Data Map.
Controlar a residência de dados. Selecione regiões dentro da sua geografia, como os Estados Unidos ou a Europa, para cumprir os requisitos de residência de dados. Verifique quaisquer exceções porque determinados serviços do Azure podem armazenar dados fora da região selecionada. Analise regularmente as configurações de residência de dados do Azure e os requisitos de conformidade para manter o controle total sobre os dados do cliente.
Isolar cargas de trabalho internas ("Corp") e voltadas para a Internet ("Online"). Use grupos de gerenciamento para separar cargas de trabalho internas e externas. As cargas de trabalho internas normalmente exigem conectividade ou conectividade híbrida com sua rede corporativa. As cargas de trabalho externas geralmente não exigem conectividade de rede corporativa e podem precisar de acesso direto à Internet de entrada ou saída. Para obter um exemplo, revise os grupos de gerenciamento "Corp" (interno) e "Online" (voltado para a Internet) na zona de aterrissagem Azure.
Impor o controle de acesso. Implemente controles de acesso robustos, como RBAC do Azure e do Azure ABAC , para garantir que apenas pessoal autorizado acesse dados confidenciais com base em classificações definidas.
Proteja os dados contra exclusão. Use recursos como exclusão suave, controle de versão de dados e imutabilidade, quando disponíveis. Implemente o controle de versão do banco de dados e prepare procedimentos de reversão. Use a Política do Azure para negar eliminações de armazenamentos de dados com efeitos Negar e DenyAction ou auditar alterações com efeitos de Auditoria e auditIfNotExists em quaisquer alterações. Caso utilize o Bicep, considere a utilização de pilhas de implementação do Bicep para evitar alterações não autorizadas. Apenas use bloqueios de recursos para evitar estritamente modificações ou exclusões não intencionais de dados críticos. Evite usar bloqueios de recursos para proteger configurações, pois os bloqueios de recursos complicam as implantações de IAC.
Gerir dados de trabalho. Ver as recomendações do Well-Architected Framework sobre a classificação de dados.
Para obter mais informações, consulte Implementar governança de dados.
Gerir custos
Gerenciar custos em operações de nuvem significa rastrear os gastos ativamente de forma centralizada e por carga de trabalho. O controlo dos custos deve dar visibilidade às despesas e incentivar despesas responsáveis. Siga estes passos:
Gerir e rever custos. Utilize as ferramentas do Microsoft Cost Management para monitorizar os custos da nuvem. O Azure não tem um mecanismo de toda a subscrição para limitar os gastos a um determinado limite. Alguns serviços, como espaço de trabalho do Azure Log Analytics, têm limites de gastos. Sua estratégia de monitoramento de custos serve como sua principal ferramenta para gerenciar despesas.
Gerencie os custos da carga de trabalho. Conceda acesso de faturamento às equipes de carga de trabalho. Façam com que estas equipas utilizem a lista de verificação de otimização de custos do Well-Architected Framework .
Gerenciar código e tempo de execução
O gerenciamento de código e tempo de execução são responsabilidades de carga de trabalho. Faça com que suas equipes de carga de trabalho usem a lista de verificação de Excelência Operacional do Well-Architected Framework, que descreve 12 recomendações para controlar o código e o tempo de execução.
Gerenciar recursos na nuvem
O gerenciamento de recursos de nuvem envolve governança, supervisão e manutenção de todos os serviços, implantações e infraestrutura do Azure. Estabeleça protocolos de implantação claros e estratégias proativas de deteção de desvios para manter a consistência entre ambientes. Siga estas recomendações:
Gerenciar implantações de portal
Defina protocolos e limites para implantações de portal para minimizar o potencial de problemas de produção. Siga estes passos:
Definir a política de implantação do portal. Garantir que mudanças significativas baseadas em portais sigam os processos de gerenciamento de mudanças estabelecidos. Use implantações de portal principalmente para prototipagem rápida, solução de problemas ou pequenos ajustes em ambientes de desenvolvimento e teste. Evite alterações não estruturadas no portal porque essas alterações levam a desvios, configurações incorretas e problemas de conformidade. Em vez disso, confie em modelos de infraestrutura como código (IaC) controlados por versão para obter consistência. Para obter mais informações, consulte gerir implementações de código.
Diferenciar ambientes. Limite as alterações baseadas em portal estritamente a ambientes que não sejam de produção. Permita a prototipagem rápida exclusivamente em ambientes dedicados de desenvolvimento ou teste e imponha controles rigorosos na produção.
Restringir permissões do portal. Limite as capacidades de implementação do portal usando o controlo de acesso baseado em funções (RBAC). Atribua permissões somente leitura por padrão e escale privilégios somente quando necessário.
Conceda acesso just-in-time. Use Gerenciamento de Identidade Privilegiada (PIM) para aceder a recursos do Azure e do Microsoft Entra. Requer aprovações sequenciais de vários indivíduos ou grupos para ativar o PIM. Reserve funções privilegiadas ("A0" super admin roles) exclusivamente para cenários de emergência.
Estrutura RBAC com base no modelo operacional. Projetar políticas RBAC sob medida para equipes operacionais, incluindo níveis de suporte, operações de segurança, plataformas, rede e cargas de trabalho.
Auditar todas as atividades. Monitore e registre todas as ações em seu sistema. Use a Política do Azure para auditar (Audit ou auditIfNotExists) alterações. Além disso, configure o alerta no Azure Monitor para notificar os interessados quando alguém excluir um recurso do Azure. Caso utilize o Bicep, considere a utilização de pilhas de implementação do Bicep para evitar alterações não autorizadas.
Use modelos com controle de versão. Limite o uso do portal a cenários de emergência se empregar implantações de IaC. As alterações no portal resultam em desvio de configuração dos modelos IaC. Replique todas as alterações baseadas em portal imediatamente em modelos IaC controlados por versão, como Bicep, Terraform ou ARM templates. Exporte regularmente as configurações de recursos do Azure e armazene-as como IaC para manter os ambientes de produção alinhados com as configurações aprovadas e rastreáveis. Consulte orientações sobre como exportar configurações do Azure como Bicep, Terraformou modelos ARM. Considere as especificações de modelos se estiver a usar modelos ARM.
Ferramenta Caso de uso Bíceps IaC específica do Azure gerenciável e legível Terraform Solução multicloud, suporte mais amplo da comunidade modelos ARM Controle total, confortável com JSON
Gerenciar implantações de código
Adote práticas recomendadas para automatizar e controlar alterações no código e na infraestrutura. Siga estes passos:
Padronizar ferramentas. Use um conjunto de ferramentas consistente para minimizar a troca de contexto. Escolha ferramentas de desenvolvedor (VS Code, Visual Studio), um repositório de código (GitHub, Azure DevOps), um pipeline de CI/CD (GitHub Actions, Azure Pipelines) e uma solução IaC (Bicep, Terraformou ARM modelos) que funcionam juntas.
Use o controle de versão. Mantenha uma única fonte de verdade para o seu código. Use o controle de versão para reduzir o desvio de configuração e simplificar os procedimentos de reversão.
Utilize pipelines de implantação. Uma pipeline de CI/CD automatiza o processo de compilação, executa testes e faz uma verificação do código em busca de problemas de qualidade e segurança em cada pedido de pull. Use Ações do GitHub ou Pipelines do Azure para criar e implantar código de aplicação e arquivos IaC. Imponha ganchos de pré-confirmação e verificações automatizadas para detetar alterações não autorizadas ou de alto risco antecipadamente.
Testar implantações. Aprovações em etapas nos seus pipelines de CI/CD para validar progressivamente as implantações. Siga esta sequência: desenvolvimento, verificação de compilação, testes de integração, testes de desempenho, teste de aceitação do usuário (UAT), preparação, lançamentos canários, pré-produção e, finalmente, produção.
Use a infraestrutura como código (IaC). Use o IaC para garantir a consistência e gerenciar implantações por meio do controle de versão. Transite de provas de conceito baseadas no portal do Azure para IaC em ambientes de produção. Use os modelos Bicep, Terraformou ARM para definir recursos. Para o Bicep, utilize os módulos e avalie as pilhas de implantação . Para o modelo ARM, considere usar de especificações de modelo para implantação versionada.
Aplicar as melhores práticas do repositório de código. Seguir esses padrões reduz erros, simplifica revisões de código e evita problemas de integração. Para ambientes de produção de alta prioridade:
Exigência Descrição Desativar envios diretos Bloquear confirmações diretas para a ramificação principal Exigir solicitações pull Exigir que todas as alterações passem por uma solicitação pull Exigir revisões de código Certifique-se de que alguém que não seja o autor revise cada pedido de pull. Aplicar limiares de cobertura de código Garantir que uma porcentagem mínima de código seja aprovada nos testes automatizados para todos os pedidos de pull Utilizar pipelines de validação Configurar regras de proteção de ramificação para executar um pipeline de validação para solicitações pull Exigir verificações de integração da equipe de carga de trabalho. Verifique se as novas bases de código e equipes estão alinhadas com as metas de negócios, os padrões e as práticas recomendadas. Use uma lista de verificação para confirmar a estrutura do repositório de código, padrões de nomenclatura, padrões de codificação e configurações de pipeline de CI/CD.
Gerenciar desvio de configuração
Gerencie desvios de configuração identificando e corrigindo discrepâncias entre a configuração pretendida e o ambiente ativo. Siga estas práticas recomendadas:
Prevenir e detetar alterações. Use Análise de Alterações para detetar alterações de configuração e explicar as suas causas subjacentes. Use a Política do Azure para negar e auditar alterações usando efeitos como Deny, DenyAction, Audite auditIfNotExists. Caso utilize o Bicep, considere a utilização de pilhas de implementação do Bicep para evitar alterações não autorizadas.
Detetar desvio de configuração do IaC. Deriva ocorre quando alguém atualiza o arquivo IaC (intencional, não intencional) ou faz uma alteração no portal do Azure. Compare regularmente o ambiente ao vivo com a configuração desejada para detetar desvios:
Armazene as configurações desejadas e a última configuração conhecida como funcional. Guarde o arquivo de configuração desejado em um repositório sob controle de versão. Este arquivo mostra a configuração original pretendida. Mantenha uma última configuração válida conhecida como uma referência de reversão confiável e linha de base para deteção de desvios.
Detete desvios de configuração antes da implantação. Visualize possíveis alterações antes da implantação usando plano Terraform, Bicep what-ifou modelo ARM what-if. Investigue as discrepâncias minuciosamente para garantir que as alterações propostas estejam alinhadas com o estado desejado.
Detectar desvio após a implantação. Compare regularmente ambientes ativos com as configurações desejadas através de verificações frequentes de desvio. Integre essas verificações em seus pipelines de CI/CD ou conduza-as manualmente para manter a consistência.
Reversão para a última configuração conhecida como estável. Desenvolva estratégias claras de reversão que usem procedimentos automatizados na sua pipeline de CI/CD. Use a sua última configuração conhecida como boa para reverter rapidamente alterações indesejadas e minimizar o tempo de inatividade.
Minimize as alterações impulsionadas pelo portal. Minimize alterações que não sejam IaC apenas para situações de emergência. Imponha controles de acesso rígidos, como o Privileged Identity Management. Atualize imediatamente os arquivos IaC se forem necessários ajustes manuais para preservar a precisão da configuração desejada.
Gerenciar sistemas operacionais
Quando você usa máquinas virtuais, também precisa gerenciar o sistema operacional. Siga estes passos:
Automatizar a manutenção das máquinas virtuais. No Azure, utilize ferramentas de automação para criar e gerir máquinas virtuais do Azure. Utilize Configuração de Máquina do Azure para auditar ou definir configurações do sistema operativo como código para máquinas que estão a executar no Azure e em ambientes híbridos.
Atualizar sistemas operacionais. Você precisa gerenciar atualizações de convidados e de manutenção do host para garantir que os sistemas operacionais estejam atualizados para fins de segurança.
Monitore as operações de convidados. Use o serviço de Controle de Alterações e Inventário do Azure para melhorar a auditoria e a governança para operações de convidados. Ele monitora as alterações e fornece logs de inventário detalhados para servidores no Azure, no local e em outros ambientes de nuvem.
Ferramentas de gerenciamento do Azure
| Categoria | Ferramenta | Descrição |
|---|---|---|
| Gerir alterações | Análise de Alterações | Deteta alterações de configuração e explica suas causas subjacentes |
| Gerir alterações | Azure Policy | Impõe, audita ou impede modificações nos recursos da nuvem |
| Gerir alterações | Pilhas de implementação do Bicep | Impede alterações não autorizadas. |
| Gerir a segurança | linhas de base de segurança do Azure | Fornece orientação sobre os recursos de segurança disponíveis e configurações de segurança ideais |
| Gerir a segurança | pilar de segurança do Well Architected Framework | Diretrizes de segurança para o design da carga de trabalho |
| Gerir a segurança | Guias de Serviço do Azure (começam pela secção de Segurança) | Recomendações de configuração de segurança para serviços do Azure |
| Gerir a segurança | Microsoft Entra ID | Fornece gerenciamento unificado de identidades |
| Gerir a segurança | Defender for Cloud | Alinha as configurações de recursos com os padrões de segurança |
| Gerir a segurança | Microsoft Sentinel | Fornece informações de segurança e até mesmo gerenciamento (SIEM) e orquestração, automação e resposta de segurança (SOAR) |
| Gerir a segurança | RBAC do Azure | Concede acesso seguro com atribuições baseadas em funções |
| Gerir a segurança | Azure ABAC | Concede acesso seguro com base em condições de atributo |
| Gerir a segurança | Governança do Microsoft Entra ID | Gere fluxos de trabalho de acesso e ciclo de vida das identidades |
| Gerir a segurança | Gerenciamento de Identidade Privilegiada | Oferece acesso privilegiado just-in-time |
| Gerir a segurança | Autenticação multifator (MFA) do Microsoft Entra | Impõe autenticação multifator forte |
| Gerir a segurança | Acesso Condicional | Impõe a autenticação baseada no contexto |
| Gerir a segurança | Redefinição autónoma de senha | Permite redefinições seguras de senha de usuário |
| Gerencie a conformidade | Azure Policy | Impõe padrões e protege configurações de recursos |
| Gerenciar dados | Microsoft Purview | Governa e classifica dados confidenciais |
| Gerenciar dados | Azure Policy | Previne ou audita modificações ou exclusões não intencionais de recursos |
| Gerenciar dados | Bloqueio de recursos | Evita modificações ou exclusões não intencionais |
| Gerir custos | Monitorizar custos | O monitoramento é essencial para gerenciar os custos da nuvem |
| Gerenciar recursos na nuvem | Azure Policy | Impõe, audita ou impede modificações nos recursos da nuvem |
| Gerenciar recursos de nuvem (implantações de portal) | Exportação de modelo ARM | Exporta configurações de recursos como modelos IaC |
| Gerenciar recursos de nuvem (implantações de portal) | alertas do Azure Monitor | Notifica as partes interessadas sobre alterações de recursos |
| Gerenciar recursos de nuvem (implantações de código) | Bíceps | Gerencia a infraestrutura como código para recursos do Azure |
| Gerenciar recursos de nuvem (implantações de código) | Pilhas de implementação do Bicep | Suporta implantações controladas por versão e impede alterações não autorizadas |
| Gerenciar recursos de nuvem (implantações de código) | Terraform | Gerencia a infraestrutura multicloud como código |
| Gerenciar recursos de nuvem (implantações de código) | modelos ARM | Define e implanta recursos do Azure com modelos |
| Gerenciar recursos de nuvem (implantações de código) | Especificações do modelo ARM | Versiona e gere modelos ARM para consistência |
| Gerenciar recursos de nuvem (implantações de código) | Ações do GitHub | Automatiza pipelines de compilação, teste e implantação |
| Gerenciar recursos de nuvem (implantações de código) | Azure Pipelines | Automatiza os processos de compilação e implementação |
| Gerencie o desvio | Azure Policy | Impõe, audita ou impede modificações nos recursos da nuvem |
| Gerencie o desvio | Análise de Alterações | Deteta e explica as alterações de configuração |
| Gerencie o desvio | Bicep e se | Visualiza possíveis alterações de configuração |
| Gerencie o desvio | plano Terraform | Visualiza possíveis alterações antes da implantação do Terraform |
| Gerencie o desvio | modelo ARM 'what-if' | Visualiza possíveis alterações de configuração |
| Gerenciar sistemas operacionais | Configuração de Máquina do Azure | Audita e define as configurações do sistema operacional como código |
| Gerenciar sistemas operacionais | serviço de Controle de Alterações e Inventário do Azure | Monitora e registra alterações em sistemas operacionais |
| Gerenciar sistemas operacionais | Ferramentas de automação | Automatiza a manutenção da máquina virtual |