Область проектирования: система управления Azure
Используйте систему управления Azure, чтобы установить средства, необходимые для поддержки облачного управления, аудита соответствия требованиям и автоматической защиты.
Проверка области проектирования
Роли или функции: управление Azure происходит из облачного управления. Возможно, потребуется реализовать облачную платформу или облачный центр превосходства , чтобы определить и применить определенные технические требования. Управление сосредоточено на применении операций и требований к безопасности, которые могут потребовать облачной безопасности, централизованной ИТ-службы или облачных операций.
Область. Рассмотрите ваши решения от проверки удостоверений, сети, безопасности и управления областями проектирования. Ваша команда может сравнить решения о проверке из автоматизированного управления, который является частью акселератора целевой зоны Azure. Проверка решений поможет определить, что следует проверять или применять, а также какие политики следует автоматически развертывать.
Вне области применения: система управления Azure определяет основу для работы с сетями. Но это не касается компонентов, связанных с соответствием требованиям, таких как расширенная сетевая безопасность или автоматизированная защита для применения сетевых решений. Эти сетевые решения можно решить при проверке областей проектирования соответствия требованиям, связанных с безопасностью и управлением. Перед решением более сложных компонентов команда облачной платформы должна решать начальные требования к сети.
Новая облачная среда (greenfield): чтобы начать путешествие в облако, создайте небольшой набор подписок. Для создания новых целевых зон Azure можно использовать шаблоны развертывания Bicep. Дополнительные сведения см. в разделе "Целевые зоны Azure Bicep" — поток развертывания.
Существующая облачная среда (brownfield): если вы хотите применить проверенные принципы управления Azure к существующим средам Azure, рассмотрите следующее руководство.
Создайте базовые показатели управления для гибридной или многооблачной среды.
Реализуйте функции управления затратами Майкрософт, такие как выставление счетов, область, бюджеты и оповещения, чтобы гарантировать, что вы не превышаете лимит расходов.
Используйте Политика Azure для принудительного применения охранников управления в развертываниях Azure и активации задач исправления, чтобы перенести существующие ресурсы Azure в соответствующее состояние.
Рекомендуется использовать функцию управления правами Microsoft Entra для автоматизации рабочих процессов запросов доступа Azure, назначений доступа, проверок и истечения срока действия.
Используйте рекомендации помощника по Azure, чтобы обеспечить оптимизацию затрат и эффективность работы в Azure, оба из которых являются основными принципами Microsoft Azure Well-Architected Framework.
Целевые зоны Azure Bicep — репозиторий потока развертывания Bicep содержат шаблоны развертывания Bicep, которые могут ускорить развертывание целевой зоны Azure в гринфилде и браунфилде. Эти шаблоны интегрированы с рекомендациями по управлению, проверенными корпорацией Майкрософт.
Рассмотрите возможность использования целевой зоны Azure по умолчанию для назначения политик Bicep, чтобы начать работу с обеспечением соответствия вашим средам Azure.
Дополнительные сведения см . в рекомендациях по среде Браунфилда.
Обзор зоны проектирования
Путешествие по внедрению облака вашей организации начинается с строгих элементов управления для государственных сред.
Система управления предусматривает механизмы и процессы для контроля платформ, приложений и ресурсов в Azure.
Изучите следующие рекомендации и рекомендации по принятию обоснованных решений при планировании целевой зоны.
Область проектирования управления ориентирована на решения по проектированию для целевой зоны. Сведения о процессах и средствах управления см. в разделе "Управление" в Cloud Adoption Framework для Azure.
Аспекты системы управления Azure
Политика Azure помогает обеспечить безопасность и соответствие корпоративным техническим активам. Политика Azure может применять важные соглашения об управлении и безопасности в службах платформ Azure. Политика Azure дополняет управление доступом на основе ролей Azure (RBAC), которое управляет действиями авторизованных пользователей. Управление затратами также может помочь поддерживать текущие затраты на управление и расходы в Azure или других многооблачных средах.
Рекомендации по развертыванию
Изменение советов по рассмотрению рекомендаций может препятствовать инновациям и гибкости бизнеса вашей организации. Политика Azure заменяет такие проверки автоматическими охранниками и аудитами соответствия для повышения эффективности рабочей нагрузки.
Определите, какие политики Azure требуются на основе бизнес-элементов управления или нормативных требований. Используйте политики, включенные в акселератор целевой зоны Azure, в качестве отправной точки.
Используйте политики, включенные в эталонную реализацию целевых зон Azure, чтобы рассмотреть другие политики, которые могут соответствовать вашим бизнес-требованиям.
Применение автоматизированных соглашений о сети, удостоверении, управлении и безопасности.
Управление и создание назначений политик с помощью определений политик, которые можно повторно использовать при нескольких унаследованных область назначения. Вы можете иметь централизованные назначения базовых политик в область управления, подписки и группы ресурсов.
Обеспечьте постоянное соответствие требованиям за счет аудитов и отчетов о соответствии.
Узнайте, какие пределы имеет Политика Azure, такие как ограничение определений в любой конкретной области. Дополнительные сведения см. в разделе "Ограничения политики".
Изучите общие сведения о политиках соответствия нормативным требованиям. В число политик могут входить акт HIPAA, PCI-DSS или критерии надежности услуг SOC 2 Trust Services Criteria.
Аспекты управления затратами
Рассмотрим структуру стоимости и перезарядки модели вашей организации. Определите ключевые точки данных, которые точно передают расходы на облачные службы.
Выберите структуру тегов, которые соответствуют затратам и перезарядки модели, чтобы отслеживать расходы в облаке.
Используйте калькулятор цен Azure, чтобы оценить ожидаемые ежемесячные затраты на использование продуктов Azure.
Получите Преимущество гибридного использования Azure, чтобы снизить затраты на выполнение рабочих нагрузок в облаке. Вы можете использовать в Azure локальные лицензии Windows Server и SQL Server с программой Software Assurance. Вы также можете использовать подписки Red Hat и SUSE Linux.
Получение резервирований Azure и фиксация на один или три года планов для нескольких продуктов. Планы резервирования предоставляют скидки на ресурсы, которые могут значительно сократить затраты на ресурсы до 72% по сравнению с ценами по мере использования.
Получите план экономии Azure для вычислений, чтобы сэкономить до 65 % по сравнению с ценами по мере использования. Выберите одно-или трехлетнее обязательство, которое применяется к вычислительным службам независимо от региона, размера экземпляра или операционной системы. Выберите план для вычислительных компонентов, таких как виртуальные машины, выделенные узлы, экземпляры контейнеров, функции Azure premium и службы приложений Azure. Объедините план экономии Azure с резервированиями Azure для оптимизации затрат и гибкости вычислений.
Используйте политики Azure, чтобы разрешить определенные регионы, типы ресурсов и номера SKU ресурсов.
Используйте политику на основе правил управления жизненным циклом служба хранилища Azure для перемещения данных BLOB-объектов на соответствующие уровни доступа или истечения срока действия данных в конце жизненного цикла данных.
Используйте подписки на разработку и тестирование Azure, чтобы получить скидку на доступ к службам Azure для непроизводственных рабочих нагрузок.
Используйте автоматическое масштабирование для динамического выделения и освобождения ресурсов в соответствии с потребностями в производительности, что экономит деньги.
Используйте Azure Spot Виртуальные машины, чтобы воспользоваться неиспользуемой вычислительной емкостью с низкой стоимостью. Точечный Виртуальные машины отлично подходит для рабочих нагрузок, которые могут обрабатывать прерывания, например задания пакетной обработки, среды разработки и тестирования и большие вычислительные рабочие нагрузки.
Выберите нужные службы Azure, чтобы снизить затраты. Некоторые службы Azure бесплатны в течение 12 месяцев, и некоторые из них всегда бесплатны.
Выберите нужную службу вычислений для приложения, чтобы повысить эффективность затрат. Azure предлагает много способов размещения кода.
Рекомендации по управлению ресурсами
Определите, могут ли группы ресурсов в вашей среде совместно использовать необходимые конфигурации, общий жизненный цикл или общие ограничения доступа (например, RBAC), чтобы обеспечить согласованность.
Выберите проект подписки на приложение или рабочую нагрузку, подходящий для вашей операции.
Используйте стандартные конфигурации ресурсов в организации, чтобы обеспечить согласованную базовую конфигурацию.
Вопросы безопасности
- Применение средств и охранников в среде в рамках базовых показателей безопасности.
- Уведомите соответствующих людей при поиске отклонений.
- Рассмотрите возможность использования Политика Azure для применения таких средств, как Microsoft Defender для облака или охранники, такие как тест безопасности в облаке Майкрософт.
Аспекты управления удостоверениями
Определите, кто имеет доступ к журналам аудита для управления удостоверениями и доступом.
Уведомите соответствующих пользователей о возникновении подозрительных событий входа.
Рекомендуется использовать отчеты Microsoft Entra для управления действиями.
Рассмотрите возможность отправки журналов идентификатора Microsoft Entra в центральную рабочую область журналов Azure Monitor для платформы.
Изучите Управление идентификацией Microsoft Entra функции, такие как проверки доступа и управление правами.
Инструменты, отличные от Майкрософт
Используйте AzAdvertizer для получения обновлений системы управления Azure. Например, можно найти аналитические сведения об определениях политик, инициативах, псевдонимах, безопасности и нормативных требованиях в определениях ролей Политика Azure или Azure RBAC. Вы также можете получить представление об операциях поставщика ресурсов, определениях ролей Microsoft Entra и действиях ролей, а также разрешениях API сторонних производителей.
Используйте визуализатор управления Azure для отслеживания вашего технического управления. Вы можете использовать функцию проверка er версии политики для целевых зон Azure, чтобы обеспечить актуальность среды с последним состоянием выпуска политики целевой зоны Azure.
Рекомендации по системе управления Azure
Рекомендации по ускорению развертывания
Укажите необходимые теги Azure и используйте режим добавления политики для принудительного использования. Дополнительные сведения см. в разделе "Определение стратегии добавления тегов".
Сопоставьте нормативные требования и требования соответствия с определениями политик Azure и назначениями ролей Azure.
Установите определения Политика Azure в корневой группе управления верхнего уровня, так как они могут быть назначены наследуемыми область.
Управляйте назначениями политик на наивысшем подходящем уровне с исключениями на нижних уровнях, если это необходимо.
Используйте Политику Azure для управления регистрациями поставщиков ресурсов на уровнях подписки или группы управления.
Используйте встроенные политики, чтобы минимизировать операционные издержки.
Назначьте встроенную роль участника политики ресурсов в определенном область, чтобы включить управление на уровне приложений.
Ограничить количество назначений Политика Azure в корневой группе управления область, чтобы избежать управления исключениями при наследуемых область.
Рекомендации по управлению затратами
- Используйте управление затратами для реализации финансового надзора за ресурсами в вашей среде.
- Используйте теги, такие как центр затрат или имя проекта, чтобы добавить метаданные ресурса. Этот подход помогает включить детализированный анализ расходов.
Система управления Azure в ускорителе целевой зоны Azure
Акселератор целевой зоны Azure предоставляет организациям зрелые элементы управления.
Например, можно реализовать следующее:
- Иерархия групп управления, которая группировать ресурсы по типу функции или рабочей нагрузки. Такой подход поощряет согласованность ресурсов.
- Широкий набор политик Azure, позволяющих управлять элементами управления на уровне группы управления. Этот подход помогает убедиться, что все ресурсы находятся в область.