Область проектирования: система управления Azure

Используйте систему управления Azure, чтобы установить средства, необходимые для поддержки облачного управления, аудита соответствия требованиям и автоматической защиты.

Проверка области проектирования

Роли или функции: управление Azure происходит из облачного управления. Возможно, потребуется реализовать облачную платформу или облачный центр превосходства , чтобы определить и применить определенные технические требования. Управление сосредоточено на применении операций и требований к безопасности, которые могут потребовать облачной безопасности, централизованной ИТ-службы или облачных операций.

Область. Рассмотрите ваши решения от проверки удостоверений, сети, безопасности и управления областями проектирования. Ваша команда может сравнить решения о проверке из автоматизированного управления, который является частью акселератора целевой зоны Azure. Проверка решений поможет определить, что следует проверять или применять, а также какие политики следует автоматически развертывать.

Вне области применения: система управления Azure определяет основу для работы с сетями. Но это не касается компонентов, связанных с соответствием требованиям, таких как расширенная сетевая безопасность или автоматизированная защита для применения сетевых решений. Эти сетевые решения можно решить при проверке областей проектирования соответствия требованиям, связанных с безопасностью и управлением. Перед решением более сложных компонентов команда облачной платформы должна решать начальные требования к сети.

Новая облачная среда (greenfield): чтобы начать путешествие в облако, создайте небольшой набор подписок. Для создания новых целевых зон Azure можно использовать шаблоны развертывания Bicep. Дополнительные сведения см. в разделе "Целевые зоны Azure Bicep" — поток развертывания.

Существующая облачная среда (brownfield): если вы хотите применить проверенные принципы управления Azure к существующим средам Azure, рассмотрите следующее руководство.

• Создайте базовые показатели управления для гибридной или многооблачной среды.

• Реализуйте функции управления затратами Майкрософт, такие как выставление счетов, область, бюджеты и оповещения, чтобы гарантировать, что вы не превышаете лимит расходов.

• Используйте Политика Azure для принудительного применения охранников управления в развертываниях Azure и активации задач исправления, чтобы перенести существующие ресурсы Azure в соответствующее состояние.

• Рекомендуется использовать функцию управления правами Microsoft Entra для автоматизации рабочих процессов запросов доступа Azure, назначений доступа, проверок и истечения срока действия.

• Используйте рекомендации помощника по Azure, чтобы обеспечить оптимизацию затрат и эффективность работы в Azure, оба из которых являются основными принципами Microsoft Azure Well-Architected Framework.

Целевые зоны Azure Bicep — репозиторий потока развертывания Bicep содержат шаблоны развертывания Bicep, которые могут ускорить развертывание целевой зоны Azure в гринфилде и браунфилде. Эти шаблоны интегрированы с рекомендациями по управлению, проверенными корпорацией Майкрософт.

Рассмотрите возможность использования целевой зоны Azure по умолчанию для назначения политик Bicep, чтобы начать работу с обеспечением соответствия вашим средам Azure.

Дополнительные сведения см . в рекомендациях по среде Браунфилда.

Обзор зоны проектирования

Путешествие по внедрению облака вашей организации начинается с строгих элементов управления для государственных сред.

Система управления предусматривает механизмы и процессы для контроля платформ, приложений и ресурсов в Azure.

Изучите следующие рекомендации и рекомендации по принятию обоснованных решений при планировании целевой зоны.

Область проектирования управления ориентирована на решения по проектированию для целевой зоны. Сведения о процессах и средствах управления см. в разделе "Управление" в Cloud Adoption Framework для Azure.

Аспекты системы управления Azure

Политика Azure помогает обеспечить безопасность и соответствие корпоративным техническим активам. Политика Azure может применять важные соглашения об управлении и безопасности в службах платформ Azure. Политика Azure дополняет управление доступом на основе ролей Azure (RBAC), которое управляет действиями авторизованных пользователей. Управление затратами также может помочь поддерживать текущие затраты на управление и расходы в Azure или других многооблачных средах.

Рекомендации по развертыванию

Изменение советов по рассмотрению рекомендаций может препятствовать инновациям и гибкости бизнеса вашей организации. Политика Azure заменяет такие проверки автоматическими охранниками и аудитами соответствия для повышения эффективности рабочей нагрузки.

• Определите, какие политики Azure требуются на основе бизнес-элементов управления или нормативных требований. Используйте политики, включенные в акселератор целевой зоны Azure, в качестве отправной точки.

• Используйте политики, включенные в эталонную реализацию целевых зон Azure, чтобы рассмотреть другие политики, которые могут соответствовать вашим бизнес-требованиям.

• Применение автоматизированных соглашений о сети, удостоверении, управлении и безопасности.

• Управление и создание назначений политик с помощью определений политик, которые можно повторно использовать при нескольких унаследованных область назначения. Вы можете иметь централизованные назначения базовых политик в область управления, подписки и группы ресурсов.

• Обеспечьте постоянное соответствие требованиям за счет аудитов и отчетов о соответствии.

• Узнайте, какие пределы имеет Политика Azure, такие как ограничение определений в любой конкретной области. Дополнительные сведения см. в разделе "Ограничения политики".

• Изучите общие сведения о политиках соответствия нормативным требованиям. В число политик могут входить акт HIPAA, PCI-DSS или критерии надежности услуг SOC 2 Trust Services Criteria.

Аспекты управления затратами

• Рассмотрим структуру стоимости и перезарядки модели вашей организации. Определите ключевые точки данных, которые точно передают расходы на облачные службы.

• Выберите структуру тегов, которые соответствуют затратам и перезарядки модели, чтобы отслеживать расходы в облаке.

• Используйте калькулятор цен Azure, чтобы оценить ожидаемые ежемесячные затраты на использование продуктов Azure.

• Получите Преимущество гибридного использования Azure, чтобы снизить затраты на выполнение рабочих нагрузок в облаке. Вы можете использовать в Azure локальные лицензии Windows Server и SQL Server с программой Software Assurance. Вы также можете использовать подписки Red Hat и SUSE Linux.

• Получение резервирований Azure и фиксация на один или три года планов для нескольких продуктов. Планы резервирования предоставляют скидки на ресурсы, которые могут значительно сократить затраты на ресурсы до 72% по сравнению с ценами по мере использования.

• Получите план экономии Azure для вычислений, чтобы сэкономить до 65 % по сравнению с ценами по мере использования. Выберите одно-или трехлетнее обязательство, которое применяется к вычислительным службам независимо от региона, размера экземпляра или операционной системы. Выберите план для вычислительных компонентов, таких как виртуальные машины, выделенные узлы, экземпляры контейнеров, функции Azure premium и службы приложений Azure. Объедините план экономии Azure с резервированиями Azure для оптимизации затрат и гибкости вычислений.

• Используйте политики Azure, чтобы разрешить определенные регионы, типы ресурсов и номера SKU ресурсов.

• Используйте политику на основе правил управления жизненным циклом служба хранилища Azure для перемещения данных BLOB-объектов на соответствующие уровни доступа или истечения срока действия данных в конце жизненного цикла данных.

• Используйте подписки на разработку и тестирование Azure, чтобы получить скидку на доступ к службам Azure для непроизводственных рабочих нагрузок.

• Используйте автоматическое масштабирование для динамического выделения и освобождения ресурсов в соответствии с потребностями в производительности, что экономит деньги.

• Используйте Azure Spot Виртуальные машины, чтобы воспользоваться неиспользуемой вычислительной емкостью с низкой стоимостью. Точечный Виртуальные машины отлично подходит для рабочих нагрузок, которые могут обрабатывать прерывания, например задания пакетной обработки, среды разработки и тестирования и большие вычислительные рабочие нагрузки.

• Выберите нужные службы Azure, чтобы снизить затраты. Некоторые службы Azure бесплатны в течение 12 месяцев, и некоторые из них всегда бесплатны.

• Выберите нужную службу вычислений для приложения, чтобы повысить эффективность затрат. Azure предлагает много способов размещения кода.

Рекомендации по управлению ресурсами

• Определите, могут ли группы ресурсов в вашей среде совместно использовать необходимые конфигурации, общий жизненный цикл или общие ограничения доступа (например, RBAC), чтобы обеспечить согласованность.

• Выберите проект подписки на приложение или рабочую нагрузку, подходящий для вашей операции.

• Используйте стандартные конфигурации ресурсов в организации, чтобы обеспечить согласованную базовую конфигурацию.

Вопросы безопасности

• Применение средств и охранников в среде в рамках базовых показателей безопасности.
• Уведомите соответствующих людей при поиске отклонений.
• Рассмотрите возможность использования Политика Azure для применения таких средств, как Microsoft Defender для облака или охранники, такие как тест безопасности в облаке Майкрософт.

Аспекты управления удостоверениями

• Определите, кто имеет доступ к журналам аудита для управления удостоверениями и доступом.

• Уведомите соответствующих пользователей о возникновении подозрительных событий входа.

• Рекомендуется использовать отчеты Microsoft Entra для управления действиями.

• Рассмотрите возможность отправки журналов идентификатора Microsoft Entra в центральную рабочую область журналов Azure Monitor для платформы.

• Изучите Управление идентификацией Microsoft Entra функции, такие как проверки доступа и управление правами.

Инструменты, отличные от Майкрософт

• Используйте AzAdvertizer для получения обновлений системы управления Azure. Например, можно найти аналитические сведения об определениях политик, инициативах, псевдонимах, безопасности и нормативных требованиях в определениях ролей Политика Azure или Azure RBAC. Вы также можете получить представление об операциях поставщика ресурсов, определениях ролей Microsoft Entra и действиях ролей, а также разрешениях API сторонних производителей.

• Используйте визуализатор управления Azure для отслеживания вашего технического управления. Вы можете использовать функцию проверка er версии политики для целевых зон Azure, чтобы обеспечить актуальность среды с последним состоянием выпуска политики целевой зоны Azure.

Рекомендации по системе управления Azure

Рекомендации по ускорению развертывания

• Укажите необходимые теги Azure и используйте режим добавления политики для принудительного использования. Дополнительные сведения см. в разделе "Определение стратегии добавления тегов".

• Сопоставьте нормативные требования и требования соответствия с определениями политик Azure и назначениями ролей Azure.

• Установите определения Политика Azure в корневой группе управления верхнего уровня, так как они могут быть назначены наследуемыми область.

• Управляйте назначениями политик на наивысшем подходящем уровне с исключениями на нижних уровнях, если это необходимо.

• Используйте Политику Azure для управления регистрациями поставщиков ресурсов на уровнях подписки или группы управления.

• Используйте встроенные политики, чтобы минимизировать операционные издержки.

• Назначьте встроенную роль участника политики ресурсов в определенном область, чтобы включить управление на уровне приложений.

• Ограничить количество назначений Политика Azure в корневой группе управления область, чтобы избежать управления исключениями при наследуемых область.

Рекомендации по управлению затратами

• Используйте управление затратами для реализации финансового надзора за ресурсами в вашей среде.
• Используйте теги, такие как центр затрат или имя проекта, чтобы добавить метаданные ресурса. Этот подход помогает включить детализированный анализ расходов.

Система управления Azure в ускорителе целевой зоны Azure

Акселератор целевой зоны Azure предоставляет организациям зрелые элементы управления.

Например, можно реализовать следующее:

• Иерархия групп управления, которая группировать ресурсы по типу функции или рабочей нагрузки. Такой подход поощряет согласованность ресурсов.
• Широкий набор политик Azure, позволяющих управлять элементами управления на уровне группы управления. Этот подход помогает убедиться, что все ресурсы находятся в область.