Администрирование облачного имущества Azure

В этой статье объясняется, как администрировать облачные ресурсы Azure для обеспечения работоспособности операций. Вам нужен строгий административный контроль над облачными операциями, чтобы обеспечить соответствие облака бизнес-целям.

Определение области управления

Обязанности по управлению зависят от модели развертывания. Используйте следующую таблицу, чтобы определить обязанности по управлению инфраструктурой (IaaS), платформой (PaaS), программным обеспечением (SaaS) и локальными развертываниями.

Управление изменением

Изменение является наиболее распространенным источником проблем в облаке. В результате вам нужен подход к управлению изменениями, который отслеживает изменения и их утверждения. Он также должен обнаруживать неутвержденные изменения и возвращаться к требуемому состоянию. Выполните следующие действия.

1. Разработайте процесс подачи запросов на изменения. Используйте официальную систему, такую как инструмент управления заявками, pull request (GitHub или Azure DevOps) или специальные формы. Процесс запроса на изменение должен записывать ключевые сведения, такие как тип изменения, удостоверение запрашивающего пользователя, целевая среда, область и причина. Сохраняйте отдельные процедуры для стандартных запросов служб, таких как сброс паролей.

2. Оцените риск, связанный с изменением. Назначьте четкие категории рисков (высокий, средний, низкий) для балансировки скорости развертывания с помощью управления рисками. Оцените каждое изменение в соответствии с критериями, такими как отказоустойчивость простоя (бюджет ошибок) и критичность рабочей нагрузки. Чтобы определить соответствующий рабочий процесс утверждения, используйте следующую таблицу в качестве примера:

   Уровень риска	Пособие по простою	Критичность рабочей нагрузки	Процесс утверждения	Примеры изменений
   Высокий	Время простоя не разрешено	Эти изменения влияют на критически важные системы, требующие непрерывной доступности с нулевой отказоустойчивостью для любого простоя.	Проверки несколькими старшими инженерами, автоматизированные оповещения по потоку, быстрый выпуск канареечной версии и активный мониторинг.	Критически важные обновления инфраструктуры
   Средний	Допускается короткий простой	Эти изменения влияют на важные системы с ограниченной терпимостью к простою.	Автоматический конвейер помечает изменение. Быстрая проверка инженерами, если мониторинг вызывает оповещение.	Некритические обновления системы, улучшения компонентов во время коротких периодов обслуживания
   Низкий	Достаточное время простоя разрешено	Эти изменения влияют на некритические системы, где расширенное время простоя приемлемо, не влияя на общие операции.	Полностью автоматизированное развертывание с помощью CI/CD выполняет предварительные тесты и мониторинг.	Стандартные обновления, незначительные обновления политики

3. Четко стандартизируйте утверждение. Определите критерии утверждения и полномочия, необходимые на каждом уровне риска. Укажите, кто должен проверять каждое изменение, будь то один одобритель или совет рецензирования, и уточните, как рецензенты должны предоставлять и разрешать обратную связь.

4. Стандартизация процесса развертывания. Четко описаны процедуры создания, тестирования и развертывания утвержденных изменений в рабочей среде. Дополнительные сведения см. в разделе "Управление облачными ресурсами".

5. Стандартизируйте процесс после развертывания. Чтобы подтвердить успешные изменения, реализуйте шаги мониторинга и проверки. Включите четкую стратегию отката для быстрого восстановления услуги, если изменение создает проблемы.

6. Предотвращение и обнаружение несанкционированных изменений. Используйте анализ изменений , чтобы обнаружить изменения конфигурации и объяснить их основные причины. Используйте политики Azure для запрета и аудита изменений с помощью таких эффектов, как Deny, DenyAction, Audit и auditIfNotExists. При использовании Bicep, рассмотрите возможность использования стеков развертывания Bicep, чтобы предотвратить несанкционированные изменения.

Управление безопасностью

Удостоверение — это периметр безопасности. Необходимо проверить удостоверения, ограничить разрешения и поддерживать безопасные конфигурации ресурсов. Выполните следующие действия.

1. Управление удостоверениями. Используйте идентификатор Microsoft Entra в качестве единого решения для управления удостоверениями. Четко определите разрешения, применяя управление доступом на основе ролей (RBAC). Используйте Microsoft Entra ID Governance для управления рабочими процессами запросов на доступ, ревизиями доступа и управлением жизненным циклом удостоверений. Включите управление привилегированным доступом, чтобы предоставить доступ к привилегиям в режиме реального времени. Эта стратегия сокращает ненужный повышенный доступ. Последовательно управляйте всеми тремя типами удостоверений (пользователем, приложением, устройством), чтобы обеспечить правильную проверку подлинности и авторизацию.

2. Управление доступом. Используйте управление доступом на основе ролей Azure (RBAC) и управление доступом на основе атрибутов (ABAC), чтобы предоставить минимальное разрешение для выполнения задания. Чтобы ограничить затраты на управление, предпочитайте назначения ролей на основе групп. Предоставьте разрешения на самую низкую требуемую область, например подписки, группы ресурсов или отдельные ресурсы. Избегайте чрезмерно широких областей разрешений, чтобы предотвратить непреднамеренное повышение привилегий. Назначьте только необходимые разрешения для каждой роли пользователя.

3. Управление конфигурациями ресурсов. Используйте инфраструктуру в качестве кода (IaC), чтобы обеспечить согласованную и воспроизводимую конфигурацию ресурсов. Затем используйте политику Azure для принудительного применения безопасных конфигураций определенных служб Azure. Дополнительные сведения о доступных возможностях безопасности и оптимальных конфигурациях безопасности см. в базовых показателях безопасности . В качестве функции надстройки используйте политики безопасности в Defender для облака, чтобы соответствовать общим стандартам безопасности.

4. Управление проверкой подлинности. Убедитесь, что пользователи принимают надежную проверку подлинности с помощью многофакторной проверки подлинности (MFA) и используют многофакторную проверку подлинности (MFA) Microsoft Entra. Всегда требуется условный доступ для принудительного применения проверки подлинности на основе удостоверения пользователя, работоспособности устройства и контекста доступа. Настройте самостоятельный сброс пароля и исключите слабые пароли.

5. Управление сведениями о безопасности. Используйте Microsoft Sentinel для сведений о безопасности и даже управления (SIEM) и оркестрации безопасности, автоматизации и ответа (SOAR).

6. Управление безопасностью рабочей нагрузки. Рекомендации по безопасности рабочей нагрузки см. в контрольном списке безопасности Well-Architected Framework и руководствах по службе Azure (начните с раздела "Безопасность").

Управление соответствием

Управление соответствием гарантирует, что операции Azure остаются в соответствии с установленными политиками управления и нормативными стандартами. Необходимо снизить риск, защитив среду от потенциальных нарушений и неправильно настроенных конфигураций. Выполните следующие действия.

1. Общие сведения о политиках управления. Политики управления определяют высокоуровневые ограничения, которые должны следовать вашим командам, чтобы оставаться совместимыми. Просмотрите политики вашей организации и сопоставляйте все требования к рабочим процессам. Если у вас нет политик управления, сначала задокументируйте политики управления.

2. Управление соответствием. Обеспечение соответствия требованиям гарантирует соответствие вашей среде как организационным, так и нормативным стандартам. См. следующую таблицу рекомендаций по политике.

   Рекомендация	Подробности
   Начните с определений общих политик	Начните с общих определений политики Azure, включая разрешенные расположения, запрещенные типы ресурсов и аудит пользовательских ролей RBAC.
   Соответствие нормативным стандартам	Используйте бесплатные встроенные определения политики Azure, соответствующие нормативным стандартам, таким как ISO 27001, NIST SP 800-53, PCI DSS, GDPR ЕС

Дополнительные сведения см. в статье "Обеспечение соответствия требованиям" в Azure.

Управление данными

Управление данными в облачных операциях включает активное классификацию, сегментирование, защиту доступа и защиту от удаления. Необходимо защитить конфиденциальную информацию, поддерживать соответствие требованиям и обеспечивать надежность данных во время операционных изменений. Выполните следующие действия.

1. Обнаружение и классификация данных. Определение и классификация данных в зависимости от конфиденциальности и важности. Эта классификация позволяет настроить элементы управления для каждого типа данных. Используйте Microsoft Purview для управления данными. Дополнительные сведения см. в разделе "Источники данных", которые подключаются к карте данных Microsoft Purview.

2. Управление размещением данных. Выберите регионы в географическом регионе, такие как США или Европа, для удовлетворения требований к месту расположения данных. Проверьте все исключения, так как некоторые службы Azure могут хранить данные за пределами выбранного региона. Регулярно просматривайте параметры расположения данных Azure и требования к соответствию требованиям, чтобы обеспечить полный контроль над данными клиента.

3. Изоляция внутренних рабочих нагрузок (Corp) и интернет-приложений (Online). Используйте группы управления для разделения внутренних и внешних рабочих нагрузок. Для внутренних рабочих нагрузок обычно требуется подключение или гибридное подключение к корпоративной сети. Внешние рабочие нагрузки обычно не требуют подключения к корпоративной сети и могут потребовать прямого входящего или исходящего доступа к Интернету. Например, просмотрите группы управления Corp (internal) и "Online" (интернет-подключение) в целевой зоне Azure.

4. Принудительное управление доступом. Реализуйте надежные средства управления доступом, такие как Azure RBAC и Azure ABAC, чтобы обеспечить доступ только авторизованных сотрудников к конфиденциальным данным на основе определенных классификаций.

5. Защита данных от удаления. Используйте такие функции, как обратимое удаление, управление версиями данных и неизменяемость, где она доступна. Реализуйте контроль версий базы данных и подготовьте процедуры отката. Используйте политику Azure для запрета удаления хранилища данных с эффектами Deny и DenyAction или для аудита изменений с эффектами Audit и auditIfNotExists. Если вы используете Bicep, рассмотрите возможность использования стеков развертывания Bicep, чтобы предотвратить несанкционированные изменения. Используйте только блокировки ресурсов строго для предотвращения непреднамеренных изменений или удаления критически важных данных. Избегайте использования блокировок ресурсов для защиты конфигураций, так как блокировки ресурсов усложняют развертывание IaC.

6. Управление данными рабочей нагрузки. Ознакомьтесь с рекомендациями Well-Architected Framework по классификации данных.

Дополнительные сведения см. в разделе "Принудительное управление данными".

Управление затратами

Управление затратами в облачных операциях означает активное отслеживание расходов как централизованно, так и на рабочую нагрузку. Контроль затрат должен обеспечить видимость расходов и поощрять ответственные расходы. Выполните следующие действия.

1. Управление затратами и проверка. Используйте средства управления затратами Майкрософт для мониторинга облачных затрат. Azure не имеет механизма на уровне подписки для ограничения расходов на определенное пороговое значение. Некоторые службы, такие как рабочая область Azure Log Analytics, имеют ограничения на расходы. Стратегия мониторинга затрат служит основным инструментом для управления затратами.

2. Управление затратами на рабочую нагрузку. Предоставление доступа к командам рабочей нагрузки для выставления счетов. Поручите этим командам использовать контрольный список оптимизации затрат модели Well-Architected Framework.

Управление кодом и средой выполнения

Управление кодом и средой выполнения — это обязанности рабочих процессов. Пусть ваши команды используют контрольный список операционной эффективности Well-Architected Framework, который содержит 12 рекомендаций для управления кодом и средой выполнения.

Управление облачными ресурсами

Определите четкие протоколы развертывания и проактивные стратегии обнаружения дрейфа и распространения для поддержания согласованности в разных средах. В этом разделе рассматриваются:

• Развертывания портала
• Деплой кода
• Дрейф конфигурации
• Разрастание ресурсов

Управление развертываниями портала

Определите протоколы и ограничения для развертываний портала, чтобы свести к минимуму потенциал рабочих проблем. Выполните следующие действия.

1. Определите политику развертывания портала. Убедитесь, что значительные изменения на основе портала соответствуют установленным процессам управления изменениями. Используйте развертывания портала в основном для быстрого создания прототипов, устранения неполадок или незначительных изменений в средах разработки и тестирования. Избегайте неструктурированных изменений портала, так как эти изменения приводят к смещениям, неправильной настройке и проблемам соответствия требованиям. Вместо этого следует полагаться на шаблоны инфраструктуры как кода (IaC) с управлением версиями для согласованности. Дополнительные сведения см. в статье об управлении развертываниями кода.

2. Разделите среды. Ограничьте изменения, основанные на портале, строго в средах без производства. Разрешить быстрое создание прототипов исключительно в выделенных средах разработки или тестирования и применять строгие элементы управления в рабочей среде.

3. Ограничение разрешений портала. Ограничение возможностей развертывания на портале с помощью управления доступом на основе ролей (RBAC). Назначение разрешений только для чтения по умолчанию и повышение привилегий только при необходимости.

   • Предоставьте JIT-доступ. Используйте привилегированное управление удостоверениями (PIM) для доступа к ресурсам Azure и Microsoft Entra. Для активации PIM требуются последовательные утверждения от нескольких отдельных лиц или групп. Резервировать привилегированные роли ("A0" суперадминистратор) исключительно для чрезвычайных ситуаций.

   • Структура RBAC на основе операционной модели. Разработка политик RBAC, адаптированных для операционных групп, включая уровни поддержки, операции безопасности, платформы, сети и рабочие нагрузки.

   • Аудит всех действий. Отслеживайте и записывайте все действия в системе. Используйте политику Azure для отслеживания (Audit или auditIfNotExists) изменений. Кроме того, настройте оповещение в Azure Monitor , чтобы уведомить заинтересованных лиц об удалении ресурса Azure. При использовании Bicep рассмотрите возможность использования стеков развертывания Bicep, чтобы предотвратить несанкционированные изменения.

4. Используйте шаблоны с контролем версий. Ограничьте использование портала только в чрезвычайных ситуациях, если вы применяете развертывание IaC. Изменения портала приводят к смещению конфигурации с шаблонов IaC. Реплицируйте все изменения, выполненные на основе портала, сразу же в управляемых версиями шаблонах IaC, таких как Bicep, Terraform или ARM. Регулярно экспортируйте конфигурации ресурсов Azure и храните их как IaC для поддержания рабочих сред, согласованных с утвержденными, трассируемыми конфигурациями. См. руководство по экспорту конфигураций Azure в виде шаблонов Bicep, Terraform или ARM. Рассмотрите спецификации шаблонов при использовании шаблонов ARM.

   Инструмент	Вариант использования
   Бицепс	Удобный в управлении и читаемый IaC для Azure
   Terraform	Решение Multicloud, более широкая поддержка сообщества
   Шаблоны ARM	Полный контроль, удобство работы с JSON

Управление процессом развертывания кода

Применяйте лучшие практики для автоматизации и контроля изменений в коде и инфраструктуре. Выполните следующие действия.

1. Стандартизация инструментов. Используйте согласованный набор инструментов для минимизации переключения контекста. Выберите средства разработчика (VS Code, Visual Studio), репозиторий кода (GitHub, Azure DevOps), конвейер CI/CD (GitHub Actions, Azure Pipelines) и решение IaC (Bicep, Terraform или шаблоны ARM ), которые работают вместе.

2. Используйте управление версиями. Сохраняйте один источник истины для кода. Используйте систему управления версиями для уменьшения отклонения конфигурации и упрощения процедур отката.

3. Используйте конвейеры развертывания.Конвейер CI/CD автоматизирует процесс сборки, выполняет тесты и проверяет код на наличие проблем с качеством и безопасностью с каждым pull request. Используйте GitHub Actions или Azure Pipelines для создания и развертывания кода приложения и файлов IaC. Применяйте преподготовочные хуки и автоматические сканирования, чтобы выявить несанкционированные или потенциально рискованные изменения на ранних этапах.

4. Тестирование развертываний. Пошаговые утверждения в конвейерах CI/CD для последовательной проверки развертываний. Следуйте этой последовательности: разработка, проверка сборки, тесты интеграции, тесты производительности, приемочное тестирование пользователей (UAT), промежуточные выпуски, канареечные релизы, предварительная версия и, наконец, продакшн.

5. Используйте инфраструктуру в качестве кода (IaC). Используйте IaC для обеспечения согласованности и управления развертываниями с помощью управления версиями. Переход с портала Azure на основе проверки концепции в IaC для рабочих сред. Используйте Bicep, Terraform или шаблоны ARM для определения ресурсов. Для Bicep используйте модули и рассмотрите стеки развертывания. Для шаблона ARM рекомендуется использовать спецификации шаблонов для развертывания по версиям.

6. Применение рекомендаций по репозиторию кода. В соответствии с этими стандартами уменьшается количество ошибок, упрощается проверка кода и не возникает проблем с интеграцией. Для производственных сред с высоким приоритетом:

   Требование	Описание
   Отключение прямых push-уведомлений	Блокировать прямые коммиты в главной ветке
   Требовать пулл-реквесты	Требовать, чтобы все изменения проходили через пул-реквест.
   Требовать проверки кода	Следите, чтобы каждый pull-запрос проверял кто-то другой, кроме автора
   Применение пороговых значений покрытия кода	Убедитесь, что минимальный процент кода проходит автоматические тесты для всех запросов на слияние.
   Использование конвейеров проверки	Настройка правил защиты ветки для запуска пайплайна валидации для пул-реквестов

7. Требовать проверки введения команд, работающих с нагрузкой. Убедитесь, что новые команды и базы кода соответствуют бизнес-целям, стандартам и лучшим практикам. Используйте контрольный список для подтверждения структуры репозитория кода, стандартов именования, стандартов программирования и конфигураций конвейера CI/CD.

Управление изменениями конфигурации

Управление смещением конфигурации путем выявления и исправления несоответствий между предполагаемой конфигурацией и динамической средой. Следуйте приведенным ниже рекомендациям.

1. Предотвращение и обнаружение изменений. Используйте анализ изменений , чтобы обнаружить изменения конфигурации и объяснить их основные причины. Используйте политику Azure для запрета и аудита изменений, применяя такие эффекты, как Deny, DenyAction, Audit и auditIfNotExists. При использовании Bicep обратите внимание на использование стеков развертывания Bicep, чтобы предотвратить несанкционированные изменения.

2. Обнаружение смещения конфигурации IaC. Смещение возникает, когда кто-то обновляет файл IaC (намеренно, непреднамеренный) или вносит изменения на портале Azure. Регулярно сравнивайте динамическую среду с требуемой конфигурацией для обнаружения смещения:

   • Храните нужные и последние известные конфигурации. Сохраните нужный файл конфигурации в репозитории, управляемом версией. В этом файле показана исходная, предназначенная конфигурация. Сохраняйте последнюю известную конфигурацию как надежную точку отката и базу для обнаружения отклонений.

   • Обнаружение смещения конфигурации перед развертыванием. Предварительный просмотр потенциальных изменений перед развертыванием с помощью плана Terraform, Bicep what-if или шаблона ARM. Тщательно изучите несоответствия, чтобы убедиться, что предлагаемые изменения соответствуют требуемому состоянию.

   • Обнаружение расхождений после развертывания. Периодически сравнивайте рабочие среды с требуемыми конфигурациями с помощью регулярных проверок расхождений. Интегрируйте эти проверки в конвейеры CI/CD или проводите их вручную для обеспечения согласованности. См. пример с Azure Policy и Azure Pipelines.

   • Откат к последней известной конфигурации. Разработка четких стратегий отката, использующих автоматизированные процедуры в конвейере CI/CD. Используйте последнюю хорошую конфигурацию, чтобы быстро восстановить нежелательные изменения и свести к минимуму время простоя.

   • Свести к минимуму изменения, управляемые порталом. Свести к минимуму изменения, отличные от IaC, только в сценариях чрезвычайных ситуаций. Применение строгих элементов управления доступом, таких как управление привилегированными пользователями. Немедленно обновите файлы IaC, если требуются ручные корректировки, чтобы сохранить точность желаемой конфигурации.

Управление неконтролируемым разрастанием ресурсов

Бесконтрольное расширение ресурсов приводит к неконтролируемому росту облачных ресурсов. Этот рост увеличивает затраты, риски безопасности и сложность управления. Выполните следующие действия.

1. Реализуйте политики управления.Используйте политику Azure для применения стандартов для подготовки ресурсов и добавления тегов в организации. Создайте стратегию четкого именования для упрощения видимости ресурсов.

2. Эффективно упорядочьте ресурсы. Структурируйте ресурсы в иерархическом порядке, с группами управления и подписками, которые соответствуют потребностям вашей организации. Эта структура улучшает видимость и управление ресурсами. Ознакомьтесь с рекомендациями по зонам приземления Azure для проверенных передовых методов.

3. Ограничение разрешений развертывания. Реализуйте рекомендации по управлению доступом на основе ролей (RBAC), описанные в Azure RBAC и Microsoft Entra RBAC. Назначьте пользователям соответствующие разрешения. Использование ролей читателя для минимизации рисков несанкционированного создания ресурсов.

4. Проводите регулярные аудиты. Используйте Помощник по Azure для идентификации неиспользуемых или недоиспользуемых ресурсов Azure. Используйте управление затратами для анализа расходов в облаке и удаления потерянных ресурсов, вызывающих ненужные затраты. Имейте в виду, что не все ресурсы Azure влекут за собой расходы. Выполните запросы в Azure Resource Graph для обеспечения точной инвентаризации ресурсов.

Управление перемещением

Периодически оцените текущие регионы Azure, чтобы определить, повышает ли перемещение рабочих нагрузок в другое место, повышает эффективность, снижает затраты или повышает производительность.

• Общие сведения о драйверах перемещения. Понимание параметров перемещения гарантирует, что каждый перемещение имеет допустимое бизнес-обоснование, учитывая, что перемещение включает в себя риск и затраты. Распространенные бизнес-обоснование для перемещений включают расширение бизнеса, требования соответствия нормативным требованиям и близость к конечным пользователям.

• Управление рисками перемещений. Управление рисками перемещений предотвращает нарушение работы и обеспечивает соответствие требованиям. Определение допустимых окон простоя, взаимодействие с заинтересованными лицами и обеспечение соблюдения политик организации и отраслевых правил.

• Управление затратами на перемещение. Управление затратами на перемещение предотвращает ненужные расходы во время миграции. Передача данных один раз, удаление повторяющихся сред и сравнение региональных цен Azure. Просмотрите цены на пропускную способность Azure.

• Управление проектами перемещений. Небольшие команды должны переносить рабочие нагрузки по одному за раз с фокусным выполнением. Крупные команды должны одновременно перемещать несколько рабочих нагрузок, чтобы обеспечить эффективность с помощью скоординированного планирования.

Дополнительные сведения см. в разделе "Перемещение рабочих нагрузок".

Управление операционными системами

Где вы используете виртуальные машины, необходимо также управлять операционной системой. Выполните следующие действия.

1. Автоматизация обслуживания виртуальных машин. В Azure используйте средства автоматизации для создания виртуальных машин Azure и управления ими. Используйте конфигурацию компьютера Azure для аудита или настройки параметров операционной системы в качестве кода для компьютеров, работающих в Azure и гибридной среде.

2. Обновление операционных систем. Необходимо управлять гостевыми обновлениями и обслуживанием узлов , чтобы обеспечить актуальность операционных систем в целях безопасности.

3. Мониторинг операций с гостевым доступом. Используйте службу отслеживания изменений и инвентаризации Azure , чтобы улучшить аудит и управление для гостевых операций. Он отслеживает изменения и предоставляет подробные журналы инвентаризации для серверов в Azure, локальной среде и других облачных средах.

Средства управления Azure

Дальнейшие действия