Zagadnienia i zalecenia dotyczące subskrypcji

Subskrypcje to jednostka zarządzania, rozliczeń i skalowania w obrębie platformy Azure. Odgrywają one kluczową rolę podczas projektowania na potrzeby wdrażania platformy Azure na dużą skalę. Ten artykuł ułatwia przechwytywanie wymagań dotyczących subskrypcji i projektowanie subskrypcji docelowych na podstawie krytycznych czynników, które różnią się w zależności od:

• Typy środowisk
• Modele własności i zarządzania
• Struktury organizacyjne
• Portfolio aplikacji
• Regiony

Zagadnienia dotyczące subskrypcji

Poniższe sekcje zawierają zagadnienia ułatwiające planowanie i tworzenie subskrypcji dla platformy Azure.

Zagadnienia dotyczące projektowania organizacji i ładu

• Subskrypcje służą jako granice skalowania, limitu przydziału, kosztów, ładu, zabezpieczeń i tożsamości dla zasobów platformy Azure, które znajdują się w nich.

  • Jeśli musisz zgrupować wiele subskrypcji tego samego archetypu obciążenia, utwórz je w grupie zarządzania. Aby uzyskać więcej informacji, zobacz Obszar projektowania grup zarządzania .

• Subskrypcje stanowią jednostkę skalowania, dzięki czemu obciążenia komponentów mogą być skalowane w ramach limitów subskrypcji platformy. Podczas projektowania obciążeń należy wziąć pod uwagę limity zasobów subskrypcji.

• Subskrypcje zapewniają granicę administracyjną na potrzeby nadzoru i izolacji, która wyraźnie rozdziela poszczególne obszary odpowiedzialności.

• Utwórz oddzielne subskrypcje platformy do zarządzania (monitorowania), łączności i tożsamości, gdy są one wymagane.

  • Utwórz dedykowaną subskrypcję zarządzania w obszarze zarządzania grupą platform, aby obsługiwać globalne funkcje zarządzania, takie jak obszary robocze usługi Log Analytics i runbooki usługi Azure Automation.
  • Ustanów dedykowaną subskrypcję zabezpieczeń w obszarze grupy zarządzania platformą w celu obsługi globalnych funkcji zabezpieczeń, takich jak Microsoft Sentinel i obsługi integracji i zasobów rozwiązania SIEM.
  • Ustanów dedykowaną subskrypcję tożsamości w ramach grupy administracyjnej platformy, aby hostować kontrolery domen Active Directory systemu Windows Server w razie potrzeby.
  • Utwórz dedykowaną subskrypcję łączności w grupie zarządzania platformą w celu hostowania centrum Azure Virtual WAN, Prywatnego Systemu Nazw Domen (DNS), obwodów usługi Azure ExpressRoute i innych zasobów sieciowych.

• Użyj procesów ręcznych, aby ograniczyć dzierżawy Microsoft Entra wyłącznie do subskrypcji rejestracji w ramach umowy Enterprise Agreement. W przypadku korzystania z procesu ręcznego nie można tworzyć subskrypcji usługi Microsoft Developer Network (MSDN) w zakresie głównej grupy zarządzania.

  • Aby uzyskać pomoc, prześlij zgłoszenie pomocy technicznej platformy Azure.

• Informacje na temat przenoszenia subskrypcji między ofertami rozliczeniowymi platformy Azure można znaleźć w artykule Centrum transferu subskrypcji i rezerwacji platformy Azure.

Zagadnienia dotyczące wielu regionów

• Podejście wieloregionowe można wdrożyć na poziomie pojedynczego obciążenia na potrzeby skalowania lub odzyskiwania po awarii geograficznej lub na poziomie globalnym (różne obciążenia w różnych regionach).

• Pojedyncza subskrypcja może zawierać zasoby z różnych regionów, w zależności od wymagań i architektury.

• W kontekście geograficznego odzyskiwania po awarii możesz użyć tej samej subskrypcji do przechowywania zasobów z regionu podstawowego i regionu pomocniczego, ponieważ logicznie należą one do tego samego obciążenia roboczego.

• Możesz wdrożyć różne środowiska dla tego samego obciążenia w różnych regionach, aby zoptymalizować koszty i dostępność zasobów.

• W ramach subskrypcji zawierającej zasoby z wielu regionów można użyć grup zasobów do organizowania i przechowywania zasobów według regionów.

• Aby uzyskać więcej informacji na temat zagadnień dotyczących lokalizacji grupy zasobów, zapoznaj się ze wskazówkami w artykule Której lokalizacji należy użyć dla mojej grupy zasobów?

Zagadnienia dotyczące projektowania przydziału i pojemności

Regiony platformy Azure mogą mieć ograniczoną liczbę zasobów. W związku z tym należy śledzić dostępną pojemność i jednostki SKU na potrzeby wdrożeń platformy Azure w przypadku wielu zasobów.

• Rozważ limity i przydziały na platformie Azure dla każdej usługi, której wymagają Twoje obciążenia.

• Rozważ automatyzację żądań przydziału przy użyciu Azure Quota REST API.

• Rozważ dostępność wymaganych jednostek SKU w wybranych regionach świadczenia usługi Azure. Na przykład nowe funkcje mogą być dostępne tylko w określonych regionach. Dostępność niektórych jednostek SKU dla określonych zasobów, takich jak maszyny wirtualne, może się różnić w zależności od regionu do drugiego.

• Należy wziąć pod uwagę, że limity przydziału subskrypcji nie są gwarancjami pojemności i są stosowane dla poszczególnych regionów.

  Informacje o rezerwacjach pojemności dla maszyn wirtualnych można znaleźć w artykule Rezerwacja pojemności na żądanie.

• Rozważ ponowne użycie nieużywanych lub zlikwidowanych subskrypcji. Aby uzyskać więcej informacji, zobacz Tworzenie lub ponowne używanie subskrypcji platformy Azure.

• Rozważ użycie grup przydziałów do zarządzania limitami przydziału i udostępniania ich w wielu subskrypcjach.

Zagadnienia dotyczące projektowania ograniczeń transferu dzierżawy

Każda subskrypcja platformy Azure jest powiązana z jedną dzierżawą Microsoft Entra, która działa jako dostawca tożsamości (IdP) dla Twojej subskrypcji platformy Azure. Użyj dzierżawcy Microsoft Entra, aby uwierzytelniać użytkowników, usługi i urządzenia.

Jeśli każdy użytkownik ma wymagane uprawnienia, może zmienić dzierżawę Microsoft Entra powiązaną z subskrypcją platformy Azure. Aby uzyskać więcej informacji, zobacz:

• Skojarz lub dodaj subskrypcję platformy Azure do dzierżawy usługi Microsoft Entra
• Przenieś subskrypcję platformy Azure do innego katalogu Microsoft Entra

W przypadku stref docelowych Azure można określić wymagania, aby uniemożliwić użytkownikom przenoszenie subskrypcji do dzierżawy Microsoft Entra Twojej organizacji. Aby uzyskać więcej informacji, zobacz Zarządzanie zasadami subskrypcji platformy Azure.

Skonfiguruj zasady subskrypcji, podając listę użytkowników zwolnionych z tych zasad. Użytkownicy objęci wyjątkiem mogą omijać ograniczenia określone w zasadach.

• Zastanów się, czy należy umożliwić użytkownikom, którzy mają subskrypcje programu Visual Studio lub subskrypcje MSDN platformy Azure, przeniesienie subskrypcji do lub z dzierżawy Microsoft Entra.

• Tylko użytkownicy z rolą Administrator globalny w usłudze Microsoft Entra mogą konfigurować ustawienia przenoszenia dzierżawy. Ci użytkownicy muszą mieć podwyższony dostęp, aby zmienić zasadę.

  • Można określić jako użytkowników wykluczonych tylko pojedyncze konta użytkowników, a nie grupy Microsoft Entra.

• Wszyscy użytkownicy z dostępem do platformy Azure mogą wyświetlać zasady zdefiniowane dla dzierżawy firmy Microsoft Entra.

  • Użytkownicy nie mogą wyświetlać listy użytkowników objętych wyjątkiem.

  • Użytkownicy mogą wyświetlać administratorów globalnych w swojej dzierżawie Microsoft Entra.

• Subskrypcje platformy Azure, które przenosisz do dzierżawy Microsoft Entra, są umieszczane w domyślnej grupie zarządzania dla tej dzierżawy.

• Jeśli organizacja to zatwierdzi, zespół odpowiedzialny za obciążenia może zdefiniować proces umożliwiający przenoszenie subskrypcji platformy Azure do dzierżawy Microsoft Entra lub z niej.

Zagadnienia projektowe dotyczące zarządzania kosztami

Każda duża organizacja przedsiębiorstwa ma wyzwanie dotyczące zarządzania przejrzystością kosztów. W tej sekcji omówiono kluczowe aspekty w celu uzyskania przejrzystości kosztów w dużych środowiskach platformy Azure.

• Aby osiągnąć większą gęstość, może być konieczne współużytkowanie modeli obciążenia zwrotnego, takich jak środowisko App Service i usługa Azure Kubernetes Service (AKS). Modele obciążenia zwrotnego mogą mieć wpływ na zasoby udostępnionej platformy jako usługi (PaaS).

• Aby zoptymalizować koszty, użyj harmonogramu zamykania w przypadku obciążeń nieprodukcyjnych.

• Skorzystaj z Azure Advisor, aby uzyskać zalecenia dotyczące optymalizacji kosztów.

• Ustanów model obciążenia zwrotnego w celu lepszego rozkładu kosztów w całej organizacji.

• Zaimplementuj zasady, aby użytkownicy nie mogli wdrażać nieautoryzowanych zasobów w środowisku organizacji.

• Ustal regularny harmonogram i częstotliwość przeglądów kosztów oraz dostosowywania zasobów do rzeczywistych potrzeb dla obciążeń roboczych.

Zalecenia dotyczące subskrypcji

Poniższe sekcje zawierają zalecenia ułatwiające planowanie i tworzenie subskrypcji dla platformy Azure.

Zalecenia dotyczące organizacji i ładu

• Traktuj subskrypcje jako jednostkę zarządzania, która jest zgodna z potrzebami i priorytetami biznesowymi.

• Poinformuj właścicieli subskrypcji o swoich rolach i obowiązkach.

  • Wykonaj kwartalny lub roczny przegląd dostępu dla usługi Microsoft Entra Privileged Identity Management (PIM), aby upewnić się, że uprawnienia nie są dystrybuowane podczas przenoszenia użytkowników w organizacji.
  • Weź pełną odpowiedzialność za wydatki budżetowe i zasoby.
  • Zapewnienie zgodności zasad i korygowanie ich w razie potrzeby.

• W przypadku identyfikowania wymagań dotyczących nowych subskrypcji zapoznaj się z następującymi zasadami:

• • Limity skalowalności: Subskrypcje służą jako jednostka skalowania dla obciążeń składników, umożliwiając ich skalowanie w granicach limitów subskrypcji platformy. Duże wyspecjalizowane obciążenia robocze, takie jak obliczenia wysokiej wydajności, IoT i SAP, powinny korzystać z oddzielnych subskrypcji, aby uniknąć natrafienia na te limity.
  • Granica administracyjna: Subskrypcje wyznaczają granicę administracyjną na potrzeby ładu organizacyjnego i izolacji, co umożliwia wyraźne rozdzielenie zakresów odpowiedzialności. Różne środowiska, takie jak środowiska programistyczne, testowe i produkcyjne, są często usuwane z perspektywy zarządzania.
  • Granica zasad: Subskrypcje stanowią granicę dla przypisań zasad platformy Azure Policy. Na przykład bezpieczne obciążenia, takie jak obciążenia PCI, zwykle wymagają innych zasad w celu zapewnienia zgodności. Inne koszty nie są brane pod uwagę, jeśli używasz oddzielnej subskrypcji. Środowiska deweloperskie mają bardziej złagodzone wymagania dotyczące zasad niż środowiska produkcyjne.
  • Topologia sieci docelowej: nie można udostępniać sieci wirtualnych w ramach subskrypcji, ale można połączyć je z różnymi technologiami, takimi jak komunikacja równorzędna sieci wirtualnych lub usługa ExpressRoute. Jeśli zdecydujesz, czy potrzebujesz nowej subskrypcji, rozważ, które obciążenia muszą komunikować się ze sobą.

• Grupuj subskrypcje w ramach grup zarządzania, które są zgodne ze strukturą grup zarządzania i wymaganiami dotyczącymi zasad. Pogrupuj subskrypcje, aby mieć pewność, że subskrypcje z tym samym zestawem zasad i przypisań ról platformy Azure pochodzą z tej samej grupy zarządzania. Aby uzyskać więcej informacji, zobacz Obszar projektowania grup zarządzania .

• Ustanów oddzielne, dedykowane subskrypcje platform dla management, security, connectivity i identity.

  • Nie należy łączyć obowiązków platformy w jedną subskrypcję. Takie podejście gwarantuje, że można zastosować różne zasady i przypisania ról do każdego obszaru platformy. Gwarantuje to również, że rozliczenia są oddzielone dla każdego obszaru.

• Utwórz proces udostępniania subskrypcji, aby zautomatyzować tworzenie subskrypcji dla zespołów odpowiedzialnych za obciążenia za pomocą samoobsługowego przepływu pracy zgłoszeń. Aby uzyskać więcej informacji, zobacz temat Sprzedaż subskrypcji.

• Unikaj sztywnego modelu subskrypcji. Zamiast tego użyj zestawu elastycznych kryteriów, aby grupować subskrypcje w całej organizacji. Ta elastyczność zapewnia, że ​​w miarę zmiany struktury organizacji i kompozycji obciążenia można tworzyć nowe grupy subskrypcji zamiast korzystać ze stałego zestawu istniejących subskrypcji. Jeden rozmiar nie pasuje do wszystkich subskrypcji i to, co działa w przypadku jednej jednostki biznesowej, może nie działać dla innej. Niektóre aplikacje mogą współistnieć w tej samej subskrypcji strefy docelowej, podczas gdy inne mogą wymagać własnej subskrypcji.

  • Aby uzyskać więcej informacji, zobacz sekcję Obsługa stref docelowych obciążeń deweloperskich/testowych/produkcyjnych i Wspólne linie produktów z subskrypcją.

Zalecenia dotyczące doskonałości operacyjnej

• Zawsze włączaj usługę Azure Service Health dla każdej subskrypcji, aby otrzymywać alerty i wskazówki, gdy problemy z usługą platformy Azure wpływają na zasoby w subskrypcjach.

Zalecenia dotyczące wielu regionów

• Utwórz dodatkowe subskrypcje dla każdego regionu tylko wtedy, gdy masz wymagania dotyczące ładu i zarządzania specyficzne dla regionu, na przykład niezależność danych lub skalowanie poza limity przydziału.

• Jeśli skalowanie nie jest problemem dla środowiska odzyskiwania po awarii geograficznej obejmującego wiele regionów, użyj tej samej subskrypcji dla zasobów podstawowych i pomocniczych regionów. Niektóre usługi platformy Azure, w zależności od strategii ciągłości działania i odzyskiwania po awarii (BCDR, business continuity and disaster recovery) i narzędzi, które wdrażasz, mogą wymagać użycia tej samej subskrypcji. W scenariuszu aktywny-aktywny, w którym wdrożenia są zarządzane niezależnie lub mają różne cykle życia, zalecamy korzystanie z różnych subskrypcji.

• Region, w którym tworzysz grupę zasobów i region zawartych zasobów, powinien być zgodny, aby nie wpływały one na odporność i niezawodność.

• Pojedyncza grupa zasobów nie powinna zawierać zasobów z różnych regionów. Takie podejście może prowadzić do problemów z zarządzaniem zasobami i dostępnością.

Zalecenia dotyczące limitu przydziału i pojemności

• Używaj subskrypcji jako jednostek skalowania i skaluj zasoby i subskrypcje w poziomie zgodnie z potrzebami. Obciążenie robocze może następnie korzystać z wymaganych zasobów do skalowania w poziomie bez osiągania limitów subskrypcji na platformie Azure.

• Rezerwacje pojemności umożliwiają zarządzanie pojemnością w niektórych regionach. Twoje obciążenie robocze może wtedy mieć wymaganą wydajność dla zasobów cieszących się dużym popytem w określonym regionie.

• Utwórz pulpit nawigacyjny z niestandardowymi widokami do monitorowania poziomów wykorzystania zasobów i skonfiguruj alerty, gdy wykorzystanie zbliża się do poziomów krytycznych, na przykład przy 90% użycia procesora.

• Przesyłaj zgłoszenia do pomocy technicznej dotyczące zwiększenia limitów przydziału zasobów w obszarze aprowizacji subskrypcji, takich jak łączna liczba dostępnych rdzeni maszyn wirtualnych w subskrypcji. Upewnij się, że limity przydziału są ustawione przed przekroczeniem limitów domyślnych obciążeń.

• Upewnij się, że wszystkie wymagane usługi i funkcje są dostępne w wybranych regionach wdrażania.

• Użyj grup kwot aby zarządzać i współdzielić limity w wielu subskrypcjach.

• Automatyzuj żądania limitów przydziału, jeśli to możliwe, przy użyciu interfejsu API REST limitów przydziału platformy Azure.

• Skonfiguruj alerty dotyczące limitów przydziału , aby powiadamiać właścicieli subskrypcji o zbliżaniu się do limitów przydziału.

Zalecenia dotyczące ograniczeń transferu dzierżawy

• Skonfiguruj następujące ustawienia, aby uniemożliwić użytkownikom przenoszenie subskrypcji platformy Azure do lub z dzierżawy firmy Microsoft Entra:

  • Ustaw Subskrypcja opuszczająca katalog Microsoft Entra na .

  • Ustaw Subskrypcja wchodząca do katalogu Microsoft Entra na .

• Skonfiguruj ograniczoną listę użytkowników zwolnionych.

  • Dołącz członków z zespołu ds. operacji platformy Azure.

  • Uwzględnij konta break-glass na liście użytkowników objętych wyjątkiem.

Następny krok