Administrowanie infrastrukturą Azure w chmurze

W tym artykule wyjaśniono, jak administrować infrastrukturą w chmurze Azure w celu zapewnienia kondycji operacyjnej. Potrzebujesz silnej kontroli administracyjnej nad operacjami w chmurze, aby zapewnić, że chmura jest zgodna z celami biznesowymi.

Identyfikowanie zakresu zarządzania

Obowiązki związane z zarządzaniem różnią się w zależności od modelu wdrażania. Skorzystaj z poniższej tabeli, aby zidentyfikować obowiązki związane z zarządzaniem infrastrukturą (IaaS), platformą (PaaS), oprogramowaniem (SaaS) i wdrożeniami lokalnymi.

Zarządzanie zmianami

Zmiana jest najczęstszym źródłem problemów w chmurze. W związku z tym potrzebne jest podejście do zarządzania zmianami, które śledzi zmiany i ich zatwierdzenia. Powinna również wykrywać niezatwierdzone zmiany i przywracać je do żądanego stanu. Wykonaj następujące kroki:

1. Opracuj proces zgłaszania zmian. Użyj systemu formalnego, takiego jak narzędzie do obsługi biletów, żądanie ściągnięcia (GitHub lub Azure DevOps) lub wyznaczone formularze. Proces żądania zmiany musi przechwytywać szczegóły klucza, takie jak typ zmiany, tożsamość żądającego, środowisko docelowe, zakres i przyczyna. Zachowaj oddzielne procedury rutynowych żądań obsługi, takich jak resetowanie haseł.

2. Oceń ryzyko związane ze zmianą. Przypisz jasne kategorie ryzyka (wysokie, średnie, niskie), aby pogodzić szybkość wdrażania z zarządzaniem ryzykiem. Oceń każdą zmianę zgodnie z kryteriami, takimi jak tolerancja przestojów (budżet na błędy) i krytyczne znaczenie obciążenia. Aby ułatwić określenie odpowiedniego przepływu pracy zatwierdzania, użyj poniższej tabeli jako przykładu:

   Poziom ryzyka	Wynagrodzenie za przestój	Krytyczne znaczenie obciążenia	Proces zatwierdzania	Przykładowe zmiany
   Wysoki	Brak dozwolonych przestojów	Te zmiany wpływają na systemy o znaczeniu krytycznym, które wymagają ciągłej dostępności z zerową tolerancją dla przestojów.	Przeglądy przez wielu starszych inżynierów, zautomatyzowane alerty potokowe, progresywny model ekspozycji i aktywne monitorowanie.	Aktualizacje infrastruktury krytycznej
   Średni	Dozwolony krótki przestój	Te zmiany wpływają na ważne systemy z ograniczoną tolerancją przestoju.	Automatyczny potok oznacza zmianę. Szybki przegląd przez inżynierów, jeśli monitorowanie wszczyna alarm.	Niekrytyczne aktualizacje systemu, ulepszenia funkcji podczas krótkich okien obsługi
   Niski	Dozwolony przestój	Te zmiany mają wpływ na systemy niekrytyczne, w których dłuższy przestój jest akceptowalny bez wpływu na ogólne operacje.	W pełni zautomatyzowane wdrażanie za pośrednictwem procesów CI/CD uruchamia testy wstępne i monitorowanie.	Rutynowe aktualizacje, drobne aktualizacje zasad

3. Zsyfikuj wyraźnie zatwierdzenie. Zdefiniuj kryteria zatwierdzania i wymagany poziom akceptacji na każdym poziomie ryzyka. Określ, kto musi przejrzeć każdą zmianę, niezależnie od tego, czy jest to osoba zatwierdzająca, czy rada przeglądu, i wyjaśnić, w jaki sposób recenzenci muszą przekazywać i rozwiązywać opinie.

4. Ustandaryzuj proces wdrażania. Jasno przedstaw procedury tworzenia, testowania i wdrażania zatwierdzonych zmian w środowisku produkcyjnym. Aby uzyskać szczegółowe informacje, zobacz Zarządzanie zasobami w chmurze.

5. Standaryzuj proces po wdrożeniu. Aby potwierdzić pomyślne zmiany, zaimplementuj kroki monitorowania i walidacji. Uwzględnij wyraźną strategię cofania zmian, aby szybko przywrócić usługę, jeśli zmiana wprowadza problemy.

6. Zapobiegaj nieautoryzowanym zmianom i wykrywaj je. Użyj analizy zmian , aby wykryć zmiany konfiguracji i wyjaśnić ich podstawowe przyczyny. Użyj Azure Policy, aby blokować i przeprowadzać inspekcję zmian przy użyciu efektów takich jak DenyDenyAction, Audit i auditIfNotExists. Jeśli używasz Bicep, rozważ użycie stosów wdrażania Bicep aby zapobiec nieautoryzowanym zmianom.

Zarządzanie zabezpieczeniami

Tożsamość jest granicą Twojego bezpieczeństwa. Musisz zweryfikować tożsamości, ograniczyć uprawnienia i zachować bezpieczne konfiguracje zasobów. Wykonaj następujące kroki:

1. Zarządzaj tożsamościami. Użyj Microsoft Entra ID jako ujednoliconego rozwiązania do zarządzania tożsamościami. Jasno zdefiniuj uprawnienia, stosując kontrolę dostępu opartą na rolach (RBAC). Użyj Zarządzanie Microsoft Entra ID, aby kontrolować przepływy wniosków o dostęp, przeglądy dostępu i zarządzanie cyklem życia tożsamości. Włącz Privileged Identity Management, aby udzielić dostępu uprzywilejowanego w odpowiednim czasie. Ta strategia zmniejsza niepotrzebny podwyższony poziom dostępu. Spójnie zarządzaj wszystkimi trzema typami tożsamości (użytkownik, aplikacja, urządzenie), aby zapewnić odpowiednie uwierzytelnianie i autoryzację.

2. Zarządzaj dostępem. Użyj mechanizmów Azure kontroli dostępu opartej na rolach (RBAC) i kontroli dostępu opartej na atrybutach (ABAC), aby przyznawać minimalne uprawnienia niezbędne do wykonania zadania. Aby ograniczyć obciążenie związane z zarządzaniem, preferuj przypisania ról na podstawie grup . Przyznaj uprawnienia w najniższym wymaganym zakresie , takich jak subskrypcje, grupy zasobów lub poszczególne zasoby. Unikaj nadmiernie szerokich zakresów uprawnień, aby zapobiec niezamierzonej eskalacji uprawnień. Przypisz tylko niezbędne uprawnienia dla roli każdego użytkownika.

3. Zarządzaj konfiguracjami zasobów. Użyj infrastruktury jako kodu (IaC), aby zapewnić spójną i powtarzalną konfigurację zasobów. Następnie użyj Azure Policy aby wymusić bezpieczne konfiguracje określonych usług Azure. Zajmij się kontrolą zabezpieczeń testów porównawczych zabezpieczeń w chmurze Microsoft w wersji 2 aby uzyskać wskazówki dotyczące dostępnych funkcji zabezpieczeń i optymalnych konfiguracji zabezpieczeń. Jako funkcja dodatku użyj zasad zabezpieczeń w Defender dla Chmury aby dostosować je do wspólnych standardów zabezpieczeń.

4. Zarządzaj uwierzytelnianiem. Upewnij się, że użytkownicy wdrażają silne uwierzytelnianie za pośrednictwem uwierzytelniania wieloskładnikowego (MFA) i używają uwierzytelniania wieloskładnikowego Microsoft Entra (MFA). Zawsze wymagaj dostępu warunkowego , aby wymusić uwierzytelnianie na podstawie tożsamości użytkownika, kondycji urządzenia i kontekstu dostępu. Konfigurowanie samoobsługowego resetowania hasła i eliminowanie słabych haseł.

5. Zarządzaj informacjami o zabezpieczeniach. Użyj usługi Microsoft Sentinel do zarządzania informacjami i zdarzeniami zabezpieczeń (SIEM) oraz orkiestracji zabezpieczeń, automatyzacji i odpowiedzi (SOAR).

6. Zarządzaj zabezpieczeniami obciążeń roboczych. Aby uzyskać zalecenia dotyczące zabezpieczeń obciążeń, zobacz listę kontrolną zabezpieczeń Well-Architected Framework i przewodniki dotyczące usług Azure (zacznij od sekcji Zabezpieczenia).

Zarządzanie zgodnością

Zarządzanie zgodnością zapewnia, że Azure operacje pozostają zgodne z ustalonymi zasadami ładu i standardami regulacyjnymi. Należy zmniejszyć ryzyko, chroniąc środowisko przed potencjalnymi naruszeniami i błędami konfiguracji. Wykonaj następujące kroki:

1. Poznaj swoje zasady ładu korporacyjnego. Zasady zarządzania określają nadrzędne wymagania, których muszą przestrzegać zespoły, aby zapewnić zgodność. Przejrzyj zasady organizacji i zamapuj każde wymaganie na procesy operacyjne. Jeśli nie masz zasad zarządzania, najpierw udokumentuj zasady zarządzania.

2. Zarządzaj zgodnością. Wymuszanie zgodności zapewnia, że środowisko pozostaje zgodne zarówno ze standardami organizacyjnymi, jak i wymogami regulacyjnymi. Zapoznaj się z poniższą tabelą, aby zapoznać się z zaleceniami dotyczącymi zasad.

   Zalecenie	Szczegóły
   Rozpoczynanie pracy z ogólnymi definicjami zasad	Zacznij od ogólnych definicji Azure Policy, w tym dozwolonych lokalizacji, niedozwolonych typów zasobów i inspekcji niestandardowych ról RBAC.
   Zgodny ze standardami regulacyjnymi	Użyj bezpłatnych, wbudowanych definicji Azure Policy dostosowanych do standardów regulacyjnych, takich jak ISO 27001, NIST SP 800-53 i PCI DSS.

Aby uzyskać więcej informacji, zobacz Włączenie zgodności w Azure.

Zarządzanie danymi

Zarządzanie danymi w operacjach w chmurze obejmuje aktywne klasyfikowanie, segmentowanie, zabezpieczanie dostępu i ochronę przed usunięciem. Należy chronić poufne informacje, zachować zgodność i zapewnić niezawodność danych podczas zmian operacyjnych. Wykonaj następujące kroki:

1. Odnajdywanie i klasyfikowanie danych. Identyfikuj i kategoryzuj dane według poziomu wrażliwości i ważności. Ta klasyfikacja wskazuje dostosowane kontrole dla każdego typu danych. Użyj Microsoft Purview do zarządzania danymi. Aby uzyskać więcej informacji, zobacz Źródła danych, które łączą się z Microsoft Purview Data Map.

2. Kontroluj rezydencję danych. Wybierz regiony w obrębie swojego obszaru geograficznego, takie jak Stany Zjednoczone lub Europa, aby spełnić wymagania dotyczące rezydencji danych. Sprawdź wszelkie wyjątki, ponieważ certain Azure services mogą przechowywać dane poza wybranym regionem. Regularnie sprawdzaj Azure ustawienia rezydencji danych i wymagania dotyczące zgodności, aby zachować pełną kontrolę nad danymi klientów.

3. Izoluj obciążenia wewnętrzne („Corp”) i dostępne z Internetu („Online”). Użyj grup zarządzania, aby oddzielić obciążenia wewnętrzne i zewnętrzne. Obciążenia wewnętrzne zwykle wymagają łączności lub łączności hybrydowej z siecią firmową. Obciążenia zewnętrzne zwykle nie wymagają łączności z siecią firmową i mogą wymagać bezpośredniego dostępu przychodzącego lub wychodzącego do Internetu. Na przykład przejrzyj grupy zarządzania "Corp" (wewnętrzne) i "Online" (dostępne z Internetu) w Azure strefie docelowej.

4. Wymuś kontrolę dostępu. Zaimplementuj niezawodne mechanizmy kontroli dostępu, takie jak kontrola dostępu oparta na rolach Azure i Azure ABAC, aby zapewnić dostęp do poufnych danych wyłącznie autoryzowanemu personelowi na podstawie zdefiniowanych klasyfikacji.

5. Chroń dane przed usunięciem. Użyj funkcji, takich jak usuwanie nietrwałe, przechowywanie wersji danych i niezmienność, jeśli są dostępne. Zaimplementuj przechowywanie wersji bazy danych i przygotuj procedury wycofywania. Użyj Azure Policy do zablokowania usuwania magazynu danych z efektami Deny i DenyAction lub przeprowadź inspekcję wszelkich zmian za pomocą Audit i auditIfNotExists. Jeśli używasz Bicep, rozważ użycie stosów wdrażania Bicep aby zapobiec nieautoryzowanym zmianom. Używaj blokad zasobów jedynie, aby ściśle zapobiec niezamierzonym modyfikacjom lub usunięciom krytycznych danych. Unikaj używania blokad zasobów w celu ochrony konfiguracji, ponieważ blokady zasobów komplikują wdrożenia IaC.

6. Zarządzaj danymi obciążenia roboczego. Zapoznaj się z zaleceniami struktury Well-Architected Framework dotyczącymi klasyfikacji danych.

Aby uzyskać więcej informacji, zobacz Egzekwowanie zarządzania danymi.

Zarządzanie kosztami

Zarządzanie kosztami w operacjach w chmurze oznacza śledzenie wydatków aktywnie zarówno centralnie, jak i na obciążenie. Kontrola kosztów powinna zapewnić wgląd w wydatki i zachęcić do odpowiedzialnych wydatków. Wykonaj następujące kroki:

1. Zarządzaj kosztami i przeglądaj je. Monitorowanie kosztów chmury przy użyciu narzędzi Microsoft Cost Management. Azure nie ma mechanizmu obejmującego całą subskrypcję, aby ograniczyć wydatki na określony próg. Niektóre usługi, takie jak Azure Log Analytics obszar roboczy, mają limity wydatków. Strategia monitorowania kosztów służy jako podstawowe narzędzie do zarządzania kosztami.

2. Zarządzaj kosztami obciążeń roboczych. Udziel dostępu do rozliczeń zespołom odpowiedzialnym za obciążenia. Upewnij się, że zespoły korzystają z listy kontrolnej optymalizacji kosztów Well-Architected Framework.

Zarządzanie kodem i środowiskiem uruchomieniowym

Zarządzanie kodem i środowiskiem uruchomieniowym to obowiązki związane z obciążeniem. Zespoły ds. obciążeń korzystają z listy kontrolnej doskonałości operacyjnej platformy Well-Architected Framework, która zawiera 12 zaleceń dotyczących kontrolowania kodu i środowiska uruchomieniowego.

Zarządzanie zasobami w chmurze

Ustanów jasne protokoły wdrażania oraz proaktywne strategie wykrywania dryfu i rozrastania, aby zachować spójność w różnych środowiskach. W tej sekcji opisano:

• Wdrożenia portalu
• Wdrożenia kodu
• Dryf konfiguracji
• Rozrastanie zasobów

Zarządzanie wdrożeniami portalu

Zdefiniuj protokoły i limity dla wdrożeń portalu, aby zminimalizować potencjał problemów produkcyjnych. Wykonaj następujące kroki:

1. Zdefiniuj zasady wdrażania portalu. Upewnij się, że istotne zmiany oparte na portalu są zgodne z ustalonymi procesami zarządzania zmianami. Wdrożenia portalu służą przede wszystkim do szybkiego tworzenia prototypów, rozwiązywania problemów lub drobnych korekt w środowiskach deweloperskich i testowych. Unikaj zmian portalu bez struktury, ponieważ te zmiany prowadzą do dryfu, błędów konfiguracji i problemów ze zgodnością. Zamiast tego opieraj się na kontrolowanych wersjach szablonów infrastruktury jako kodu (IaC) dla zapewnienia spójności. Aby uzyskać więcej informacji, zobacz Zarządzanie wdrożeniami kodu.

2. Rozróżnij środowiska. Ogranicz zmiany oparte na portalu ściśle do środowisk nieprodukcyjnych. Zezwalaj na szybkie tworzenie prototypów wyłącznie w dedykowanych środowiskach deweloperskich lub testowych i wymuszaj rygorystyczne mechanizmy kontroli w środowisku produkcyjnym.

3. Ogranicz uprawnienia portalu. Ogranicz możliwości wdrażania z portalu przy użyciu kontroli dostępu opartej na rolach (RBAC). Przypisz uprawnienia tylko do odczytu domyślnie i eskaluj uprawnienia tylko w razie potrzeby.

   • Udziel dostępu just-in-time. Użyj Privileged Identity Management (PIM) do uzyskiwania dostępu do zasobów Azure i Microsoft Entra. Wymagaj sekwencyjnych zatwierdzeń od wielu osób lub grup w celu aktywowania usługi PIM. Role uprzywilejowane ("A0" role superadministratora) rezerwuj wyłącznie na sytuacje awaryjne.

   • Zorganizuj mechanizm RBAC w oparciu o model operacyjny. Projektuj zasady RBAC dostosowane do zespołów operacyjnych, w tym poziomów wsparcia, operacji zabezpieczeń, platform, sieci i obciążeń.

   • Przeprowadź audyt wszystkich działań. Monitoruj i rejestruj wszystkie akcje w systemie. Użyj Azure Policy do inspekcji zmian (Audit lub auditIfNotExists). Ponadto skonfiguruj alert w Azure Monitor aby powiadomić uczestników projektu, gdy ktoś usunie zasób Azure. Jeśli używasz Bicep, rozważ użycie stosów wdrażania Bicep aby zapobiec nieautoryzowanym zmianom.

4. Użyj szablonów objętych kontrolą wersji. Ogranicz użycie portalu do scenariuszy awaryjnych przy stosowaniu wdrożeń IaC. Zmiany w portalu powodują odchylenie konfiguracji od szablonów IaC. Replikuj natychmiast wszystkie zmiany oparte na portalu w szablonach IaC kontrolowanych wersjonowaniem, takich jak Bicep, Terraform lub ARM. Regularnie eksportuj konfiguracje zasobów Azure i przechowuj je jako IaC, aby zachować środowiska produkcyjne dopasowane do zatwierdzonych, możliwych do śledzenia konfiguracji. Zobacz wskazówki dotyczące eksportowania konfiguracji Azure jako Bicep, Terraform lub szablony ARM. Rozważ specyfikacje szablonów w przypadku korzystania z szablonów ARM.

   Narzędzie	Przypadek użycia
   Bicep	Łatwe w zarządzaniu, czytelne IaC specyficzne dla Azure
   Terraform	Wielochmurowe rozwiązanie, szersza obsługa społeczności
   Szablony ARM	Pełna kontrola, wygodna z JSON

Zarządzanie wdrożeniami kodu

Zastosuj najlepsze rozwiązania dotyczące automatyzowania i kontrolowania zmian w kodzie i infrastrukturze. Wykonaj następujące kroki:

1. Standaryzuj narzędzia. Użyj spójnego zestawu narzędzi, aby zminimalizować przełączanie kontekstu. Wybierz narzędzia deweloperskie (VS Code, Visual Studio), repozytorium (GitHub, Azure DevOps), pipeline CI/CD (GitHub Actions, Azure Pipelines) i rozwiązanie IaC (Bicep, Terraform lub szablony ARM), które współpracują ze sobą.

2. Użyj kontroli wersji. Zachowaj jedno źródło prawdy dla kodu. Użyj kontroli wersji, aby zmniejszyć dryf konfiguracji i uprościć procedury wycofywania.

3. Użyj potoków wdrożeniowych. Potok CI/CD automatyzuje proces kompilacji, uruchamia testy i skanuje kod pod kątem problemów z jakością i zabezpieczeniami przy każdym pull request. Użyj GitHub Actions lub Azure Pipelines do kompilowania i wdrażania kodu aplikacji i plików IaC. Egzekwowanie haczyków przed zatwierdzeniem i automatycznych skanów w celu wczesnego wychwytywania nieautoryzowanych lub zmian wysokiego ryzyka.

4. Wdrożenia testowe. Dodaj etapy zatwierdzania w potokach ciągłej integracji/ciągłego wdrażania w celu progresywnego weryfikowania wdrożeń. Postępuj zgodnie z następującą sekwencją: rozwój, weryfikacja kompilacji, testy integracji, testy wydajnościowe, testowanie akceptacji użytkownika (UAT), testowanie na środowisku testowym, wydania kanaryjskie, przedprodukcyjne i na koniec produkcja.

5. Użyj infrastruktury jako kodu (IaC). Użyj IaC, aby zapewnić spójność wdrożeń i zarządzać nimi za pomocą kontroli wersji. Przejdź z dowodów koncepcji opartych na portalu Azure do IaC dla środowisk produkcyjnych. Użyj Bicep, Terraform lub ARM do definiowania zasobów. W przypadku Bicep użyj modułów i rozważ stosy wdrożeniowe. W przypadku szablonu ARM należy wziąć pod uwagę specyfikacje szablonu dla wdrożenia w wersji.

6. Stosuj najlepsze praktyki dotyczące repozytoriów kodu. Przestrzeganie tych standardów zmniejsza liczbę błędów, usprawnia przeglądy kodu i pozwala uniknąć problemów z integracją. W przypadku środowisk produkcyjnych o wysokim priorytcie:

   Wymaganie	Opis
   Wyłącz bezpośrednie przesyłanie	Zablokuj bezpośrednie zatwierdzenia w gałęzi głównej
   Wymagaj pull requestów	Wymagaj, aby wszystkie zmiany przechodziły przez żądanie ściągnięcia
   Wymaganie przeglądów kodu	Upewnij się, że ktoś inny niż sam autor przegląda każde pull request.
   Egzekwowanie progów pokrycia kodu	Upewnij się, że minimalny procent kodu przechodzi testy automatyczne dla wszystkich żądań ściągnięcia
   Użyj potoków weryfikacji	Skonfiguruj reguły ochrony gałęzi, aby uruchomić potok walidacyjny dla żądań ściągnięcia.

7. Wymagaj sprawdzeń wdrażania zespołu workloadu. Sprawdź, czy nowe bazy kodu i zespoły są zgodne z celami biznesowymi, standardami i najlepszymi rozwiązaniami. Użyj listy kontrolnej, aby potwierdzić strukturę repozytorium kodu, standardy nazewnictwa, standardy kodowania oraz konfiguracje pipeline'ów CI/CD.

Zarządzanie odchyleniem konfiguracji

Zarządzaj dryfem konfiguracji przez identyfikowanie i poprawianie rozbieżności między docelową konfiguracją a środowiskiem produkcyjnym. Postępuj zgodnie z następującymi najlepszymi rozwiązaniami:

1. Zapobiegaj zmianie i wykrywaj ją. Użyj analizy zmian , aby wykryć zmiany konfiguracji i wyjaśnić ich podstawowe przyczyny. Użyj Azure Policy do odmowy i inspekcji zmian przy użyciu efektów takich jak Deny, DenyAction, Audit i auditIfNotExists. Jeśli używasz Bicep, rozważ użycie stosów wdrażania Bicep aby zapobiec nieautoryzowanym zmianom.

2. Wykryj dryf konfiguracji IaC. Dryf konfiguracji występuje, gdy ktoś aktualizuje plik IaC (celowo lub niezamierzenie) lub wprowadza zmianę w portalu Azure. Regularnie porównuj środowisko na żywo z żądaną konfiguracją, aby wykryć dryf:

   • Przechowuj żądane i ostatnie znane dobre konfiguracje. Zapisz żądany plik konfiguracji w repozytorium objętym kontrolą wersji. Ten plik przedstawia oryginalną, przeznaczoną konfigurację. Zachowaj ostatnio znaną dobrą konfigurację jako niezawodne odniesienie do przywracania i bazową wartość odniesienia do wykrywania dryfu.

   • Wykryj dryf konfiguracji przed wdrożeniem. Wyświetl podgląd potencjalnych zmian przed wdrożeniem przy użyciu planu narzędzia Terraform, Bicep what-if lub ARM template what-if. Dokładnie zbadaj rozbieżności, aby upewnić się, że proponowane zmiany są zgodne z żądanym stanem.

   • Wykrywaj dryf po wdrożeniu. Regularnie porównuj środowiska produkcyjne z żądanymi konfiguracjami za pomocą regularnych kontroli dryfu. Zintegruj te sprawdzenia z potokami ciągłej integracji/ciągłego wdrażania lub przeprowadź je ręcznie w celu utrzymania spójności. Zobacz przykład z Azure Policy i Azure Pipelines.

   • Przywróć ostatnią znaną dobrą konfigurację. Opracowywanie przejrzystych strategii wycofywania zmian, które używają zautomatyzowanych procedur w potoku ciągłej integracji/ciągłego wdrażania. Użyj ostatniej znanej dobrej konfiguracji, aby szybko cofnąć niepożądane zmiany i zminimalizować przestoje.

   • Ogranicz zmiany inicjowane przez portal. Ogranicz zmiany inne niż IaC wyłącznie do scenariuszy awaryjnych. Wymuszanie rygorystycznych kontroli dostępu, takich jak Privileged Identity Management. Należy szybko zaktualizować pliki IaC, jeśli konieczne jest ręczne dostosowanie w celu zachowania dokładności żądanej konfiguracji.

Zarządzanie rozprzestrzenianiem się zasobów

Rozrastanie zasobów opisuje niekontrolowany wzrost zasobów w chmurze. Ten wzrost zwiększa koszty, zagrożenia bezpieczeństwa i złożoność zarządzania. Wykonaj następujące kroki:

1. Wdróż zasady nadzoru Użyj Azure Policy, aby wymusić standardy aprowizowania zasobów i tagowania w całej organizacji. Utwórz wyraźną strategię nazewnictwa , aby ułatwić widoczność zasobów.

2. Organizuj zasoby efektywnie. Strukturyzuj zasoby hierarchicznie za pomocą grup zarządzania i subskrypcji dostosowanych do potrzeb organizacji. Ta struktura zwiększa widoczność i zarządzanie zasobami. Zapoznaj się z wytycznymi dotyczącymi strefy docelowej Azure dla sprawdzonych najlepszych praktyk.

3. Ogranicz uprawnienia do wdrażania. Zaimplementuj najlepsze rozwiązania dotyczące kontroli dostępu opartej na rolach (RBAC) opisane w Azure RBAC i Microsoft Entra RBAC. Przypisz odpowiednie uprawnienia do użytkowników. Użyj ról czytelnika, aby zminimalizować ryzyko tworzenia nieautoryzowanych zasobów.

4. Przeprowadzaj regularne audyty. Użyj Azure Advisor, aby zidentyfikować nieużywane lub niedostatecznie wykorzystane zasoby Azure. Użyj usługi Cost Management , aby przeanalizować wydatki na chmurę i usunąć oddzielone zasoby powodujące niepotrzebne koszty. Nie wszystkie zasoby Azure generują opłaty. Uruchom zapytania w Azure Resource Graph aby zachować dokładny spis zasobów.

Zarządzanie relokacją

Okresowo oceniaj bieżące regiony Azure, aby określić, czy przenoszenie obciążeń w innym miejscu poprawia wydajność, zmniejsza koszty lub zwiększa wydajność.

• Poznaj czynniki relokacji. Zrozumienie czynników relokacji zapewnia, że każda relokacja ma prawidłowe uzasadnienie biznesowe, biorąc pod uwagę, że relokacja wiąże się z ryzykiem i kosztami. Typowe uzasadnienia biznesowe dla relokacji obejmują ekspansję biznesową, wymagania dotyczące zgodności z przepisami i bliskość użytkowników końcowych.

• Zarządzaj ryzykiem relokacji. Zarządzanie ryzykiem relokacji zapobiega zakłóceniom i utrzymuje zgodność. Zdefiniuj akceptowalne okna przestojów, przekaż wpływ uczestnikom projektu i zapewnij przestrzeganie zasad organizacyjnych i przepisów branżowych.

• Zarządzaj kosztami relokacji. Zarządzanie kosztami relokacji zapobiega niepotrzebnym wydatkom podczas migracji. Transferuj dane raz, usuń zduplikowane środowiska i porównaj ceny regionalnych platformy Azure. Przejrzyj cennik przepustowości Azure.

• Zarządzaj projektami relokacji. Małe zespoły powinny migrować obciążenia pojedynczo w sposób ukierunkowany. Duże zespoły powinny jednocześnie przenosić wiele obciążeń, aby osiągnąć wydajność dzięki skoordynowanemu planowaniu.

Aby uzyskać więcej informacji, zobacz Przenoszenie obciążeń.

Zarządzanie systemami operacyjnymi

W przypadku korzystania z maszyn wirtualnych należy również zarządzać systemem operacyjnym. Wykonaj następujące kroki:

1. Automatyzacja konserwacji maszyny wirtualnej. W Azure użyj narzędzi automatyzacji, aby tworzyć maszyny wirtualne Azure i zarządzać nimi. Użyj Azure Machine Configuration do inspekcji lub skonfigurowania ustawień systemu operacyjnego jako kodu dla maszyn działających w Azure i hybrydowych.

2. Aktualizuj systemy operacyjne. Należy zarządzać aktualizacjami gościa i konserwacją hosta , aby upewnić się, że systemy operacyjne są aktualne w celach bezpieczeństwa.

3. Monitoruj operacje w systemie gościa. Użyj usługi Azure Śledzenie zmian i spis, aby ulepszyć inspekcję i nadzór na potrzeby operacji w systemie gościa. Monitoruje zmiany i udostępnia szczegółowe dzienniki spisu serwerów w Azure, lokalnie i w innych środowiskach w chmurze.