Ambientes de área restrita da zona de destino

Uma área restrita é um ambiente isolado em que você pode testar e experimentar sem afetar outros ambientes, como ambientes de produção, desenvolvimento ou teste de aceitação do usuário (UAT). Realize pocs (prova de conceitos) com recursos do Azure em um ambiente controlado. Cada sandbox tem sua própria assinatura do Azure, e as políticas do Azure controlam essa assinatura. As políticas são aplicadas no nível do grupo de gerenciamento do sandbox, e o grupo de gerenciamento herda as políticas da hierarquia acima dele. Dependendo de sua finalidade, um indivíduo ou uma equipe pode usar um sandbox.

Ambientes de área restrita são o melhor lugar para o aprendizado prático do Azure. Alguns casos de utilização comuns incluem:

• Um desenvolvedor precisa de um ambiente controlado do Azure para testar rapidamente os padrões de design do aplicativo.
• Um arquiteto de nuvem precisa de um ambiente de área restrita para avaliar os recursos do Azure ou realizar POCs para um serviço ou recurso do Azure antes de aprová-los formalmente para sua organização.
• Um engenheiro de nuvem precisa de um ambiente de área restrita para entender melhor o que acontece quando uma configuração é alterada em um recurso do Azure.
• Um engenheiro de plataforma deseja criar e testar uma nova política do Azure e ver como ela se comporta de acordo com as diretrizes do Canário.
• Um desenvolvedor deseja experimentar os serviços ou recursos do Azure durante a criação de um aplicativo.

Arquitetura do sandbox

Coloque a assinatura do sandbox no grupo de gerenciamento do sandbox. Para obter mais informações sobre grupos de gerenciamento e organização de assinaturas, consulte zoneamento da zona de destino e estrutura conceitual. As políticas do Azure criadas para áreas restritas são colocadas no nível do grupo de gerenciamento da área restrita. Os ambientes de sandbox herdam as políticas do Azure da hierarquia do grupo de gerenciamento que está acima deles.

Uma assinatura de área restrita ajuda a gerenciar os custos de cada programa ou projeto. Você pode facilmente rastrear custos e cancelar sandboxes quando os orçamentos diminuírem ou quando o sandbox expirar.

Rede

Crie a rede de assinatura tipo sandbox que atenda às suas necessidades. Para manter o sandbox isolado, certifique-se de que as redes criadas dentro das assinaturas do sandbox não tenham emparelhamento com outras redes fora do sandbox. Você pode usar a política negar emparelhamento de rede virtual entre assinaturas para garantir que cada sandbox seja seu próprio ambiente isolado.

Use a política negar criação de ExpressRoute/VPN/WAN Virtual para negar a criação de gateways ExpressRoute, gateways de VPN e hubs de WAN Virtual. Quando você nega esses recursos, garante que as redes de assinatura de área restrita permaneçam isoladas.

Registro de auditoria

Para segurança, é importante habilitar o registro de auditoria para um ambiente de sandbox. Habilite uma configuração de diagnóstico que inclua pelo menos as categorias de log administrativas e de segurança (auditoria) para todas as assinaturas de sandbox. Armazene logs de auditoria em um destino central, como o workspace padrão da zona de aterrissagem do Azure Log Analytics, para que você possa analisá-los facilmente. Ou você pode integrá-los a uma plataforma siem (gerenciamento de eventos e informações de segurança), como o Microsoft Sentinel. Para obter mais informações, consulte Recomendações de inventário e visibilidade.

As políticas do Azure incluídas na implementação de referência da zona de destino em escala empresarial têm uma definição de política do Azure ("Configurar logs de atividades do Azure para transmitir para o workspace do Log Analytics especificado") que habilita o registro de auditoria para todas as assinaturas. O grupo de gerenciamento de sandbox deve herdar essa política para habilitar o registro de diagnóstico da assinatura de sandbox.

Acesso ao sandbox

O usuário do sandbox tem acesso como proprietário à assinatura do sandbox. Quando um sandbox for cancelado, remova o controle de acesso baseado em função (RBAC) do proprietário para todos os usuários do sandbox.

Outras considerações

Para garantir um desempenho de ambiente de área restrita confiável e eficiente, considere os seguintes fatores.

Expiração do sandbox

Você pode cancelar ou excluir um sandbox se necessário. Planeje uma estratégia para remover sandboxes para reduzir custos e garantir que a segurança permaneça confiável. Considere o custo e a data de expiração do sandbox para determinar quando removê-lo. Após a expiração de um sandbox, mova-o para o grupo de gerenciamento de sandboxes desativados.

Custo

Uma das principais preocupações para ambientes de área restrita baseados em nuvem é o controle de custos. Para facilitar o acompanhamento, você pode criar um orçamento no Gerenciamento de Custos da Microsoft. O recurso orçamentos envia alertas quando os gastos reais ou os gastos previstos ultrapassam um limite configurado.

Ao implantar um sandbox, você pode criar um orçamento do Gerenciamento de Custos da Microsoft e atribuí-lo à assinatura. O recurso de orçamento alerta os usuários da área restrita quando os limites de gastos cruzam a porcentagem especificada. Por exemplo, você pode definir um alerta para quando o orçamento ultrapassar o limite de gastos de 100%. Nesse caso, talvez você queira cancelar ou excluir uma assinatura. O alerta por si só é apenas um mecanismo de aviso.

Você pode atribuir um orçamento a todos os sandboxes. Aplique um orçamento padrão usando a política Deploy-Budget do Azure no nível do grupo de gerenciamento de sandbox. Defina o orçamento padrão para o custo máximo que a organização aprova para uma sandbox. O orçamento padrão envia alertas de custo para qualquer sandbox que não tenha um orçamento mais específico.

Data de validade

A maioria das organizações deseja que os sandboxes expirem e sejam excluídos após um período de tempo. Expire os sandboxes para fornecer controle de custo e benefícios de segurança. Ambientes de área restrita são criados para fins de teste e aprendizado. Depois que o usuário da área restrita executar o teste ou obter o conhecimento pretendido, você poderá expirar a área restrita porque ela não é mais necessária. Dê uma data de validade para cada sandbox. Quando essa data for atingida, cancele ou exclua a assinatura do sandbox.

Ao criar um sandbox, você pode colocar uma marca do Azure com uma data de expiração na assinatura. Use a automação para cancelar ou excluir a assinatura quando ela atingir a data de validade.

Restringir recursos do Azure

Para fornecer o ambiente de aprendizagem mais robusto para usuários de área restrita, disponibilize todos os serviços do Azure no ambiente de área restrita. Os ambientes de teste irrestritos são ideais, mas algumas organizações têm requisitos para restringir quais serviços do Azure são implantados em ambientes de teste. Controle essas restrições por meio do Azure Policy. Use a política de lista de bloqueio do serviço do Azure para negar a implantação de serviços específicos do Azure.

Proteção de informações

A maioria das organizações concorda que é importante manter dados confidenciais fora de um ambiente de área restrita. A primeira linha de defesa para proteção de informações é a educação do usuário. Antes de atribuir um usuário a uma área restrita, forneça-lhes avisos de isenção de responsabilidade e informações que declaram claramente não adicionar dados confidenciais à área restrita.

Use o Microsoft Purview para fornecer proteção de informações para ambientes de área restrita. O Purview pode enviar alertas se um usuário adicionar dados que a organização rotula como confidenciais aos ambientes de sandbox.

Próximas etapas

Guia do Azure Sandbox