Administre o seu ambiente cloud Azure

Este artigo explica como administrar o seu património cloud no Azure para garantir a saúde operacional. Você precisa de um forte controle administrativo sobre suas operações de nuvem para garantir que a nuvem esteja alinhada com seus objetivos de negócios.

Identifique seu escopo de gerenciamento

As responsabilidades de gerenciamento variam de acordo com o modelo de implantação. Use a tabela a seguir para identificar suas responsabilidades de gerenciamento para infraestrutura (IaaS), plataforma (PaaS), software (SaaS) e implantações locais.

Gerir alterações

A mudança é a fonte mais comum de problemas na nuvem. Como resultado, você precisa de uma abordagem de gerenciamento de alterações que rastreie as alterações e suas aprovações. Ele também deve detetar alterações não aprovadas e revertê-las para um estado desejado. Siga estes passos:

1. Desenvolva um processo de gestão de pedidos de alteração. Use um sistema formal, como uma ferramenta de ticketing, pull request (GitHub ou Azure DevOps) ou formulários designados. O processo de solicitação de alteração deve capturar detalhes importantes, como o tipo de alteração, a identidade do solicitante, o ambiente de destino, o escopo e o motivo. Mantenha procedimentos separados para solicitações de serviço de rotina, como redefinições de senha.

2. Avalie o risco associado à mudança. Atribuir categorias de risco claras (elevado, médio, baixo) para equilibrar a velocidade de implementação com a gestão do risco. Avalie cada alteração de acordo com critérios como tolerância a tempo de inatividade (orçamento de erros) e criticidade da carga de trabalho. Para ajudar a determinar o fluxo de trabalho de aprovação apropriado, use a tabela a seguir como exemplo:

   Nível de risco	Subsídio de tempo de inatividade	Criticidade da carga de trabalho	Processo de aprovação	Exemplos de alterações
   Alto	Sem tempo de inatividade permitido	Essas alterações afetam sistemas de missão crítica que exigem disponibilidade contínua com tolerância zero para qualquer tempo de inatividade.	Várias revisões de engenheiros seniores, alertas de pipeline automatizados, modelo de exposição progressiva e monitoramento ativo.	Atualizações de infraestruturas críticas
   Médio	Tempo de inatividade curto permitido	Essas alterações afetam sistemas importantes com tolerância limitada ao tempo de inatividade.	O canal automatizado sinaliza a alteração. Revisão rápida por engenheiros se a monitorização gerar um alerta.	Atualizações não críticas do sistema, aprimoramentos de recursos durante curtas janelas de manutenção
   Baixo	Amplo tempo de inatividade permitido	Essas alterações afetam sistemas não críticos, onde o tempo de inatividade prolongado é aceitável sem afetar as operações gerais.	A implantação totalmente automatizada via CI/CD executa testes e monitorização antes da implantação.	Atualizações de rotina, pequenas atualizações de política

3. Normalize claramente a aprovação. Defina os critérios de aprovação e a autoridade necessária em cada nível de risco. Especifique quem deve revisar cada alteração, seja um único aprovador ou um painel de avaliação, e esclareça como os revisores devem fornecer e resolver comentários.

4. Padronizar o processo de implementação. Descreva claramente os procedimentos para construir, testar e implementar alterações aprovadas em produção. Para obter detalhes, consulte Gerenciar recursos de nuvem.

5. Padronizar o processo pós-implantação. Para confirmar que as alterações foram bem-sucedidas, implemente etapas de monitorização e validação. Inclua uma estratégia clara de reversão para restaurar rapidamente o serviço se uma alteração introduzir problemas.

6. Prevenir e detetar alteração não autorizada. Utilize Análise de Alterações para detetar alterações de configuração e explicar as suas causas subjacentes. Use Azure Policy para negar e auditar alterações usando efeitos como Deny, DenyAction, Audit e auditIfNotExists. Se usares Bicep, considera usar stacks de implantação Bicep para evitar alterações não autorizadas.

Gerir a segurança

A identidade é o seu perímetro de segurança. Você deve verificar identidades, restringir permissões e manter configurações de recursos seguras. Siga estes passos:

1. Gerir identidades. Utilize o Microsoft Entra ID como sua solução unificada de gestão de identidades. Defina claramente as permissões aplicando controle de acesso baseado em função (RBAC). Use Microsoft Entra ID Governance para controlar fluxos de trabalho de pedidos de acesso, revisões de acesso e gestão do ciclo de vida da identidade. Ative Privileged Identity Management para conceder acesso privilegiado em tempo real. Essa estratégia reduz o desnecessário acesso elevado. Gerencie todos os três tipos de identidade (usuário, aplicativo, dispositivo) consistentemente para garantir autenticação e autorização adequadas.

2. Gerir o acesso. Utilize o controlo de acesso baseado em funções (RBAC) e o controlo de acesso baseado em atributos (ABAC) do Azure para conceder as permissões mínimas necessárias para executar a tarefa. Para limitar a sobrecarga de gerenciamento, prefira atribuições de função com base em grupos. Conceda permissões no menor escopo necessário, como assinaturas, grupos de recursos ou recursos individuais. Evite escopos de permissão excessivamente amplos para evitar o escalonamento de privilégios não intencionais. Atribua apenas as permissões necessárias para a função de cada usuário.

3. Gerir configurações de recursos. Utilize infraestrutura como código (IaC) para garantir uma configuração consistente e reprodutível dos recursos. Depois usa Azure Policy para impor configurações seguras de serviços Azure específicos. Consulte os controlos de segurança do benchmark de segurança Microsoft cloud v2 para orientação sobre capacidades de segurança disponíveis e configurações ótimas. Como funcionalidade adicional, utilize políticas de segurança em Defender para a Cloud para alinhar com os padrões comuns de segurança.

4. Gerir a autenticação. Garantir que os utilizadores adotam autenticação forte através da autenticação multifator (MFA) e utilizam a autenticação multifator (MFA) Microsoft Entra. Sempre exija o Acesso Condicional para impor a autenticação com base na identidade do usuário, na integridade do dispositivo e no contexto de acesso. Configure a redefinição de senha de autoatendimento e elimine as senhas fracas .

5. Gerir a informação de segurança. Use o Microsoft Sentinel para gerenciamento de eventos e informações de segurança (SIEM) e orquestração, automação e resposta de segurança (SOAR).

6. Controlo da segurança da carga de trabalho. Para recomendações de segurança de cargas de trabalho, consulte a lista de verificação de segurança e os guias de serviço Azure do Well-Architected Framework (comece pela secção de Segurança).

Gerencie a conformidade

A gestão de conformidade assegura que as operações do Azure permanecem alinhadas com as políticas de governação estabelecidas e os padrões regulatórios. Você deve reduzir o risco protegendo o ambiente de possíveis violações e configurações incorretas. Siga estes passos:

1. Conheça as suas políticas de governação. As políticas de governação definem as restrições de nível superior que as suas equipas devem cumprir para se manterem em conformidade. Analise as políticas da sua organização e mapeie cada requisito para os seus processos operacionais. Se você não tiver políticas de governança, primeiro documente as políticas de governança.

2. Gerir a conformidade. Garantir a conformidade garante que o seu ambiente se mantém alinhado com as normas organizacionais e regulamentares. Consulte a tabela a seguir para obter recomendações políticas.

   Recomendação	Detalhes
   Comece com Definições gerais de política	Comece pelas definições gerais do Azure Policy, incluindo localizações permitidas, tipos de recursos não permitidos e funções personalizadas de RBAC para auditar.
   Conformar-se às normas regulatórias	Use as definições gratuitas e incorporadas da Azure Policy, alinhadas com normas regulatórias como ISO 27001, NIST SP 800-53 e PCI DSS.

Para mais informações, consulte Aplicação da conformidade em Azure.

Gerenciar dados

O gerenciamento de dados em operações de nuvem envolve classificar ativamente, segmentar, proteger o acesso e proteger contra exclusão. Deve proteger informações sensíveis, manter a conformidade e garantir a fiabilidade dos dados durante as alterações operacionais. Siga estes passos:

1. Descubra e classifique dados. Identifique e classifique os dados de acordo com a sensibilidade e a importância. Esta classificação orienta controles personalizados para cada tipo de dados. Use Microsoft Purview para governação de dados. Para mais informações, consulte Fontes de dados que se ligam ao Microsoft Purview Data Map.

2. Controle a residência dos dados. Selecione regiões dentro da sua geografia, como os Estados Unidos ou a Europa, para cumprir os requisitos de residência de dados. Verifica quaisquer exceções porque certos serviços de Azure podem armazenar dados fora da tua região selecionada. Revise regularmente as definições de residência de dados do Azure e os requisitos de conformidade para manter controlo total sobre os dados dos seus clientes.

3. Isole as cargas de trabalho internas ("Corp") e as que estão viradas para a internet ("Online"). Utilize grupos de gestão para separar cargas de trabalho internas e externas. As cargas de trabalho internas normalmente exigem conectividade ou conectividade híbrida com sua rede corporativa. As cargas de trabalho externas geralmente não exigem conectividade de rede corporativa e podem precisar de acesso direto à Internet de entrada ou saída. Por exemplo, reveja os grupos de gestão "Corp" (interno) e "Online" (com acesso à internet) na zona de aterragem Azure.

4. Aplicar o controlo de acesso. Implemente controlos de acesso robustos, como Azure RBAC e Azure ABAC, para garantir que apenas pessoal autorizado acede a dados sensíveis com base em classificações definidas.

5. Proteger os dados contra a eliminação. Utilize funcionalidades como soft delete, versionamento de dados e imutabilidade sempre que disponíveis. Implemente o controle de versão do banco de dados e prepare procedimentos de reversão. Use a Azure Policy para negar eliminações de armazenamentos de dados com os efeitos Deny e DenyAction ou auditar alterações com Audit e auditIfNotExists. Se usares Bicep, considera usar stacks de implantação Bicep para evitar alterações não autorizadas. Apenas use bloqueios de recursos para evitar estritamente modificações ou exclusões não intencionais de dados críticos. Evite usar bloqueios de recursos para proteger configurações, pois os bloqueios de recursos complicam as implantações de IAC.

6. Gerir dados da carga de trabalho. Consulte as recomendações do Quadro Well-Architected sobre classificação de dados.

Para obter mais informações, consulte Implementar governança de dados.

Gerir os custos

Gerenciar custos em operações de nuvem significa rastrear os gastos ativamente de forma centralizada e por carga de trabalho. O controlo dos custos deve dar visibilidade às despesas e incentivar despesas responsáveis. Siga estes passos:

1. Gerir e rever os custos. Utilize as ferramentas Microsoft Cost Management para monitorizar os custos na cloud. O Azure não tem um mecanismo para toda a subscrição que limite os gastos a um certo limiar. Alguns serviços, como Azure Log Analytics workspace, têm limites de despesa. Sua estratégia de monitoramento de custos serve como sua principal ferramenta para gerenciar despesas.

2. Gerir os custos da carga de trabalho. Conceder acesso à faturação às equipas de workload. Façam com que estas equipas utilizem a lista de verificação de otimização de custos do Well-Architected Framework .

Gerenciar código e tempo de execução

O gerenciamento de código e tempo de execução são responsabilidades de carga de trabalho. Faça com que suas equipes de carga de trabalho usem a lista de verificação de Excelência Operacional do Well-Architected Framework, que descreve 12 recomendações para controlar o código e o tempo de execução.

Gerenciar recursos na nuvem

Estabeleça protocolos de implantação claros e estratégias proativas de deteção de desvio e expansão para manter a consistência entre os ambientes. Esta secção abrange:

• Implementações de portal
• Implantações de código
• Desvio de configuração
• Expansão de recursos

Gerenciar implantações de portal

Defina protocolos e limites para implantações de portal para minimizar o potencial de problemas de produção. Siga estes passos:

1. Defina a política de implementação do portal. Garantir que alterações significativas relacionadas com o portal cumprem os processos estabelecidos de gestão de mudanças. Use implantações de portal principalmente para prototipagem rápida, solução de problemas ou pequenos ajustes em ambientes de desenvolvimento e teste. Evite alterações não estruturadas no portal porque essas alterações levam a desvios, configurações incorretas e problemas de conformidade. Em vez disso, confie em modelos de infraestrutura como código (IaC) controlados por versão para obter consistência. Para obter mais informações, consulte gerir implementações de código.

2. Diferencie ambientes de trabalho. Limitar as alterações via portal estritamente a ambientes não produtivos. Permita a prototipagem rápida exclusivamente em ambientes dedicados de desenvolvimento ou teste e imponha controles rigorosos na produção.

3. Restringir permissões do portal. Limitar as capacidades de implantação a partir do portal utilizando controlo de acesso baseado em funções (RBAC). Atribua permissões somente leitura por padrão e escale privilégios somente quando necessário.

   • Permita acesso no momento certo. Utilize o Privileged Identity Management (PIM) para aceder aos recursos do Azure e do Microsoft Entra. Requer aprovações sequenciais de vários indivíduos ou grupos para ativar o PIM. Reserve funções privilegiadas ("A0" funções de super administrador) exclusivamente para cenários de emergência.

   • Estruture o RBAC com base no modelo operacional. Desenhar políticas RBAC adaptadas às equipas operacionais, incluindo níveis de suporte, operações de segurança, plataformas, redes e cargas de trabalho.

   • Audite todas as atividades. Monitoriza e regista todas as ações no teu sistema. Use Azure Policy para auditar alterações (Audit ou auditIfNotExists). Além disso, configure o alerta alert em Azure Monitor para notificar as partes interessadas quando alguém elimina um recurso Azure. Se usares Bicep, considera usar stacks de implantação Bicep para evitar alterações não autorizadas.

4. Utilize modelos com controlo de versão. Limite o uso do portal a cenários de emergência se empregar implantações IaC. As alterações no portal resultam em desvio de configuração dos modelos IaC. Replicar imediatamente todas as alterações baseadas em portais em modelos IaC controlados por versão, como modelos Bicep, Terraform ou ARM. Exporte regularmente configurações de recursos do Azure e armazene-as como IaC para manter os ambientes de produção alinhados com configurações aprovadas e rastreáveis. Consulte orientações sobre como exportar configurações do Azure como templates Bicep, Terraform ou ARM. Considere as especificações de modelos se estiver a usar modelos ARM.

   Ferramenta	Caso de uso
   Bicep	IaC gerível e legível específico do Azure
   Terraforma	Solução multicloud, suporte mais amplo da comunidade
   modelos ARM	Controle total, confortável com JSON

Gerenciar implantações de código

Adote práticas recomendadas para automatizar e controlar alterações no código e na infraestrutura. Siga estes passos:

1. Padronizar o conjunto de ferramentas. Utilize um conjunto de ferramentas consistente para minimizar a troca de contexto. Escolha ferramentas para programadores (VS Code, Visual Studio), um repositório de código (GitHub, Azure DevOps), um pipeline CI/CD (GitHub Actions, Azure Pipelines) e uma solução IaC (Bicep, Terraform, ou ARM templates) que funcionam em conjunto.

2. Use o controle de versão. Mantenha uma única fonte de verdade para o seu código. Use o controle de versão para reduzir o desvio de configuração e simplificar os procedimentos de reversão.

3. Utilize pipelines de implementação. Um pipeline CI/CD automatiza o processo de compilação, executa testes e analisa o código em busca de problemas de qualidade e segurança em cada pull request. Use GitHub Actions ou Azure Pipelines para construir e implementar código de aplicação e ficheiros IaC. Imponha ganchos de pré-confirmação e verificações automatizadas para detetar alterações não autorizadas ou de alto risco antecipadamente.

4. Implantações de teste. Organize as aprovações por etapas dentro dos seus pipelines CI/CD para validar implementações progressivamente. Siga esta sequência: desenvolvimento, verificação de compilação, testes de integração, testes de desempenho, UAT (teste de aceitação do usuário), estágio, lançamentos canários, pré-produção e, finalmente, produção.

5. Use a infraestrutura como código (IaC). Utilize o IaC para garantir consistência e gerir as implementações através do controlo de versões. Passar de provas de conceito baseadas em portais Azure para IaC para ambientes de produção. Use modelos Bicep, Terraform ou ARM para definir recursos. Para Bicep, use módulos e considere pilhas de implementação. Para o modelo ARM, considere as especificações do modelo para implantação com controle de versão.

6. Aplicar as melhores práticas dos repositórios de código. Seguir estes padrões reduz erros, simplifica as revisões de código e evita problemas de integração. Para ambientes de produção de alta prioridade:

   Exigência	Descrição
   Desativar envios diretos	Bloquear confirmações diretas para a ramificação principal
   Exigir requisições de pull	Exigir que todas as alterações passem por uma solicitação pull
   Exigir revisões de código	Certifique-se de que alguém que não seja o autor revise cada pedido de pull.
   Aplicar limiares de cobertura de código	Garantir que uma porcentagem mínima de código seja aprovada nos testes automatizados para todos os pedidos de pull
   Utilizar pipelines de validação	Configurar regras de proteção de ramificação para executar um pipeline de validação para solicitações pull

7. Exigir verificações de integração da equipa de workload. Verifique se as novas bases de código e equipas estão alinhadas com os objetivos, padrões e melhores práticas de negócio. Use uma lista de verificação para confirmar a estrutura do repositório de código, padrões de nomenclatura, padrões de codificação e configurações de pipeline de CI/CD.

Gerenciar desvio de configuração

Gerencie desvios de configuração identificando e corrigindo discrepâncias entre a configuração pretendida e o ambiente ativo. Siga estas práticas recomendadas:

1. Prevenir e detetar alteração. Utilize Análise de Alterações para detetar alterações de configuração e explicar as suas causas subjacentes. Use o Azure Policy para negar e auditar alterações utilizando efeitos como Deny, DenyAction, Audit e auditIfNotExists. Se usares Bicep, considera usar stacks de implantação Bicep para evitar alterações não autorizadas.

2. Detetar deriva da configuração IaC. A deriva ocorre quando alguém atualiza o ficheiro IaC (intencional, não intencional) ou faz uma alteração no portal Azure. Compare regularmente o ambiente ao vivo com a configuração desejada para detetar desvios:

   • Armazene as configurações desejadas e as últimas configurações conhecidas como boas. Guarde o ficheiro de configuração desejado num repositório controlado por versões. Este arquivo mostra a configuração original pretendida. Mantenha uma última configuração válida conhecida como uma referência de reversão confiável e linha de base para deteção de desvios.

   • Detetar desvio de configuração antes da implantação. Pré-visualize possíveis alterações antes da implementação usando o plano Terraform, o Bicep what-if, ou o modelo ARM what-if. Investigue as discrepâncias minuciosamente para garantir que as alterações propostas estejam alinhadas com o estado desejado.

   • Detetar desvio após a implementação. Compare regularmente ambientes de produção com configurações desejadas através de verificações regulares de desvio de configuração. Integre essas verificações em seus pipelines de CI/CD ou conduza-as manualmente para manter a consistência. Veja um exemplo com Azure Policy e Azure Pipelines.

   • Voltar para a última configuração funcional conhecida. Desenvolva estratégias claras de rollback que utilizem procedimentos automatizados dentro do seu pipeline CI/CD. Use a sua última configuração válida conhecida para reverter rapidamente alterações indesejadas e minimizar o tempo de inatividade.

   • Minimizar as mudanças motivadas pelo portal. Reduza ao mínimo as alterações não-IaC apenas para cenários de emergência. Aplicar controlos de acesso rigorosos, como o Privileged Identity Management. Atualize imediatamente os arquivos IaC se forem necessários ajustes manuais para preservar a precisão da configuração desejada.

Gerenciar a expansão de recursos

A expansão de recursos descreve o crescimento descontrolado dos recursos de nuvem. Esse crescimento aumenta os custos, os riscos de segurança e a complexidade do gerenciamento. Siga estes passos:

1. Implemente políticas de governação. Use o Azure Policy para impor normas de provisionamento de recursos e etiquetagem em toda a sua organização. Crie uma estratégia de nomenclatura clara para facilitar a visibilidade dos recursos.

2. Organize os recursos de forma eficaz. Estruture os recursos hierarquicamente com grupos de gestão e subscrições alinhados com as necessidades da sua organização. Esta estrutura melhora a visibilidade e a gestão de recursos. Consulte as orientações da Zona de Aterragem do Azure para boas práticas comprovadas.

3. Restringa as permissões de implantação. Implementar as melhores práticas de controlo de acesso baseado em funções (RBAC) descritas no Azure RBAC e no Microsoft Entra RBAC. Atribua permissões apropriadas aos usuários. Use funções de leitor para minimizar os riscos de criação de recursos não autorizados.

4. Realizar auditorias regulares. Utilize o Assistente do Azure para identificar recursos do Azure não utilizados ou subutilizados. Use o Gerenciamento de Custos para analisar seus gastos na nuvem e remover recursos órfãos que causam custos desnecessários. Nem todos os recursos do Azure têm encargos. Execute consultas em Azure Resource Graph para manter um inventário de recursos preciso.

Gerir a recolocação

Avalie periodicamente as suas regiões atuais do Azure para determinar se realocar cargas de trabalho para outros locais melhora a eficiência, reduz custos ou melhora o desempenho.

• Compreenda os fatores de relocalização. Compreender os motivos da realocação garante que cada mudança tem uma justificação comercial válida, dado que a realocação envolve risco e custo. As justificativas comerciais comuns para a realocação incluem expansão de negócios, requisitos de conformidade regulatória e proximidade com usuários finais.

• Gerir os riscos de relocalização. Gerir os riscos de relocalização previne perturbações e mantém a conformidade. Defina janelas de tempo de inatividade aceitáveis, comunique os impactos às partes interessadas e garanta a aderência às políticas organizacionais e às regulamentações do setor.

• Gerir os custos de relocalização. Gerir os custos de relocalização evita gastos desnecessários durante a migração. Transfira dados uma vez, remova ambientes duplicados e compare preços regionais do Azure. Consulte o preçário da largura de banda Azure.

• Gerir projetos de realocação. As equipas pequenas devem migrar as cargas de trabalho uma de cada vez, com execução focada. Grandes equipes devem realocar várias cargas de trabalho simultaneamente para alcançar a eficiência por meio de um planejamento coordenado.

Para obter mais informações, consulte Relocalizar cargas de trabalho.

Gerenciar sistemas operacionais

Quando você usa máquinas virtuais, também precisa gerenciar o sistema operacional. Siga estes passos:

1. Automatizar a manutenção das máquinas virtuais. No Azure, utilize ferramentas de automação para criar e gerir máquinas virtuais Azure. Use Configuração de Máquina Azure para auditar ou configurar as definições do sistema operativo como código para máquinas em execução no Azure e em ambientes híbridos.

2. Atualize os sistemas operativos. É necessário gerir as atualizações das máquinas virtuais convidadas e a manutenção do host para garantir que os sistemas operativos estão atualizados para fins de segurança.

3. Monitorizar as operações no sistema convidado. Utilize o serviço Azure Registo de Alterações e Inventário para melhorar a auditoria e a governação das operações no SO convidado. Monitoriza alterações e fornece registos detalhados de inventário para servidores no Azure, on-premises e outros ambientes cloud.