Administrera din Azure-miljö

Den här artikeln beskriver hur du administrerar din Azure-molnegendom för att säkerställa driftshälsa. Du behöver stark administrativ kontroll över dina molnåtgärder för att säkerställa att molnet överensstämmer med dina affärsmål.

Identifiera ditt hanteringsomfång

Hanteringsansvaret varierar beroende på distributionsmodell. Använd följande tabell för att identifiera ditt hanteringsansvar för infrastruktur (IaaS), plattform (PaaS), programvara (SaaS) och lokala distributioner.

Hantera ändringar

Ändring är den vanligaste källan till problem i molnet. Därför behöver du en metod för ändringshantering som spårar ändringar och deras godkännanden. Den bör också identifiera icke godkända ändringar och återställa dem till önskat tillstånd. Följ dessa steg:

1. Utveckla en process för ändringsbegäran. Använd ett formellt system, till exempel ett biljettverktyg, pull-begäran (GitHub eller Azure DevOps) eller angivna formulär. Processen för ändringsbegäran måste samla in viktig information som typen av ändring, begärandeidentitet, målmiljö, omfång och orsaken. Håll separata procedurer för rutinmässiga tjänstbegäranden som lösenordsåterställning.

2. Utvärdera den risk som är kopplad till ändringen. Tilldela tydliga riskkategorier (hög, medel, låg) för att balansera distributionshastigheten med riskhantering. Utvärdera varje ändring enligt kriterier som stilleståndstidstolerans (felbudget) och arbetsbelastningskritiskhet. Använd följande tabell som ett exempel för att fastställa lämpligt arbetsflöde för godkännande:

   Risknivå	Avbrottsersättning	Arbetsbelastningskritiskhet	Godkännandeprocess	Exempeländringar
   Hög	Ingen stilleståndstid tillåts	Dessa ändringar påverkar verksamhetskritiska system som kräver kontinuerlig tillgänglighet med nolltolerans för eventuella driftstopp.	Flera seniora ingenjörer granskar, automatiserade pipeline-varningar, progressiv exponeringsmodell, och aktiv övervakning.	Viktiga infrastrukturuppdateringar
   Mellan	Kort stilleståndstid tillåts	Dessa ändringar påverkar viktiga system med begränsad tolerans för stilleståndstid.	Den automatiserade pipelinen flaggar ändringen. Snabbgranskning av ingenjörer om övervakningen larmar.	Icke-kritiska systemuppdateringar, funktionsförbättringar under korta underhållsperioder
   Låg	Omfattande stilleståndstid tillåts	Dessa ändringar påverkar icke-kritiska system där utökad stilleståndstid är acceptabel utan att påverka övergripande åtgärder.	Fullständigt automatiserad distribution via CI/CD kör fördistributionstester och övervakning.	Rutinuppdateringar, mindre principuppdateringar

3. Standardisera godkännandet tydligt. Definiera godkännandekriterier och utfärdare som krävs på varje risknivå. Ange vem som måste granska varje ändring, oavsett om det är en enskild godkännare eller en granskningsnämnd, och klargöra hur granskare måste tillhandahålla och lösa feedback.

4. Standardisera distributionsprocessen. Beskriva procedurerna för att skapa, testa och distribuera godkända ändringar i produktion. Mer information finns i Hantera molnresurser.

5. Standardisera processen efter distributionen. Bekräfta lyckade ändringar genom att implementera övervaknings- och valideringssteg. Inkludera en tydlig återställningsstrategi för att snabbt återställa tjänsten om en ändring medför problem.

6. Förhindra och identifiera obehöriga ändringar. Använd Ändringsanalys för att identifiera konfigurationsändringar och förklara deras underliggande orsaker. Använd Azure Policy för att neka och granska ändringar med hjälp av effekter som Neka, DenyAction, Granskning och auditIfNotExists. Om du använder Bicep bör du överväga att använda Bicep-distributionsstackar för att förhindra obehöriga ändringar.

Hantera säkerhet

Identiteten är din säkerhetsperimeter. Du måste verifiera identiteter, begränsa behörigheter och underhålla säkra resurskonfigurationer. Följ dessa steg:

1. Hantera identiteter. Använd Microsoft Entra ID som din enhetliga identitetshanteringslösning. Definiera behörigheter tydligt genom att tillämpa rollbaserad åtkomstkontroll (RBAC). Använd Microsoft Entra ID-styrning för att styra arbetsflöden för åtkomstbegäran, åtkomstgranskningar och livscykelhantering för identiteter. Aktivera Privileged Identity Management för att bevilja just-in-time-privilegierad åtkomst. Den här strategin minskar onödig förhöjd åtkomst. Hantera alla tre identitetstyperna (användare, program, enhet) konsekvent för att säkerställa korrekt autentisering och auktorisering.

2. Hantera åtkomst. Använd rollbaserad åtkomstkontroll i Azure (RBAC) och attributbaserad åtkomstkontroll (ABAC) för att ge minst behörighet för att utföra jobbet. Om du vill begränsa hanteringskostnaderna föredrar du rolltilldelningar baserat på grupper. Bevilja behörigheter med det lägsta obligatoriska omfånget, till exempel prenumerationer, resursgrupper eller enskilda resurser. Undvik alltför breda behörighetsomfång för att förhindra oavsiktlig eskalering av privilegier. Tilldela endast de behörigheter som krävs för varje användares roll.

3. Hantera resurskonfigurationer. Använd infrastruktur som kod (IaC) för att säkerställa konsekvent och reproducerbar konfiguration av resurser. Använd sedan Azure Policy för att framtvinga säkra konfigurationer av specifika Azure-tjänster. I säkerhetsbaslinjerna finns vägledning om tillgängliga säkerhetsfunktioner och optimala säkerhetskonfigurationer. Som en tilläggsfunktion, använd säkerhetspolicyer i Defender för molnet för att följa vanliga säkerhetsstandarder.

4. Hantera autentisering. Se till att användarna antar stark autentisering via multifaktorautentisering (MFA) och använder Microsoft Entra multifaktorautentisering (MFA). Kräv alltid villkorsstyrd åtkomst för att framtvinga autentisering baserat på användaridentitet, enhetshälsa och åtkomstkontext. Konfigurera lösenordsåterställning med självbetjäning och eliminera svaga lösenord.

5. Hantera säkerhetsinformation. Använd Microsoft Sentinel för säkerhetsinformation och till och med hantering (SIEM) och säkerhetsorkestrering, automatisering och svar (SOAR).

6. Kontrollera arbetsbelastningssäkerheten. Säkerhetsrekommendationer för arbetsbelastningar finns i Well-Architected Frameworks säkerhetschecklista och Azure-tjänstguider (börja med avsnittet Säkerhet).

Hantera efterlevnad

Efterlevnadshantering säkerställer att Azure-åtgärder förblir i linje med etablerade styrningsprinciper och regelstandarder. Du måste minska risken genom att skydda miljön mot potentiella överträdelser och felkonfigurationer. Följ dessa steg:

1. Förstå dina styrningsprinciper. Styrningsprinciper definierar de begränsningar på hög nivå som dina team måste följa för att förbli kompatibla. Granska organisationens principer och mappa varje krav till dina operativa processer. Om du inte har styrningsprinciper ska du först dokumentera styrningsprinciper.

2. Hantera efterlevnad. Genom att framtvinga efterlevnad säkerställer du att din miljö förblir i linje med både organisations- och regelstandarder. I följande tabell finns principrekommendationer.

   Rekommendation	Detaljer
   Börja med allmänna principdefinitioner	Börja med Azure Policys allmänna definitioner, inklusive tillåtna platser, otillåtna resurstyper och granska anpassade RBAC-roller.
   Anpassa till regleringsstandarder	Använd Azure Policys kostnadsfria, inbyggda definitioner i enlighet med regelstandarder som ISO 27001, NIST SP 800-53, PCI DSS, EU GDPR

Mer information finns i Framtvinga efterlevnad i Azure.

Hantera data

Att hantera data i molnåtgärder innebär att aktivt klassificera, segmentera, skydda åtkomst och skydda mot borttagning. Du måste skydda känslig information, upprätthålla efterlevnad och säkerställa datatillförlitlighet under driftsändringar. Följ dessa steg:

1. Identifiera och klassificera data. Identifiera och kategorisera data efter känslighet och prioritet. Den här klassificeringen vägleder skräddarsydda kontroller för varje datatyp. Använd Microsoft Purview för datastyrning. Mer information finns i Datakällor som ansluter till Microsoft Purview Data Map.

2. Kontrollera datahemvist. Välj regioner inom ditt geografiska område, till exempel USA eller Europa, för att uppfylla kraven på datahemvist. Kontrollera eventuella undantag eftersom vissa Azure-tjänster kan lagra data utanför den valda regionen. Granska regelbundet inställningar för Azure-datahemvist och efterlevnadskrav för att behålla fullständig kontroll över dina kunddata.

3. Isolera interna ("Corp") och internetuppkopplade ("Online") arbetsbelastningar. Använd hanteringsgrupper för att separera interna och externa arbetsbelastningar. Interna arbetsbelastningar kräver vanligtvis anslutning eller hybridanslutning till företagets nätverk. Externa arbetsbelastningar kräver vanligtvis inte företagsnätverksanslutning och kan behöva direkt inkommande eller utgående Internetåtkomst. Du kan till exempel granska hanteringsgrupperna "Corp" (intern) och "Online" (internetuppkopplad) i Azure-landningszonen.

4. Framtvinga åtkomstkontroll. Implementera robusta åtkomstkontroller, till exempel Azure RBAC och Azure ABAC, för att säkerställa att endast auktoriserad personal får åtkomst till känsliga data baserat på definierade klassificeringar.

5. Skydda data från borttagning. Använd funktioner som mjuk borttagning, versionshantering av data och oföränderlighet där det är tillgängligt. Implementera databasversionshantering och förbereda återställningsprocedurer. Använd Azure Policy för att neka borttagningar av datalager med effekterna Neka och NekaÅtgärd eller granska ändringar med Audit och auditIfNotExists eventuella ändringar. Om du använder Bicep bör du överväga att använda Bicep-distributionsstackar för att förhindra obehöriga ändringar. Använd endast resurslås strikt för att förhindra oavsiktliga ändringar eller borttagningar av kritiska data. Undvik att använda resurslås för att skydda konfigurationer, eftersom resurslås komplicerar IaC-distributioner.

6. Hantera arbetsbelastningsdata. Se Well-Architected Frameworks rekommendationer om dataklassificering.

Mer information finns i Framtvinga datastyrning.

Hantera kostnader

Att hantera kostnader i molnåtgärder innebär att spåra utgifter aktivt både centralt och per arbetsbelastning. Kostnadskontroll bör ge insyn i utgifter och uppmuntra ansvarsfulla utgifter. Följ dessa steg:

1. Hantera och granska kostnader. Använd Microsoft Cost Management-verktyg för att övervaka molnkostnader. Azure saknar en prenumerationsomfattande mekanism för att begränsa utgifterna till ett visst tröskelvärde. Vissa tjänster, till exempel Azure Log Analytics-arbetsytan, har utgiftstak. Din strategi för kostnadsövervakning fungerar som ditt primära verktyg för att hantera utgifter.

2. Hantera arbetsbelastningskostnader. Bevilja faktureringsåtkomst till arbetsbelastningsteam. Låt dessa team använda checklistan för kostnadsoptimering i Well-Architected Framework.

Hantera kod och körtid

Att hantera kod och drifttid är ansvarsområden för arbetsbelastningen. Låt dina team använda Well-Architected Frameworks Operational Excellence-checklista, som innehåller 12 rekommendationer för att hantera kod och körtid.

Hantera molnresurser

Upprätta tydliga distributionsprotokoll och proaktiva strategier för drift- och spridningsidentifiering för att upprätthålla konsekvens mellan miljöer. Det här avsnittet omfattar:

• Portaldistributioner
• Kodutplaceringar
• Konfigurationsavvikelse
• Resursspridning

Hantera portaltilldelningar

Definiera protokoll och gränser för portaldistributioner för att minimera risken för produktionsproblem. Följ dessa steg:

1. Definiera portalens distributionsprincip. Se till att betydande portalbaserade ändringar följer etablerade ändringshanteringsprocesser. Använd portaldistributioner främst för snabba prototyper, felsökning eller mindre justeringar i utvecklings- och testmiljöer. Undvik ostrukturerade portaländringar eftersom dessa ändringar leder till driftproblem, felkonfigurationer och efterlevnadsproblem. Förlita dig istället på versionskontrollerade infrastruktur-som-kod (IaC) mallar för att säkerställa konsekvens. Mer information finns i Hantera koddistributioner.

2. Differentiera miljöer. Begränsa portalbaserade ändringar strikt till icke-produktionsmiljöer. Tillåt snabba prototyper uteslutande i dedikerade utvecklings- eller testmiljöer och framtvinga stränga kontroller i produktion.

3. Begränsa portalbehörigheter. Begränsa distributionsfunktionerna från portalen med hjälp av rollbaserad åtkomstkontroll (RBAC). Tilldela skrivskyddade behörigheter som standard och eskalera endast behörigheter när det behövs.

   • Bevilja just-in-time-åtkomst. Använd Privileged Identity Management (PIM) för åtkomst till Azure- och Microsoft Entra-resurser. Kräv sekventiella godkännanden från flera individer eller grupper för aktivering av PIM. Reservera privilegierade roller ("A0" superadministratörsroller) uteslutande för nödsituationsscenarier.

   • Strukturera RBAC baserat på driftsmodellen. Utforma RBAC-principer som är skräddarsydda för operativa team, inklusive supportnivåer, säkerhetsåtgärder, plattformar, nätverk och arbetsbelastningar.

   • Granska alla aktiviteter. Övervaka och registrera alla åtgärder i systemet. Använd Azure Policy för att granska (granska eller AuditIfNotExists) ändringar. Konfigurera dessutom aviseringar i Azure Monitor för att meddela intressenter när någon tar bort en Azure-resurs. Om du använder Bicep bör du överväga att använda Bicep-distributionsstackar för att förhindra obehöriga ändringar.

4. Använd versionskontrollerade mallar. Begränsa användningen av portalen till nödsituationsscenarier om du använder IaC-distributioner. Portaländringar resulterar i konfigurationsavvikelse från IaC-mallar. Replikera alla portalbaserade ändringar omedelbart i versionskontrollerade IaC-mallar, till exempel Bicep-, Terraform- eller ARM-mallar . Exportera regelbundet Azure-resurskonfigurationer och lagra dem som IaC för att underhålla produktionsmiljöer som är anpassade till godkända, spårningsbara konfigurationer. Se vägledning om hur du exporterar Azure-konfigurationer som Bicep-, Terraform- eller ARM-mallar. Överväg mallspecifikationer om du använder ARM-mallar.

   Verktyg	Användningsfall
   Biceps	Hanterlig och lättläst Azure-specifik IaC
   Terraform	Multicloud-lösning, bredare communitystöd
   ARM-mallar	Fullständig kontroll, bekväm med JSON

Hantera koddistributioner

Anta metodtips för att automatisera och kontrollera ändringar i kod och infrastruktur. Följ dessa steg:

1. Standardisera verktyg. Använd en konsekvent verktygsuppsättning för att minimera kontextväxling. Välj utvecklarverktyg (VS Code, Visual Studio), en kodlagringsplats (GitHub, Azure DevOps), en CI/CD-pipeline (GitHub Actions, Azure Pipelines) och en IaC-lösning (Bicep, Terraform eller ARM-mallar ) som fungerar tillsammans.

2. Använd versionskontroll. Behåll en enda sanningskälla för din kod. Använd versionskontroll för att minska konfigurationsavvikelsen och förenkla återställningsprocedurerna.

3. Använd distributionspipelines. En CI/CD-pipeline automatiserar byggprocessen, kör tester och söker igenom kod efter kvalitets- och säkerhetsproblem med varje pull-begäran. Använd GitHub Actions eller Azure Pipelines för att skapa och distribuera programkod och IaC-filer. Tillämpa förändringskontrollpunkter och automatiska skanningar för att upptäcka obehöriga eller hög risk ändringar tidigt.

4. Testa distributioner. Mellanlagra godkännanden i DINA CI/CD-pipelines för att verifiera distributioner progressivt. Följ den här sekvensen: utveckling, byggverifiering, integreringstester, prestandatester, användargodkännandetestning (UAT), mellanlagring, kanarieversioner, förproduktion och slutligen produktion.

5. Använd infrastruktur som kod (IaC). Använd IaC för att säkerställa konsekvens och hantera distributioner via versionskontroll. Flytta från Azure portal-baserade pilotprojekt till IaC för produktionsmiljöer. Använd Bicep-, Terraform- eller ARM-mallar för att definiera resurser. För Bicep använder du moduler och överväger distributionsstackar. För ARM-mall bör du överväga mallspecifikationer för versionsdistribution.

6. Tillämpa metodtips för kodlagringsplats. Genom att följa dessa standarder minskar felen, effektiviserar kodgranskningar och undviker integreringsproblem. För produktionsmiljöer med hög prioritet:

   Krav	Beskrivning
   Inaktivera direkt push-överföring	Blockera direkta åtaganden till huvudgrenen
   Kräv pull-förfrågningar	Kräv att alla ändringar skickas via en pull-begäran
   Kräv kodgranskningar	Se till att någon annan än författaren granskar varje pull-begäran
   Framtvinga tröskelvärden för kodtäckning	Se till att en minsta procentandel av koden klarar automatiserade tester för alla pull-begäranden
   Använd valideringspipelines	Konfigurera grenskyddsregler för att köra en valideringspipeline för pull-begäranden

7. Kräv registreringskontroller för arbetsbelastningsteamet. Kontrollera att nya kodbaser och team överensstämmer med affärsmål, standarder och metodtips. Använd en checklista för att bekräfta kodlagringsplatsens struktur, namngivningsstandarder, kodningsstandarder och CI/CD-pipelinekonfigurationer.

Hantera konfigurationsdrift

Hantera konfigurationsavvikelser genom att identifiera och korrigera avvikelser mellan den avsedda konfigurationen och den aktiva miljön. Följ dessa metodtips:

1. Förhindra och identifiera ändringar. Använd Ändringsanalys för att identifiera konfigurationsändringar och förklara deras underliggande orsaker. Använd Azure Policy för att neka och granska ändringar med hjälp av effekter som Neka, DenyAction, Granskning och auditIfNotExists. Om du använder Bicep bör du överväga att använda Bicep-distributionsstackar för att förhindra obehöriga ändringar.

2. Identifiera IaC-konfigurationsavvikelse. Drift uppstår när någon uppdaterar IaC-filen (avsiktlig, oavsiktlig) eller gör en ändring i Azure-portalen. Jämför regelbundet livemiljön med önskad konfiguration för att identifiera drift:

   • Lagra önskade och senast kända konfigurationer. Spara önskad konfigurationsfil på en versionskontrollerad lagringsplats. Den här filen visar den ursprungliga, avsedda konfigurationen. Underhåll en sist fungerande konfiguration som en tillförlitlig referenspunkt för återställning och baslinje för driftövervakning.

   • Identifiera konfigurationsavvikelse före distribution. Förhandsgranska potentiella ändringar före distribution med Terraform-plan, Bicep what-if eller ARM-mall what-if. Undersök avvikelser noggrant för att säkerställa att föreslagna ändringar överensstämmer med önskat tillstånd.

   • Identifiera drift efter distribution. Jämför regelbundet livemiljöer med önskade konfigurationer genom regelbundna driftkontroller. Integrera dessa kontroller i dina CI/CD-pipelines eller utför dem manuellt för att upprätthålla enhetlighet. Se ett exempel med Azure Policy och Azure Pipelines.

   • Återställning till den senaste kända konfigurationen. Utveckla tydliga återställningsstrategier som använder automatiserade procedurer i din CI/CD-pipeline. Använd den senaste kända konfigurationen för att snabbt återställa oönskade ändringar och minimera stilleståndstiden.

   • Minimera portaldrivna ändringar. Minimera endast icke-IaC-ändringar i nödsituationsscenarier. Framtvinga strikta åtkomstkontroller, till exempel Privileged Identity Management. Uppdatera omedelbart IaC-filer om manuella justeringar krävs för att bevara noggrannheten i den önskade konfigurationen.

Hantera resursutbredning

Resursspridning beskriver den okontrollerade tillväxten av molnresurser. Den här tillväxten ökar kostnaderna, säkerhetsriskerna och hanteringskomplexiteten. Följ dessa steg:

1. Implementera styrningsprinciper. Använd Azure Policy för att tillämpa standarder för resursetablering och taggning i hela organisationen. Skapa en tydlig namngivningsstrategi för enklare resurssynlighet.

2. Organisera resurser effektivt. Strukturera resurser hierarkiskt med hanteringsgrupper och prenumerationer som är anpassade efter organisationens behov. Den här strukturen förbättrar synligheten och resurshanteringen. Se vägledningen för Azure-landningszoner för beprövade metodtips.

3. Begränsa distributionsbehörigheter. Implementera metodtips för rollbaserad åtkomstkontroll (RBAC) som beskrivs i Azure RBAC och Microsoft Entra RBAC. Tilldela lämpliga behörigheter till användare. Använd läsarroller för att minimera risken för att obehöriga resurser skapas.

4. Utför regelbundna revisioner. Använd Azure Advisor för att identifiera oanvända eller underutnyttjade Azure-resurser. Använd Cost Management för att analysera dina molnutgifter och ta bort överblivna resurser som orsakar onödiga kostnader. Tänk på att inte alla Azure-resurser debiteras. Kör frågor i Azure Resource Graph för att upprätthålla en korrekt resursinventering.

Hantera flytt

Utvärdera regelbundet dina aktuella Azure-regioner för att avgöra om om flyttning av arbetsbelastningar någon annanstans förbättrar effektiviteten, minskar kostnaderna eller förbättrar prestandan.

• Förstå omlokaliseringsdrivrutiner. Att förstå omlokaliseringsdrivrutiner säkerställer att varje flytt har giltiga affärsmotiveringar, eftersom omlokalisering innebär risker och kostnader. Vanliga affärsmotiveringar för omlokalisering är affärsexpansion, regelefterlevnadskrav och närhet till slutanvändare.

• Hantera omlokaliseringsrisker. Att hantera omlokaliseringsrisker förhindrar störningar och upprätthåller efterlevnaden. Definiera godtagbara stilleståndstider, kommunicera påverkan till intressenter och se till att organisationens principer och branschregler följs.

• Hantera flyttkostnader. Att hantera omlokaliseringskostnader förhindrar onödiga utgifter under migreringen. Överför data en gång, ta bort duplicerade miljöer och jämför regionala Azure-priser. Granska prissättningen för Azure-bandbredd.

• Hantera omlokaliseringsprojekt. Små team bör migrera arbetsuppgifter en i taget med fokuserat utförande. Stora team bör flytta flera arbetsbelastningar samtidigt för att uppnå effektivitet genom samordnad planering.

Mer information finns i Flytta arbetsbelastningar.

Hantera operativsystem

Där du använder virtuella datorer måste du också hantera operativsystemet. Följ dessa steg:

1. Automatisera underhåll av virtuella datorer. I Azure använder du automatiseringsverktyg för att skapa och hantera virtuella Azure-datorer. Använd Azure Machine Configuration för att granska eller konfigurera operativsysteminställningar som kod för datorer som körs i Azure och hybrid.

2. Uppdatera operativsystem. Du måste hantera gästuppdateringar och värdunderhåll för att säkerställa att operativsystemen är uppdaterade i säkerhetssyfte.

3. Övervaka gäståtgärder. Använd Azure Change Tracking and Inventory-tjänsten för att förbättra granskning och styrning för gäståtgärder. Den övervakar ändringar och tillhandahåller detaljerade inventeringsloggar för servrar i Azure, lokalt och andra molnmiljöer.

Azure-hanteringsverktyg

Nästa steg