Azure hallintamallin käyttöönotto
Azuren hallintamallin laatimisen jälkeen on tärkeää myös jalkauttaa hallintamallissa kuvatut päätökset ja vaatimukset (actionable governance). Azuren kaltaisen julkisen pilvipalvelun käyttöönotto edellyttää tiettyjä toimenpiteitä jotta sen tuottamat hyödyt tulevat lunastetuiksi.
Hyvin laaditun ja käyttöönotetun hallintamallin avulla pystytään tarjoamaan mm. sovelluskehitystiimeille autonomiaa ja nopeutta kehitykseen, sekä mahdollistetaan myös itsepalvelumalliset prosessit kuten Landing Zone ja subscription vending.
Azure tarjoaa useita työkaluja hallintamallin jalkautukseen ja tutustumme tässä niistä neljään ehkä tärkeimpään:
- Azure Management Groups
- Azure Role-based access control
- Azure Policy
- Azure Cost Management
Azure Management Groups
Management Groupeilla voidaan muodostaa hierarkia, joka mahdollistaa hallintamallin vaatimusten kohdistamisen automaattisesti subscriptioneihin. Management Group-rakenne voi olla monitasoinen, jolloin ylätasolta voidaan jaella yleiset kaikkia subscriptioneita koskevat Azure Policyt ja RBAC-oikeusmäärittelyt ja kohdentaa esimerkiksi kehitykseen tarkoitetuille subscriptioneille omat vaatimukset ja säännöt. Kaikki ylätason Management Groupeissa määritellyt asiat periytyvät hierarkiassa alaspäin ja subscriptionin sisällä aina resource grouppeihin ja resursseihin asti.
Management Grouppien tärkein funktio on kohdistaa halutut Azure Policyt ja Azure Role-based Access Control-säännöt.
Management Groups-hierarkiasta ei ole tarkoitus tehdä monimutkaista, vaan hyvä käytäntö ja Microsoft Cloud Adoption Frameworkin suositus on kerätä samanlaisia ominaisuuksia ja vaatimuksia omaavia työkuormia/ympäristöjä sisältävät subscriptionit saman Management Groupin alle.
Azure Role-based Access Control
Azure Role-Based Access Control (RBAC) mahdollistaa käyttöoikeuksien hallinnan Azure-resursseille. Azure role-based access controllin avulla voit määrittää, kuka pääsee käsiksi Azure-resursseihin, mitä he voivat tehdä niillä resursseilla ja millä laajuudella ja tasolla (scope) käyttäjä pystyy toimimaan. Azure RBAC tukee useita Azure-rooleja, jotka voit määrittää käyttäjille, ryhmille, service principaleille ja managed identityille. Jos valmiit Azure RBAC-roolit eivät riitä, niin voit luoda omia custom-rooleja.
Azure Policy
Azure Policyillä voidaan tehokkaasti lähteä toteuttamaan hallintamallia käytännössä. Azure Policyillä voidaan kuvata Azuren resursseille halutut ominaisuudet, monitoroida niiden vaatimustenmukaisuuden tilaa, vaikuttaa resurssien ominaisuuksiin ja jopa luoda resursseja, jotka puuttuvat ympäristöstä, johon Azure Policy on kohdistettu. Tällöin puhutaan jo käsitteestä Policy-driven Governance.
Azure Policyillä voidaan myös kieltää tietynlaisten resurssien luominen ja uusimpana ominaisuutena Azure Policyillä voidaan myös estää resurssien poistaminen, jolloin saadaan tarvittaessa turvattua kriittiset resurssit.
Azure Cost Management
Azure Cost Management tarjoaa useita työkaluja, joiden avulla saadaan kontrolli ja näkyvyys Azuren kuluihin. Kustannuksia on mahdollista seurata monella tasolla ja hyödyntämällä Azuren tageja resursseissa, resource groupeissa ja subscriptioneissa, voidaan saada esimerkiksi tietoa yksittäisen projektin tai kustannuspaikan kustannuksista.
Kuluja seuraamalla Azure Cost Managementista voidaan myös arvioida tietyn ympäristön tai palvelun kustannukset ja asettaa niille budjetti, jonka ylityksestä saadaan tieto välittömästi. Budjetteja voidaan asettaa kuukausi-, neljännesvuosi- tai vuositasolla.
Actionable Governance käytännössä
Hyvällä Management Group- ja Azure Policy-toteutuksella saadaan luotua pohja hallintamallin jalkautukselle, joka mahdollistaa mm. uusien landing zonejen provisioinnin automaattisesti ja tuomisen välittömästi hallintamallin kontrollien piiriin. Esimerkkinä Azure Policyillä määritetty tagging-politiikka mahdollistaa kustannusnäkyvyyden heti ympäristön elinkaaren alusta asti, kun esimerkiksi Azure subscriptioneiden ja resurssien kustannuspaikkatieto ja omistajuus on merkitty.
