Azure Landing Zone Review
Hvað ein undantekning kostar
Landing Zone er hönnuð einu sinni og síðan útvíkkuð í rekstri, og einmitt þar byrjar raunveruleg saga hennar. Fyrsta verkefnið með þrönga tímafresti fær sína Subscription utan stigveldisins, vegna þess að Policy-Review hefði tekið lengri tíma en sprintinn. Þjónustuaðilinn sem komst ekki áfram með Contributor-réttindi föstudagseftirmiðdag fær Owner á Management Group og heldur þeim, vegna þess að eftir Go-live hugsar enginn um það frekar. Og þegar Firewall í Hub dregur úr gegnumstreymi Spoke fær Spoke sitt Peering beint, fram hjá Hub. Sérhver þessara ákvarðana var skynsamleg á sínum tíma, og sérhver þeirra er enn í gildi.
Afleiðingarnar eru áþreifanlegar. Subscription utan stigveldisins erfir engar Policies, og þar af leiðandi vernda þær hana heldur ekki. Owner á Management-Group-stigi erfist yfir á allar Subscriptions undir, þar á meðal þær sem voru ekki til á þeim tíma. Peering án leiðar í gegnum Firewall er netslóð sem SOC ykkar sér ekki. Azure Landing Zone Review leggur hönnunina og núverandi stöðu saman, eftir átta Design Areas Cloud Adoption Framework, og raðar frávikum eftir afleiðingum þeirra, ekki aldri.
Átta Design Areas Cloud Adoption Framework
Microsoft hefur flokkað ákvarðanir Landing Zone í átta Design Areas, vegna þess að flestar villur fela sig annars í bilinu milli teyma: Netteymið byggir Hub, Identity-teymið úthlutarar hlutverkum, og sá sem samþykkti Policy-undantekninguna kemur fram í engum þessara skráa. Við förum í gegnum allar átta, hverja með sömu spurningu: hvað var ætlað, hvað er byggt, og hvað leiðir af muninum.
Azure Billing og Entra ID-tenant
Enrollment, Billing-stigveldi og tenant sem allt hvílir á. Annar tenant frá yfirtöku er sjaldan vandamál, þar til einhver þarf að sameina leyfin, auðkenni og reikninga.
Identity og Access Management
Hlutverk á pallstigi, Service Principals og PIM. Owner á Root Management Group erfist þögult yfir á allar Subscriptions sem koma til síðar.
Resource Organization
Management-Group-stigveldi, Subscription-hönnun, nöfn og tags. Workloads í rangri Management Group erfa rangar Policies, og það kemur ekki í ljós fyrr en audit spyr.
Network Topology og Connectivity
Hub-and-Spoke eða Virtual WAN, tenging við innviði, DNS, Firewall, Private Endpoints. Peering fram hjá Hub er tæknilega gilt og ósýnilegt SOC.
Security
Defender for Cloud, dulkóðun, Key Vaults og allt sem liggur á pallinum frekar en í workload. Defender-áætlun sem er virk á hluta Subscriptions verndar nákvæmlega þann hluta.
Management
Monitoring, Logging, Backup og Recovery. Diagnostic Settings sem vantar koma ekki í ljós í daglegum rekstri, heldur í incident, þegar loggar eru þörf sem aldrei voru skráðir.
Governance
Azure Policy, frumkvæði, undantekningar og kostnaðarstýring. Exemption hefur gildistíma ef einhver stillti hann. Flestar hafa engan.
Platform Automation og DevOps
Infrastructure as Code, Pipelines, Azure Verified Modules. Pallur sem er breyttur í gegnum Portal hefur tvær sannleikur: þá í repository og þá í Azure. Sú síðari gildir.
Svona fer það fram
- Spyrja teymiðSpyrja teymiðVið byrjum á fólkinu sem rekur pallinn, ekki á tólinu: arkitektúr, verkfæri, rekstraferlar, stefna. Flestar niðurstöður sem scan finnur síðar hafa forsögu, og sá sem þekkir hana metur þær rétt. Meðvituð ákvörðun er eitthvað annað en gleymt bráðabirgðalausn.
- Lesa umhverfiðLesa umhverfiðSíðan lesum við umhverfið með Tooling: Management Groups, Policies og Exemptions, hlutverkaúthlutanir, netslóðir, Diagnostic Settings, kostnað. Sjálfvirkt og á móti núverandi útgáfu Cloud Adoption Framework, ekki þeirri frá þremur árum síðan.
- Raða niðurstöðumRaða niðurstöðumTólið finnur frávikið, viðtalið skýrir það, og fyrst þegar báðar heimildir eru saman verður til forgangur. Efst stendur það sem erfir réttindi eða kemur í veg fyrir logga, neðst það sem brýtur nafnakerfi. Niðurstaða án afleiðinga er athugasemd, ekki verkefni.
- Fara yfir skýrslunaFara yfir skýrslunaÞið fáið skýrsluna með þroska eftir Design Area, niðurstöðum og tillögum, og við förum í gegnum hana saman. Ekki til þess að þið þekkið hundrað niðurstöður, heldur til þess að þið vitið á mánudaginn hvaða þið byrjið á.
Skýrsla með forgangsröð
Þið fáið skýrslu sem staðsetur Landing Zone ykkar eftir átta Design Areas: þroski eftir sviði, forgangsraðaðar niðurstöður og tillögur sem pallteymi getur framkvæmt án þess að spyrja okkur. Auk þess greinarmunurinn sem enginn skanner lætur í té: hvaða frávik frá Framework var meðvituð ákvörðun og hvaða var mistök. Hún er ætluð pallteymum og IT-stjórnendum sem hafa rekið Landing Zone í nokkur ár og vilja vita hvað hefur breyst á þeim tíma, í umhverfinu og í Framework. Sá sem stendur frammi fyrir flutningi skoðar grunnseminn betur en flutninginn sjálfan. Sá sem hefur tekið yfir pallinn frá þjónustuaðila þarf annað augnapar sem mat ekki það sem það metur. Framkvæmdin er ekki innifalin. Hún fer sem sérstakt verkefni, með okkur, með félaga eða með teymi ykkar.
Og þar á eftir
Það sem við fáum spurt fyrirfram
Spurningarnar úr fyrstu samtölunum, svarað eins og við svörum þeim þar.
Þurfum við Landing Zone frá glueckkanja í þessum tilgangi?
Nei. Við skoðum hvaða Landing Zone sem er, hvort sem hún er byggð á Enterprise-Scale-Template, frá öðrum þjónustuaðila eða vaxin upp í gegnum Portal. Mælikvarðinn er Cloud Adoption Framework, ekki Azure Foundation okkar. Að við mælum með henni þegar skýrslan gefur tilefni til er engin ósennilegt, en heldur engin skilyrði.
Hvað greinir Review-inn frá módúl Azure hjá Preventive Services?
Spurningin sem er lögð. Módúl Azure spyr hvernig árásarmaður komst frá Subscription yfir á stjórnunarstigið, og endar í Härtungs-Roadmap. Landing Zone Review spyr hvort pallurinn sem heild beri þyngdina: skipulag, net, Governance, rekstur, sjálfvirkni, kostnaður. Security er þar ein af átta Design Areas. Sá sem vill bæði byrjar á Review-inum, vegna þess að hann afhendir kortið sem módúlið teiknar leiðirnar á.
Hvaða réttindi þurfið þið?
Lesréttindi. Til greiningar dugir Reader-hlutverk á efstu Management Group, ásamt leseréttindum á Cost Management. Við breytum engu, og aðgangurinn er fjarlægður að Review-inum loknum. Það að Review-inn sé framkvæmanlegur með Reader-réttindum er sjálft nú þegar niðurstaða: Landing Zone þar sem það gengur ekki hefur fundið sitt fyrsta viðfangsefni.
Skoðið þið líka kostnaðinn?
Já, vegna þess að hann hefur sömu orsökurnar í Landing Zone og Governance-niðurstöðurnar. Án tags er reikningur ótengjanlegur við neitt teymi, án Budget-Alerts kemur gleymda VM ekki í ljós fyrr en í mánaðarlok, og reservation sem enginn heldur við greiðir fyrir afkastagetu sem enginn nýtir. Það sem kemur þar í ljós er í skýrslunni, með tölu.
Hve langan tíma tekur Review-inn?
Viðtal og greining taka nokkra daga. Af ykkar hálfu kostar það einn viðtalstíma, veitingu leseréttinda og fundinn þar sem við förum yfir skýrsluna. Þyngri hlutinn er það sem þið gerið með listann á eftir, og hann tilheyrir ykkur.
Er framkvæmdin innifalin?
Nei, og það er ásetningur. Review sem forgangsraðar eigin framhaldsverkefnum væri enginn Review. Þið fáið forgangsröð og tillögur, framkvæmdin fer sem sérstakt verkefni, með okkur, með félaga eða með teymi ykkar. Sá sem vill setja Landing Zone-ina upp að nýju finnur leiðina í Azure Foundation.
