Hallintaryhmät ja tilaukset

Azure järjestää resurssit nelitasoiseen hierarkiaan. Ylimpänä ovat Management Groups -hallintaryhmät, jotka ryhmittelevät tilauksia käytäntöjen ja käyttöoikeuksien laajamittaista hallintaa varten. Niiden alapuolella ovat Subscriptions-tilaukset, jotka toimivat laskutus- ja resurssirajoina. Tilausten sisällä ovat Resource Groups -resurssiryhmät eli toisiinsa liittyvien resurssien loogiset säilöt. Alimpana ovat Resources-resurssit, kuten yksittäiset virtuaalikoneet, tietokannat ja tallennustilit. Ylemmillä tasoilla määritetyt käytännöt ja käyttöoikeudet periytyvät alemmille tasoille.

Azure-tilaus on sekä laskutusyksikkö että looginen resurssiraja. Kaikki tilauksen resurssien käyttö laskutetaan yhdellä laskulla. Tilaukset asettavat rajoituksia eli kiintiöitä sille, kuinka monta kutakin resurssityyppiä voidaan ottaa käyttöön. Organisaatiot luovat usein erilliset tilaukset eri ympäristöille (Production, Development, Testing), liiketoimintayksiköille tai maantieteellisille alueille. Jokaisella tilauksella on oma kustannusraportointinsa ja käyttöoikeuksien hallintansa.

Suuret yritykset käyttävät useita tilauksia monista syistä. Eristäminen – tuotantoresurssit ovat täysin erillään kehitys- ja testiympäristöistä, joten kehitysympäristön virheellinen määritys ei voi vaikuttaa tuotantoon. Laskutuksen tarkkuus – kunkin osaston tilaus tuottaa oman laskunsa, mikä helpottaa kustannusten selkeää kohdistamista. Tilauskohtaiset rajoitukset – Azurella on tilauskohtaisia kiintiöitä (esimerkiksi 250 virtuaalikonetta aluetta kohden), joten suuret työkuormat saattavat edellyttää useita tilauksia rajoissa pysymiseksi.

Hallintaryhmä on Azure-hierarkiassa tilausten yläpuolella oleva säilö. Voitte järjestää tilauksia hallintaryhmiin ja käyttää Azure Policy -käytäntömääritelmiä sekä RBAC-roolimäärityksiä hallintaryhmätasolla. Nämä periytyvät ryhmän jokaiseen tilaukseen ja resurssiin. Näin samaa käytäntöä tai roolimääritystä ei tarvitse määrittää erikseen kymmenissä yksittäisissä tilauksissa.

Hallintaryhmiä voi sisäkkäistää enintään kuuden tason syvyyteen. Jokaisessa Azure-hakemistossa on ylimpänä yksi Root Management Group, jonka alle kaikki muut hallintaryhmät ja tilaukset kuuluvat. Tyypillinen yrityksen hierarkia voisi olla seuraava: Root → Company → Platform → Production → Landing Zones → yksittäiset työkuormatilaukset. Root-tasolla käytetyt käytännöt vaikuttavat hakemiston jokaiseen tilaukseen.

Hierarkian millä tahansa tasolla tehdyt käyttöoikeusmääritykset periytyvät alaspäin. Jos määritätte käyttäjälle Reader-roolin hallintaryhmässä, hän saa automaattisesti Reader-käyttöoikeudet kaikkiin kyseisen hallintaryhmän tilauksiin ja resurssiryhmiin. Periytyvät käyttöoikeudet ovat kumulatiivisia: perittyä käyttöoikeutta ei voi kumota alemmalla tasolla, vaan käyttöoikeuksia voi ainoastaan lisätä. Poikkeuksen muodostavat estomääritykset, jotka estävät toiminnon, vaikka roolimääritys muutoin sallisi sen.

Vastaavasti hallintaryhmätasolla tehdyt Azure Policy -määritykset koskevat kaikkia kyseisen ryhmän sisältämiä tilauksia, resurssiryhmiä ja resursseja. Yleinen toimintatapa on määrittää yrityksen peruskäytäntö juuri- tai yritystason hallintaryhmässä, jotta koko organisaatiossa voidaan valvoa esimerkiksi sallittuja alueita, pakollisia tunnisteita tai vaadittuja diagnostiikka-asetuksia. Yksittäisten tilausten omistajat voivat samalla lisätä alemmille tasoille tarkempia käytäntöjä ohittamatta yrityksen peruskäytäntöä.

Azure-tilauksia voi luoda, nimetä uudelleen, peruuttaa ja siirtää hallintaryhmien välillä. Tilauksen siirtäminen toiseen hallintaryhmään muuttaa siihen sovellettavia käytäntöjä ja roolimäärityksiä — käytäntömuutokset tulevat heti voimaan kaikissa tilauksen resursseissa. Tilauksen peruuttaminen estää resurssien luomisen ja poistaa lopulta kaikki sen resurssit armollisen ajanjakson jälkeen, joten tämän toiminnon saa tehdä vain huolellisen suunnittelun jälkeen.

Suuret organisaatiot käyttävät Azurea laskutussopimusten kautta, ja nämä sopimukset vaikuttavat tilausten rakenteeseen. Enterprise Agreement (EA) tarjoaa tilauksia keskitetyn laskutustilin sisältävän rekisteröinnin kautta organisaatioille, joilla on suuri sitoutunut kulutus. Microsoft Customer Agreement (MCA) on uudempi seuraaja, joka tarjoaa enemmän itsepalveluna tehtävää tilausten hallintaa. Molemmissa laskutusprofiilien ja laskuosioiden avulla voi ryhmitellä eri osastojen tilauskulut.

Jokaisella Azure-tilauksella on palvelukiintiöitä eli aluekohtaisia pehmeitä rajoja sille, kuinka monta kunkin tyyppistä resurssia voi olla olemassa. Oletusesimerkkejä ovat 20 000 vCPU:ta aluetta kohden, 980 resurssiryhmää tilausta kohden ja 800 hallittua levyä tilausta kohden. Kun työkuormanne lähestyy kiintiötä, voitte lähettää kiintiön korotuspyynnön Azure-portaalissa (Support + troubleshooting > New support request). Microsoft suosittelee jakamaan työkuormat useisiin tilauksiin, kun tarvitaan erittäin suurta skaalautuvuutta.

Microsoft suosittelee useita parhaita käytäntöjä hallintaryhmien suunnitteluun. Välttäkää yli kolmen tai neljän sisäkkäistystason käyttöä — liian monen tason vuoksi käytäntöjen vianmääritys vaikeutuu. Luokaa jaetuille palveluille oma Platform-hallintaryhmä, joka pidetään erillään landing zone -työkuormista. Jaettuihin palveluihin kuuluvat esimerkiksi identiteetti, yhteydet ja hallinta. Erottakaa Production- ja Non-Production-ympäristöt eri hallintaryhmiin, jotta vain tuotantoa koskevat käytännöt, kuten julkisen internet-yhteyden poistaminen käytöstä, eivät vahingossa koske kehitysympäristöjä.

Tällä oppitunnilla opitte, että Azure-resurssihierarkia etenee hallintaryhmistä tilauksiin, resurssiryhmiin ja resursseihin, hallintaryhmätasolla määritetyt käytännöt ja RBAC-määritykset periytyvät alaspäin kaikkiin alitilauksiin ja useat tilaukset mahdollistavat laskutuksen eriyttämisen, ympäristöjen erottamisen ja tilausten kiintiöiden kiertämisen. Seuraavaksi perehdymme Azure Policyyn tarkemmin.