Grup Manajemen dan Langganan

Azure mengatur sumber daya dalam hierarki empat tingkat. Di tingkat teratas terdapat Management Groups — kontainer yang mengelompokkan Subscription untuk kebijakan dan kontrol akses dalam skala besar. Di bawahnya terdapat Subscriptions — unit batas penagihan dan sumber daya. Di dalam Subscription terdapat Resource Groups — kontainer logis untuk sumber daya terkait. Di tingkat terbawah terdapat Resources — layanan individual seperti VM, database, dan akun Storage. Kebijakan dan izin yang diterapkan pada tingkat lebih tinggi diteruskan ke tingkat di bawahnya.

Azure Subscription merupakan unit penagihan sekaligus batas logis sumber daya. Semua penggunaan sumber daya dalam sebuah Subscription ditagihkan dalam satu faktur. Subscription menetapkan batas (kuota) jumlah sumber daya dari setiap jenis yang dapat diterapkan. Organisasi biasanya membuat Subscription terpisah untuk lingkungan yang berbeda (Production, Development, Testing), unit bisnis yang berbeda, atau wilayah geografis yang berbeda — masing-masing dengan pelaporan biaya dan kontrol akses sendiri.

Perusahaan besar menggunakan beberapa Subscription karena beberapa alasan. Isolasi — sumber daya produksi sepenuhnya terpisah dari pengembangan/pengujian; kesalahan konfigurasi dalam pengembangan tidak dapat memengaruhi produksi. Perincian penagihan — Subscription setiap departemen menghasilkan faktur sendiri untuk alokasi biaya yang jelas. Batas Subscription — Azure memiliki kuota per Subscription (misalnya, 250 VM per wilayah); beban kerja besar mungkin memerlukan beberapa Subscription agar tetap berada dalam batas.

Grup Manajemen adalah wadah yang berada di atas langganan dalam hierarki Azure. Anda dapat mengatur langganan ke dalam grup manajemen dan menerapkan definisi Azure Policy serta penetapan peran RBAC pada tingkat grup manajemen. Penerapan ini diteruskan ke setiap langganan dan sumber daya dalam grup tersebut. Dengan demikian, Anda tidak perlu menggandakan kebijakan atau penetapan peran yang sama di puluhan langganan individual.

Grup manajemen dapat ditumpuk hingga enam tingkat. Setiap direktori Azure memiliki satu Root Management Group di tingkat teratas, yang menjadi induk bagi semua grup manajemen dan langganan lainnya. Contoh hierarki perusahaan yang umum adalah: Root → Company → Platform → Production → Landing Zones → Langganan Workloads Individual. Kebijakan yang diterapkan pada tingkat Root memengaruhi setiap langganan di seluruh direktori.

Penetapan kontrol akses pada tingkat mana pun dalam hierarki akan diwariskan ke tingkat di bawahnya. Jika Anda menetapkan peran Reader kepada pengguna pada sebuah grup manajemen, pengguna tersebut otomatis memperoleh akses Reader pada setiap langganan dan grup sumber daya dalam grup manajemen tersebut. Pewarisan ini bersifat kumulatif — Anda tidak dapat mencabut izin yang diwariskan pada cakupan yang lebih rendah (Anda hanya dapat menambahkan izin). Penetapan penolakan adalah pengecualian: penetapan ini memblokir tindakan meskipun penetapan peran mengizinkannya.

Demikian pula, penetapan Azure Policy pada tingkat grup manajemen berlaku untuk semua langganan, grup sumber daya, dan sumber daya dalam grup tersebut. Pola yang umum adalah menetapkan kebijakan dasar perusahaan pada grup manajemen root atau perusahaan untuk menegakkan standar seperti wilayah yang diizinkan, tag wajib, atau pengaturan diagnostik yang diperlukan di seluruh organisasi, sementara pemilik langganan individual dapat menambahkan kebijakan yang lebih spesifik di tingkat bawah tanpa menggantikan kebijakan dasar perusahaan.

Langganan Azure dapat dibuat, diubah namanya, dibatalkan, dan dipindahkan antargrup manajemen. Memindahkan langganan ke grup manajemen lain akan mengubah kebijakan dan penetapan peran yang berlaku untuknya — perubahan kebijakan langsung berlaku pada semua sumber daya dalam langganan tersebut. Membatalkan langganan akan menonaktifkan pembuatan sumber daya dan pada akhirnya menghapus semua sumber daya di dalamnya setelah masa tenggang, sehingga tindakan ini hanya boleh dilakukan dengan perencanaan yang matang.

Organisasi besar mengakses Azure melalui perjanjian penagihan yang memengaruhi struktur langganan. Enterprise Agreement (EA) menyediakan langganan berdasarkan pendaftaran dengan akun penagihan terpusat untuk pengeluaran besar yang telah disepakati. Microsoft Customer Agreement (MCA) adalah penerus modernnya yang menawarkan pengelolaan langganan mandiri yang lebih luas. Dalam kedua perjanjian tersebut, profil penagihan dan bagian faktur memungkinkan Anda mengelompokkan biaya langganan untuk departemen yang berbeda.

Setiap langganan Azure memiliki kuota layanan — batas lunak mengenai jumlah sumber daya setiap jenis yang dapat ada per wilayah. Contoh nilai bawaan: 20.000 vCPU per wilayah, 980 grup sumber daya per langganan, dan 800 disk terkelola per langganan. Saat Workloads Anda mendekati kuota, Anda dapat mengirimkan permintaan peningkatan kuota di portal Azure (Dukungan + pemecahan masalah > Permintaan dukungan baru). Untuk perluasan skala yang sangat besar, Microsoft merekomendasikan pendistribusian Workloads di beberapa langganan.

Microsoft merekomendasikan beberapa praktik terbaik untuk desain grup manajemen. Hindari lebih dari tiga hingga empat tingkat penumpukan — terlalu banyak tingkat membuat pemecahan masalah kebijakan menjadi rumit. Buat grup manajemen Platform khusus untuk layanan bersama (identitas, konektivitas, dan pengelolaan), terpisah dari Workloads Landing Zones. Pisahkan Production dan non-Production ke dalam grup manajemen yang berbeda agar kebijakan khusus Production (seperti menonaktifkan akses internet publik) tidak secara tidak sengaja diterapkan ke lingkungan pengembangan.

Dalam pelajaran ini Anda mempelajari bahwa: hierarki sumber daya Azure mengalir dari grup manajemen ke langganan, lalu ke grup sumber daya dan sumber daya, kebijakan dan penetapan RBAC pada tingkat grup manajemen diwariskan ke bawah hingga semua langganan anak, dan beberapa langganan menyediakan isolasi penagihan, pemisahan lingkungan, serta solusi sementara untuk kuota per langganan. Selanjutnya kita akan membahas Azure Policy secara mendalam.