Resourcetags en resource locks

Resourcetags zijn naam-waardeparen met metagegevens die je aan Azure-resources, resourcegroepen en abonnementen koppelt. In tegenstelling tot mapstructuren maken tags het mogelijk om één resource tegelijkertijd in meerdere dimensies te categoriseren. Een VM kan bijvoorbeeld tegelijk de tags Environment=Production, Team=Backend, CostCentre=CC-042 en Project=Phoenix hebben, zodat je afzonderlijk op elk van deze dimensies kunt filteren.

Organisaties definiëren doorgaans een standaard tagtaxonomie voor verschillende dimensies. Financiële tags (CostCentre, BudgetOwner) maken kostenallocatie mogelijk. Operationele tags (Environment, Criticality, Owner) ondersteunen filtering en waarschuwingen. Levenscyclustags (AutoShutdown, ExpiryDate) maken automatisering mogelijk. Beveiligingstags (DataClassification, Compliance) ondersteunen beveiligingshulpmiddelen. Door de taxonomie te definiëren voordat je resources implementeert, voorkom je een inconsistente en niet-doorzoekbare tagstructuur.

Tags kunnen worden toegepast via de Azure-portal, CLI, ARM-sjablonen, Bicep en Terraform. Met de opdracht az tag beheer je tags op resources, terwijl az group update tags voor resourcegroepen beheert. Met Azure Policy en het effect Modify of Append kun je tijdens het maken van een resource automatisch tags toevoegen of verplicht stellen — zo heeft elke nieuwe resource een CostCentre-tag zonder dat je erop hoeft te vertrouwen dat ontwikkelaars die handmatig toevoegen.

Een veelvoorkomende misvatting is dat tags op een resourcegroep automatisch worden doorgegeven aan de resources daarin. Dat gebeurt niet — Azure-resourcetags worden niet overgenomen van bovenliggende scopes. Als je een resourcegroep tagt met Environment=Production, krijgen de virtuele machines en databases in die groep die tag niet automatisch. Gebruik voor consistente tags een Azure Policy met de ingebouwde definitie Inherit a tag from the resource group. Deze kopieert de tag van de resourcegroep automatisch naar alle resources daarin.

Tags zijn het krachtigst in combinatie met Azure Cost Management. In de weergave Kostenanalyse kun je uitgaven groeperen op elke tagsleutel — bekijk bijvoorbeeld de totale maandelijkse uitgaven per CostCentre om te zien welke afdeling de grootste cloudgebruiker is. Je kunt ook filteren op Environment=Production om ontwikkelingsuitgaven uit productiebudgetten te verwijderen. Azure Cost Management vereist dat de tag vóór de factureringsperiode is toegepast om in de kostengegevens te verschijnen.

Resourcevergrendelingen beschermen Azure-resources tegen per ongeluk verwijderen of wijzigen, ongeacht welke RBAC-machtigingen een gebruiker heeft. Een gebruiker met de rechten Owner of Contributor kan nog steeds worden verhinderd een vergrendelde resource te verwijderen of te wijzigen. Vergrendelingen worden toegepast op resource-, resourcegroep- of abonnementsniveau en werken door naar onderliggende niveaus — een vergrendeling op een resourcegroep beschermt elke resource daarin.

Azure ondersteunt twee typen vergrendelingen. Met CanNotDelete (vergrendeling tegen verwijderen) kunnen gebruikers de resource lezen en wijzigen, maar niet verwijderen. Dit is de meest gebruikte vergrendeling — toegepast op productiedatabases, opslagaccounts en VNets om te voorkomen dat ze per ongeluk worden verwijderd. ReadOnly voorkomt alle schrijf- en verwijderbewerkingen, waardoor de resource zich gedraagt alsof aan iedereen alleen de rol Reader is toegewezen. ReadOnly is beperkter en kan geautomatiseerde processen verstoren die resource-eigenschappen bijwerken.

Om een vergrendelde resource te verwijderen of te wijzigen, moet een gebruiker eerst de vergrendeling verwijderen — hiervoor is de machtiging Microsoft.Authorization/locks/delete vereist. Deze is standaard beschikbaar voor de rollen Owner en User Access Administrator. Het verwijderen van de vergrendeling, het wijzigen van de resource en het eventueel opnieuw toepassen van de vergrendeling kunnen in een proces voor wijzigingsbeheer worden gescript. Zo kunnen beschermde resources via een gecontroleerd proces met een audittrail toch worden gewijzigd.

Een vergrendeling die op een bovenliggende scope (abonnement of resourcegroep) wordt toegepast, wordt overgenomen door alle onderliggende resources. Je kunt een vergrendeling op een lager niveau niet overschrijven — als een resourcegroep een vergrendeling van het type CanNotDelete heeft, kunnen afzonderlijke resources daarin niet worden verwijderd, ook niet als ze niet rechtstreeks zijn vergrendeld. Een CanNotDelete-vergrendeling op resourceniveau naast een bovenliggende vergrendeling verandert het gedrag niet; de bovenliggende vergrendeling biedt die bescherming al.

ReadOnly-vergrendelingen kunnen onverwachte fouten in geautomatiseerde processen veroorzaken. Sommige Azure-bewerkingen die aan de oppervlakte alleen-lezen lijken, vereisen achter de schermen toch schrijftoegang tot resource-eigenschappen. Zo wordt het weergeven van de toegangssleutels van een opslagaccount geblokkeerd door een ReadOnly-vergrendeling, omdat deze actie het audittrail van het account wijzigt. Ook het schalen van een virtuele machine, het opnieuw starten van een App Service en het koppelen van een schijf aan een actieve virtuele machine worden geblokkeerd. Test ReadOnly-vergrendelingen in niet-productieomgevingen voordat je ze toepast op kritieke resources.

Door tags en vergrendelingen te combineren ontstaat een krachtig patroon voor governance. Je kunt een tag zoals Protected=true gebruiken om resources te markeren die CanNotDelete-vergrendelingen moeten hebben. Vervolgens kun je een Azure Automation Runbook uitvoeren dat zoekt naar resources met deze tag en de vergrendeling maakt als die ontbreekt. Dit patroon van zelfherstellende governance zorgt ervoor dat een vergrendeling automatisch opnieuw wordt toegepast volgens het schema van het runbook, zelfs als een beheerder die per ongeluk verwijdert.

In deze les heb je geleerd dat resourcetags met naam-waardeparen metagegevens zijn waarmee je kosten kunt toewijzen, filteren en automatiseren op elke gewenste dimensie, dat tags niet worden overgenomen van bovenliggende resourcegroepen en via Azure Policy moeten worden afgedwongen en dat resourcevergrendelingen (CanNotDelete en ReadOnly) resources beschermen tegen onbedoelde wijzigingen, ongeacht RBAC-machtigingen. Hierna bekijken we Azure Blueprints voor het gezamenlijk verpakken van governance-artefacten.