Kaynak Etiketleri ve Kaynak Kilitleri

Kaynak etiketleri, Azure kaynaklarına, resource groups'lara ve aboneliklere eklediğiniz ad-değer biçimindeki üst veri çiftleridir. Klasör yapılarının aksine etiketler, tek bir kaynağı aynı anda birden fazla boyutta kategorilere ayırmanıza olanak tanır. Örneğin bir VM aynı anda Environment=Production, Team=Backend, CostCentre=CC-042 ve Project=Phoenix etiketlerine sahip olabilir; böylece bu boyutlardan herhangi birine göre bağımsız olarak filtreleme yapabilirsiniz.

Kuruluşlar genellikle çeşitli boyutları kapsayan standart bir etiketleme sınıflandırması tanımlar. Finansal etiketler (CostCentre, BudgetOwner) maliyet dağıtımını mümkün kılar. Operasyonel etiketler (Environment, Criticality, Owner) filtreleme ve uyarıları destekler. Yaşam döngüsü etiketleri (AutoShutdown, ExpiryDate) otomasyonu mümkün kılar. Güvenlik etiketleri (DataClassification, Compliance) güvenlik araçlarını destekler. Sınıflandırmayı kaynakları dağıtmadan önce tanımlamak, tutarsız ve sorgulanamayan bir etiket ortamını önler.

Etiketler Azure portalı, CLI, ARM şablonları, Bicep ve Terraform aracılığıyla uygulanabilir. az tag komutu Resource üzerindeki etiketleri yönetirken az group update Resource group etiketlerini yönetir. Modify veya Append etkisine sahip Azure Policy kullanarak etiketleri Resource oluşturulurken otomatik olarak ekleyebilir veya zorunlu kılabilirsiniz. Böylece geliştiricilerin etiketi elle eklemeyi hatırlamasına gerek kalmadan her yeni Resource bir CostCentre etiketi taşır.

Yaygın bir yanılgı, bir Resource group üzerindeki etiketlerin içindeki Resource öğelerine otomatik olarak yayıldığıdır. Yayılmaz — Azure Resource etiketleri üst kapsamlarından devralınmaz. Bir Resource group'u Environment=Production ile etiketlerseniz bu grubun içindeki VM'ler ve veritabanları etiketi otomatik olarak almaz. Tutarlı etiketlemeyi zorunlu kılmak için Inherit a tag from the resource group yerleşik tanımını kullanan bir Azure Policy uygulayın. Bu Policy, Resource group etiketini içindeki tüm Resource öğelerine otomatik olarak kopyalar.

Etiketler Azure Cost Management ile birlikte kullanıldığında en güçlü hâline gelir. Cost Analysis görünümünde harcamaları herhangi bir etiket anahtarına göre gruplayabilirsiniz; örneğin hangi departmanın bulutu en fazla kullandığını görmek için aylık toplam harcamayı CostCentre değerine göre görüntüleyebilirsiniz. Ayrıca geliştirme harcamalarını Production bütçelerinden hariç tutmak için Environment=Production değerine göre filtreleyebilirsiniz. Azure Cost Management, etiketin maliyet verilerinde görünmesi için faturalandırma döneminden önce uygulanmış olmasını gerektirir.

Resource kilitleri, kullanıcının sahip olduğu RBAC izinlerinden bağımsız olarak Azure Resource öğelerini yanlışlıkla silinmeye veya değiştirilmeye karşı korur. Owner veya Contributor haklarına sahip bir kullanıcının kilitli bir Resource öğesini silmesi ya da değiştirmesi yine de engellenebilir. Kilitler Resource, Resource group veya abonelik düzeyinde uygulanır ve aşağı doğru devralınır; bir Resource group üzerindeki kilit, içindeki her Resource öğesini korur.

Azure iki kilit türünü destekler. CanNotDelete (Delete kilidi), kullanıcıların Resource öğesini okumasına ve değiştirmesine izin verir, ancak silmesini engeller. Bu en yaygın kilit türüdür; yanlışlıkla kaldırılmayı önlemek için Production veritabanlarına, depolama hesaplarına ve VNet'lere uygulanır. ReadOnly, tüm yazma ve silme işlemlerini engeller ve Resource öğesinin herkese yalnızca Reader rolü atanmış gibi davranmasını sağlar. ReadOnly daha kısıtlayıcıdır ve Resource özelliklerini güncelleyen otomatik işlemleri aksatabilir.

Kilitli bir Resource öğesini silmek veya değiştirmek için kullanıcının önce kilidi kaldırması gerekir. Bunun için Microsoft.Authorization/locks/delete izni gereklidir; bu izin varsayılan olarak Owner ve User Access Administrator rollerinde bulunur. Kilidin kaldırılması, Resource'un değiştirilmesi ve isteğe bağlı olarak kilidin yeniden uygulanması bir değişiklik yönetimi iş akışında betik hâline getirilebilir. Böylece korunan Resource öğeleri, denetim izi bulunan kontrollü bir süreç aracılığıyla değiştirilebilir.

Üst kapsamda (abonelik veya Resource group) uygulanan bir kilit, tüm alt Resource öğeleri tarafından devralınır. Daha alt bir kapsamda kilidi geçersiz kılamazsınız; bir Resource group'ta CanNotDelete kilidi varsa, doğrudan üzerlerinde kilit bulunmasa bile içindeki tek tek Resource öğeleri silinemez. Üst kilide ek olarak Resource düzeyinde CanNotDelete kilidi eklemek davranışı değiştirmez; üst kilit zaten gerekli korumayı sağlar.

ReadOnly kilitleri otomatik işlemlerde beklenmedik hatalara yol açabilir. Görünüşte yalnızca okuma işlemi olan bazı Azure işlemleri, arka planda Resource özelliklerine yazma erişimi gerektirir. Örneğin bir depolama hesabının erişim anahtarlarını listelemek, anahtar listeleme işlemi hesabın denetim izini değiştirdiği için ReadOnly kilidi tarafından engellenir. Bir VM'yi ölçeklendirmek, bir App Service'i yeniden başlatmak ve çalışan bir VM'ye disk eklemek de engellenir. ReadOnly kilitlerini kritik Resource öğelerine uygulamadan önce Production dışı ortamlarda test edin.

Etiketleri ve kilitleri birleştirmek güçlü bir yönetişim modeli oluşturur. CanNotDelete kilidine sahip olması gereken Resource öğelerini işaretlemek için Protected=true gibi bir etiket kullanabilir, ardından bu etikete sahip Resource öğelerini sorgulayan ve kilit eksikse kilidi oluşturan bir Azure Automation Runbook çalıştırabilirsiniz. Bu kendini iyileştiren yönetişim modeli, bir yöneticinin yanlışlıkla kilidi kaldırması durumunda bile kilidin Runbook zamanlaması içinde otomatik olarak yeniden uygulanmasını sağlar.

Bu dersteki Microsoft Azure Fundamentals (AZ-900) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: Resource etiketleri, her boyutta maliyet dağıtımı, filtreleme ve otomasyon sağlayan ad-değer meta veri çiftleridir; etiketler üst Resource group'larından devralınmaz ve Azure Policy aracılığıyla zorunlu kılınmalıdır; Resource kilitleri (CanNotDelete ve ReadOnly), RBAC izinlerinden bağımsız olarak Resource öğelerini yanlışlıkla yapılan değişikliklere karşı korur. Sırada yönetişim Artefact'larını birlikte paketlemek için Azure Blueprints konusunu inceleyeceğiz.