Yönetim Grupları ve Abonelikler

Azure, kaynakları dört seviyeli bir hiyerarşide düzenler. En üstte, büyük ölçekte ilke ve erişim denetimi için abonelikleri gruplayan kapsayıcılar olan Management Groups bulunur. Bunların altında, faturalandırma ve kaynak sınırı birimleri olan Subscriptions yer alır. Aboneliklerin içinde, ilişkili kaynaklar için mantıksal kapsayıcılar olan Resource Groups bulunur. En altta VM'ler, veritabanları ve depolama hesapları gibi tek tek hizmetler olan Resources yer alır. Üst düzeylerde uygulanan ilkeler ve izinler alt düzeylere kademeli olarak aktarılır.

Bir Azure aboneliği, hem bir faturalandırma birimi hem de mantıksal bir kaynak sınırıdır. Bir abonelikteki tüm kaynak kullanımı tek bir faturaya yansıtılır. Abonelikler, her türden kaç kaynağın dağıtılabileceğine ilişkin sınırlar (kotalar) belirler. Kuruluşlar genellikle farklı ortamlar (Production, Development, Testing), farklı iş birimleri veya farklı coğrafi bölgeler için ayrı abonelikler oluşturur — her aboneliğin kendi maliyet raporlaması ve erişim denetimi bulunur.

Büyük kuruluşlar, birden çok aboneliği çeşitli nedenlerle kullanır. Yalıtım — üretim kaynakları geliştirme/test ortamından tamamen ayrılır; geliştirme ortamındaki yanlış bir yapılandırma üretimi etkileyemez. Faturalandırma ayrıntı düzeyi — her departmanın aboneliği, maliyetlerin net biçimde dağıtılması için kendi faturasını oluşturur. Abonelik sınırları — Azure abonelik başına kotalara sahiptir (ör. bölge başına 250 VM); büyük iş yüklerinin sınırlar içinde kalmak için birden çok aboneliğe ihtiyacı olabilir.

Bir Management Group, Azure hiyerarşisinde aboneliklerin üzerinde yer alan bir kapsayıcıdır. Abonelikleri management groups içinde düzenleyebilir ve Azure Policy definitions ile RBAC role assignments uygulamasını management group düzeyinde yapabilirsiniz. Bunlar, grup içindeki tüm aboneliklere ve kaynaklara kademeli olarak uygulanır. Böylece aynı policy veya rol atamasını onlarca ayrı abonelikte yinelemeniz gerekmez.

Management groups, altı seviyeye kadar iç içe yerleştirilebilir. Her Azure dizininin en üstünde, diğer tüm management groups ve aboneliklerin bağlı olduğu tek bir Root Management Group bulunur. Tipik bir kurumsal hiyerarşi şöyle olabilir: Root → Company → Platform → Production → Landing Zones → Individual Workload Subscriptions. Root düzeyinde uygulanan policy'ler, dizinin tamamındaki her aboneliği etkiler.

Hiyerarşinin herhangi bir düzeyindeki erişim denetimi atamaları aşağı doğru devralınır. Bir kullanıcıya management group üzerinde Reader rolü atarsanız bu kullanıcı, söz konusu management group içindeki tüm aboneliklerde ve resource groups üzerinde otomatik olarak Reader erişimi elde eder. Bu kalıtım birikimlidir; daha alt bir kapsamda devralınan izni geri alamazsınız (yalnızca daha fazla izin ekleyebilirsiniz). Bunun istisnası, rol ataması izin verse bile eylemleri engelleyen deny atamalarıdır.

Benzer şekilde, management group düzeyindeki Azure Policy assignments, ilgili grup içindeki tüm aboneliklere, resource groups'lara ve kaynaklara uygulanır. Yaygın bir yaklaşım, tüm kuruluş genelinde izin verilen bölgeler, zorunlu etiketler veya gerekli tanılama ayarları gibi standartları zorunlu kılmak üzere kök veya Company management group düzeyinde bir kurumsal temel policy'si atamaktır. Bu sırada tek tek abonelik sahipleri, kurumsal temeli geçersiz kılmadan aşağıda daha özel policy'ler ekleyebilir.

Azure abonelikleri oluşturulabilir, yeniden adlandırılabilir, iptal edilebilir ve management groups arasında taşınabilir. Bir aboneliği farklı bir management group'a taşımak, aboneliğe hangi policy'lerin ve rol atamalarının uygulanacağını değiştirir; policy değişiklikleri abonelikteki tüm kaynaklarda hemen etkili olur. Bir aboneliği iptal etmek, kaynak oluşturmayı devre dışı bırakır ve bir bekleme süresinin ardından içindeki tüm kaynakları sonunda siler. Bu nedenle bu işlem yalnızca dikkatli bir planlamayla yapılmalıdır.

Büyük kuruluşlar Azure'a, aboneliklerin nasıl yapılandırılacağını etkileyen faturalandırma anlaşmaları üzerinden erişir. Bir Enterprise Agreement (EA), yüksek tutarda taahhütlü harcama yapan kuruluşlar için merkezi bir faturalandırma hesabına bağlı kayıt kapsamında abonelikler sağlar. Microsoft Customer Agreement (MCA) bunun modern halefidir ve daha fazla self servis abonelik yönetimi sunar. Her iki modelde de faturalandırma profilleri ve fatura bölümleri, farklı departmanların abonelik ücretlerini gruplandırmanıza olanak tanır.

Her Azure aboneliğinde hizmet kotaları bulunur; bunlar, her bölgede her türden kaç kaynağın bulunabileceğine ilişkin esnek limitlerdir. Varsayılan örnekler: bölge başına 20.000 vCPU, abonelik başına 980 resource groups, abonelik başına 800 yönetilen disk. İş yükünüz bir kotaya yaklaştığında Azure portalında bir kota artırma isteği gönderebilirsiniz (Support + troubleshooting > New support request). Çok büyük ölçekli dağıtımlar için Microsoft, iş yüklerinin birden fazla aboneliğe dağıtılmasını önerir.

Microsoft, management group tasarımı için çeşitli en iyi uygulamalar önerir. Üç ila dört iç içe yerleştirme seviyesini aşmaktan kaçının; çok fazla seviye, policy sorunlarını gidermeyi karmaşıklaştırır. Paylaşılan hizmetler için özel bir Platform management group oluşturun ve bunu Landing Zones iş yüklerinden ayrı tutun; bu hizmetlere identity, connectivity ve management dahildir. Production ve Non-Production ortamlarını farklı management groups içinde ayırın. Böylece genel internet erişimini devre dışı bırakmak gibi yalnızca Production için geçerli policy'ler yanlışlıkla Dev ortamlarına uygulanmaz.

Bu dersteki Microsoft Azure Fundamentals (AZ-900) kavramlarına ilişkin anlayışınızı Test edin.

Bu derste şunları öğrendiniz: Azure kaynak hiyerarşisi management groups'tan aboneliklere, resource groups'lara ve kaynaklara doğru ilerler, management group düzeyindeki policy'ler ve RBAC atamaları aşağı doğru tüm alt aboneliklere devralınır ve birden fazla abonelik faturalandırma yalıtımı, ortam ayrımı ve abonelik başına kotalar için geçici çözüm sağlar. Sırada Azure Policy'yi ayrıntılı olarak inceleyeceğiz.