管理组和订阅

Azure 将资源组织为四级层次结构。最上层是管理组——用于大规模组合订阅并实施策略和访问控制的容器。下面是订阅——用于计费和划分资源边界的单位。订阅中包含资源组——用于组织相关资源的逻辑容器。最底层是资源——例如 VM、数据库和存储帐户等单独的服务。在较高层级应用的策略和权限会向下级联。

Azure 订阅既是计费单位，也是逻辑资源边界。订阅中的所有资源使用量都会计入同一张发票。订阅会限制每种资源类型可部署的资源数量（配额）。组织通常会为不同环境（Production、开发、测试）、不同业务部门或不同地理区域创建单独的订阅，每个订阅都有自己的成本报告和访问控制。

大型企业出于多种原因使用多个订阅。隔离——生产资源与开发/测试资源完全隔离，开发环境中的配置错误不会影响生产环境。计费粒度——每个部门的订阅都会生成自己的发票，从而清晰地分配成本。订阅限制——Azure 设有每个订阅的配额（例如每个区域 250 个 VM）；大型工作负载可能需要多个订阅才能不超出限制。

Management Group 是 Azure 层次结构中位于订阅之上的容器。您可以将订阅组织到管理组中，并在管理组级别应用 Azure Policy 定义 和 RBAC 角色分配。这些设置会向下级联到该组中的每个订阅和资源。这样就不必在数十个独立订阅之间重复相同的策略或角色分配。

Management Group 最多可以嵌套六层。每个 Azure 目录的顶部都有一个单独的 Root Management Group，其他所有管理组和订阅都隶属于它。典型的企业层次结构可能如下：Root → Company → Platform → Production → Landing Zones → Individual Workload Subscriptions。在 Root 级别应用的策略会影响整个目录中的每个订阅。

层次结构中任意级别的访问控制分配都会向下继承。如果您在某个管理组上为用户分配 Reader 角色，该用户会自动获得该管理组内每个订阅和资源组的 Reader 访问权限。这种继承具有累加性——您无法在较低范围撤销继承的权限（只能添加更多权限）。例外情况是拒绝分配：即使角色分配允许执行某项操作，拒绝分配仍会阻止该操作。

同样，在管理组级别进行的 Azure Policy 分配会应用于该组中的所有订阅、资源组和资源。一种常见做法是在根管理组或 Company 管理组分配企业基线策略，以便在整个组织范围内强制执行允许的区域、必需的标记或必需的诊断设置等标准；同时，各个订阅所有者可以在下级添加更具体的策略，而不会覆盖企业基线。

Azure 订阅可以创建、重命名、取消，也可以在不同管理组之间移动。将订阅移动到其他管理组会改变应用于该订阅的策略和角色分配；策略更改会立即对订阅中的所有资源生效。取消订阅会禁止创建资源，并在宽限期结束后最终删除其中的所有资源，因此只有经过周密规划后才能执行此操作。

大型组织通过计费协议访问 Azure，这些协议会影响订阅的结构。Enterprise Agreement (EA) 通过注册协议为订阅提供服务，并为大量承诺支出设置中央计费账户。Microsoft Customer Agreement (MCA) 是现代化的后续方案，提供更多自助式订阅管理功能。在这两种协议下，计费配置文件和发票分区都可以让您按不同部门归集订阅费用。

每个 Azure 订阅都有服务配额——规定每个区域中可存在的各类资源数量的软 Limit。例如：每个区域 20,000 个 vCPUs、每个订阅 980 个资源组、每个订阅 800 个托管磁盘。当工作负载接近配额时，您可以在 Azure 门户中提交配额增加请求（支持 + 故障排除 > 新建支持请求）。对于大规模横向扩展，Microsoft 建议将工作负载分布到多个订阅中。

Microsoft 针对 Management Group 设计提出了几项最佳实践。避免嵌套超过三到四层——层次过多会使策略故障排除变得复杂。创建专用的 Platform 管理组，用于承载共享服务（身份、连接和管理），并与 Landing Zones 工作负载分开。将 Production 和 Non-Production 分隔到不同的管理组中，这样仅适用于生产环境的策略（例如禁用公共互联网访问）就不会意外应用到 Dev 环境。

请检验您对本课中 Microsoft Azure Fundamentals (AZ-900) 概念的理解。

本课您学到了：Azure 资源层次结构从管理组延伸到订阅、资源组和资源，管理组级别的策略和 RBAC 分配会向下继承到所有子订阅，以及多个订阅可以实现计费隔离、环境分离，并规避每个订阅的配额限制。接下来我们将深入探讨 Azure Policy。