Přizpůsobení architektury cílové zóny Azure tak, aby splňovala požadavky

V rámci pokynů k cílové zóně Azure je k dispozici několik možností referenční implementace:

• Cílová zóna Azure se službou Azure Virtual WAN
• Cílová zóna Azure s tradičním centrem a paprskem
• Základ cílové zóny Azure
• Cílová zóna Azure pro malé podniky

Tyto možnosti můžou vaší organizaci pomoct rychle začít pomocí konfigurací, které poskytují koncepční architekturu cílové zóny Azure a osvědčené postupy v oblastech návrhu.

Referenční implementace vycházejí z osvědčených postupů a učení týmů Microsoftu z zapojení zákazníků a partnerů. Tato znalost představuje stranu "80" pravidla 80/20. Různé implementace mají postoj k technickým rozhodnutím, která jsou součástí procesu návrhu architektury.

Vzhledem k tomu, že ne všechny případy použití jsou stejné, ne všechny organizace můžou použít přístup implementace přesně tak, jak to bylo zamýšleno. Je potřeba pochopit, co je potřeba vzít v úvahu, když je identifikován požadavek na přizpůsobení.

Co je archetyp cílové zóny v cílových zónách Azure?

Archetyp cílové zóny popisuje, co je potřeba splnit, aby cílová zóna (předplatné Azure) splňovala očekávané požadavky na prostředí a dodržování předpisů v určitém rozsahu. Příkladem může být:

• Přiřazení azure Policy
• Přiřazení řízení přístupu na základě role (RBAC).
• Centrálně spravované prostředky, jako jsou sítě.

Zvažte každou skupinu pro správu v hierarchii prostředků jako příspěvek k konečnému výstupu archetypu cílové zóny, protože dědičnost zásad funguje v Azure. Při návrhu nižších úrovní zamyslete nad tím, co se použije na vyšších úrovních hierarchie prostředků.

Mezi skupinami pro správu a archetypy cílových zón existuje blízký vztah, ale samotná skupina pro správu není archetyp cílové zóny. Místo toho tvoří součást architektury, která se používá k implementaci jednotlivých archetypů cílových zón ve vašem prostředí.

Tento vztah můžete zobrazit v koncepční architektuře cílové zóny Azure. Přiřazení zásad se vytvářejí v zprostředkující kořenové skupině pro správu, například Contoso, pro nastavení, která se musí vztahovat na všechny úlohy. Více přiřazení zásad se vytváří na nižších úrovních hierarchie pro konkrétnější požadavky.

Umístění předplatného v hierarchii skupin pro správu určuje výslednou sadu přiřazení Azure Policy a řízení přístupu (IAM), která jsou zděděna, použita a vynucována pro danou cílovou zónu (předplatné Azure).

Aby cílové zóny měly požadované centrálně spravované prostředky, může být potřeba více procesů a nástrojů. Mezi některé příklady patří:

• Nastavení diagnostiky pro odesílání dat protokolu aktivit do pracovního prostoru služby Log Analytics
• Nastavení průběžného exportu pro Microsoft Defender for Cloud
• Virtuální síť se spravovanými adresními prostory IP adres pro úlohy aplikací
• Propojení virtuálních sítí s distribuovanou službou DDoS (Denial of Service) Network Protection

Poznámka:

V referenčních implementacích cílové zóny Azure se k nasazení některých předchozích prostředků používají zásady Azure s DeployIfNotExists efekty a Modify efekty . Řídí se zásadou návrhu zásad správného řízení .

Další informace najdete v tématu Přijetí mantinely řízené zásadami.

Integrované archetypy pro koncepční architekturu cílové zóny Azure

Koncepční architektura zahrnuje příklady archetypů cílových zón pro aplikační úlohy, jako je corp a online. Tyto archetypy se můžou vztahovat na vaši organizaci a splňovat vaše požadavky. Tyto archetypy můžete chtít změnit nebo vytvořit nové. Vaše rozhodnutí závisí na potřebách a požadavcích vaší organizace.

Tip

Pokud chcete zkontrolovat archetypy cílových zón v akcelerátoru cílových zón Azure, projděte si skupiny pro správu v akcelerátoru cílových zón Azure.

Můžete také chtít vytvořit změny jinde v hierarchii prostředků. Při plánování hierarchie pro implementaci cílových zón Azure pro vaši organizaci postupujte podle pokynů v oblastech návrhu.

Následující příklady archetypu cílové zóny z koncepční architektury vám pomůžou porozumět jejich účelu a zamýšlenému použití:

Archetyp cílové zóny (skupina pro správu)	Účel nebo použití
Corp	Vyhrazená skupina pro správu pro podnikové cílové zóny. Tato skupina je určená pro úlohy, které vyžadují připojení nebo hybridní připojení k podnikové síti prostřednictvím centra v předplatném připojení.
Online	Vyhrazená skupina pro správu pro online cílové zóny. Tato skupina je určená pro úlohy, které můžou vyžadovat přímé připojení k internetu pro příchozí a odchozí spojení nebo pro úlohy, které nemusí vyžadovat virtuální síť.
Sandbox	Vyhrazená skupina pro správu pro předplatná, která se budou používat jenom k testování a zkoumání organizací. Tato předplatná se bezpečně odpojí od firemních a online cílových zón. Sandboxy mají také méně omezující sadu zásad přiřazených k povolení testování, zkoumání a konfigurace služeb Azure.

Scénáře, kdy se může vyžadovat přizpůsobení

Jak už jsme zmínili, poskytujeme společné archetypy cílových zón v koncepční architektuře cílové zóny Azure. Jsou corp a online. Tyto archetypy nejsou pevné a nejsou jedinými povolenými archetypy cílových zón pro úlohy aplikací. Možná budete muset přizpůsobit archetypy cílových zón tak, aby vyhovovaly vašim potřebám a požadavkům.

Než přizpůsobíte archetypy cílových zón, je důležité porozumět konceptům a také vizualizovat oblast hierarchie, kterou doporučujeme přizpůsobit. Následující diagram znázorňuje výchozí hierarchii koncepční architektury cílové zóny Azure.

Jsou zvýrazněny dvě oblasti hierarchie. Jedna je pod cílovými zónami a druhá je pod platformou.

Přizpůsobení archetypů cílové zóny aplikace

Všimněte si modré oblasti pod skupinou pro správu cílových zón . Nejobvyklejším a nejbezpečnějším místem v hierarchii je přidání dalších archetypů pro splnění nových nebo více požadavků, které není možné přidat jako další přiřazení zásad k existujícímu archetypu pomocí existující hierarchie.

Můžete mít například nový požadavek na hostování sady aplikačních úloh, které potřebují splnit požadavky na dodržování předpisů v odvětví platebních karet (PCI). Tento nový požadavek se ale nemusí vztahovat na všechny úlohy v rámci celého majetku.

Existuje jednoduchý a bezpečný způsob, jak tento nový požadavek splnit. Vytvořte novou skupinu pro správu s názvem PCI pod skupinou pro správu cílových zón v hierarchii. Nové skupině pro správu PCI v3.2.1:2018 můžete přiřadit další zásady, jako je iniciativa zásad dodržování právních předpisů v programu Microsoft Defender for Cloud. Tato akce tvoří nový archetyp.

Teď můžete umístit nová nebo přesunout stávající předplatná Azure do nové skupiny pro správu PCI , aby dědila požadované zásady a vytvořila nový archetyp.

Dalším příkladem je Microsoft Cloud for Sovereignty, který přidává skupiny pro správu pro důvěrné výpočetní prostředky a je sladěný pro použití v regulovaných odvětvích. Microsoft Cloud for Sovereignty poskytuje nástroje, pokyny a mantinely pro přijetí veřejného cloudu s příslušnými kontrolními mechanismy suverenity.

Tip

Potřebujete vědět, co vzít v úvahu a co se stane, když přesunete předplatná Azure mezi skupinami pro správu ve vztahu k RBAC a Azure Policy. Další informace najdete v tématu Přechod stávajících prostředí Azure na koncepční architekturu cílové zóny Azure.

Přizpůsobení archetypů cílových zón platformy

Můžete také chtít přizpůsobit oblast zvýrazněnou oranžovou pod skupinou pro správu platformy . Zóny v této oblasti se označují jako cílové zóny platformy.

Můžete mít například vyhrazený tým SOC, který k hostování úloh vyžaduje vlastní archetyp. Tyto úlohy musí splňovat požadavky na přiřazení Azure Policy a RBAC, které se liší od požadavků skupiny pro správu.

Vytvořte novou skupinu pro správu zabezpečení pod skupinou pro správu platformy v hierarchii. Můžete mu přiřadit požadovaná přiřazení Azure Policy a RBAC.

Teď můžete do nové skupiny pro správu zabezpečení umístit nová nebo přesunout existující předplatná Azure, aby dědila požadované zásady a vytvořila nový archetyp.

Příklad přizpůsobené hierarchie cílových zón Azure

Následující diagram znázorňuje přizpůsobenou hierarchii cílových zón Azure. Používá příklady z předchozího diagramu.

Body ke zvážení

Při zvažování přizpůsobení implementace archetypů cílových zón Azure v hierarchii zvažte následující body:

• Přizpůsobení hierarchie není povinné. Výchozí archetypy a hierarchie, které poskytujeme, jsou vhodné pro většinu scénářů.

• Nevytvávejte znovu hierarchii organizace, týmy ani oddělení v archetypech.

• Vždy se snažte stavět na existujících archetypech a hierarchii, aby splňovaly nové požadavky.

• Vytvářet nové archetypy jen tehdy, když jsou skutečně potřeba.

  Například nový požadavek na dodržování předpisů, jako je PCI, se vyžaduje jenom pro podmnožinu aplikačních úloh a nemusí se vztahovat na všechny úlohy.

• Ve zvýrazněných oblastech zobrazených v předchozích diagramech vytvořte pouze nové archetypy.

• Vyhněte se překročení hloubky hierarchie čtyř vrstev, abyste se vyhnuli složitosti a zbytečným vyloučením. Rozšiřte archetypy vodorovně místo svisle v hierarchii.

• Nevytvávejte archetypy pro prostředí, jako je vývoj, testování a produkce.

  Další informace najdete v tématu Jak v koncepční architektuře cílových zón Azure zpracováváme cílové zóny úloh pro vývoj,testování a produkční prostředí?

• Pokud pochází z prostředí brownfieldu nebo hledáte přístup k hostování předplatných ve skupině pro správu cílových zón se zásadami v režimu vynucení jen pro audit, projděte si scénář: Přechod prostředí duplikováním skupiny pro správu cílové zóny.