Útmutató az előfizetéses automaták bevezetéséhez

Ez a cikk megvalósítási útmutatót nyújt az előfizetéses értékesítés automatizálásához. Az előfizetéskiépítés egységesíti az előfizetések kérésének, üzembe helyezésének és szabályozásának folyamatát, hogy az alkalmazáscsapatok gyorsabban üzembe helyezhessék számítási feladataikat.

Az architektúradiagram az előfizetés-automatizációs szervezetet mutatja, felül egy felügyeleticsoport-hierarchiával, alul pedig az előfizetés-automatizálási munkafolyamattal. Felül a bérlő gyökércsoportja egy Contoso felügyeleti csoportra mutat, amely három gyermekcsoportra oszlik: a bal oldali platformra (amely identitás- és kapcsolati előfizetésekkel rendelkezik), a központban lévő célzónákra (amelyek SAP, corp és online előfizetéssel rendelkeznek), valamint a jobb oldali tesztkörnyezetre. A felügyeleti csoport szakasza alatt egy előfizetési réteg négy előfizetési mezőt jelenít meg: az identitás-előfizetést és a kapcsolati előfizetést a platform alatt, az A1-előfizetést és az A2-előfizetést a célzónák alatt, és az 1-es számú tesztkörnyezeti előfizetést a tesztkörnyezet alatt. Egy nyíl a kapcsolati előfizetésből egy szakaszra mutat, amely részletes hálózati összetevőket jelenít meg, beleértve a regionális központ ikonját is. Az A2-előfizetés öt ikont jelenít meg, amelyek a költségvetést, a szerepkör-hozzárendelést, a szabályzat-hozzárendelést, az Azure Network Watchert és a Microsoft Defender for Cloud konfigurációs összetevőit jelölik. Ez a két előfizetés virtuális hálózati összekapcsolás révén csatlakozik. A jobb oldalon egy előfizetés-automatizálási munkafolyamat lineáris folyamatot jelenít meg. Az adatgyűjtési eszköz elindít egy kérési folyamatot, amely véglegesíti a forrásvezérlést, és elindít egy üzembehelyezési folyamatot. Az üzembehelyezési folyamat kódmodulként (IaC) csatlakozik az infrastruktúrához. Egy JSON- vagy YAML-előfizetési paraméterfájl az adatgyűjtési eszköz munkafolyamatába kerül. A diagramon látható nyilak az adatgyűjtéstől az üzembe helyezésig haladnak, az üzembe helyezési folyamat utolsó nyilat pedig az A2-előfizetésre mutató utolsó nyíl jelzi, amely az előfizetések automatikus létrehozását és konfigurálását jelzi.

Jótanács

Az előfizetési Bicep és Terraform-modulok segítségével felgyorsíthatja az Azure-előfizetések vagy munkaterhelési beléptető zónák nagy léptékű létrehozását. Testre szabhatja a moduloknak átadott bemeneti paramétereket és változókat a számítási feladatok igényeinek megfelelően. Az előfizetés-automatálási folyamatról további információt az Előfizetési automaták áttekintése című témakörben talál.

Architecture

Javasoljuk, hogy az alábbi feladatok elvégzéséhez tervezzen előfizetés-automatizációt:

• Előfizetés-kérelem adatainak gyűjtése
• Platformautomatizálás indítása
• Előfizetések létrehozása az infrastruktúra kódként való használatával (IaC)

Ezeknek a feladatoknak a végrehajtásához többféleképpen is implementálhatja az előfizetés-automatizációt. Az alábbi példa implementáció egy Gitflow-módszert használó megközelítést mutat be. A Gitflow kialakítása összhangban van azzal a deklaratív megközelítéssel, amelyet számos platformcsapat használ a platform kezeléséhez.

Az ábrán egy lineáris munkafolyamat látható az előfizetés-automatizációhoz, amely balról jobbra halad öt fő összetevő között. A bal szélen az adatgyűjtési eszköz egy nyíl címkével ellátott eseményindítón keresztül mutat a kérelemfolyamatra. A kérelemfolyamat egy nyíllal jelölt véglegesítésen keresztül mutat a forrásvezérlőre. A JSON- vagy YAML-előfizetési paraméterfájlt olvasó fogaskerék ikon a véglegesítési sorra mutat. A forrásvezérlő egy nyíl címkével ellátott eseményindítón keresztül mutat az üzembehelyezési folyamatra. Az IaC-modulok a forráskövetésre és az üzembehelyezési folyamatra mutatnak. Az üzembe helyezési folyamat az előfizetésre mutat. A kérelemfolyamat, a forrásvezérlés és az üzembehelyezési folyamat alatt egy szürke sáv jelzi, hogy ezek az összetevők az automatizált platformfolyamat részét képezik. A diagram alján három kék szakasz fázisfeliratokkal rendelkezik. Az adatgyűjtési fázis megfelel az adatgyűjtési eszköznek. A platform-automatizálás kezdeti fázisa a kérésfeldolgozási csővezetéknek és a forrásvezérlésnek felel meg. A létrehozási-előfizetési fázis a forráskövetésnek, az üzembehelyezési folyamatnak és az előfizetésnek felel meg.

A példa implementáció a következő lépéseket követi:

1. Az adatgyűjtési eszköz összegyűjti az előfizetési kérelmek adatait.
2. Amikor az előfizetési kérelem jóváhagyást kap, elindítja a platform automatizációját. A platform automatizálása a kérelemfolyamatból, a forrásvezérlésből és az üzembe helyezési folyamatból áll.
3. A kérelemfolyamat létrehoz egy JSON-, YAML- vagy TFVARS-előfizetési paraméterfájlt az adatgyűjtési eszköz adataival. A kérelemfolyamat emellett létrehoz egy új ágat, véglegesíti az előfizetés paraméterfájlját, és megnyitja a lekéréses kérelmet a forrásvezérlőben.
4. Az új ág egyesül a forrásvezérlő fő ágával.
5. Az egyesítés aktiválja az üzembehelyezési folyamatot az előfizetés IaC-modulokkal való létrehozásához.

Az üzembe helyezés az előfizetést a megfelelő felügyeleti csoportba helyezi az irányítási követelmények alapján. Emellett létrehoz egy előzetes előfizetési költségvetést a költségkezelés alapjainak létrehozásához. A számítási feladat igényeitől függően az üzembe helyezés létrehozhat egy üres virtuális hálózatot, és beállíthat társviszonyt egy regionális központhoz. A platform csapata a létrehozás és konfigurálás után átadja az előfizetést az alkalmazás csapatának. Az alkalmazás csapata ezután frissíti az előfizetés költségvetését, és létrehozza a számítási feladat erőforrásait.

Gyűjts adatokat

Az adatgyűjtés célja, hogy megkapja az üzleti jóváhagyást, és meghatározza a JSON, YAML vagy TFVARS előfizetési paraméterfájl értékeit. Adatgyűjtési eszköz használatával gyűjtse össze a szükséges adatokat, amikor az alkalmazás csapata elküldi az előfizetési kérelmet. Az adatgyűjtési eszköz az előfizetés-automatizálási munkafolyamat más rendszereivel is kapcsolatot létesít a platform automatizálásának elindításához.

Használjon adatgyűjtési eszközt. Egy informatikai szolgáltatásfelügyeleti (ITSM) eszközzel összegyűjtheti az adatokat, vagy létrehozhat egy ügyfélportált egy alacsony kódú vagy kód nélküli eszközzel, például a Power Apps használatával. Az adatgyűjtési eszköz üzleti logikát biztosít az előfizetési kérelem jóváhagyásához vagy elutasításához.

Gyűjtse össze a szükséges adatokat. Elegendő adatot kell összegyűjtenie az előfizetési paraméterfájlok értékének meghatározásához, hogy automatizálhassa az üzembe helyezést. Az összegyűjtött értékek az igényeitől függenek. Rögzítse a kérelem-engedélyezőt, a költséghelyet és a hálózatkezelési követelményeket, például az internetet vagy a helyszíni kapcsolatot. Hasznos lehet megkérdezni az alkalmazás csapatát a számítási feladatok várható összetevőiről, például az alkalmazásplatformról és az adatkövetelményekről, az adatérzékenységről és a környezetek számáról, beleértve a fejlesztési, tesztelési, előkészítési és éles környezeteket.

Ellenőrizze az adatokat. Javasoljuk, hogy az adatgyűjtési folyamat során ellenőrizze az adatokat. A platformautomatizálási fázisok későbbi szakaszaiban nehezebb kezelni a problémákat.

Nyomon követhető kérés létrehozása. Az adatgyűjtési eszköz létrehoz egy naplózott és nyomon követhető kérést, például egy jegyet egy ITSM-eszközben egy új előfizetéshez. Adja meg az összes szükséges adatot a kérelemben az előfizetési követelmények teljesítéséhez. Az üzleti logika és az engedélyezés nyomon követésének kötése a kérelemhez.

Kapcsolódás más belső rendszerekhez. Szükség esetén az adatgyűjtési eszköz képes a szervezet más eszközeivel vagy rendszereivel való kapcsolódásra. Ez a megközelítés más rendszerek adataival bővíti a kérést. Az automatizálás futtatásához identitásra, pénzügyre, biztonságra és hálózati adatokra lehet szükség. Az automatizálás például képes egy IP-címkezelési (IPAM) eszközzel csatlakozni a megfelelő IP-címtartomány lefoglalásához.

Hozzon létre egy eseményindítót. Amikor az előfizetési kérelem jóváhagyást kap, az adatátvitel aktiválja a platform automatizálását. A legjobb, ha push értesítést hoz létre az adatgyűjtési eszközből származó szükséges adatokkal. A folyamat elindításához szükség lehet egy köztes szoftverrétegre, például az Azure Functionsre vagy az Azure Logic Appsre.

Platformautomatizálás kezdeményezése

Az adatgyűjtési eszköz értesítése és adatai aktiválják a platform automatizálását. A platformautomatizálás létrehoz egy előfizetési paraméterfájlt, egyesíti a fájlt a főágban, és az IaC-modulokkal telepíti a fájlt az előfizetés létrehozásához. A platformcsapat birtokolja és karbantartja a platformautomatizálást. Az előző példa implementáció platformautomatizálása a kérelemfolyamatból, a forrásvezérlésből és az üzembe helyezési folyamatból áll.

Használjon JSON-, YAML- vagy TFVARS-fájlokat. Strukturált adatfájlok, például JSON, YAML vagy TFVARS használatával tárolhatja az adatokat előfizetés létrehozásához. Dokumentálja a fájl struktúráját, és tegye azt bővíthetővé a jövőbeli igények támogatására. Az alábbi JSON-kódrészlet például a GitHub egyik Bicep-moduljának előfizetési paraméterértékeit határozza meg.

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "subscriptionDisplayName": {
      "value": "sub-bicep-lz-vending-example-001"
    },
    "subscriptionAliasName": {
      "value": "sub-bicep-lz-vending-example-001"
    },
    "subscriptionBillingScope": {
      "value": "providers/Microsoft.Billing/billingAccounts/1234567/enrollmentAccounts/123456"
    },
    // Insert more parameters here
  }
}

Tekintse meg a teljes fájlt. További példákért tekintse meg a Bicep-példákat és a Terraform-példákat.

Minden előfizetési kérelemhez használjon egy fájlt. Az előfizetés az előfizetés-átadási folyamat központi telepítési egysége, ezért minden előfizetési kérelemhez dedikált előfizetési paraméterfájl szükséges.

Fontos

A Terraform-implementációkhoz használjon dedikált állapotfájlt minden workload landing zone-előfizetéshez. Ez a megközelítés javítja a tervezési és alkalmazási műveletek teljesítményét, és csökkenti a hibás konfigurációk hatókörét.

Használjon pull request rendszert. Az előfizetési paraméterfájlt létrehozó Gitflow-folyamat a következő lépéseket automatizálja:

1. Hozzon létre egy új ágat minden előfizetési kérelemhez.
2. Az összegyűjtött adatok használatával egyetlen YAML-, JSON- vagy TFVARS-előfizetési paraméterfájlt hozhat létre az új előfizetéshez az ágban.
3. Hozzon létre egy pull requestet a saját ágából ide: main.
4. Frissítse az adatgyűjtési eszközt állapotváltozás hozzáadásával, és hivatkozzon erre a pull requestre.

Az előző példa-implementáció kérelemfolyamata ezeket a lépéseket futtatja. Az Azure-ban üzemeltetett kódalapú megoldást is használhat, ha a munkafolyamat összetett.

Ellenőrizze az előfizetési paramétert vagy a változók fájlját. A pull request indít el egy linting folyamatot, amely ellenőrzi az adatok helyességét annak érdekében, hogy az üzembe helyezés sikeres legyen. Ez a folyamat ellenőrzi az előfizetés paraméterfájlját, és azt is ellenőrizheti, hogy az IP-címtartomány továbbra is elérhető-e. Hozzáadhat egy manuális felülvizsgálati kaput az emberi beavatkozáshoz. Ezután elvégezheti a végső felülvizsgálatot, és módosíthatja az előfizetés paraméterfájlját. A kimenet egy előfizetési paraméterfájl, amely az előfizetés létrehozásához szükséges összes adatot tartalmazó fájllal rendelkezik.

Indítsa el az üzembe helyezési folyamatot. Amikor a lekéréses kérelem egyesül az main ágban, az egyesítés aktiválja az üzembe helyezési folyamatot.

Előfizetés létrehozása

Az előfizetés-automatizálás utolsó feladata az új előfizetés létrehozása és beállítása. Az előző példa implementációja az üzembehelyezési folyamat használatával telepíti az IaC-modult az előfizetési paraméterfájllal.

Az IaC használata. Az üzembe helyezés során az előfizetést IaC használatával kell létrehozni. A platformcsapat létrehozza és karbantartja ezeket a sablonokat a megfelelő irányítás biztosítása érdekében. Használja a Bicep- és Terraform-modulokat, és módosítsa őket a megvalósítási igényeknek megfelelően.

Használjon üzembe helyezési folyamatot. A telepítési folyamat összehangolja az új előfizetés létrehozását és konfigurálását. A folyamatnak a következő feladatokat kell futtatnia.

Feladatkategória	Pipeline-feladat
Személyazonosság	• Microsoft Entra-erőforrások létrehozása vagy frissítése az előfizetés tulajdonosának megjelenítéséhez. • Kiemelt munkaterhelési identitások beállítása a munkaterhelési csapat üzembe helyezéseihez.
Kormányzás	• Helye a felügyeleti csoport hierarchiájában. • Rendeljen hozzá előfizetés-tulajdonost. • Állítsa be az előfizetésszintű Azure szerepköralapú hozzáférés-vezérlést (Azure RBAC) a megfelelő biztonsági csoportokhoz. • Előfizetési szintű Azure-szabályzatok hozzárendelése. • Állítsa be a Microsoft Defender for Cloud regisztrációt.
hálózat	• Virtuális hálózatok üzembe helyezése. • Virtuális hálózatok összekapcsolásának beállítása a platform erőforrásaihoz (regionális központ).
Budgets	• Költségvetéseket hozhat létre az előfizetés-tulajdonosok számára az összegyűjtött adatok használatával.
Jelentéskészítés	• Frissítse a külső rendszereket, például az IPAM-et az IP-címfoglalások véglegesítéséhez. • Frissítse az adatgyűjtési eszközkérelmet a végleges előfizetés nevével és globálisan egyedi azonosítójával (GUID). • Értesítse az alkalmazás csapatát, hogy az előfizetés készen áll.

Az előfizetés programozottan történő létrehozásához kereskedelmi szerződésre van szükség. Ha nem rendelkezik kereskedelmi szerződéssel, be kell vezetnie egy manuális folyamatot az előfizetés létrehozásához, de továbbra is automatizálhatja az előfizetés konfigurálásának minden egyéb aspektusát.

Munkaterhelés-identitás létrehozása. Az üzembehelyezési folyamatnak engedélyre van szüksége ahhoz, hogy ezeket a feladatokat az összes olyan rendszeren végezze el, amellyel kapcsolatba lép. Felügyelt identitás vagy OpenID Connect (OIDC) használatával hitelesíthet az Azure-ban.

Üzembe helyezés után

Az előfizetés-értékesítési automatizálás az előfizetés létrehozásával és konfigurálásával fejeződik be. A platformcsapat a létrehozás után átadja az új előfizetést az alkalmazáscsapatnak. Az alkalmazás csapata ezután frissíti az előfizetés költségvetését, létrehozza a számítási feladat erőforrásait, és üzembe helyezi a számítási feladatot. A platformcsapat felügyeli az előfizetés irányítását, és kezeli az előfizetés irányításában idővel bekövetkező változásokat.

Költségkezelés kikényszerítése. Az előfizetési költségvetések olyan értesítéseket biztosítanak, amelyek kritikus fontosságúak a költségkezelés szempontjából. Az üzembe helyezés létrehoz egy előzetes előfizetési költségvetést az előfizetés-kérelem adatai alapján. Az alkalmazás csapata megkapja az előfizetést, és frissíti a költségvetést, hogy megfeleljen a számítási feladat igényeinek. További információkért lásd a következő cikkeket:

• Költségvetések létrehozása és kezelése
• Költségek kezelése költségvetésekkel
• Azure-költségfelosztási szabályok létrehozása és kezelése
• Költségek nyomon követése üzleti egységek, környezetek vagy projektek szerte

Előfizetések szabályozásának kezelése Frissítse az előfizetést, amikor a számítási feladat szabályozási követelményei megváltoznak. Előfordulhat például, hogy át kell helyeznie egy előfizetést egy másik felügyeleti csoportba. Automatizálás létrehozása ezen rutinfeladatok némelyikéhez. További információkért lásd a következő cikkeket:

• Felügyeleti csoportok és előfizetések áthelyezése
• Szabályzatok és szabályzatkezdeményezések naprakészen tartása
• A címkézési stratégia meghatározása
• Az Azure célzóna architektúrájának testreszabása a követelményeknek megfelelően

Következő lépések

Az előfizetések kiosztása leegyszerűsíti és egységesíti az előfizetés-létrehozási folyamatot, és a szervezet irányítása alá helyezi. Vezesse be az előfizetéskiépítés automatizálását, hogy az alkalmazáscsapatok gyorsabban férhessenek hozzá a számítási feladatok kezdőzónáihoz, és gyorsabban helyezhessék üzembe a számítási feladatokat. További információt a következő források tartalmaznak:

• Bicepsz modulok
• Terraform-modulok
• Előfizetés-értékesítési áttekintés
• Általános előfizetés-automatázási terméksorok létrehozása
• Az Azure-beli célzóna áttekintése