Ambientes sandbox da zona de destino
Um sandbox é um ambiente isolado onde pode testar e experimentar sem afetar outros ambientes, como ambientes de produção, desenvolvimento ou teste de aceitação do utilizador (UAT). Realize provas de conceitos (POCs) com recursos do Azure num ambiente controlado. Cada sandbox tem a sua própria subscrição do Azure e as políticas do Azure controlam a subscrição. As políticas são aplicadas ao nível do grupo de gestão do sandbox e o grupo de gestão herda políticas da hierarquia acima. Consoante o seu objetivo, uma pessoa ou equipa pode utilizar um sandbox.
Dica
Para obter informações sobre as atribuições de políticas de zonas de destino do Azure predefinidas, veja Políticas incluídas nas implementações de referência de zonas de destino do Azure.
Os ambientes de sandbox são o melhor local para a aprendizagem prática do Azure. Alguns casos de utilização comuns incluem:
- Um programador precisa de um ambiente controlado do Azure para testar rapidamente padrões de conceção de aplicações.
- Um arquiteto da cloud precisa de um ambiente de sandbox para avaliar recursos do Azure ou realizar POCs para um serviço ou recurso do Azure antes de os aprovar formalmente para a organização.
- Um engenheiro de cloud precisa de um ambiente de sandbox para compreender melhor o que acontece quando uma definição é alterada num recurso do Azure.
- Um engenheiro de plataforma quer criar e testar uma nova política do Azure e ver como se comporta de acordo com as orientações do Canary.
- Um programador quer experimentar os serviços ou recursos do Azure durante a criação de uma aplicação.
Arquitetura do sandbox
A imagem seguinte mostra o grupo de gestão e o esquema de subscrição.
Coloque a subscrição do sandbox no grupo de gestão do sandbox. Para obter mais informações sobre grupos de gestão e organização de subscrições, veja Áreas de design da zona de destino e arquitetura conceptual. As políticas do Azure criadas para sandboxes são colocadas ao nível do grupo de gestão do sandbox. Em seguida, os ambientes de sandbox herdam as políticas do Azure da hierarquia do grupo de gestão acima das mesmas.
Uma subscrição do sandbox ajuda a gerir os custos de cada programa ou projeto. Pode controlar facilmente os custos e cancelar sandboxes quando os orçamentos diminuem ou quando o sandbox expirar.
Rede
Crie a rede de subscrição do sandbox que se adequa às suas necessidades. Para manter o sandbox isolado, certifique-se de que as redes criadas dentro das subscrições do sandbox não foram colocadas em modo de peering com outras redes fora do sandbox. Pode utilizar a política negar peering de rede virtual entre subscrições para garantir que cada sandbox é o seu próprio ambiente isolado.
Utilize a política de criação negar expressRoute/VPN/WAN Virtual para negar a criação de gateways do ExpressRoute, gateways de VPN e hubs de WAN Virtual. Quando nega estes recursos, garante que as redes de subscrição do sandbox permanecem isoladas.
Registo de auditoria
Por motivos de segurança, é importante ativar o registo de auditoria para um ambiente de sandbox. Ative uma definição de diagnóstico que inclua, pelo menos, as categorias de registo administrativo e de segurança (auditoria) para todas as subscrições do sandbox. Armazene registos de auditoria num destino central, como a área de trabalho predefinida do Log Analytics da zona de destino do Azure, para que possa revê-los facilmente. Em alternativa, pode integrá-los numa plataforma de gestão de informações e eventos de segurança (SIEM), como o Microsoft Sentinel. Para obter mais informações, veja Recomendações de inventário e visibilidade.
As políticas do Azure incluídas na implementação de referência da zona de destino à escala empresarial têm uma definição de política do Azure ("Configurar registos de atividades do Azure para transmitir em fluxo para a área de trabalho do Log Analytics especificada") que permite o registo de auditoria para todas as subscrições. O grupo de gestão do sandbox deve herdar esta política para ativar o registo de diagnósticos da subscrição do sandbox.
Acesso ao Sandbox
O utilizador do sandbox tem acesso de proprietário à subscrição do sandbox. Quando um sandbox é cancelado, remova o controlo de acesso baseado em funções (RBAC) do proprietário para todos os utilizadores do sandbox.
Outras considerações
Para garantir um desempenho fiável e eficiente do ambiente do sandbox, considere os seguintes fatores.
Expiração do sandbox
Pode cancelar ou eliminar um sandbox quando necessário. Planeie uma estratégia para remover sandboxes para poupar nos custos e garantir que a segurança permanece fiável. Considere a data de expiração do sandbox e do custo para determinar quando remover um sandbox. Depois de um sandbox expirar, mova-o para o grupo de gestão desativado .
Custo
Uma das principais preocupações dos ambientes de sandbox baseados na cloud é o controlo de custos. Para facilitar o controlo, pode criar um orçamento no Microsoft Cost Management. A funcionalidade de orçamentos envia-lhe alertas quando as despesas reais ou as despesas previstas ultrapassam um limiar configurado.
Quando implementa um sandbox, pode criar um orçamento do Microsoft Cost Management e atribuí-lo à subscrição. A funcionalidade de orçamento alerta os utilizadores do sandbox quando os limiares de gastos ultrapassam a percentagem que especificar. Por exemplo, pode definir um alerta para quando o orçamento ultrapassa o limiar de gastos de 100%. Nesse caso, poderá querer cancelar ou eliminar uma subscrição. O alerta por si só é apenas um mecanismo de aviso.
Pode atribuir um orçamento a todos os sandboxes. Aplique um orçamento predefinido com a política Deploy-Budget do Azure ao nível do grupo de gestão do sandbox. Defina o orçamento predefinido para o custo máximo aprovado pela organização para um sandbox. O orçamento predefinido envia alertas de custos para qualquer sandbox que não tenha um orçamento mais específico.
Data de validade
A maioria das organizações quer expirar e eliminar sandboxes após um período de tempo. Expire sandboxes para fornecer benefícios de segurança e controlo de custos. Os ambientes de sandbox são criados para fins de teste e aprendizagem. Depois de o utilizador do sandbox efetuar o teste ou obter os conhecimentos pretendidos, pode expirar o sandbox porque já não é necessário. Atribua uma data de expiração a cada sandbox. Quando essa data for atingida, cancele ou elimine a subscrição do sandbox.
Quando cria um sandbox, pode colocar uma etiqueta do Azure com uma data de expiração na subscrição. Utilize a automatização para cancelar ou eliminar a subscrição quando atingir a data de expiração.
Restringir recursos do Azure
Para fornecer o ambiente de aprendizagem mais robusto para os utilizadores do sandbox, disponibilize todos os serviços do Azure no ambiente do sandbox. Os sandboxes sem restrições são ideais, mas algumas organizações têm requisitos para restringir os serviços do Azure que são implementados em sandboxes. Controle estas restrições através de Azure Policy. Utilize a política de bloqueio de serviços do Azure para negar a implementação de serviços específicos do Azure.
Proteção de informação
A maioria das organizações concorda que é importante manter os dados confidenciais fora de um ambiente de sandbox. A primeira linha de defesa para a proteção de informações é a educação dos utilizadores. Antes de atribuir um utilizador a um sandbox, forneça-lhe exclusões de responsabilidade e informações que indiquem claramente que não deve adicionar dados confidenciais ao sandbox.
Utilize o Microsoft Purview para fornecer proteção de informações para ambientes de sandbox. O Purview pode enviar alertas se um utilizador adicionar dados que a organização etiqueta como confidenciais aos ambientes do sandbox.