Bulut idare ilkelerini belgele

Bu makalede, bulut idare ilkelerini tanımlama ve belgelemeyi öğreneceksiniz. Bulut idare ilkeleri, bulutta nelerin gerçekleşeceğini veya olmaması gerektiğini belirtir. Bulut idare takımı, risk değerlendirmesinde tanımlanan her risk için bir veya daha fazla bulut idare ilkesi oluşturmalıdır. Bulut idare ilkeleri, bulutta ve ile etkileşime yönelik korumaları tanımlar.

Bulut idare ilkelerini belgeleme yaklaşımını tanımlama

Bulut hizmetlerinin kullanımını yöneten kuralları ve yönergeleri oluşturmak, korumak ve güncelleştirmek için bir yaklaşım oluşturun. Bulut idare ilkeleri belirli bir iş yükü için benzersiz olmamalıdır. Amaç, sık güncelleştirme gerektirmeyen ve bulut idare ilkelerinin bulut ortamındaki etkilerini dikkate alan bulut idare ilkeleri oluşturmaktır. İlke belgeleri yaklaşımı tanımlamak için şu önerileri izleyin:

• Standart idare dilini tanımlayın. Bulut idare ilkelerini belgeleme için standart bir yapı ve biçim geliştirin. İlkeler, paydaşlar için açık ve yetkili bir başvuru olmalıdır.

• Farklı idare kapsamlarını tanıma. Kuruluşunuzdaki benzersiz rollere göre uyarlanmış belirli idare sorumluluklarını tanımlayın ve atayın. Örneğin, uygulama kodunu bir geliştirici yönetir. İş yükü ekibi tek bir iş yükünden, platform ekibi ise iş yüklerinin devraldığı idareden sorumludur.

• Bulut idaresinin geniş etkilerini değerlendirin. Bulut idaresi uyuşmalar yaratır. Uyuşma ve özgürlük arasında bir denge bulun. Bulut idare ilkeleri geliştirirken idarenin iş yükü mimarisi, yazılım geliştirme uygulamaları ve diğer alanlar üzerindeki etkilerini göz önünde bulundurun. Örneğin, izin verilip verilmediğiniz iş yükü mimarisini belirler ve yazılım geliştirme uygulamalarını etkiler.

Bulut idare ilkelerini tanımlama

Riskleri azaltmak için bulutu kullanmayı ve yönetmeyi özetleyen bulut idare ilkeleri oluşturun. Sık ilke güncelleştirmeleri gereksinimini en aza indirin. Bulut idare ilkelerini tanımlamak için şu önerileri izleyin:

• İlke kimliği kullanın. İlk güvenlik idare ilkesi için SC01 gibi her ilkeyi benzersiz olarak tanımlamak için ilke kategorisini ve bir sayıyı kullanın. Yeni riskler eklerken tanımlayıcıyı sıralı olarak artırma. Riskleri kaldırırsanız, dizide boşluk bırakabilir veya kullanılabilir en düşük sayıyı kullanabilirsiniz.

• İlke deyimini ekleyin. Tanımlanan riskleri ele alan belirli ilke deyimleri oluşturma. Zorunlu, olmamalıdır, olmamalıdır ve olmamalıdır gibi kesin bir dil kullanın. Başlangıç noktası olarak risk listesindeki zorlama denetimlerini kullanın. Yapılandırma adımları yerine sonuçlara odaklanın. Uyumluluğu nerede izleyeceğinizi bilmeniz için zorlama için gereken aracı adlandırın.

• Bir risk kimliği ekleyin. İlkedeki riski listeleyin. Her bulut idare ilkesini bir riskle ilişkilendirin.

• İlke kategorisini ekleyin. İlke kategorisine güvenlik, uyumluluk veya maliyet yönetimi gibi idare kategorilerini dahil edin. Kategoriler, bulut idare ilkelerini sıralama, filtreleme ve bulma konusunda yardımcı olur.

• İlke amacını dahil edin. Her ilkenin amacını belirtin. İlkenin başlangıç noktası olarak karşılayıp karşılamadiği riski veya mevzuat uyumluluğu gereksinimini kullanın.

• İlke kapsamını tanımlayın. Tüm bulut hizmetleri, bölgeler, ortamlar ve iş yükleri gibi bu ilkenin ne ve kimler için geçerli olduğunu tanımlayın. Belirsizlik olmadığından emin olmak için herhangi bir özel durum belirtin. İlkeleri kolayca sıralamak, filtrelemek ve bulmak için standartlaştırılmış dil kullanın.

• İlke düzeltme stratejilerini ekleyin. Bulut idare ilkesinin ihlaline istenen yanıtı tanımlayın. Üretim dışı ihlallere yönelik tartışmaları zamanlama ve üretim ihlalleri için anında düzeltme çalışmaları gibi yanıtları riskin önem derecesine göre uyarlar.

Daha fazla bilgi için örnek bulut idare ilkelerine bakın.

Bulut idare ilkelerini dağıtma

Bulut idare ilkelerine uyması gereken herkese erişim izni verin. Kuruluşunuzdaki kişiler için bulut idare ilkelerine bağlı kalmayı kolaylaştırmanın yollarını arayın. Bulut idare ilkelerini dağıtmak için şu önerileri izleyin:

• Merkezi bir ilke deposu kullanın. Tüm idare belgeleri için merkezi ve kolay erişilebilir bir depo kullanın. Tüm paydaşların, ekiplerin ve kişilerin ilkelerin ve ilgili belgelerin en son sürümlerine erişebildiğinden emin olun.

• Uyumluluk denetim listeleri oluşturun. İlkelere hızlı ve eyleme dönüştürülebilir bir genel bakış sağlayın. Ekiplerin kapsamlı belgelerde gezinmek zorunda kalmadan uyum sağlamasını kolaylaştırma. Daha fazla bilgi için örnek uyumluluk denetim listesine bakın.

Bulut idare ilkelerini gözden geçirme

Bulut idaresi ilkelerini değerlendirin ve güncelleştirerek bulut ortamlarında ilgili ve etkili olmaya devam etmelerini sağlayın. Düzenli incelemeler, bulut idaresi ilkelerinin değişen mevzuat gereksinimleri, yeni teknolojiler ve gelişen iş hedefleriyle uyumlu olmasını sağlamaya yardımcı olur. İlkeleri gözden geçirirken aşağıdaki önerileri göz önünde bulundurun:

• Geri bildirim mekanizmaları uygulayın. Bulut idare ilkelerinin etkinliği hakkında geri bildirim almanın yollarını belirleyin. İşlerini verimli bir şekilde yapmaya devam etmelerini sağlamak için ilkelerden etkilenen kişilerden gelen girişleri toplayın. İdare ilkelerini pratik zorlukları ve ihtiyaçları yansıtacak şekilde güncelleştirin.

• Olay tabanlı incelemeler oluşturun. Başarısız idare ilkesi, teknoloji değişikliği veya mevzuat uyumluluğu değişikliği gibi olaylara yanıt olarak bulut idare ilkelerini gözden geçirin ve güncelleştirin.

• Düzenli incelemeler zamanlayın. Değişen kurumsal gereksinimler, riskler ve bulut ilerlemeleriyle uyumlu olduğundan emin olmak için idare ilkelerini düzenli olarak gözden geçirin. Örneğin, paydaşlarla yapılan normal bulut idaresi toplantılarına idare gözden geçirmelerini ekleyin.

• Değişiklik denetimini kolaylaştırma. İlke gözden geçirmesi ve güncelleştirmeleri için bir işlem ekleyin. Bulut idare ilkelerinin kurumsal, mevzuat ve teknolojik değişikliklerle uyumlu olduğundan emin olun. İlkelerin nasıl düzenleneceğini, kaldırılacağını veya ekleneceğini net bir şekilde açıklayın.

• Verimsizlikleri tanımlama. Bulut mimarisi ve operasyonlarındaki verimsizlikleri bulmak ve düzeltmek için idare ilkelerini gözden geçirin. Örneğin, her iş yükünün kendi web uygulaması güvenlik duvarını kullanmasını zorunlu hale getirmek yerine, ilkeyi merkezi bir güvenlik duvarı kullanılmasını gerektirecek şekilde güncelleştirin. Yinelenen çaba gerektiren ilkeleri gözden geçirin ve işi merkezileştirmenin bir yolu olup olmadığına bakın.

Örnek bulut idare ilkeleri

Aşağıdaki bulut idare ilkeleri başvuru örnekleridir. Bu ilkeler, örnek risk listesindeki örnekleri temel alır.

İlke Kimliği	İlke kategorisi	Risk Kimliği	İlke bildirimi	Purpose	Kapsam	Düzeltme	İzleme
RC01	Mevzuata uyumluluk	R01	Hassas verileri izlemek için Microsoft Purview kullanılmalıdır.	Mevzuata uyumluluk	İş yükü ekipleri, platform ekibi	Etkilenen ekip tarafından anında eylem, uyumluluk eğitimi	Microsoft Purview
RC02	Mevzuata uyumluluk	R01	Günlük hassas veri uyumluluk raporları Microsoft Purview'dan oluşturulmalıdır.	Mevzuata uyumluluk	İş yükü ekipleri, platform ekibi	Bir gün içinde çözüm, onay denetimi	Microsoft Purview
SC01	Güvenlik	R02	Çok faktörlü kimlik doğrulaması (MFA) tüm kullanıcılar için etkinleştirilmelidir.	Veri ihlallerini ve yetkisiz erişimi azaltma	Azure kullanıcıları	Kullanıcı erişimini iptal etme	Microsoft Entra Id Koşullu Erişim
SC02	Güvenlik	R02	Erişim gözden geçirmeleri Microsoft Entra Kimlik Yönetimi aylık olarak yapılmalıdır.	Veri ve hizmet bütünlüğünü sağlama	Azure kullanıcıları	Uyumsuzluk için anında erişim iptali	Kimlik Yönetimi
SC03	Güvenlik	R03	Teams, tüm yazılım ve altyapı kodlarının güvenli bir şekilde barındırılabilmesi için belirtilen GitHub kuruluşunu kullanmalıdır.	Kod depolarının güvenli ve merkezi bir şekilde yönetilmesini sağlama	Geliştirme ekipleri	Yetkisiz depoların belirtilen GitHub kuruluşuna aktarılması ve uyumsuzluk için olası disiplin eylemleri	GitHub denetim günlüğü
SC04	Güvenlik	R03	Genel kaynaklardan kitaplıkları kullanan ekiplerin karantina düzenini benimsemesi gerekir.	Geliştirme sürecine tümleştirmeden önce kitaplıkların güvenli ve uyumlu olduğundan emin olun	Geliştirme ekipleri	Uyumsuz kitaplıkların kaldırılması ve etkilenen projeler için tümleştirme uygulamalarının gözden geçirilmesi	El ile denetim (aylık)
CM01	Maliyet yönetimi	R04	İş yükü ekiplerinin kaynak grubu düzeyinde bütçe uyarıları ayarlaması gerekir.	Fazla harcamayı önleme	İş yükü ekipleri, platform ekibi	Anında incelemeler, uyarılar için ayarlamalar	Microsoft Maliyet Yönetimi
CM02	Maliyet yönetimi	R04	Azure Danışmanı maliyet önerileri gözden geçirilmelidir.	Bulut kullanımını iyileştirme	İş yükü ekipleri, platform ekibi	60 gün sonra zorunlu iyileştirme denetimleri	Advisor
OP01	Operations	R05	Üretim iş yüklerinin bölgeler arasında etkin-pasif bir mimariye sahip olması gerekir.	Hizmet sürekliliğini sağlama	İş yükü ekipleri	Mimari değerlendirmeleri, iki dilli incelemeler	El ile denetim (üretim sürümü başına)
OP02	Operations	R05	Görev açısından kritik tüm iş yüklerinin bölgeler arası etkin-etkin bir mimari uygulaması gerekir.	Hizmet sürekliliğini sağlama	Görev açısından kritik iş yükü ekipleri	90 gün içinde Güncelleştirmeler, ilerleme gözden geçirmeleri	El ile denetim (üretim sürümü başına)
DG01	Veri	R06	Aktarımdaki ve bekleyen şifreleme tüm hassas verilere uygulanmalıdır.	Hassas verileri koruma	İş yükü ekipleri	Anında şifreleme zorlama ve güvenlik eğitimi	Azure İlkesi
DG02	Veri	R06	Tüm hassas veriler için Microsoft Purview'da veri yaşam döngüsü ilkeleri etkinleştirilmelidir.	Veri yaşam döngüsünü yönetme	İş yükü ekipleri	60 gün içinde uygulama, üç aylık denetimler	Microsoft Purview
RM01	Kaynak yönetimi	R07	Kaynakları dağıtmak için Bicep kullanılmalıdır.	Kaynak sağlamayı standartlaştırma	İş yükü ekipleri, platform ekibi	Anında Bicep geçiş planı	Sürekli tümleştirme ve sürekli teslim (CI/CD) işlem hattı
RM02	Kaynak yönetimi	R07	Etiketlerin Azure İlkesi kullanılarak tüm bulut kaynaklarına uygulanması gerekir.	Kaynak izlemeyi kolaylaştırma	Tüm bulut kaynakları	30 gün içinde doğru etiketleme	Azure İlkesi
AI01	AI	R08	Yapay zeka içerik filtreleme yapılandırması orta veya daha yüksek olarak ayarlanmalıdır.	Yapay zeka zararlı çıkışlarını azaltma	İş yükü ekipleri	Anında düzeltici ölçüler	Azure OpenAI Service
AI02	AI	R08	Müşteriye yönelik yapay zeka sistemlerinin aylık olarak kırmızı takıma alınması gerekir.	Yapay zeka sapmalarını tanımlama	Yapay zeka modeli ekipleri	Hemen gözden geçirme, eksikler için düzeltici eylemler	El ile denetim (aylık)

Sonraki adım

Bulut idare ilkelerini zorunlu kılma