Was existieren muss, damit die Integrationsplattform funktioniert: in Azure und Entra ID, im Netzwerk und in den Repositories. Diese
Seite richtet sich an das Plattform-Team. Workload-Teams finden ihre eigene kurze Liste am Ende.
| Voraussetzung |
Warum |
Wer stellt sie bereit |
| MCP hub und spokes |
Die Plattform läuft auf spokes und nutzt den hub für Netzwerk, Firewall und DNS (Architekturreferenz) |
Plattform-Team (MCP) |
| Ein Shared-Services-spoke pro Umgebung |
Enthält die Shared Services. Im Referenzdesign ist das Basis-Deployment nur die Container Registry. |
Plattform-Team |
| Shared Services deployt, je nach Bedarf |
Der Service-Bus-Namespace (Premium), Event Hubs, API Management. Ihre Ressourcen-IDs kommen in den Block shared_services der Plattformkonfiguration (Spoke-Erweiterungen). |
Plattform-Team |
| Spoke-Erweiterungen aktiviert pro Integrations-spoke |
Geben dem spoke Zugriff auf die Shared Services. Siehe die Checkliste. |
Plattform-Team |
| Entra-ID Administrative Unit pro Umgebung |
Isoliert die Gruppen, die die Automatisierung erstellt. Eine eigene Unit pro Umgebung wird dringend empfohlen (ADR-004). |
Identity-Team des Kunden |
| Groups Administrator auf dieser Unit für die Automatisierungs-Identity |
Erlaubt der Automatisierung, Gruppen zu erstellen und zu verwalten, aber nur innerhalb der Unit |
Identity-Team des Kunden |
| Plattform-Readers-Gruppe |
Eine Gruppe mit Lesezugriff auf den Service-Bus-Namespace, erstellt von der Service-Bus-Spoke-Erweiterung. Ihre Object-ID ist ein Input der Automatisierung. |
Von der Spoke-Erweiterung erstellt |
| Azure-Rollen der Automatisierungs-Identity |
Owner oder Contributor auf der Resource group des Namespace. Zugriff auf das Storage Account für den Terraform-State. |
Plattform-Team |
| Terraform-State-Backend |
Die Root-Konfiguration verwendet ein azurerm-Backend mit Entra-ID-Authentifizierung |
Plattform-Team |
| pipeline-Runner im Netzwerk |
Private Ressourcen lassen sich nur aus dem Netzwerk heraus deployen. Das Referenzdesign teilt selbst gehostete Runner zwischen MCP und den Integrations-Workloads (Build Agents). |
Plattform-Team |
| DNS-Auflösung für Private Endpoints |
Aus deinen eigenen Netzwerken braucht die Namensauflösung der Private Endpoints Forwarding (DNS für Private Endpoints) |
Netzwerk-Team des Kunden, Plattform-Team |
| Defender for APIs |
Die Plattform aktiviert Defender for APIs auf den Integrations-subscriptions |
Plattform-Team |
| Tool |
Version im Code |
| Terraform |
Service-Bus-Automatisierung: 1.10.1 oder höher. Modul-Repository: 1.9 oder höher, unter 2.0. Der wiederverwendbare Workflow verwendet standardmäßig eine gepinnte Version, siehe Integrationsressourcen deployen. |
| Provider |
azurerm 4.x, azuread (3.x in der Automatisierung, 2.x im Modul-Repository), azapi 2.x im Modul-Repository |
| Azure CLI |
Wird für die Authentifizierung und von einem Modul verwendet, das einen Managed Private Endpoint genehmigt |
Prüfe die Versionen gegen den Code, den du ausführst. Sie ändern sich mit Releases.
Netzwerk
- Jedes spoke-Virtual-Network ist mit dem hub gepeert. Standardmäßig erlaubt die Firewall nur Verkehr innerhalb eines spokes.
- Eine Verbindung von einem Integrations-Workload zu einem Shared Service oder zu einem On-Premises- oder externen System braucht eine Firewall-
regel (Firewallregeln und IP-Gruppen).
- Spoke-Subnetze für Private Endpoints und für die ausgehende VNet-Integration müssen existieren, bevor Module sie nutzen können. Die
Module lesen Subnetze per Name aus der spoke-Konfiguration (Module).
Für Workload-Teams
| Was du brauchst |
So bekommst du es |
| Einen Integrations-spoke |
Einen spoke anfragen. Frag nach den Erweiterungen der Shared Services, die du brauchst (Shared Services). |
| Die Datei mit den spoke-Outputs |
Enthält die Details deines spokes (Resource group, Subnetze, Key Vault, Storage Account, Log-Analytics-Workspace). Deine Plattform stellt sie bereit, siehe Integrationsressourcen deployen |
| Ein Workload-Repository mit dem Deployment-Workflow |
Von deinem Plattform-Team |
| Firewallregeln zu den Systemen, die du integrierst |
Anfragen |
| Namen der Entra-ID-Gruppen für deine Entitäten |
Von deinem Plattform-Team, nachdem die Entitäten erstellt sind |